ERP-Systeme im Mittelstand stellen besonders attraktive Ziele für Cyberangriffe dar. Dieser Artikel untersucht, welche geschäftsschädigenden Folgen ein Sicherheitsvorfall nach sich ziehen kann, wie Unternehmen bei einem Angriff auf ihr ERP-System richtig reagieren, typische Fehler vermeiden und die behördlichen Meldepflichten fristgerecht erfüllen.

Die Lageberichte des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur IT-Sicherheit in Deutschland der letzten Jahre machen deutlich, dass Cyberangriffe auf Unternehmen längst keine Ausnahme mehr sind. Im Berichtszeitraum Juli 2024 bis Juni 2025 wurden 950 polizeilich angezeigte Ransomware-Angriffe erfasst, davon 72 % mit Datenleaks [1]. Im Schnitt werden täglich 119 neue Sicherheitslücken entdeckt, wobei insbesondere kleine und mittlere Unternehmen (KMU) als leichtes Ziel gelten. Die Dunkelziffer nicht gemeldeter Vorfälle dürfte die tatsächliche Zahl deutlich über 1.000 treiben.

Für den deutschen Mittelstand ist diese Bedrohungslage besonders kritisch, denn ERP-Systeme bilden das operative Rückgrat nahezu aller Geschäftsprozesse – von der Auftragsabwicklung über die Finanzbuchhaltung und Lagerverwaltung bis hin zur Produktionssteuerung. Ein erfolgreicher Angriff auf das ERP-System bedeutet daher nicht lediglich eine IT-Störung, sondern potenziell den vollständigen Betriebsstillstand.

Hinzu kommt, dass ERP-Systeme gerade im Mittelstand häufig über Jahre gewachsen sind und dadurch eine strukturelle Komplexität aufweisen, teilweise mit damit einhergehender Intransparenz, die sie besonders verwundbar machen. Verzögertes Patch-Management, unzureichend abgesicherter Code, fragmentierte Systemlandschaften mit zahlreichen Schnittstellen sowie historisch gewachsene, komplexe Berechtigungsstrukturen werden so zum Einfallstor für Angreifer [2]. Wie real diese Risiken sind, zeigte 2025 die kritische Sicherheitslücke CVE-2025-31324 in SAP NetWeaver [3]. Sie erlaubte nicht authentifizierten Angreifern das Hochladen ausführbarer Dateien und wurde aktiv ausgenutzt [2].

Gleichzeitig bündeln ERP-Systeme besonders schützenswerte Unternehmensdaten – Kundendaten, Produktionsinformationen, Vertragsunterlagen, Zahlungsdaten und Steuerinformationen. Für Angreifer sind diese Daten oft wertvoller als der direkte Zugriff auf Finanzmittel, da sie sich für Erpressung, Betrug oder weitere Angriffe nutzen lassen. Gerade mittelständische Unternehmen agieren zudem innerhalb von komplexen Wertschöpfungsketten, bestehend aus Lieferanten, Plattformen, Cloud-Dienstleistern und Softwareanbietern. Wird in diesem Geflecht eine Schwachstelle in einem ERP-System ausgenutzt, kann der Schaden weit über das betroffene Unternehmen hinausreichen [4].

Angriffsfläche – typische Komponenten und Datenbestände

Um die Tragweite eines Angriffs einschätzen zu können, lohnt ein Blick auf den Aufbau eines ERP-Systems [5]. ERP-Lösungen bestehen typischerweise aus mehreren funktional integrierten Komponenten, die auf eine gemeinsame Datenbasis zugreifen:

• Finanz- und Rechnungswesen: Finanzbuchhaltung, Debitoren- und Kreditorenbuchhaltung, Anlagenbuchhaltung, Kostenrechnung und Controlling
• Einkauf und Materialwirtschaft: Bestellwesen, Lieferantenmanagement, Lagerverwaltung und Bestandsführung
• Vertrieb: Angebots- und Auftragsabwicklung, Fakturierung sowie häufig integrierte CRM-Funktionen
• Produktion: Produktionsplanung und -steuerung (PPS), Stücklisten, Arbeitspläne und Kapazitätsplanung, oft mit Anbindung an MES-Systeme
• Personalwesen: Personalverwaltung, Lohn- und Gehaltsabrechnung
• Logistik und Versand: Versandabwicklung, Tourenplanung und Anbindung von Logistikdienstleistern

Hinzu kommen technische Komponenten, die aus Sicherheitsperspektive besonders relevant sind: die zentrale Datenbank, Applikations- und Webserver, Benutzer- und Berechtigungsverwaltung, Reporting- und Analysewerkzeuge, kundenspezifische Erweiterungen sowie Schnittstellen zu Drittsystemen wie Document Management Systeme (DMS), Product Lifecycle Management (PLM) Systeme, Websites und Webshops, Banken (Zahlungsverkehr), Steuer- und Finanzbehörden (E-Rechnung, ELSTER) oder EDI-Verbindungen zu Kunden und Lieferanten. Zunehmend kommen Cloud-Dienste, mobile Zugänge und Fernwartungszugänge von ERP-Dienstleistern hinzu. Auch und gerade die in ein ERP-System eingebundenen KI-Systeme, die Unternehmensprozesse effizienter machen sollen, müssen besonders geschützt und konfiguriert werden. Jede dieser Komponenten und Schnittstellen erweitert die potenzielle Angriffsfläche.

Entsprechend umfangreich sind die Datenbestände, die ein ERP-System typischerweise enthält:

• Stammdaten: Kunden-, Lieferanten-, Artikel- und Materialstammdaten, Preis- und Konditionsvereinbarungen
• Bewegungsdaten: Angebote, Aufträge, Bestel-lungen, Lieferscheine, Rechnungen und Lagerbewegungen
• Finanzdaten: Buchungen, Bankverbindungen, Zahlungsinformationen, Kreditlimits, Bilanz- und Steuerdaten
• Personaldaten: Beschäftigtendaten, Gehälter, Sozialversicherungs- und teils Gesundheitsdaten
• Produktions- und Technologiedaten: Stücklisten, Rezepturen, Konstruktions- und Fertigungsdaten – und damit oft Geschäftsgeheimnisse und Know-how
• Vertrags- und Compliance-Daten: Rahmenverträge, Zertifikate, Prüf- und Dokumentationsnachweise

Diese Bündelung macht das ERP-System zum digitalen Gedächtnis des Unternehmens. Ein erfolgreicher Angriff kann daher gleichzeitig die Verfügbarkeit (Betriebsstillstand), die Vertraulichkeit (Datenabfluss, Offenlegung von Geschäftsgeheimnissen und personenbezogenen Daten) und die Integrität (manipulierte Bankverbindungen, Preise oder Buchungen) betreffen. Integritätsverletzungen werden oft spät bemerkt und können im schlimmsten Fall zu Zahlungsumleitungen oder fehlerhaften Jahresabschlüssen führen.

Richtiges Handeln bei einem Angriff auf das ERP-System

Ein Sicherheitsvorfall im ERP-Umfeld erfordert strukturiertes und besonnenes Handeln. Dabei empfiehlt es sich, die folgenden Schritte zu priorisieren:

1. Notfallplan aktivieren und Incident-Response-Team einschalten
   Unternehmen, die über ein Incident-Response-Team oder einen vorab vereinbarten Notfallplan verfügen, sollten diesen unverzüglich aktivieren. Wer weder ein eigenes Team noch ein Playbook besitzt, was im Mittelstand häufig der Fall ist, sollte umgehend externe Fachleute hinzuziehen: IT-Forensiker, Sicherheitsberater mit ERP-Erfahrung, Rechtsberatung und bei Bedarf PR-Beratung. Ein klar definiertes Incident-Reporting-Playbook hilft, Ruhe zu bewahren, Fristen einzuhalten und Mehrfachmeldungen gegenüber den zuständigen Behörden koordiniert abzuwickeln.
2. ERP-Systeme isolieren, nicht abschalten
   Betroffene Server und angrenzende Netzwerksegmente sollten umgehend isoliert werden, um eine Ausbreitung – etwa von Ransomware auf Produktionssysteme, Lagerverwaltung oder Finanzbuchhaltung – zu stoppen. Es ist im Regelfall jedoch sinnvoller, betroffene Systeme eingeschaltet zu lassen, statt sie komplett herunterzufahren. Dies dient der Spurensicherung: Der Arbeitsspeicher und Log-Dateien des ERP-Systems enthalten oft entscheidende Hinweise auf die Angreifer und deren Vorgehensweise.