Supply Chain Integrity und SAP: Azure SCITT
Der Weckruf: Ein SAP-Angriff mit globaler Wirkung
September 2025: Ein internationaler Industriekonzern steht still. Die Produktion stoppt, Lieferketten brechen zusammen, der Schaden summiert sich auf Millionen pro Tag. Die Ursache: Ein gezielter Cyberangriff auf das SAP-S/4HANA-System, ausgelöst durch eine ungepatchte Schwachstelle (CVE-2025-42957). Innerhalb weniger Stunden übernehmen die Angreifer die Kontrolle über zentrale Geschäftsprozesse.
Was diesen Vorfall besonders macht, ist nicht nur die technische Raffinesse, sondern die fehlende Transparenz über die Software-Lieferkette. Niemand konnte eindeutig nachweisen, welche Komponenten betroffen waren, wann Updates eingespielt oder Änderungen vorgenommen wurden. Für SAP-Dienstleister und Cloud-Betreiber ist dies ein Schlüsselmoment: Wie lässt sich sicherstellen, dass Systeme integer, unverändert und überprüfbar sind – von der Hardware bis zum Custom Code?
Azure SCITT: Der neue Standard für Vertrauensketten
Die Antwort liefert Azure SCITT (Supply Chain Integrity, Transparency and Trust) – ein von Microsoft entwickeltes Framework auf Basis offener IETF-Standards. Es ermöglicht, jede Komponente einer IT-Landschaft kryptographisch zu verifizieren und ihre Herkunft fälschungssicher zu dokumentieren.
Im Kern verfolgt SCITT drei Prinzipien: Integrität, Transparenz und Vertrauen. Jede Änderung, jeder Patch, jedes Deployment wird als kryptographisch signierte Transaktion in einem unveränderbaren Ledger gespeichert. So lässt sich jederzeit belegen, dass ein System authentisch und unverfälscht ist.
Für SAP-Landschaften bedeutet das: vom Kernel über die HANA-Datenbank bis zu Add-ons und Eigenentwicklungen können alle Komponenten mit eindeutigen Herkunftsnachweisen versehen werden. Der gesamte Lebenszyklus – Installation, Update, Konfiguration – wird transparent und auditierbar.
Warum gerade SAP im Fokus der Angreifer steht
Die Bedrohungslage zeigt, wie verletzlich komplexe ERP-Systeme geworden sind. 2025 trafen gleich mehrere Zero-Day-Angriffe große SAP-Installationen. Neben Code-Injection- und Remote-Execution-Lücken nutzten Cyberkriminelle vor allem die Intransparenz in der Software-Supply-Chain aus: manipulierte Add-ons, infizierte Open-Source-Bibliotheken oder unautorisierte Änderungen durch privilegierte Accounts.
Die Folgen sind gravierend. Laut Branchenanalysen übersteigen die durchschnittlichen Kosten eines SAP-Sicherheitsvorfalls fünf Millionen US-Dollar. Ransomware-Attacken auf SAP-Systeme haben sich seit 2021 vervierfacht, Produktionsausfälle wirken sich direkt auf weltweite Liefernetzwerke aus. Spätestens mit der EU-Richtlinie NIS2 und dem Cyber Resilience Act wird die Absicherung der Software-Lieferkette auch zur regulatorischen Pflicht.
Transparenz als Sicherheitsarchitektur
Azure SCITT verknüpft mehrere Schlüsseltechnologien, um diese Transparenz durchzusetzen. Über Azure Code Transparency Services werden Software-Builds, Container-Images und Patches signiert, versioniert und im Ledger dokumentiert. Das Azure Confidential Ledger, basierend auf hardwaregestützten Trusted Execution Environments, stellt sicher, dass diese Daten weder gelöscht noch manipuliert werden können.
Für den Betrieb von SAP-Systemen in der Cloud bedeutet das: Jede Komponente lässt sich kryptographisch auf ihre Echtheit prüfen – inklusive Hardware-Nachweis über Caliptra-basierte Root-of-Trust-Chips. Damit entsteht eine durchgehende Sicherheitskette vom Prozessor über die Firmware bis zur Applikation.
Geschäftlicher Nutzen: Sicherheit, Compliance und Differenzierung
Für SAP-Dienstleister ist SCITT mehr als ein technisches Feature – es wird zum Wettbewerbsvorteil. Manipulationssichere Audit-Trails vereinfachen Compliance-Prüfungen nach ISO 27001, SOX oder NIS2 erheblich. Gleichzeitig sinken die Audit-Vorbereitungskosten um bis zu 70 Prozent, weil Nachweise automatisiert erzeugt werden.
Darüber hinaus schafft SCITT Vertrauen bei Kunden: Jeder kann nachweisen, dass seine SAP-Umgebung auf verifizierter Hardware, geprüfter Software und nachvollziehbaren Prozessen basiert. Das eröffnet neue Service-Modelle wie „Supply-Chain-Verified SAP Hosting“ – eine Hosting-Plattform, deren Integrität kryptographisch belegbar ist.
Die INCONSYS GmbH unterstützt Sie gern bei Fragestellungen oder bei der Einrichtung rund um dieses Thema.
+49 4023724299-0
