Das Zeitfenster zwischen der Veröffentlichung von SAP-Sicherheitsupdates und dem ersten nachgewiesenen Exploit beziehungsweise einem öffentlichen Proof of Concept wird immer kürzer. Laut einer neuen Untersuchung von Onapsis und Recorded Future sank der Median von 489 Tagen bei den im Jahr 2021 gepatchten Schwachstellen auf nur noch 1 bis 3 Tage bei den in den Jahren 2025 und 2026 gepatchten Schwachstellen. Für Unternehmen wächst damit der Druck, kritische Sicherheitslücken schnell zu schließen und gleichzeitig den stabilen Betrieb geschäftskritischer SAP-Systeme sicherzustellen.

Für den Threat Report „Days to Zero: How Ransomware and Accelerated Exploitation are Reshaping SAP Security“ wurden mehr als 1,2 Millionen Threat-Intelligence-Ereignisse aus dem Open, Deep und Dark Web im Zeitraum von 2023 bis Mitte 2026 ausgewertet. Neben der deutlich verkürzten Zeit bis zur Ausnutzung von Schwachstellen zeigt die Analyse weitere Entwicklungen:

• 211 Prozent mehr SAP-relevante Threat-Intelligence-Dokumente: Die Zahl der erfassten sicherheitsrelevanten Dokumente mit eindeutigem SAP-Bezug stieg von 791 im Jahr 2023 auf 2.458 im Jahr 2025.
• Mehr Ransomware-Gruppen mit SAP-Bezug: Während 2023 acht unterschiedliche Ransomware- und Erpressergruppen in SAP-relevanten Quellen auftauchten, waren es 2025 bereits 26.
• 123 Prozent mehr SAP-relevante Dokumente in Untergrundkanälen: Die Zahl der entsprechenden Dokumente in von Angreifern betriebenen Kanälen stieg von 419 auf 933.

Ransomware-Gruppen nehmen SAP-Systeme gezielt ins Visier

Die Untersuchung zeigt, wie Ransomware-Gruppen SAP-Systeme gezielt in ihre Angriffsmethoden integrieren. So kann die Ransomware der Gruppe Qilin beispielsweise SAP-Dienste beenden, bevor sie Systeme verschlüsselt. Gleichzeitig entwickelt sich ein Markt für kompromittierte SAP-Zugänge: In den untersuchten Untergrundquellen wurden entsprechende Angebote zu Preisen zwischen 500 und 30.000 US-Dollar beobachtet.

Patch-Management und kontinuierliche Überwachung gewinnen an Bedeutung

Angesichts der verkürzten Zeitfenster reichen herkömmliche Patch-Zyklen laut den Studienautoren insbesondere für über das Internet erreichbare SAP-Systeme nicht mehr aus. Gleichzeitig lassen sich Sicherheitsupdates in geschäftskritischen Umgebungen nicht immer kurzfristig einspielen. Die Autoren empfehlen deshalb ein risikobasiertes Patch-Management, bei dem Unternehmen Schwachstellen anhand ihrer Kritikalität, der Wahrscheinlichkeit einer Ausnutzung und der möglichen Auswirkungen auf den Geschäftsbetrieb priorisieren.

Ergänzend sollten Unternehmen ihre SAP-Anwendungen kontinuierlich auf Angriffsversuche überwachen und auch Entwicklungs- und Testumgebungen in ihre Sicherheitsmaßnahmen einbeziehen.