Virengefahr durch SAP E-Recruiting

Durch ungesicherte Uploads in SAP-Datenbanken steige die Gefahr, interne und externe Benutzer zu infizieren, teilt Bowbridge mit. Das Öffnen einer infizierten Word- oder Powerpoint-Datei genüge, um das Virus in das System einzuschleusen.

„Reine Nutzdaten gibt es nicht mehr! Aktive Inhalte, Makros und Skripts sind eine Spielwiese für Angreifer“, so das Unternehmen. Applikations- und datenzentrische Security müssten daher die Infrastruktur-Maßnahmen ergänzen, um maximale Sicherheit und Verfügbarkeit zu gewährleisten.

Internet-Portale, die den Upload von Dateien unterstützen – wie das SAP E-Recruiting Modul – seien besonders gefährdet. Sie können leicht Sammel- und Verteilerstelle infizierter Daten werden. Auch so genannte targetted attacks, gezielte Virenangriffe auf ein bestimmtes Unternehmen, seien denkbar. Als besonders problematisch bezeichnet BowBridge Lösungen, in denen Up- und Download über eine verschlüsselte HTTPS-Verbindung oder ein proprietäres GUI vorgenommen werden. Denn diese Verbindungen entziehen sich in der Regel einer Virenprüfung.

Das Bundesamt für Sicherheit in der Informationstechnik rät daher im IT-Grundschutz-Handbuch ausdrücklich zur Implementierung von Virenschutz-Maßnahmen bei SAP-Anwendungen in Portal-Szenarios. Es fordert, den SAP-Virenschutz mit dem unternehmens- bzw. behördenweiten Virenschutz abzustimmen.

Genau dies leiste die AntiVirus Bridge Technologie von BowBridge. Virenschutzlösungen von Aladdin, McAfee, Symantec und Trend Micro und anderen ließen sich damit schnell und kosteneffizient aus der SAP NetWeaver Plattform heraus ansprechen und nutzen. Datei-Uploads werden aus der Applikation heraus überprüft und gegebenenfalls gesäubert. Die Applikationsperformance selber werde davon kaum merklich beeinflusst.

Hilmar Schepp, Manager Public Relations bei SAP, erklärte gegenüber tecCHANNEL, dass SAP aktuell kein Schadensfall vorliege. SAP bietet laut Schepp Virenschutz in den beschriebenen Umgebungen durch eine Schnittstelle im SAP NetWeaver: dem Virus Scan Interface (VSI). "Über diese Schnittstelle kann ein Drittanbieter-Produkt wie von Norton oder McAfee in die SAP-Umgebung eingebunden werden. Diese Virusscanner sind dann in der Lage, Dokumente zu scannen, die ins SAP-System hochgeladen werden. SAP selbst besitzt kein eigenes Virusscan-Tool, noch wird sie eines entwickeln", so Schepp. "SAP bietet hingegen ein Partner-Zertifizierungs-Programm für diese Antiviren-Software an." (Detlef Scholz/mec)