SAPMAP analysiert Schwachstellen und Angriffspfade in SAP- und SAP-BTP-Umgebungen

Ein kompromittiertes SAP-System kann Angreifern als Sprungbrett in die gesamte Unternehmenslandschaft dienen. Das neue KI-gestützte Open-Source-Tool SAPMAP bildet solche Angriffspfade systemübergreifend ab und übersetzt technische Schwachstellen in konkrete Geschäftsrisiken. Wegen seines erheblichen Missbrauchspotenzials bleibt der Zugang jedoch zunächst auf geprüfte SAP-Sicherheitsfachleute beschränkt.

SecurityBridge Research hat ein neues Werkzeug zur Analyse komplexer Angriffswege in SAP-Umgebungen vorgestellt. Entwickelt wurde SAPMAP von Joris Van De Vis, Leiter des SecurityBridge Research Lab .

Das Tool erscheint im Rahmen des OWASP-Projekts „Core Business Application Security“ (CBAS) und soll Sicherheits-, Betriebs- und Audit-Teams dabei unterstützen, Risiken über die gesamte SAP-Landschaft hinweg sichtbar zu machen.

SAPMAP ist als Open-Source-Projekt konzipiert, wird zunächst jedoch ausschließlich über ein geschlossenes Einladungsverfahren bereitgestellt. Der Grund für diese kontrollierte Veröffentlichung liegt in den weitreichenden technischen Fähigkeiten des Werkzeugs.

„Das Tool lässt sich auch dazu nutzen, um in ungeschützte Systeme einzudringen und damit die Kontrolle über die gesamte SAP-Umgebung eines Unternehmens zu erlangen“, warnt Van De Vis.

Damit folgt das Projekt dem Prinzip einer verantwortungsvollen Veröffentlichung: Leistungsfähige Sicherheitswerkzeuge sollen Verteidigern helfen, dürfen aber nicht ohne Schutzmechanismen potenziellen Angreifern zur Verfügung gestellt werden.

Ein „BloodHound für SAP“

SAPMAP verfolgt einen ähnlichen Ansatz wie BloodHound, eines der bekanntesten Open-Source-Werkzeuge zur Analyse von Angriffspfaden in Microsoft-Active-Directory-Umgebungen. BloodHound stellt Beziehungen zwischen Identitäten, Berechtigungen und Systemen grafisch dar und zeigt, wie Angreifer über mehrere Zwischenschritte höhere Privilegien erlangen könnten.

SAPMAP überträgt dieses Prinzip auf SAP-Landschaften. Das Tool erfasst technische Abhängigkeiten, Vertrauensbeziehungen, Schwachstellen und potenzielle Angriffswege zwischen unterschiedlichen SAP-Systemen.

Gerade in großen Unternehmen sind SAP-Umgebungen selten isoliert aufgebaut. Systeme für Finanzen, Personalwesen, Fertigung, Logistik, Lieferketten oder Kundenmanagement sind eng miteinander verbunden und besitzen teilweise weitreichende Berechtigungen zur gegenseitigen Steuerung.

Ein erfolgreicher Angriff auf ein einziges System kann deshalb ausreichen, um sich schrittweise durch die Landschaft zu bewegen und Zugriff auf zentrale Geschäftsprozesse zu erhalten.

Von der Schwachstelle zum Geschäftsrisiko

SAPMAP soll nicht nur technische Sicherheitslücken anzeigen, sondern deren mögliche Auswirkungen auf den Geschäftsbetrieb nachvollziehbar darstellen. Das Werkzeug bildet die gesamte SAP-Umgebung eines Unternehmens ab und rekonstruiert automatisiert mögliche Angriffsketten – vom ersten Einstiegspunkt bis zur vollständigen Kontrolle über kritische Systeme.

Dabei berücksichtigt SAPMAP 16 praxisnahe Business-Impact-Szenarien. Dazu gehören unter anderem:

• Manipulation oder Diebstahl von Gehaltszahlungen
• Bankbetrug über gefälschte oder veränderte Lieferantendaten
• Sabotage von Fertigungs- und Produktionsprozessen
• Diebstahl oder Offenlegung personenbezogener Kundendaten
• Missbrauch privilegierter SAP-Berechtigungen
• Kompromittierung miteinander verbundener Cloud- und On-Premises-Systeme

Damit übersetzt das Werkzeug technische Schwachstellen in konkrete betriebliche Risiken. Dies kann insbesondere dabei helfen, Sicherheitsmaßnahmen nach ihrer tatsächlichen Relevanz für das Unternehmen zu priorisieren.

Mehr als 1.800 automatisierte Sicherheitstests

Nach Angaben der Entwickler umfasst SAPMAP derzeit sieben einsatzbereite Exploits. Dazu zählt auch CVE-2025-31324, eine kritische SAP-Schwachstelle, die im Zusammenhang mit Angriffen auf Unternehmenssysteme beobachtet wurde.

Ebenfalls integriert ist CVE-2026-31431, eine bekannte Schwachstelle, über die Angreifer ihre Berechtigungen bis auf Root-Ebene ausweiten können.

Insgesamt enthält SAPMAP:

• 72 dokumentierte CVEs
• 1.817 automatisierte Sicherheitstests
• sieben einsatzbereite Exploits
• 16 realitätsnahe Business-Impact-Szenarien

Das Tool erfasst sowohl klassische On-Premises-SAP-Umgebungen als auch die SAP Business Technology Platform (SAP BTP). Dabei können Angriffs- und Vertrauenspfade über die Grenze zwischen lokaler Infrastruktur und Cloud hinweg in beide Richtungen dargestellt werden.

Gerade diese systemübergreifende Perspektive ist entscheidend. Sicherheitsprüfungen betrachten häufig einzelne SAP-Instanzen, Anwendungen oder Mandanten. Reale Angriffe nutzen jedoch zunehmend Verbindungen zwischen Systemen, Identitäten und Plattformen aus.

OWASP unterstützt kontrollierte Veröffentlichung

Die OWASP-Projektleiter Waseem Ajrab und Julian Petersohn sehen in SAPMAP ein Beispiel dafür, wie spezialisiertes Fachwissen und offene Sicherheitsforschung zusammenwirken können. „Das Tool zeigt, was möglich wird, wenn fundiertes SAP-Fachwissen, Open-Source-Zusammenarbeit und verantwortungsvolle Sicherheitsforschung zusammenkommen“, erklären die Projektleiter.

Das OWASP-Projekt „Core Business Application Security “ unterstütze SAPMAP mit dem Ziel, Sicherheitsverantwortlichen einen klareren Überblick über komplexe Angriffspfade zu ermöglichen. Gleichzeitig müssten die leistungsfähigen Funktionen des Werkzeugs mit der notwendigen Vorsicht behandelt werden.

Zugang zunächst nur für geprüfte Fachkräfte SAPMAP wird vorerst ausschließlich im Rahmen eines geschlossenen Einladungsverfahrens angeboten. Unternehmen, verifizierte Penetrationstesterinnen und Penetrationstester sowie SAP-Sicherheitsforschende können unter strengen Zugangsbedingungen einen Early-Access-Zugang beantragen.

Eine allgemeine Veröffentlichung als frei zugängliches OWASP-Projekt ist für einen späteren Zeitpunkt vorgesehen.

Für Unternehmen dürfte SAPMAP insbesondere deshalb relevant sein, weil das Werkzeug einen Perspektivwechsel ermöglicht: Statt Schwachstellen lediglich isoliert zu bewerten, zeigt es, wie mehrere zunächst begrenzte Sicherheitsprobleme zu einem durchgängigen Angriffspfad mit erheblichen Auswirkungen auf den Geschäftsbetrieb kombiniert werden können.