Onapsis und Recorded Future analysieren mehr als 1,2 Millionen Threat-Intelligence-Ereignisse. Die Ergebnisse zeigen eine zunehmende Bedrohungsaktivität, mehr Ransomware-Gruppen mit SAP-Bezug und deutlich kürzere Zeitfenster für Sicherheitsupdates.
Heidelberg, 29. Oktober 2026 – Das Zeitfenster zwischen der Veröffentlichung von SAP-Sicherheitsupdates und dem ersten nachgewiesenen Exploit beziehungsweise einem öffentlichen Proof of Concept wird immer kürzer. Laut einer neuen Untersuchung von Onapsis und Recorded Future sank der Median von 489 Tagen bei den im Jahr 2021 gepatchten Schwachstellen auf nur noch 1 bis 3 Tage bei den in den Jahren 2025 und 2026 gepatchten Schwachstellen. Für Unternehmen wächst damit der Druck, kritische Sicherheitslücken schnell zu schließen und gleichzeitig den stabilen Betrieb geschäftskritischer SAP-Systeme sicherzustellen.
Für den Threat Report „Days to Zero: How Ransomware and Accelerated Exploitation are Reshaping SAP Security“ wurden mehr als 1,2 Millionen Threat-Intelligence-Ereignisse aus dem Open, Deep und Dark Web im Zeitraum von 2023 bis Mitte 2026 ausgewertet. Neben der deutlich verkürzten Zeit bis zur Ausnutzung von Schwachstellen zeigt die Analyse weitere Entwicklungen:
– 211 Prozent mehr SAP-relevante Threat-Intelligence-Dokumente: Die Zahl der erfassten sicherheitsrelevanten Dokumente mit eindeutigem SAP-Bezug stieg von 791 im Jahr 2023 auf 2.458 im Jahr 2025.
– Mehr Ransomware-Gruppen mit SAP-Bezug: Während 2023 acht unterschiedliche Ransomware- und Erpressergruppen in SAP-relevanten Quellen auftauchten, waren es 2025 bereits 26.
– 123 Prozent mehr SAP-relevante Dokumente in Untergrundkanälen: Die Zahl der entsprechenden Dokumente in von Angreifern betriebenen Kanälen stieg von 419 auf 933.
Ransomware-Gruppen nehmen SAP-Systeme gezielt ins Visier
Die Untersuchung zeigt, wie Ransomware-Gruppen SAP-Systeme gezielt in ihre Angriffsmethoden integrieren. So kann die Ransomware der Gruppe Qilin beispielsweise SAP-Dienste beenden, bevor sie Systeme verschlüsselt. Gleichzeitig entwickelt sich ein Markt für kompromittierte SAP-Zugänge: In den untersuchten Untergrundquellen wurden entsprechende Angebote zu Preisen zwischen 500 und 30.000 US-Dollar beobachtet.
Patch-Management und kontinuierliche Überwachung gewinnen an Bedeutung
Angesichts der verkürzten Zeitfenster reichen herkömmliche Patch-Zyklen laut den Studienautoren insbesondere für über das Internet erreichbare SAP-Systeme nicht mehr aus. Gleichzeitig lassen sich Sicherheitsupdates in geschäftskritischen Umgebungen nicht immer kurzfristig einspielen. Die Autoren empfehlen deshalb ein risikobasiertes Patch-Management, bei dem Unternehmen Schwachstellen anhand ihrer Kritikalität, der Wahrscheinlichkeit einer Ausnutzung und der möglichen Auswirkungen auf den Geschäftsbetrieb priorisieren.
Ergänzend sollten Unternehmen ihre SAP-Anwendungen kontinuierlich auf Angriffsversuche überwachen und auch Entwicklungs- und Testumgebungen in ihre Sicherheitsmaßnahmen einbeziehen.
Der vollständige Report „Days to Zero: How Ransomware and Accelerated Exploitation are Reshaping SAP Security“ steht hier zur Verfügung: https://onapsis.com/threat-research/days-to-zero-sap-onapsis-recorded-future/
Über Onapsis
Onapsis bietet umfassende SAP-Sicherheit für das autonome Unternehmen und schützt kritische SAP-Anwendungen vor KI-gestützten Bedrohungen, während gleichzeitig die Einführung von SAP AI und RISE vorangetrieben wird. Als weltweit führender Anbieter von SAP-Cybersicherheit und Compliance nutzt, die von SAP empfohlene Onapsis-Plattform, die unübertroffene Bedrohungsinformationen der Onapsis Research Labs und seiner Agentic AI Fabric, um Sicherheitsverletzungen proaktiv zu verhindern, die kontinuierliche Compliance zu automatisieren und kundenspezifischen Code für einen Clean Core über RISE with SAP, S/4HANA und hybride Landschaften hinweg zu sichern. Sie haben ein Unternehmen zu führen – Onapsis schützt Ihren Kern, damit Sie ohne Kompromisse schnell und sicher transformieren können.
Vernetzen Sie sich mit Onapsis auf LinkedIn, X oder besuchen Sie onapsis.com.
Firmenkontakt
Onapsis
— —
Salomon-Calvi-Straße 1-3
69124 Heidelberg
089-417761-0
https://onapsis.com/
Pressekontakt
Lucy Turpin Communications
Alisa Speer / Eva Hildebrandt
Prinzregentenstraße 89
81675 München
+49 89 417761-0
https://www.lucyturpin.de/