// HEISE ONLINE — HARDWARE & GADGET
Der gefährlichste Satz beim Cloud-Umstieg: „SAP kümmert sich“
RISE with SAP entlastet beim Betrieb – doch viele Sicherheitsaufgaben bleiben beim Kunden. Wo die Verantwortung verläuft und welche Lücken entstehen können.
Ab in die SAP-Cloud und bequem zurücklehnen? Von wegen. Wer mit RISE with SAP in die Private Cloud geht, gibt Verantwortung ab – aber keineswegs die komplette. Zwischen der Infrastruktur-Security des Anbieters und den Konfigurations-, Berechtigungs- und Datenschutzpflichten der Kunden klafft in der Praxis oft eine gefährliche Wissenslücke. Wo genau die Grenze im Shared-Responsibility-Modell verläuft, welche Stolperfallen IT-Verantwortliche regelmäßig übersehen und warum „Cloud“ nicht gleichbedeutend mit „Sorglos-Paket“ ist, klärt das Kurzinterview mit SAP-Expertin Jessica Wolf.
Jessica Wolf ist Senior Consultant bei cbs Corporate Business Solutions und seit mehr als acht Jahren in der SAP-Welt tätig. Nach ihrem Einstieg in SAP Basis spezialisierte sie sich auf SAP Security. Seit über zweieinhalb Jahren ist sie stellvertretende Sprecherin des DSAG-Arbeitskreises Security & Vulnerability Management.
Viele Unternehmen verbinden „Cloud“ unbewusst mit „Der Anbieter kümmert sich um alles“. Wo genau verläuft beim Shared-Responsibility-Modell die Grenze zwischen SAP- und Kundenverantwortung – und wo liegen die häufigsten Missverständnisse?
Die zentrale Frage ist zunächst, was sich Unternehmen vom Wechsel in die Private Cloud eigentlich erhoffen. Geht es vor allem darum, den technischen Betrieb zu entlasten? Oder besteht die Erwartung, dass Security damit weitgehend „mit erledigt“ ist? Genau an dieser Stelle gehen Erwartungen und tatsächliche Verantwortlichkeiten häufig auseinander.
Denn Shared Responsibility bedeutet bereits im Namen: Die Verantwortung wird geteilt, nicht vollständig abgegeben. SAP übernimmt – abhängig vom konkreten Vertrag und den gebuchten Services – wesentliche Aufgaben für Infrastruktur, Plattform und technische Betriebsleistungen. Umso wichtiger ist es, von Beginn an klar festzuhalten, wer welche Aufgaben verantwortet und welche Themen beim Kunden verbleiben.
Dabei sollte ein Unternehmen nicht einfach davon ausgehen, dass ein SAP-System automatisch „sicher“ ist, nur weil es in der Private Cloud betrieben wird. Die entscheidenden Fragen sind: Was bedeutet Sicherheit für das eigene Unternehmen? An welchen Referenzmodellen, internen Vorgaben oder Mindestanforderungen orientieren wir uns? Und erfüllen Konfiguration, Berechtigungen, Schnittstellen und Betriebsprozesse diese Anforderungen tatsächlich? Das muss aktiv hinterfragt und überprüft werden.
Der Kunde bleibt insbesondere für die sichere Nutzung seiner Systeme, Daten und Geschäftsprozesse selbst verantwortlich. Dazu gehören unter anderem Berechtigungen, Konfiguration, Hardening, Schnittstellen, Applikations-Monitoring, Risiko- und Asset-Management sowie die Reaktion auf sicherheitsrelevante Ereignisse.
Vertiefen Sie Ihre SAP-Kompetenz mit Live-Online-Kursen für die ABAP-Entwicklung, S/4HANA-Administration, Security und Fachprozesse. Lernen Sie mit erfahrenen SAP-Praktiker*innen, stellen Sie Fragen im Live-Chat und schauen Sie sich die Aufzeichnung noch einmal in Ruhe an. Je nach Thema eignen sich unsere Angebote als vertiefende Schulung oder als kompaktes Training für konkrete Aufgaben im SAP-Alltag. Mitmachen können Sie bequem zu Hause oder im Büro.
Das vielleicht größte Missverständnis entsteht bereits beim Vertragsabschluss: Was genau wird eigentlich beauftragt – und was müsste aus Security-Sicht zusätzlich vereinbart werden? RISE-Verträge werden teilweise auf C-Level abgeschlossen, ohne die zuständigen Fachabteilungen, SAP-Verantwortlichen und Security-Teams frühzeitig ausreichend einzubeziehen. So können unbewusst Lücken entstehen: Leistungen werden vorausgesetzt, sind aber nicht enthalten; Verantwortlichkeiten werden bei SAP vermutet, bleiben aber beim Kunden; notwendige Security-Services werden erst erkannt, wenn es bereits zu spät oder zumindest deutlich aufwendiger ist.