Remote-Function-Call-Schnittstellen (RFC) für die Kommunikation zwischen SAP-Systemen und einem SAP- und Nicht-SAP-System sind ein unterschätztes Sicherheitsrisiko. Abhilfe schafft unter anderem die restriktive Vergabe von RFC-Berechtigungen.
Funktionsweise von RFCs
Der Remote Function Call (RFC), der entfernte Funktionsaufruf, ist die SAP-Standardschnittstelle für die systemübergreifende Kommunikation in einer SAP-Landschaft aber auch zwischen SAP- und Nicht-SAP-Lösungen. Die remotefähigen Funktionsbausteine bilden eine wichtige Grundlage, um die IT-Prozesse aus den einzelnen SAP- aber auch Nicht-SAP-Anwendungen in einer IT-Landschaft zu integrieren und bidirektional zu verknüpfen. Das RFC-Schnittstellenprotokoll bildet so die Brücke, um ABAP-Funktionsbausteine innerhalb eines SAP-Systems wie auch in einem entfernten SAP- oder Nicht-SAP-System aufzurufen und auszuführen.
Sicherheitsrisiken
Die einzelnen SAP- und Nicht-SAP-Lösungen sind oft über Hunderte, manchmal sogar Tausende von RFC-Schnittstellen verbunden, was zu hoher Komplexität führt und vor allem ein potenzielles Sicherheitsrisiko darstellt. Via RFC können praktisch von jedem Rechner aus, der eine Netzwerkverbindung zu einem SAP System hat, remotefähige ABAP-Funktionsbausteine aufgerufen werden. Wird die Sicherheit vernachlässigt, ist die Gefahr eines Missbrauchs und damit der Verlust von Vertraulichkeit und Integrität groß. Das gilt besonders im Zuge der digitalen Transformation der Geschäftswelt, etwa wenn im Sinne von Industrie 4.0 Industrieanlagen per SAP RFC gesteuert, bestückt und kontrolliert werden.
Die Erfahrung zeigt, dass RFC-Schnittstellen häufig unzureichend technisch abgesichert sind und wirksame Zugriffsbeschränkungen fehlen. Das zeigen folgende Beispiele:
Werden Sie in 3 Tagen zum Profi für SAP Workflows. In der SAP Workflow Schulung lernen Sie alles, was Sie wissen müssen, um in Ihrem Unternehmen Workflows effektiv zu implementieren und zu warten. Außerdem erhalten Sie Tipps zur Performance-Optimierung und Best-Practice-Insights.
- Hinterlegen Unternehmen Dialogbenutzer und Kennwörter für RFC-Verbindungen, können Unbefugte ohne Anmeldung eine Verbindung aufbauen und missbräuchlich nutzen.
- Es gibt zu viele SAP RFC Benutzer, die eine Vollberechtigung (SAP_ALL oder S_RFC) oder umfangreiche Systemrechte (S_USER_GRP, S_AMI_FCD) und somit auch einen ungehinderten Zugriff auf kritische Funktionsbausteine haben.
- Eine Schwachstelle im Funktionsbaustein RFC_ABAP_INSTALL_AND_RUN kann missbraucht werden, um ohne Berechtigungsprüfung Programme und Daten zu manipulieren und Änderungsbelege zu löschen.
- Ist eine Vertrauensbeziehung zwischen SAP-Systemen definiert (“Trusted System”), kann der RFC-Zugriff und Aufruf von Funktionsbausteinen ohne Kennwortanmeldung erfolgen.
- Das SAP-RFC-Gateway und die Firewall-Konfiguration weisen manchmal ebenfalls Lücken auf.
Absicherung durch die SAP RFC Sicherheit
Durch verschiedene Maßnahmen lassen sich RFC-Verbindungen so absichern, dass nicht autorisierte Zugriffe auf kritische Kommunikationsprozesse zwischen SAP- und (Nicht)-SAP-Systeme nahezu ausgeschlossen sind.
- Für jede RFC-Verbindung müssen der Eigentümer und das Ziel bekannt sein; nicht mehr benötigte RFC-Verbindungen sind zu löschen.
- Vor allem für technische Nutzer dürfen RFC-Berechtigungen nur restriktiv vergeben werden und die Funktionstrennung zwischen Benutzer, Anwendungsentwicklung und Systemadministration ist strikt einzuhalten.
- Unternehmen sollten RFC-Verbindungen mit hinterlegten Benutzerdaten nur zwischen Systemen mit gleichem Sicherheitsstand oder von einem System mit höherem zu einem System mit niedrigerem Sicherheitsstand herstellen.
- Unternehmen sollten Benutzerinformationen ausschließlich für Systembenutzer und nicht für Dialogbenutzer hinterlegen. Außerdem müssen sie sicherstellen, dass diese Benutzer nur sehr eingeschränkte Rechte in den Zielsystemen besitzen.
- Der Zugriff auf die RFCDES-Tabelle, in der Informationen zu RFC-Destinationen aber auch Systembenutzerkennungen und Kennwörter hinterlegt sind, ist auf ein Mindestmaß zu beschränken.
- Erfolgt der RFC-Zugriff über eine “Trusted System”-Beziehung, muss im Berechtigungsobjekt S_RFCACL exakt festgelegt sein, welcher Benutzer im Zielsystem Funktionsaufrufe ohne Passwortangabe durchführen darf.
- Um die RFC-Sicherheit weiter zu erhöhen, empfiehlt sich die Prüfung und Absicherung von SAP Gateways und die Implementierung der Komponente Unified Connectivity (UCON), die die Anzahl RFC-Funktionsbausteine reduziert, die sich extern aufrufen lassen.
- Je nach Bedarf empfiehlt sich der Einsatz von Secure Network Communications” (SNC) als zusätzlicher Sicherheitsschicht zum Schutz der Datenkommunikation per RFC-Protokoll.
Websession: SAP RFC Sicherheit
Sollten Sie Fragen zu uns und unserer Arbeit oder konkret zu Umstellungsprojekten haben, dann vereinbaren Sie eine kostenlose Websession mit uns.
Fazit & Best Practices zu SAP RFC Sicherheit
Es gibt zahlreiche Methoden und Technologien, durch deren Anwendung sich die in den SAP-RFC-Verbindungen vorhandenen Schwachstellen und Sicherheitslücken gezielt beheben lassen. Durch diese Maßnahmen reduzieren Unternehmen die Risiken bei Funktionsaufrufen zwischen SAP-Systemen deutlich.
Sie haben Fragen zur SAP-RFC-Sicherheit?
Sie suchen kompetente Unterstützung bei der Absicherung Ihrer RFC-Verbindungen und wollen dabei von Best Practices erfahrener Berater profitieren?
mindsquare ist ein Technologie-Beratungsunternehmen, das sich auf die Beratung und Entwicklung im SAP- und Salesforce-Umfeld spezialisiert hat. Unsere SAP Berater beschäftigen sich seit vielen Jahren intensiv mit Technologien und Methoden rund um die SAP-RFC-Sicherheit und haben bereits zahlreiche Projekte in diesem Bereich mit Erfolg umgesetzt.
Dieser Artikel erschien bereits im September 2024. Der Artikel wurde am 13.11.2026 erneut geprüft und mit leichten Anpassungen aktualisiert.
Weiterführende Links
FAQ
Was ist ein SAP RFC?
Ein SAP RFC ermöglicht den Aufruf von Funktionen zwischen SAP- und Nicht-SAP-Systemen.
Welche Sicherheitsrisiken bergen SAP RFC-Schnittstellen?
Unzureichende Berechtigungen, hinterlegte Zugangsdaten und unsichere Vertrauensbeziehungen können unbefugte Zugriffe ermöglichen.
Wie sichern Unternehmen ihre SAP RFC-Verbindungen ab?
Wer kann mir beim Thema SAP RFC Sicherheit helfen?
Wenn Sie Unterstützung zum Thema SAP RFC Sicherheit benötigen, stehen Ihnen die Experten der mindsquare AG zur Verfügung. Unsere Berater helfen Ihnen, Ihre Fragen zu beantworten, das passende Tool für Ihr Unternehmen zu finden und es optimal einzusetzen. Vereinbaren Sie gern ein unverbindliches Beratungsgespräch, um Ihre spezifischen Anforderungen zu besprechen.
Unternehmen vergeben RFC-Berechtigungen restriktiv, löschen ungenutzte Verbindungen und sichern SAP Gateways sowie die Datenkommunikation ab.
