Die kritische Rolle der SAP-Konnektivität für Unternehmen: Herausforderungen bei der Konnektivität über lange Strecken und der sicheren Anbindung von Geschäftspartnern und Add-ons
Einleitung:
Dieser Artikel befasst sich mit der Bedeutung der SAP-Konnektivität für Unternehmen, der Rolle der angeschlossenen Add-On-Anwendungen und Geschäftspartnern und den Herausforderungen, die mit der Langstrecken-Konnektivität verbunden sind – was gleichermaßen auch für andere ERP-Systeme gilt.
Die Rolle der ERP-Systeme:
Die Steuerung von kritischen Prozessen über ERP-Systeme ist keine Option, sondern unumgänglich, um alle geschäftsrelevanten Bereiche im Zusammenhang zu betrachten und analysieren zu können. Nicht selten haben Unternehmen mehrere Hundert Satellitenapplikationen mit dem ERP-System integriert die das Nervensystem des Unternehmens bilden. Um effizient mit Geschäftspartnern zusammenzuarbeiten, werden diese mit Systemen von Kunden und Lieferanten verbunden.
Dies ist zwar vorteilhaft für das Unternehmen, schafft aber eine größere Angriffsfläche und die Anforderungen an die Netzwerke stellen eine Herausforderung für jede WAN-Transformationsinitiative und die Sicherheit dar. Den Überblick zu behalten ist nicht immer einfach und hybride Setups wie bspw. on-premise SAP-Systemen und in der Cloud gehosteten Add-Ons zum Teil auch Software-as-a-Service erfordern Zero Trust Ansätze, da eine einfache Netzwerksegmentierung hier nicht mehr ausreicht.
Die Bedeutung der SAP-Konnektivität für Unternehmen:
Um die Vorteile von SAP in vollem Umfang nutzen zu können, ist eine robuste Konnektivität von entscheidender Bedeutung, insbesondere für global verteilte Unternehmen.
Die Konnektivität zumeist zentral gehosteten SAP-Systemen für internationale Unternehmen ist nicht immer einfach. Die reine Physik für vom Hauptsitz weit entfernte Standorte und teilweise schlechte Internetanbindungen im Asien-Pazifik Raum aber auch Südamerika lassen so einige IT-Verantwortliche und Netzwerkexperten verzweifeln. Insbesondere Standorte von produzierenden Unternehmen befinden sich meist eben nicht in gut angebundenen Metropolen, sondern in ländlichen Gegenden mit suboptimaler Infrastruktur.
Die Datenverkehrsmenge der SAP-Systeme ist meist aus Sicht der Bandbreite keine große Herausforderung (der Bandbreitenbedarf von SAP verglichen zu Microsoft Office365 pro User ist eher gering), Latenzzeiten und Paketverluste müssen jedoch im Rahmen gehalten werden. Verschiedene Quellen empfehlen maximale Latenzen zwischen 250-300ms. Ausfälle und Engpässe im Netzwerk wirken sich direkt auf die Benutzererfahrung der weltweit verteilten Mitarbeiter aus und verringern die Produktivität. Der ERP-Datenverkehr erfordert einen stabilen Zugriff mit geringer Latenzzeit von jedem Standort und Benutzer aus. In der Vergangenheit wurde diese Konnektivität über MPLS bereitgestellt, aber die digitale Transformation, insbesondere Cloud-Migrationen und Initiativen zur Arbeit von überall aus, erfordern neue Netzwerk- und Sicherheitsmuster. Gesonderte MPLS-Verbindungen nur für den SAP Traffic bedeuten hohe Kosten und mehrere unterschiedliche Verbindungstypen die gemanaged und überwacht werden müssen.
SD-WAN gilt hier als Heilsbringer, so mache SD-WAN Initiative ist an diesen Herausforderungen jedoch bereits gescheitert, da herkömmliche SD-WAN Lösungen das öffentliche Internet als ausschließliches Transportmedium nutzen. Hier entstehen jedoch häufig Engpässe aufgrund von überbuchter Leitungen und Übergabepunkten zwischen unterschiedlichen Carriern, die das Routing und die tatsächlich verfügbaren Bandbreiten unvorhersehbar machen.
Die Antwort hierauf ist ein SD-WAN, was auf einem globalen privaten Backbone des Anbieters basiert. Das Backbone fungiert dabei wie eine riesige den Globus umspannende Datenautobahn, auf der es jedoch aufgrund von proaktivem Management keine Staus und Unfälle gibt. Um die nächstgelegene Auffahrt auf die Datenautobahn zu erreichen, wird dann nur ein Teil des Transportweges über das öffentliche Internet zurückgelegt. Dabei ist es wichtig auf 3 Punkte zu achten:
- Die Anzahl an verfügbaren Auffahrten im Fachjargon PoPs (Point of Presence) genannt, damit werden Latenzzeiten reduziert. Es ist nicht zwingend notwendig in jedem Land ein PoP vorzuhalten, aber umso höher die Anzahl umso wahrscheinlicher ist es, dass eine Auffahrt nahe dem User existiert und das öffentliche Internet nur für eine kurze Distanz als Transportmedium verwendet wird. Fällt ein PoP aus, muss sichergestellt sein, dass ein anderer PoP als Auffahrt einspringt oder beim Routing die Aufgabe übernimmt.
- Die Anzahl der Autobahnen und Ihre verfügbaren Spuren, das ermöglicht eine hohe Resilienz des Backbones. Konkret bedeutet das, dass die PoPs bestenfalls mit mehreren unterschiedlichen Carriern verbunden sein sollten, fällt ein Carrier aus steht eine andere Leitung zur Verfügung.
Das Backbone sollte auch die Möglichkeit bieten automatisiert und dynamisch unterschiedliche Wege zur gleichen Destination zu routen, bestenfalls passiert das, ohne zuvor manuelle Routingtabellen erstellen zu müssen.
- Die Nähe der PoPs zu wichtigen Knotenpunkten wie Cloud-Datacentern von Hyperscalern oder Internet Exchange Knoten. Die Nähe zu Cloud Datacentern ermöglicht in vielen Fällen die Vermeidung von teuren Premium-Verbindungen wie z.B. Azure Express Route oder AWS Direct Connect und bietet somit eine eingebaute Cloud-Optimierung.
Zur weiteren Optimierung des Datenverkehrs werden Funktionen wie dynamisches Routing, Protokoll-Acceleration mit dem die reine Physik teilweise auch ausgetrickst werden kann, Applikations- und Identitätsgetriebener Quality-of-Service (QoS) sowie die Mitigation von Packet-Verlusten angewandt.
Die Rolle angeschlossener Geschäftspartner und Add-ons:
Erweiterte Funktionalität: Verbundene Add-On-Anwendungen erweitern die Möglichkeiten von SAP, indem sie spezielle, auf die jeweiligen Geschäftsanforderungen zugeschnittene Funktionen bereitstellen. Diese Anwendungen lassen sich nahtlos in SAP integrieren und bieten zusätzliche Funktionen wie erweiterte Analysefunktionen, Customer Relationship Management (CRM), E-Commerce und branchenspezifische Lösungen.
Anpassung und Anpassungsfähigkeit: Angeschlossene Add-On-Anwendungen bieten Anpassungsmöglichkeiten, mit denen Unternehmen SAP an ihre individuellen Anforderungen anpassen können. Ganz gleich, ob es um die Anpassung an branchenspezifische Vorschriften oder um die Ausrichtung auf bestimmte Arbeitsabläufe geht, diese Anwendungen erhöhen die Flexibilität von SAP und ermöglichen es Unternehmen, ihre Abläufe zu optimieren.
Prozessautomatisierung: Add-On-Anwendungen ermöglichen es Unternehmen, komplexe Geschäftsprozesse und Arbeitsabläufe zu automatisieren, den manuellen Aufwand zu verringern und die betriebliche Effizienz zu steigern. Diese Anwendungen nutzen die SAP-Konnektivität, um Daten auszutauschen und Aktionen auszulösen. Dadurch werden sich wiederholende Aufgaben rationalisiert und Ressourcen für höherwertige Aktivitäten freigesetzt.
Um weitere Effizienzen entlang der gesamten Supply Chain zu heben, werden oftmals auch externe Geschäftspartner an das SAP-System angebunden, hier entsteht jedoch auch ein großes Sicherheitsrisiko durch die Öffnung der Systeme und hybride Setups aus On-Premise, Public Cloud und SaaS Anwendungen.
Zero Trust für Zugriffe auf SAP-Systeme erhöhen die Sicherheit:
Zero Trust ist ein wichtiges Puzzlestück für die Unternehmenssicherheit und insbesondere für Drittsysteme und Geschäftspartner sollten die Schlüsselprinzipien des Zero Trust Ansatzes auch für SAP-Landschaften rigoros umgesetzt werden:
- Least-Privilege, Zugriffsmöglichkeiten auf den geringst notwendigen Rahmen limitieren. Durch ein Whitelisting wird die Kommunikation zwischen einzelnen Servern und Systemen erlaubt und andere damit explizit ausgeschlossen.
- Authentifizierung überall, dabei sollte auch Kontext von Netzwerkflows mit einbezogen werden wie Benutzer-Identität, Source IPs, Geo-Location Kontext etc. bspw. kann Inbound-Traffic von Ländern die bekannt für Hackergruppen sind wie Russland, Iran oder Nordkorea geblockt werden.
- Zugriff für Remote User und externe Mitarbeiter über einen ZTNA-Client, hier können z.B. auch sogenannte Device Posture Checks mit eingebunden werden, dabei prüft der Client für jeden Zugriff ob beispielsweise das aktuellste Windows-Betriebssystem installiert ist oder das Endgerät über einen aktuellen Anti-Virus Client verfügt bevor Zugriffe überhaupt zugelassen werden.
Diese Maßnahmen helfen die Angriffsfläche maximal zu reduzieren und schützen das Unternehmen. Zusätzlich sollte ein Monitoring aufgebaut werden, welches die SAP-Zugriffe von allen Standorten und Usern und so Netzwerkanomalien sichtbar macht.
Diese Sicherheitsmechanismen und viele weitere, lassen sich einfach mit einer SASE-Plattform (Secure Access Service Edge) umsetzen, die die bereits zuvor beschriebene SD-WAN Lösung mit einem globalen Backbone in einer Architektur vereint. Eine SASE-Architektur deckt natürlich nicht nur den SAP Traffic ab und bring Visibilität, Kontrolle und Sicherheit in jeglichem Internet- und WAN-Datenverkehr über alle Ports und Protokolle hinweg.
Die Implementierung muss jedoch nicht die gesamte Netzwerkinfrastruktur auf einmal beinhalten und kann auch nur für einzelne Lokationen mit den zunächst größten Konnektivitätsproblemen umgesetzt werden. Dabei wird der jeweilige Standort mit dem Rechenzentrum verbunden, in dem das SAP-System gehostet ist, was über eine IPsec-Verbindung oder optimalerweise über das Cato Socket, eine SD-WAN Appliance, realisiert wird. Der Vorteil des Cato Sockets ist, dass es ein Zero-Touch Deployment unterstützt und bis zu 3 aktive Internetlinks für eine dynamische Wegeselektion, Quality-of-Service für User und Applikationen sowie die Mitigation von Paketverlusten unterstützt.
Cato Networks hat heute bereits ca. 2.000 Kunden aus allen möglichen Branchen auf der weltweit ersten Single-Vendor SASE-Plattform und ein Großteil davon sind auch SAP-Anwenderunternehmen, die über das globale private Backbone von Cato die Konnektivität optimieren und die Sicherheit des Netzwerks erhöhen.