SAP-Sicherheitslücke OVERPASS: Warum der Kernel-Patch nicht warten darf

Im ERP-System liegen Rechnungen, Personaldaten und Produktionsaufträge. Genau dort sitzt seit September eine Lücke mit dem höchsten CVSS-Wert: OVERPASS steckt im SAP-Kernel und lässt sich ohne Anmeldung ausnutzen. Das Update lässt sich nicht nebenbei einspielen, weil es einen Kernel-Tausch und damit eine Ausfallzeit braucht. Viele Mittelständler warten deshalb auf das nächste Wartungsfenster. Das ist riskant, denn laut Onapsis sind inzwischen Beispiel-Exploits öffentlich.

Was seit September passiert ist

8. und 9. September: Am SAP-Patchday erschien die Security Note 3747649 gegen CVE-2026-44756, bekannt als OVERPASS. Das BSI warnte am Folgetag: Der Fehler liegt in der Verarbeitung des Extended Passport im Kernel. Manipulierte Netzwerkanfragen können Betriebssystembefehle mit administrativen Rechten auf dem SAP-Host auslösen, und zwar über Web-, GUI- und RFC-Schicht. Im selben Patch-Zyklus kam S4GET hinzu (CVE-2026-58240, CVSS 9,8, Note 3759472), eine Lücke im Message Server neuerer Kernel.

Mitte September: Onapsis meldete das Toolkit SAPMAP, das Proof-of-Concept-Exploits für OVERPASS und S4GET enthalten soll. Die Berichte dazu sind nicht einheitlich, ein Bericht von Mitte Oktober sprach noch von keinem öffentlichen Exploit. Eine Ausnutzung in echten Angriffen hat in den von uns ausgewerteten Quellen bisher niemand bestätigt. Ausprobiert wurde der Angriff aber: Pathlock verweist auf eine Laborbestätigung, dass Codeausführung über das Netz funktioniert.

13. Oktober: Der nächste Patchday brachte weitere kritische Lücken, unter anderem in NetWeaver Visual Composer (CVE-2026-89110) und S/4HANA (CVE-2026-89107, je CVSS 9,9). Für die S/4HANA-Lücke reicht laut Pathlock eine Fachrolle zur Regelverwaltung. Der nächste reguläre Patchday dürfte nach dem üblichen Rhythmus am 10. November liegen.

Wer betroffen ist und wer nicht

Onapsis nennt S/4HANA, SAP ERP (ECC), NetWeaver AS ABAP, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und Solution Manager. Das ist wichtig, weil auch Systeme ohne Internetanschluss zählen: Aus einem kompromittierten Büro-PC oder über ein offenes Partnernetz ist der Weg zum internen SAP oft kurz. SAP-Berechtigungen und Funktionstrennung helfen laut Onapsis hier nicht, denn der Angriff findet vor der Anmeldung statt.

SAP Business One ist ein eigenes Produkt und in den genannten Listen nicht aufgeführt. Prüfen Sie dessen Sicherheitshinweise getrennt. Läuft Ihr SAP bei einem Dienstleister, klären Sie schriftlich, wer den Kernel tauscht und bis wann. Die Verantwortung für die eigenen Daten bleibt bei Ihnen, wie unser Beitrag zur Lieferkettensicherheit zeigt.

Warum der Patch aufwendiger ist als sonst

Viele SAP-Korrekturen lassen sich als Note im laufenden System einspielen. OVERPASS verlangt dagegen einen neuen Kernel und damit einen Neustart. Einen Workaround gibt es nur eng begrenzt: Note 3756304 greift laut Pathlock allein für HTTP(S)-Verkehr über einen aktualisierten, eigenständigen Web Dispatcher. RFC und GUI bleiben offen, ebenso direkt erreichbare Anwendungsserver. Für diese Wege bleibt nur Netzabschottung, bis der Patch läuft.

Die Werte stammen aus der Pathlock-Auswertung von Note-Version 7 und sind ein Anhaltspunkt. Maßgeblich ist die aktuelle Note 3747649 im SAP-Portal. Für reine Kernel 7.22 und 7.89 gibt es laut Pathlock keine Korrektur, dort führt der Weg über den abwärtskompatiblen Kernel (Note 2083594).

Was NIS2, ISO 27001 und DSGVO dazu verlangen

Für NIS2-pflichtige Unternehmen gehört die Behandlung von Schwachstellen nach § 30 BSIG zum Risikomanagement, das die Geschäftsleitung billigen und überwachen muss. Wird ein bekannter Kritisch-Patch verschoben, sollte das eine dokumentierte Entscheidung mit Frist und Zwischenmaßnahme sein. Kommt es zum erheblichen Vorfall, greifen die Meldepflichten an das BSI.

In ISO 27001 sind vor allem A.8.8 (technische Schwachstellen), A.8.15 (Protokollierung) und A.8.22 (Netztrennung) einschlägig. Im SAP liegen meist auch Personal- und Kundendaten. Bei Hinweisen auf unbefugten Zugriff prüfen Sie mit Ihrem Datenschutzbeauftragten eine Meldung nach Art. 33 DSGVO innerhalb von 72 Stunden.

Sechs Maßnahmen für KMU

1. Bestand und Kernelstand erfassen

Erfassen Sie alle Anwendungsserver, Web Dispatcher, Solution Manager sowie Test- und Altsysteme. Den Patch-Stand zeigt disp+work -V. Ein interner Schwachstellenscan hilft, Systeme zu finden, die in keiner Liste stehen.

2. Internet-Erreichbarkeit zuerst abarbeiten

Systeme im Internet oder in der DMZ kommen zuerst an die Reihe, interne danach, aber nicht optional. Ihre Außensicht können Sie mit den kostenlosen TSMONDO Check-Tools prüfen.

3. Kernel-Tausch als Notfall-Change einplanen

Warten Sie nicht auf den Quartalstermin. Lesen Sie die Regressions-Note 1802333, testen Sie kurz auf Entwicklung und Qualitätssicherung, und legen Sie mit dem Fachbereich ein Zeitfenster fest. Testskripte für die Lücke gehören nicht auf das Produktivsystem.

4. Netzwege eng ziehen

Erlauben Sie SAP GUI nur aus verwalteten Netzen, RFC nur von bekannten Systemen. Prüfen Sie die Zugriffslisten von Gateway und Message Server und führen Sie Administration über Sprungserver. Wie das im Mittelstand aussieht, beschreibt unser Beitrag zur Netzwerksegmentierung.

5. Logs sichern und Spuren prüfen

Sichern Sie Protokolle von Web Dispatcher, ICM und Message Server vor dem Neustart. Bei SAP-Altfällen wie 2025 warnte das kanadische Cyber Centre, dass Angreifer auch ohne Web Shells mit Bordmitteln arbeiten können. Gibt es Auffälligkeiten, wechseln Sie die Passwörter technischer Benutzer und starten Sie Ihren Notfallplan.

6. SAP-Patchday fest verankern

Legen Sie für jeden Patchday eine verantwortliche Person, Bewertung und Frist fest. Sortieren Sie nicht nur nach CVSS: Eine Lücke, die mit einer normalen Fachrolle funktioniert, kann bei Ihnen dringender sein als eine mit höherem Wert. Das gehört in Ihr Patch-Management, auch wenn SAP dort bisher Sonderfall war.

Fazit

OVERPASS ist kein Grund zur Panik, aber auch keiner zum Abwarten. Die Lücke braucht kein Konto, die Korrektur dagegen Planung und Ausfallzeit. Wer jetzt Termine und Zuständigkeiten festlegt, gewinnt den Abstand, der 2025 vielen gefehlt hat. Auch wenn die Geschäftsführung den Termin freigeben muss, sollte die Frage nicht lauten, ob ein Stillstand von ein paar Stunden tragbar ist. Sie sollte lauten, was ein ungeplanter Stillstand kosten würde.

Quellen: BSI-Warnung 2026-288588-1032 (09.09.2026); Onapsis zu OVERPASS (Stand 21.09.2026); Pathlock zu CVE-2026-44756 (15.09.2026); Layer Seven Security (10.09.2026); Tech Insider zu OVERPASS und S4GET (Stand 25.10.2026); SecurityOnline (13.10.2026), SAPinsider (14.10.2026) und About InfoSec (18.10.2026) zum Patchday Oktober; Help Net Security (Mai 2025), The Hacker News (14.05.2025) und Canadian Centre for Cyber Security AL25-006 (21.05.2025) zu CVE-2025-31324. Die SAP-Notes selbst sind nicht öffentlich und wurden nicht eingesehen. Stand: 05.11.2026. Dieser Beitrag ersetzt keine Rechtsberatung.

Weiterlesen