SAP hat zum Patch Day im August 2026 mehrere Schwachstellen in SAP-Software adressiert, die Administratoren zügig bewerten sollten. Die Bandbreite reicht von Remote Code Execution über Privilege Escalation und das Umgehen von Sicherheitsmaßnahmen bis hin zu Datenmanipulation, Offenlegung vertraulicher Informationen und Denial-of-Service-Zuständen. Betroffen sind SAP-Installationen, für die im Rahmen dieses Patchdays Sicherheitskorrekturen bereitstehen. Angreifer können die Fehler je nach exponierter Komponente und Berechtigungslage ausnutzen, um Geschäftsprozesse zu stören, Datenbestände zu verändern oder Zugriff auf Anmeldedaten zu erhalten. Die Einstufung als kritisch macht klar: Das Thema gehört nicht in den nächsten regulären Wartungszyklus, sondern auf die kurzfristige Patch-Liste.
Angriffsfläche reicht von Codeausführung bis Datenabfluss
Die Kurzbeschreibung des Patchdays zeigt ein typisches, aber gefährliches Muster in großen SAP-Landschaften: Es handelt sich nicht um eine einzelne isolierte Schwachstelle, sondern um mehrere Fehlerklassen mit sehr unterschiedlichen Folgen. Besonders kritisch ist die Möglichkeit, beliebigen Code auszuführen. Gelingt einem Angreifer das, kann aus einer Anwendungslücke schnell ein vollständiger Systemkompromiss werden — abhängig davon, mit welchen Rechten der betroffene Prozess läuft und wie stark die Umgebung segmentiert ist.
Ebenso relevant ist die Ausweitung von Berechtigungen. Eine Privilege Escalation ist in SAP-Umgebungen besonders heikel, weil technische Benutzer, Schnittstellenkonten und Rollenmodelle oft tief in Geschäftsprozesse eingebettet sind. Wird eine niedrigere Berechtigungsebene als Sprungbrett genutzt, können Angreifer unter Umständen Aktionen durchführen, die eigentlich privilegierten Rollen vorbehalten sind. Das betrifft nicht nur administrative Funktionen, sondern auch die Integrität von Bewegungsdaten, Stammdaten und Workflows.
Hinzu kommen Schwachstellen, die Sicherheitsmaßnahmen umgehen. Solche Bypass-Lücken sind operativ unangenehm, weil sie bestehende Schutzannahmen aushebeln: Zugriffskontrollen, Validierungen oder Schutzmechanismen, die bisher als kompensierende Maßnahme betrachtet wurden, greifen dann möglicherweise nicht mehr zuverlässig. Für Security-Teams bedeutet das: Nicht nur Patch-Status prüfen, sondern auch bestehende Controls und Monitoring-Regeln auf ihre Wirksamkeit im Kontext der betroffenen SAP-Komponenten kontrollieren.
SQL Injection, XSS und manipulierte Geschäftsdaten
Der Patchday umfasst außerdem Schwachstellen, die SQL-Injection-Angriffe ermöglichen. Diese Fehlerklasse entsteht typischerweise dort, wo Eingaben nicht sauber validiert oder nicht korrekt parametrisiert an Datenbankabfragen übergeben werden. In SAP-Umgebungen kann das gravierende Folgen haben: Daten lassen sich unter Umständen auslesen, verändern oder für weiterführende Angriffe missbrauchen. Besonders kritisch wird es, wenn die betroffene Anwendung mit weitreichenden Datenbankrechten arbeitet oder sensible Informationen wie Kunden-, Finanz- oder Personalstammdaten verarbeitet.
Auch Cross-Site Scripting gehört zur gemeldeten Angriffsfläche. XSS wird häufig unterschätzt, weil es zunächst nach einem Client-seitigen Problem klingt. In webbasierten SAP-Oberflächen kann eingeschleuster Script-Code jedoch Sessions angreifen, Benutzeraktionen manipulieren oder Informationen aus dem Browser-Kontext abgreifen. Für Administratoren zählt deshalb nicht nur, ob ein System aus dem Internet erreichbar ist. Auch interne Portale, Partnerzugänge und VPN-geschützte Anwendungen sind relevant, wenn dort privilegierte Nutzer arbeiten.
Die mögliche Offenlegung vertraulicher Informationen oder Anmeldedaten verschärft das Risiko zusätzlich. Gelangen Zugangsdaten in fremde Hände, lassen sich Folgeangriffe oft schwer von legitimer Nutzung unterscheiden. Besonders kritisch sind technische Accounts, Schnittstellenbenutzer und Konten mit breiten Rollen. Wenn Angreifer solche Credentials ausnutzen, bleibt der Angriff möglicherweise lange im normalen Betriebsrauschen verborgen. Das spricht dafür, nach dem Patchen auch Authentifizierungslogs, ungewöhnliche Rollenverwendungen und Zugriffe auf sensible Transaktionen zu überprüfen.
Verfügbarkeit bleibt ein eigenes Risiko
Neben Integrität und Vertraulichkeit adressiert der Patchday auch Schwachstellen, die einen Denial of Service auslösen können. In SAP-Landschaften ist Verfügbarkeit kein Komfortmerkmal, sondern häufig direkt geschäftskritisch. Fällt ein zentrales System aus oder reagiert es nicht mehr zuverlässig, stehen unter Umständen Warenbewegungen, Abrechnung, Beschaffung oder Produktionsprozesse still. Ein DoS muss dabei nicht zwingend die gesamte Plattform treffen; schon das Blockieren einzelner Dienste oder Schnittstellen kann reichen, um Prozessketten zu unterbrechen.
Für die Priorisierung sollten Administratoren deshalb nicht nur auf die technische Schwere schauen, sondern auf die Position der betroffenen Systeme im Geschäftsprozess. Internetnahe SAP-Komponenten, Systeme mit Partnerzugriff, produktive Mandanten und Instanzen mit sensiblen Daten verdienen Vorrang. Gleiches gilt für Umgebungen, in denen viele Integrationen aktiv sind oder in denen Störungen außerhalb des Wartungsfensters unmittelbare operative Folgen haben.
Der August-Patchday 2026 sollte als Anlass dienen, die eigene SAP-Patch-Routine zu prüfen. Kritische SAP-Korrekturen scheitern in der Praxis selten am fehlenden Bewusstsein, sondern an Abhängigkeiten: Transportwege, Regressionstests, Downtime-Fenster, Schnittstellenfreigaben und Fachbereichsabnahmen verzögern die Umsetzung. Trotzdem gilt: Bei Schwachstellen, die Codeausführung, Rechteausweitung, Datenabfluss oder Manipulation erlauben, ist langes Aufschieben riskanter als ein eng geführtes, priorisiertes Wartungsfenster.
Administratoren sollten die SAP Security Notes des August-Patchdays 2026 gegen die eigene Systemlandschaft abgleichen und produktive Systeme nach Exponierung, Datenkritikalität und Prozessrelevanz priorisieren. Wo Patches nicht sofort eingespielt werden können, müssen temporäre Schutzmaßnahmen, restriktive Zugriffe und verstärkte Erkennung greifen.
- Spielen Sie die für Ihre SAP-Komponenten bereitgestellten Sicherheitskorrekturen priorisiert ein.
- Prüfen Sie Rollen, technische Benutzer und Schnittstellenkonten auf übermäßige Berechtigungen.
- Schärfen Sie Monitoring für verdächtige Logins, Datenbankzugriffe, XSS-Indikatoren und DoS-Anzeichen.
- Planen Sie kurzfristige Wartungsfenster für produktive, exponierte und geschäftskritische SAP-Systeme.
