SAP-Sicherheitslücke OVERPASS: Was Unternehmen mit SAP-Systemen jetzt tun müssen

Wer SAP im eigenen Haus betreibt, sollte diesen Patchday nicht auf die lange Bank schieben. Am 8. September 2026 hat SAP im Rahmen des regulären monatlichen Patchdays eine Schwachstelle geschlossen, die den höchstmöglichen CVSS-Wert von 10,0 trägt – die schlechteste Note, die dieses Bewertungssystem überhaupt vergibt. Was sie so schwerwiegend macht: Ein Angreifer braucht kein Passwort, keinen Benutzeraccount und keine vorherige Anmeldung, um auf einem verwundbaren SAP-Server Betriebssystembefehle mit Administratorrechten auszuführen.

Was OVERPASS technisch bedeutet

Die Schwachstelle trägt die Kennung CVE-2026-44756 und wurde von den Sicherheitsforschern der Onapsis Research Labs (öffnet in neuem Tab) entdeckt und "OVERPASS" getauft. Betroffen ist die Verarbeitung des sogenannten Extended Passport (EPP) – einer Standard-Tracing-Struktur, mit der SAP Anfragen über verteilte Systemlandschaften hinweg nachverfolgt. Laut Onapsis handelt es sich um gemeinsam genutzten Kernel-Code, der von mehreren Protokollen gleichzeitig verwendet wird: der internetseitigen Web-Schicht (SAP Fiori, WebGUI, APIs), der klassischen SAP-GUI-Schicht, über die sich jeder Endbenutzer anmeldet, und der RFC-Schicht, über die SAP-Systeme untereinander kommunizieren.

Der Grund, warum kein Passwort schützt, liegt laut Onapsis im zeitlichen Ablauf: Der Extended Passport wird verarbeitet, sobald eine neue Sitzung eröffnet wird – noch bevor überhaupt eine Authentifizierung stattfindet. Sämtliche SAP-Zugriffskontrollen, von Benutzersperren über Rollen bis zu Berechtigungsobjekten, greifen erst danach. Wer die Lücke ausnutzt, kommt also an all diesen Kontrollen vorbei.

Die offizielle SAP-Übersicht zum Patchday (öffnet in neuem Tab) listet die Schwachstelle unter Sicherheitshinweis 3747649, betroffen sind mehrere Kernel-Versionen (unter anderem KERNEL 7.22 bis 9.20) sowie der SAP Web Dispatcher. Laut BleepingComputer (öffnet in neuem Tab) lässt sich der Fehler über den SAP Internet Communication Manager (ICM) auslösen – jene Komponente, die den SAP-Anwendungsserver über HTTP, HTTPS und SMTP mit dem Internet verbindet.

Wie viele Systeme betroffen sind

Zur tatsächlichen Reichweite liefert Onapsis eine belastbare Hausnummer: Laut Onapsis-CTO JP Perez-Etchegoyen gegenüber BleepingComputer (öffnet in neuem Tab) fand ein gezielter Scan mit spezifischen Fingerprints "mehr als 10.000 eindeutige, öffentlich aus dem Internet erreichbare IP-Adressen mit einer SAP-Weboberfläche" – und diese Zahl bezeichnet er selbst als konservativ, weil sie nur HTTP-erreichbare Systeme erfasst und den SAP Web Dispatcher strukturell untererfasst, da dieser als Proxy keinen eindeutigen SAP-Banner zurückliefert.

Eine aktive Ausnutzung von OVERPASS beobachtet SAP nach eigenen Angaben zum Zeitpunkt der Veröffentlichung noch nicht. Das BSI ordnet das in seiner Sicherheitsmitteilung (öffnet in neuem Tab) allerdings ein: "Im Zeitalter von KI-unterstützter Exploit-Entwicklung sollte jedoch davon ausgegangen werden, dass Akteuren aus dem Cyber-Raum kurzfristig die benötigten Mittel zur Verfügung stehen, um Angriffe zu starten." Das BSI stuft die Meldung mit Kritikalität 2 ("Gelb") ein: Maßnahmen müssen laut eigener Definition zeitnah ergriffen werden, temporäre Beeinträchtigungen des Regelbetriebs sind möglich.

Nicht die einzige kritische Lücke des Monats

OVERPASS ist der schwerwiegendste, aber nicht der einzige Befund dieses Patchdays. Laut der SAP-Patchday-Übersicht (öffnet in neuem Tab) wurden insgesamt 19 neue Sicherheitshinweise veröffentlicht, dazu ein aktualisierter. Zwei weitere Lücken stuft das BSI ebenfalls als kritisch ein:

• CVE-2026-58240 ("S4GET", CVSS 9,8): eine fehlende Authentifizierungsprüfung im SAP NetWeaver Message Server. Laut BSI könnte ein Angreifer damit die Authentifizierung aus der Ferne umgehen und nachgelagert Befehle auf verwundbaren Systemen ausführen. Onapsis-Sicherheitsforscher Pablo Artuso wird bei BleepingComputer (öffnet in neuem Tab) mit einer Einordnung zitiert, die für die Praxis besonders unangenehm ist: "Die Lücke wird über denselben öffentlichen Port ausgelöst, über den sich jeder SAP-GUI-Client verbindet, sie lässt sich also nicht wegfiltern, ohne die Anmeldung der Endnutzer zu brechen."
• CVE-2026-66768 (CVSS 9,0): Ein bereits authentifizierter Angreifer kann laut BSI über eine unzureichende Zugriffskontrolle in SAP GUI for Java Code auf ungepatchten Systemen ausführen.

Hinzu kommen laut SAP-Übersicht mehrere Lücken mit hoher (CVSS 7,4 bis 8,8) und mittlerer Einstufung, unter anderem in SAP Commerce Cloud, SAP Integration Suite und S/4HANA-Komponenten.

Wer betroffen ist – und wer nicht

Betroffen sind SAP-Landschaften, die eine der genannten Kernel- oder NetWeaver-Versionen einsetzen – laut BSI potenziell "eine große Anzahl an Produkten", weil CVE-2026-44756 den SAP-Kernel selbst betrifft und damit über viele Anwendungen hinweg wirkt. Besonders exponiert sind Systeme, deren Web-Schicht direkt aus dem Internet erreichbar ist: Das BSI schreibt ausdrücklich, Organisationen mit öffentlich erreichbaren SAP-Schnittstellen "sollten von einer potenziellen Betroffenheit ausgehen."

Kein Einzelfall: SAP steht seit Jahren unter Beschuss

Dass SAP-Systeme ein attraktives Angriffsziel sind, ist keine neue Beobachtung. BleepingComputer (öffnet in neuem Tab) verweist darauf, dass die US-Cybersicherheitsbehörde CISA seit November 2021 bereits 14 SAP-Sicherheitslücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen hat – darunter drei, die von Ransomware-Gruppen missbraucht wurden. Erst im Vormonat hatte SAP laut demselben Bericht eine weitere Schwachstelle mit maximalem CVSS-Wert in SAP Commerce Cloud geschlossen (CVE-2026-58231), die kurz nach Veröffentlichung des Patches bereits aktiv angegriffen wurde. Das BSI selbst begründet die hohe Kritikalität von SAP-Lücken damit, dass die Systeme "in der Regel zur Steuerung von Betriebsprozessen genutzt werden" und damit attraktive Ziele darstellen, um Vorgänge und Daten auszuspionieren oder zu sabotieren – bis hin zur Ausweitung auf weitere IT-Systeme im Netzwerk.

Für die Praxis heißt das: Ein einzelner, schneller Patchlauf löst das Grundproblem nicht dauerhaft. SAP-Betreiber brauchen einen Prozess, der jeden Monat neu greift – nicht nur, wenn eine Lücke wie OVERPASS die höchste Kritikalitätsstufe erreicht.

Wichtig für die Priorisierung: Die drei Zugangswege – Web-Schicht, SAP-GUI-Schicht, RFC-Schicht – sind laut Onapsis keine getrennten Schwachstellen, sondern verschiedene Türen zum selben Fehler im gemeinsamen Kernel-Code. Ein System, das nur auf der Web-Ebene abgesichert wurde, bleibt über SAP-GUI und RFC weiterhin angreifbar. Netzwerkseitige Einschränkungen können laut Onapsis das Risiko eingrenzen, schließen die Lücke aber nicht vollständig – das leistet nur der Patch.

Was jetzt konkret zu tun ist

1. Notes prüfen und priorisieren. Das BSI empfiehlt in seiner Mitteilung ausdrücklich, SAP Note 3747649 (CVE-2026-44756, OVERPASS) und SAP Note 3759472 (CVE-2026-58240, S4GET) vorrangig zu behandeln.
2. Patchen, nicht nur filtern. Da der Fehler über mehrere Protokolle gleichzeitig erreichbar ist, schließt laut Onapsis nur der Kernel-Patch alle Wege gleichzeitig. Ein einzelnes Netzwerk-Control reicht nicht aus.
3. Exposition prüfen. Wer SAP-Weboberflächen (Fiori, WebGUI, Web Dispatcher) direkt aus dem Internet erreichbar hat, sollte diese Systeme laut BSI vorrangig behandeln und die Erreichbarkeit so weit wie möglich einschränken, bis gepatcht ist.
4. Basismaßnahmen nicht vergessen. Das BSI verweist auf die grundsätzlichen Empfehlungen: Vermeidung unnötiger Exposition zum Internet, Systemhärtung, umfassendes Monitoring und zügiges Patchen – ergänzt um produktspezifische Vorgaben aus dem IT-Grundschutz-Baustein APP.4.2 für SAP-ERP-Systeme.
5. Auf Kompromittierungsanzeichen achten. Eine aktive Ausnutzung ist laut SAP und BSI bislang nicht bekannt, entsprechend liegen aktuell keine Indicators of Compromise vor. Das kann sich kurzfristig ändern – beide Quellen empfehlen, die eigenen Advisories von Onapsis und SAP weiter zu beobachten.

Wer SAP-Systeme betreibt, ohne über ein eigenes Patch-Management-Team mit SAP-Basis-Kenntnissen zu verfügen, sollte diesen Patchday zum Anlass nehmen, den Prozess grundsätzlich zu prüfen: Wie schnell würde ein kritischer SAP-Patch in Ihrer Landschaft tatsächlich ausgerollt – und wer merkt es, wenn eine öffentlich erreichbare SAP-Schnittstelle länger ungepatcht bleibt, als sie sollte?