Eine gemeinsame Studie von Onapsis Research Labs und Recorded Future wertet mehr als 1,2 Millionen Bedrohungsereignisse aus. Laut den Autoren nehmen immer mehr Ransomware-Gruppen SAP ins Visier, und die Zeit zwischen Patch und erster Ausnutzung ist von Monaten auf Tage geschrumpft.
Angreifer warten nicht mehr, bis Verteidiger aufgeholt haben. Laut einem neuen Threat Report von Onapsis Research Labs und Recorded Future ist die Zeit zwischen der Veröffentlichung einer SAP Security Note und der ersten verifizierten öffentlichen Ausnutzung oder einem Proof-of-Concept von 489 Tagen bei Schwachstellen, die 2021 behoben wurden, auf ein bis drei Tage bei Schwachstellen aus den Jahren 2025 und 2026 gesunken.
Der im Oktober 2026 veröffentlichte Bericht mit dem Titel „Days to Zero“ analysiert 1.238.037 Ereignisse aus der Open-, Deep- und Dark-Web-Sammlung von Recorded Future zwischen 2023 und dem ersten Halbjahr 2026. Die Autoren filterten das Material nach tatsächlicher, menschlich verfasster SAP-Relevanz und prüften die folgenreichsten Aussagen Fall für Fall. Nach ihrer Zählung stieg die Zahl relevanter Bedrohungsdokumente von 791 im Jahr 2023 auf 2.458 im Jahr 2025, ein Plus von 211 Prozent; für 2026 schätzen sie rund 2.600. Die Aktivität auf von Akteuren betriebenen Untergrundkanälen wuchs um 123 Prozent, von 419 auf 933 Dokumente. Die Forscher betonen, dass die Zahlen bewusst konservativ sind und die Aussagekraft im Trend liegt, nicht im absoluten Volumen.
Deutlich breiter geworden ist das Interesse von Ransomware-Gruppen. 2023 tauchten acht verschiedene Ransomware- und Erpressergruppen in SAP-relevanten Inhalten auf, wobei LockBit den Großteil des Volumens ausmachte. 2025 zählt der Bericht 26 Gruppen, darunter Cl0p, Akira, BianLian, Qilin, RansomEXX, Medusa und Play; über den gesamten Zeitraum erscheinen 30 mindestens einmal. Die Autoren verweisen auf den Verschlüsseler von Qilin, der dokumentiert SAP-Prozesse beendet, bevor er verschlüsselt, sowie auf 11 Opfer auf der Qilin-Leak-Seite, in deren abgeflossenen Dateinamen „SAP“ vorkam, und zwar innerhalb von rund 40 Tagen Anfang 2026. Zudem habe die Allianz aus Scattered Spider, ShinyHunters und LAPSUS$ im August 2025 einen funktionierenden Exploit für CVE-2025-31324 veröffentlicht.
Diese kritische SAP-NetWeaver-Zero-Day-Lücke dient dem Bericht als Fallstudie. Unabhängige Auswertungen von Verizon und Mandiant zählten sie zu den am häufigsten ausgenutzten Schwachstellen des Jahres 2025. Laut den Autoren verlief die Kampagne in drei Wellen: China-nahe Akteure wie UNC5221 und Earth Lamia begannen im Januar mit Aufklärung und nutzten die Lücke im Februar und März aktiv aus; ab Ende April stiegen Ransomware-Gruppen wie BianLian, RansomEXX und Qilin ein; ein öffentlicher Proof-of-Concept im August öffnete schließlich die Tür für den Masseneinsatz. Rund zwei Wochen nach der Offenlegung katalogisierten Forscher 1.284 exponierte Instanzen, von denen 474 bereits kompromittiert waren.
Um diesen Zugang hat sich ein funktionierender Markt gebildet. Beobachtete SAP-Angebote reichen von 500 bis 30.000 US-Dollar, während Verizons Benchmarks für 2026 bei rund 1.300 Dollar für administrative und 700 Dollar für Benutzerzugänge liegen. Zu den genannten Beispielen zählen Webshell-Zugriff auf ein NetWeaver-System eines Unternehmens mit drei Milliarden Dollar Umsatz für 500 Dollar sowie Management-Zugriff auf die SAP-Systeme einer israelischen Bank für 30.000 Dollar. Zum Vergleich: Das Exploit-Ankaufprogramm von Crowdfense führt eine SAP-Remote-Code-Execution mit bis zu 250.000 Dollar. Selbst Commodity-Werkzeuge sind angekommen: Ein 2026 beworbener Ransomware-Builder nannte SAP-Unternehmen schon ab 500 Dollar unter seinen Zielen.
Künstliche Intelligenz beschreibt der Bericht als Beschleuniger auf beiden Seiten. SAP veröffentlichte 165 Security Notes im Jahr 2023, 141 im Jahr 2024 und 216 im Jahr 2025; im ersten Halbjahr 2026 waren es 111, womit das Jahr auf einen neuen Höchststand zusteuert. Onapsis gibt an, den eigenen Forschungsoutput mit KI-gestützten Techniken binnen eines Jahres etwa verdoppelt zu haben, während Angreifer ähnliche Werkzeuge nutzen, um Schwachstellen schneller waffenfähig zu machen. Der Bericht verweist zudem auf Mandiants M-Trends 2026, die für 2025 eine mittlere Time-to-Exploit von minus sieben Tagen nennen, und auf VulnCheck-Daten, wonach das Intervall von der Offenlegung bis zum KEV-Eintrag von 8,5 auf fünf Tage sank. Dass die Angriffsfläche über SAPs Produkte hinausreicht, zeigt eine Kampagne von 2026: Der sich selbst verbreitende Wurm „Mini Shai-Hulud“ von TeamPCP kompromittierte offizielle SAP-npm-Pakete und erbeutete Zugangsdaten und Cloud-Schlüssel, ohne eine SAP-Schwachstelle auszunutzen.
Die Empfehlungen stützen sich auf vier Säulen. SAP HotNews und High-Priority-Security-Notes sollten im Notfalltakt behandelt und der Rest nach Ausnutzungswahrscheinlichkeit und Geschäftsauswirkung priorisiert werden; quartalsweises Patchen genüge für internetexponiertes SAP nicht mehr, argumentieren die Autoren. Wo Patchen nicht möglich ist, sollten Unternehmen Monitoring auf Anwendungsebene einsetzen, auch in Entwicklungs- und QA-Umgebungen. DevSecOps-Kontrollen gehören auf Custom Code und CI/CD-Pipelines ausgeweitet. Und schließlich empfiehlt der Bericht SAP-spezifische Threat Intelligence, die schneller aktualisiert wird als im monatlichen Patch-Day-Rhythmus.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de