Das BSI hat ein Papier veröffentlicht, das eine unbequeme Wahrheit ausspricht: KI verschiebt das Tempo zugunsten der Angreifer so stark, dass Patchen allein kein verlässlicher Schutz mehr ist. Für die SAP-Welt ist das keine ferne Prognose, sondern bereits gelebte Realität.

Kurzfassung

Das BSI beschreibt in einer aktuellen Sicherheitsmitteilung (BITS-B Nr. 2026-262788-1032, 22.06.2026), wie KI Schwachstellenfindung, Exploit-Entwicklung und Angriffsoperationen beschleunigt. Angreifer profitieren von Geschwindigkeit, Skalierung und Automatisierung. Verteidiger bleiben an Betriebsgrenzen gebunden: Testaufwand, Freigaben, Wartungsfenster, Herstellerabhängigkeiten, Personal. Die Konsequenz laut BSI: Angriffsfläche minimieren, Reaktionsfähigkeit stärken und davon ausgehen, dass nachträglich gepatchte Zero-Days vorher schon ausgenutzt wurden. Genau dieses Muster hat die SAP-Welt 2025 mit CVE-2025-31324 live erlebt.

Was das BSI sagt

Die Kernaussage des Papiers ist nüchtern und deshalb umso ernster zu nehmen: KI verändert die Cybersicherheitslage grundlegend und verlangt eine neue Reaktionsgeschwindigkeit. Wo Kriminelle früher KI eher arbeitsteilig nutzten (etwa für überzeugendere Phishing-Mails), sind aktuelle Modelle in der Lage, Schwachstellen in kurzer Zeit weitgehend autonom zu erkennen, zu analysieren und in verwertbare Angriffspfade zu überführen.

Das BSI benennt die Asymmetrie klar:

Bemerkenswert: Das Papier nennt frontier-Modelle wie aktuelle Top-LLMs ausdrücklich als Faktor und weist darauf hin, dass auch günstigere, kleinere Modelle eine Rolle spielen. Die Einstiegshürde für offensive Fähigkeiten sinkt also breit, nicht nur an der Spitze.

Die Empfehlungen laufen auf drei Punkte hinaus: Angriffsfläche grundsätzlich reduzieren, Reaktions- und Patchprozesse beschleunigen, Detektion und Incident Response stärken. Und ein Satz, der die Denkweise verschiebt: Bei nachträglich gepatchten Zero-Day-Lücken sollte man davon ausgehen, dass sie vorher bereits missbraucht wurden. Das ist Assume Breach, in Behördensprache.

Warum das die SAP-Welt besonders trifft

SAP-Landschaften sind der Lehrbuchfall für die vom BSI beschriebene Asymmetrie, und zwar in verschärfter Form. Der Grund liegt in der Natur dieser Systeme: SAP trägt die geschäftskritischen Kernprozesse, von der Buchhaltung über die Lieferkette bis zur Lohnabrechnung. Genau das macht das Patchen so zäh. Man kann ein System, an dem der Betrieb hängt, nicht einfach kurz aktualisieren.

Bis ein SAP-Hinweis produktiv ist, vergehen in der Praxis oft Wochen, und das aus guten Gründen: ausführliche Regressionstests, damit der Patch keinen Geschäftsprozess bricht, Abstimmung mit den Fachbereichen, knappe Wartungsfenster bei Systemen, die möglichst nie stillstehen sollen, sowie Transportwege über die gesamte Systemlandschaft (Entwicklung, Test, Produktion). Jeder dieser Schritte ist sinnvoll, in Summe sind sie aber genau die Betriebsgrenzen, die das BSI meint, und im SAP-Umfeld sind sie besonders eng.

Daraus folgt die unbequeme Konsequenz: Während die Angreiferseite durch KI schneller wird, bleibt die SAP-Verteidigung an Organisation, Prozesse und Tests gebunden, die sich nicht beliebig beschleunigen lassen, ohne die Stabilität geschäftskritischer Systeme zu riskieren. Die vom BSI beschriebene Schere zwischen Angreifer und Verteidiger klafft im SAP-Kontext also weiter auf als anderswo.

Dazu kommt eine große, oft historisch gewachsene Angriffsfläche. Das Muster ist nicht theoretisch:

SAP ist also kein Sonderfall am Rand der BSI-Warnung, sondern mitten im Zentrum.

Vom Konzept zur Demo: Troopers

Dass diese Entwicklung nicht abstrakt bleibt, zeigte sich beim SAP Security Day, dem SAP-Satellite-Event der TROOPERS26 in Heidelberg. Dort wurden unter anderem ein ABAP-basierter Trojaner sowie ein grafisches Angriffswerkzeug für SAP-Systeme demonstriert.

Der Punkt dabei ist nicht die einzelne Demo, sondern was sie belegt: Angriffe auf SAP, die früher tiefes Spezialwissen erforderten, werden in bedienbare Werkzeuge gegossen. Genau das ist die praktische Seite der BSI-These. KI und Tooling senken die Hürde, und was im Forschungslabor als Machbarkeitsnachweis beginnt, ist morgen Teil eines Baukastens. Die Lücke zwischen „theoretisch möglich" und „per Klick durchführbar" schließt sich.

Was das praktisch bedeutet

Für SAP-Sicherheit ergeben sich daraus konkrete Prioritäten, die sich gut mit den BSI-Empfehlungen decken:

Damit wird das kontinuierliche Monitoring von SAP-Landschaften zur Erkennung von Angriffen immer wichtiger.

Einordnung

Das BSI-Papier ist kein Grund zur Panik und kein Abgesang aufs Patchen. Patchen bleibt Pflicht. Was kippt, ist die bequeme Annahme „gepatcht gleich sicher". In einer Welt, in der KI das Zeitfenster zwischen Bekanntwerden und Ausnutzung zusammendrückt, wird die kontinuierliche Erkennung zum Schlüssel. Monitoring von SAP-Landschaften ist damit kein Begleitthema mehr, sondern der entscheidende Hebel, um Angriffe zu sehen, die der Patch nicht mehr rechtzeitig verhindert.

Für SAP-Verantwortliche heißt das: Die Frage ist nicht mehr nur „Sind wir gepatcht?", sondern vor allem „Würden wir es merken, wenn nicht?". Wer seine SAP-Landschaft durchgängig überwacht und auf den typischen Angriffsmustern Alarm schlägt, hat auf diese zweite, inzwischen wichtigere Frage eine Antwort. Genau dort entscheidet sich, ob man auf die Lage vorbereitet ist, die das BSI beschreibt.

Quellen