{"id":32409,"date":"2022-12-30T05:10:12","date_gmt":"2022-12-30T13:10:12","guid":{"rendered":"https:\/\/pathlockstg.wpengine.com\/?p=31858"},"modified":"2026-03-05T09:50:45","modified_gmt":"2026-03-05T14:50:45","slug":"attributbasiertes-data-masking-fuer-sap-2","status":"publish","type":"post","link":"https:\/\/pathlock.com\/de\/attributbasiertes-data-masking-fuer-sap-2\/","title":{"rendered":"Attributbasiertes Data Masking f\u00fcr SAP"},"content":{"rendered":"\n

Wie Sie den Schutz der ERP-Daten effektiv verbessern und Compliance-Risiken deutlich reduzieren<\/strong>!<\/h2>\n\n\n\n

SAP-Anwendungen enthalten gro\u00dfe Mengen sensibler Daten. Von gesch\u00fctzten personenbezogenen bis hin zu privilegierten Finanzinformationen bergen diese stets auch Risiken, denen Unternehmen begegnen m\u00fcssen, da es in SAP ERP von Haus aus keine Masking-Funktionen zur passgenauen Anonymisierung in den Ansichten gibt. Die ungehinderte Offenlegung von Daten stellt somit ein potenzielles Leck dar und bietet eine riesige Angriffsfl\u00e4che, die ausgenutzt werden kann. Obwohl Add-ons und L\u00f6sungen von SAP und Drittanbietern existieren, um das Problem anzugehen, bestehen immer noch erhebliche Herausforderungen. Hier setzt das Konzept des attributbasierten Data Maskings an.<\/p>\n\n\n\n

\n

\u201eES GEHT UM DEN SCHUTZ VON DATEN, DIE NOTWENDIG UND DA SIND, DIE ABER NICHT JEDER SEHEN SOLL, UM DAS EINSCHR\u00c4NKEN DER ANSICHTEN AUF SITUATIV RELEVANTE INFORMATIONEN.\u201c<\/em><\/strong><\/p>\nRalf Kempf Vice President ABAP<\/a> Architecture, Pathlock<\/cite><\/blockquote>\n\n\n\n

Nicht erst seit der zunehmenden Internationalisierung, seit Corona und vermehrtem Homeoffice sind prozessrelevante, aber sensible Daten in Gefahr, auch von externen oder internen Betrachtern eingesehen zu werden, deren Einsicht situativ oder generell weder n\u00f6tig noch gew\u00fcnscht ist. Konkret bedeutete dies: Wenn der Mitarbeiter aus der Personalabteilung aus dem Ausland arbeitet und Stammdatenpflege betreibt, sollten weder ein Passant, der ihm \u00fcber die Schulter blickt, noch der Sitznachbar ungehinderten Einblick auf sensible Daten bekommen. Ein Packer muss anhand der Materialstammnummer nat\u00fcrlich wissen, welches Paket er nehmen soll, aber er muss nicht im Detail wissen, welchen Inhalt es hat. Wenn ein Vertrieb mit Stammdaten arbeitet, um Angebote zu erstellen, muss er in der Stammkarte das richtige Produkt finden, die richtige Verpackungseinheit, das Gebinde sehen k\u00f6nnen, jedoch nicht alle Einkaufspreise kennen.<\/p>\n\n\n\n

Data Loss Prevention<\/strong><\/h2>\n\n\n\n

Data Masking<\/a> erstreckt sich also nicht allein auf die Reduzierung missbr\u00e4uchlicher Ansicht (Fraud) personenbezogener Daten und ist wesentlich weiter gefasst als die reine Anonymisierung und Pseudonymisierung von Personen- und Adressdaten. Vielmehr lassen sich alle denkbaren Datentypen maskieren. Ziel des Maskierens der Originaldaten ist stets die sogenannte Data Loss Prevention, das Problem von Datendiebstahl, Datenmissbrauch oder anderen Formen von Datenkriminalit\u00e4t dadurch zu l\u00f6sen, dass man die Ansichten der Datenbasis selbst ver\u00e4ndert: \u201eVereinfacht gesagt\u201c, so Ralf Kempf, Vize Pr\u00e4sident ABAP Architecture der neuen multinationalen Pathlock-Gruppe<\/a>, \u201egeht es um den Schutz von Daten, die notwendig und da sind, die aber nicht jeder sehen soll, um das Einschr\u00e4nken der Ansichten auf situativ relevante Informationen.\u201c<\/p>\n\n\n\n

Datenmaskierung in einem Regelsatz<\/strong><\/h2>\n\n\n\n

Die meisten Data-Masking-L\u00f6sungen von SAP und Drittanbietern stehen diesbez\u00fcglich immer noch vor einigen Herausforderungen, weil sie rein auf der Ebene von Berechtigungen operieren. Statische Maskierungsrichtlinien ber\u00fccksichtigen dabei nicht den Kontext des Zugriffsrisikos und zwingen zu einem Kompromiss zwischen Datensicherheit und Zug\u00e4nglichkeit. Privilegierte Benutzer k\u00f6nnen auf sensible Datenfelder zugreifen, selbst wenn dies in einem speziellen Kontext nicht erforderlich oder gew\u00fcnscht ist. Add-ons zur Datenmaskierung erfordern zudem Anpassungen, die in jedem Feld der Anwendung repliziert werden m\u00fcssen, was zu einer nicht skalierbaren Ad-hoc-L\u00f6sung f\u00fchrt. Im Gegensatz zu solchen Standard-Maskierungsl\u00f6sungen zentralisiert der Pathlock-Ansatz die Durchsetzung der Datenmaskierung in SAP in einem einzigen Regelsatz, um Daten in der gesamten Anwendung zu definieren und zu maskieren, und setzt zus\u00e4tzlich dynamische Richtlinien ein, die den Risikokontext einbeziehen, um die sensiblen Daten zielgenauer zu sch\u00fctzen, ohne dass f\u00fcr die Implementierung zus\u00e4tzliche Anpassungen an SAP n\u00f6tig sind.<\/p>\n\n\n\n

Diese attributbasierte Maskierungsfunktion<\/a> <\/strong>bedeutet eine fein abgestufte Kontrolle dar\u00fcber, welche Informationen f\u00fcr einen bestimmten Benutzer in einer bestimmten Situation maskiert werden. Dies ist etwa dann besonders wichtig, wenn ein multinationales Unternehmen missbr\u00e4uchliche Ansichten verhindern will. Daten werden beispielsweise maskiert bei Zugriffen aus L\u00e4ndern, die nicht zu den Unternehmensstandorten geh\u00f6ren, die von remoten Arbeitspl\u00e4tzen von au\u00dferhalb des Netzwerks, unbekannten IP-Adressen oder VPNs ausgehen oder au\u00dferhalb der jeweiligen Gesch\u00e4fts- bzw. plausiblen Uhrzeiten stattfinden. Eigentlich lesbare und f\u00fcr die Rolle erlaubte Inhalte sind so je nach Auspr\u00e4gung von frei konfigurierbaren Attributen wie dem User, der IP-Adresse, Uhrzeit, von L\u00e4ndern bzw. Standorten, der Zugriffsart \u2013 Remote-Arbeit von au\u00dferhalb oder Zugriff innerhalb des Netzwerks \u2013 oder der Netzwerk-Art (etwa VPN) nicht sichtbar. \u201eErfolgt ein Zugriff mit ungew\u00f6hnlichen Parametern, werden je nach Attribut f\u00fcr den konkreten Fall unn\u00f6tige Daten auch nicht lesbar sein\u201c, fasst Kempf zusammen.<\/p>\n\n\n\n

Risiken minimieren<\/strong><\/h2>\n\n\n\n

Dies ist allein \u00fcber User-Berechtigungen so nicht umsetzbar und ber\u00fccksichtigt die je nach Branche unterschiedliche Kritikalit\u00e4t etwa von Stammdaten wie: Personal-, Lokations-, Logistikdaten sowie Lieferanteninformationen oder St\u00fccklisten, Einkaufspreisen und Rezepturen. Attributbasiertes Data Masking bedeutet hier einen erheblich verbesserten Schutz sensibler Unternehmensdaten durch feingranulare Einschr\u00e4nkung der Ansichten. Die richtlinienbasierte dynamische Maskierungsfunktion der zentralisierten und skalierbaren Maskierungsl\u00f6sung bietet Unternehmen damit zus\u00e4tzlich zum Berechtigungsschutz eine individuell anpassbare Kontrolle dar\u00fcber, welche sensiblen Datenfelder sie f\u00fcr einen bestimmten Benutzer in einer konkreten Situation maskieren wollen. Durch die Implementierung einer vollst\u00e4ndigen oder teilweisen Maskierung eines Datensatzes minimiert sie damit das Risiko einer Datenpanne und erf\u00fcllt auch Verschl\u00fcsselungs- und Anonymisierungsanforderungen etwa von Aufsichtsbeh\u00f6rden.<\/p>\n\n\n\n

Durch das Herausfiltern sensibler Daten auf der Darstellungsebene ohne zus\u00e4tzliche Anpassungen an SAP entsteht kein zus\u00e4tzlicher Wartungsaufwand f\u00fcr Aktualisierungen, aber es gelingt in hohem Ma\u00dfe, den Schutz von ERP-Daten zu verbessern und Compliance-Risiken zu reduzieren. Dies gilt f\u00fcr sensible Daten in Produktions- und Nicht-Produktionsumgebungen gleicherma\u00dfen. Kombiniert man das attributive Data Masking dann zus\u00e4tzlich mit einem Data-Loss-Detection-Konzept und einer guten Echtzeit\u00fcberwachung <\/strong><\/a>der Abweichungen von Compliance-Vorschriften, f\u00fchrt dies zu einer signifikanten Steigerung des Datenschutzes in einer Qualit\u00e4t, die so kaum eine andere L\u00f6sung weltweit bieten kann.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"Ralf Ralf Kempf (Vice President ABAP Architecture, Pathlock)<\/strong><\/p>\n\n\n\n

Dieser Artikel ist im IT Security Magazin Oktober 2022<\/strong> (Seite 52+53) erschienen und steht als kostenloser online Leser-Service auf it-daily.net<\/a> zur Verf\u00fcgung: https:\/\/www.it-daily.net\/leser-service<\/a><\/p>\n\n\n\n

Weitere Infos zum Thema Data Masking:<\/strong><\/h2>\n\n\n\n

In unserer Webinar-Aufzeichnung<\/a> erhalten Sie noch tiefere Einblicke in die Thematik. Fordern Sie sich gleich den Zugangslink \u00fcber unser Webinar-Archiv<\/a> an.<\/p>\n\n\n\n