SAP hat im Rahmen seines regelmäßigen Patchdays mehrere kritische Sicherheitslücken geschlossen. Betroffen sind unter anderem SAP Extended Passport und NetWeaver. Eine präparierte Netzwerkanfrage kann demnach dazu führen, dass Systeme abstürzen. SAP stellt für die betroffenen Komponenten entsprechende Updates bereit.
Was dahintersteckt
NetWeaver ist die technische Plattform, auf der viele SAP Anwendungen laufen. Man kann sich das wie ein Fundament vorstellen, auf dem verschiedene Module wie Buchhaltung, Warenwirtschaft oder Personalverwaltung aufsetzen. Wenn in diesem Fundament eine Lücke steckt, betrifft das potenziell alle Anwendungen, die darauf aufbauen, nicht nur ein einzelnes Modul.
Bei der aktuellen Lücke geht es um eine speziell aufgebaute Netzwerkanfrage, die das System zum Absturz bringt. Solche Fehler entstehen häufig, weil eine Software bestimmte Eingaben nicht korrekt prüft, bevor sie sie verarbeitet. Schickt ein Angreifer eine Anfrage, die nicht dem erwarteten Format entspricht, kann das dazu führen, dass ein Dienst nicht mehr reagiert. Das ist technisch etwas anderes als ein Datendiebstahl, kann aber genauso schmerzhaft sein: Wenn ein zentrales System nicht mehr erreichbar ist, stehen Prozesse still, die darauf angewiesen sind.
Wichtig für das Verständnis: Solche Angriffe erfordern in der Regel, dass die verwundbare Schnittstelle überhaupt aus dem Netzwerk erreichbar ist. Systeme, die ausschließlich intern laufen und nicht ungeschützt aus dem Internet erreichbar sind, sind schwerer angreifbar als solche, die offen im Netz stehen.
Was das für Betriebe in Hotellerie und Gastronomie bedeutet
SAP taucht in der Hotellerie seltener direkt an der Rezeption auf, dort laufen meist eigene Property Management Systeme für Buchung und Check in. Relevant wird SAP eher im Hintergrund, etwa wenn ein Hotel oder eine Hotelgruppe die Warenwirtschaft, den Einkauf oder die Buchhaltung über SAP abwickelt. Das betrifft vor allem größere Häuser, Ketten oder Betriebe mit mehreren Standorten, die eine zentrale Verwaltung nutzen.
Ein Beispiel: Ein Hotel im Ahrtal, das mehrere Restaurants und einen Wellnessbereich betreibt, könnte Bestellungen für Lebensmittel und Getränke über ein zentrales SAP System abwickeln, das mit der Kasse an der Bar oder im Restaurant verknüpft ist. Fällt dieses System aus, weil es abstürzt, wirkt sich das nicht direkt auf das Gäste WLAN oder das Buchungssystem an der Rezeption aus, aber möglicherweise auf Bestellprozesse, Lieferantenanbindung oder interne Abrechnung.
Für kleinere Häuser mit Saisonkräften und einem klassischen Kassensystem ohne SAP Anbindung ist die Meldung in der Regel nicht direkt relevant. Wer aber weiß, dass im Hintergrund ein SAP System für Buchhaltung oder Einkauf läuft, sollte das Thema nicht ignorieren, auch wenn es auf den ersten Blick weit weg von Rezeption und Frühstücksbuffet wirkt.
Das sollten Sie jetzt tun
- Systeme prüfen lassen: Fragen Sie Ihren IT-Dienstleister oder Ihren SAP Betreuer, ob in Ihrem Betrieb SAP Extended Passport oder NetWeaver im Einsatz sind, auch indirekt über einen Dienstleister.
- Updates einspielen: Wenn eines der betroffenen Systeme vorhanden ist, sollten die von SAP bereitgestellten Patches zeitnah installiert werden, am besten in einem geplanten Wartungsfenster.
- Erreichbarkeit einschränken: Prüfen Sie, ob die betroffenen Schnittstellen aus dem Internet erreichbar sein müssen oder ob eine Beschränkung auf das interne Netz ausreicht.
- Ausfallszenario durchdenken: Überlegen Sie kurz, was passiert, wenn das System für einige Stunden ausfällt. Gibt es einen Notbetrieb für Bestellungen und Kasse.
- Verantwortlichkeit klären: Wenn ein externer Dienstleister das SAP System betreut, fragen Sie aktiv nach, ob und wann die Patches eingespielt werden. Verlassen Sie sich nicht darauf, dass es automatisch passiert.
Wie wir das bei unseren Kunden lösen
Bei Kunden, deren IT wir vollständig betreuen, gehört das Einspielen sicherheitsrelevanter Updates zum laufenden Betrieb dazu. Wir behalten im Blick, welche Systeme in einem Betrieb eingesetzt werden, auch wenn es sich um Speziallösungen wie SAP handelt, und sorgen dafür, dass relevante Patchdays nicht untergehen. Läuft ein solches System bei einem unserer Kunden, sprechen wir das gezielt an, statt zu warten, bis eine Meldung Wellen schlägt.
Unsere Einschätzung
Für den Großteil der Hotels und Restaurants in unserer Region mit klassischem Kassensystem und eigenständigem Buchungstool ist diese Meldung ohne direkte Relevanz. Betriebe mit zentraler SAP Anbindung für Einkauf oder Buchhaltung, etwa größere Häuser oder Gruppen mit mehreren Standorten zwischen Bonn und dem Kreis Ahrweiler, sollten die Sache aber ernst nehmen und kurzfristig prüfen lassen, ob sie betroffen sind. Alarmismus ist hier nicht angebracht, ein gezielter Blick auf die eigene Systemlandschaft schon.
Quelle
Diese Einordnung bezieht sich auf eine Meldung von heise online vom 11.09.2026: Patchday SAP: Präparierte Netzwerkanfrage ebnet Weg für Abstürze. Die Bewertung und alle Handlungsempfehlungen stammen von ITemimovic.
Unsicher, ob Ihr Betrieb betroffen ist?
Wir schauen uns Ihre Systeme an und sagen Ihnen ehrlich, wo Handlungsbedarf besteht. Kostenfreies Erstgespräch, telefonisch oder bei Ihnen vor Ort in der Region Ahrweiler, Remagen, Bonn und Koblenz.