Vereinfachung der Zertifikatsverwaltung: Ein umfassender Leitfaden für SAP-Systeme und STRUST

Schauen wir uns an, was SAP-Zertifikatsmanagement bedeutet und warum es im SAP-Ökosystem wichtig ist.

SSL/TLS-Zertifikate dienen zur Verschlüsselung der Kommunikation zwischen diversen Anwendungen bzw. zwischen Anwendungen und Clients. Diese Verschlüsselung stellt einen wichtigen Bestandteil der System-Sicherheit in Ihrem Unternehmen dar.

Das CA/Browser-Forums (Certification Authority/Browser Forum) gibt in den „Baseline Requirements“ vor, dass Zertifikate nicht länger als ein Jahr gültig sein dürfen. Daher ist es erforderlich, zeitgerecht zu erkennen, wann Zertifikate ablaufen und wo diese im Einsatz sind, um proaktiv die Neu-Ausstellung in die Wege leiten zu können und die Zertifikate gezielt zu erneuern.

Ist das Sicherheitszertifikat einer Anwendung einmal abgelaufen, kann es zu Einschränkungen oder sogar Unterbrechungen in Ihren Geschäftsprozessen kommen. Das Erneuern von SSL-Zertifikaten ist ein Prozess, dessen Abschluss einige Zeit und Aufwand in Anspruch nimmt und somit bei zu spätem Erkennen zu längeren Einschränkungen führen kann.

Die Zertifikatsverwaltung bezieht sich auf den Prozess des Erstellens, Speicherns, Verteilens und Widerrufens digitaler Zertifikate. In SAP-Systemen spielt das Zertifikatsmanagement eine zentrale Rolle, da es eine zusätzliche Sicherheitsebene bietet und die allgemeine Resilienz der IT-Infrastruktur erhöht. In einer Zeit eskalierender Cybersicherheitsbedrohungen ist ein effizientes Zertifikatsmanagement keine Option mehr, sondern eine Notwendigkeit.

Ein Blick auf STRUST (SAP Trust Center Services)

Im weiteren Verlauf stellen wir Ihnen STRUST vor, das Modul SAP Trust Center Services. Es ist das proprietäre Tool von SAP zur Verwaltung von Zertifikaten. Seine Bedeutung liegt in seiner Fähigkeit, jeden Aspekt der Zertifikatsverwaltung innerhalb eines SAP-Systems abzuwickeln.

Als Grundlage für die Zertifikatsverwaltung in SAP-Systemen stellt STRUST sicher, dass alle Netzwerkverbindungen authentifiziert und verschlüsselt sind, was Benutzern und Administratoren gleichermaßen Sicherheit bietet.

Der Weg zu einem robusten und effizienten Zertifikatsmanagement beginnt mit dem Verständnis des SAP-Systems und seiner integralen Komponente, STRUST. SAP-Systeme sind komplexe, aber flexible Unternehmenssoftwarelösungen, die verschiedene betriebliche Anforderungen von Unternehmen erfüllen, darunter Finanzen, Logistik, Personalwesen und mehr. Heute konzentrieren wir uns jedoch auf einen bestimmten Aspekt dieser Systeme - die Zertifikatsverwaltung.

STRUST verfügt über Funktionen, die die Komplexität der Zertifikatsverwaltung vereinfachen. Zum Beispiel werden Zertifikate je nach Zweck in verschiedene Speicher oder Ansichten (SSL-Server, SSL-Client usw.) unterteilt.

Die Zertifikatsverwaltung in SAP-Systemen ist ein grundlegender Bestandteil der Sicherheitsinfrastruktur. Es dreht sich um die Verwaltung digitaler Zertifikate, bei denen es sich um elektronische Anmeldeinformationen handelt, die die Identität von Systemen, Benutzern und Servern authentifizieren. Dieser Prozess umfasst die Ausstellung, Erneuerung und den Widerruf von Zertifikaten, von denen jedes eine wichtige Rolle bei der Aufrechterhaltung der Integrität und Vertraulichkeit von Daten spielt, die über das Netzwerk übertragen werden.

Zertifikatspeicher (Zertifikats-Store)

Was genau sind Zertifikatsspeicher? Nun, sie dienen als sichere Orte innerhalb eines Systems, in dem digitale Zertifikate gespeichert und verwaltet werden. Wie Sie im vorherigen Abschnitt gelesen haben, sind diese digitalen Zertifikate für die Authentifizierung von Systemidentitäten von entscheidender Bedeutung, um sicherzustellen, dass die Kommunikation zwischen Systemen sicher und vertrauenswürdig ist.

Die Bedeutung von Zertifikatsspeichern in SAP-Systemen

Innerhalb des robusten Rahmens eines SAP-Systems spielen Zertifikatsspeicher eine entscheidende Rolle. Sie beherbergen nicht nur die digitalen Zertifikate, sondern erleichtern auch deren effiziente Verwaltung. Das bedeutet, dass sie den Import, Export, die Erneuerung und sogar den Widerruf von Zertifikaten nach Bedarf ermöglichen. Die Möglichkeit, diese Vorgänge problemlos durchzuführen, wirkt sich direkt auf die allgemeine Sicherheit und Zuverlässigkeit des SAP-Systems aus.

Bedenken Sie Folgendes: Ohne einen sicheren Ort zum Speichern und Verwalten dieser digitalen Zertifikate wäre es so, als würden Sie die Schlüssel zu Ihrem Haus vor Ihrer Haustür liegen lassen. Es ist nicht schwer, sich die Risiken vorzustellen, die das mit sich bringen könnte! In ähnlicher Weise kann ein SAP-System ohne eine effektive Zertifikatsverwaltung über Zertifikatsspeicher anfällig für unbefugten Zugriff oder betrügerische Aktivitäten sein. Zertifikatsspeicher sind also viel mehr als nur Speicherplätze.

Verschiedene Arten von Zertifikatsspeichern in SAP-Systemen

Im Folgenden wollen wir uns die verschiedenen Zertifikatspeicher ansehen, die typischerweise in SAP-Systemen zu finden sind:

SSL-Server-PSE

Die PSE des Anwendungsservers, um HTTP-Verbindungen bei Verwendung des SSL-Protokolls (HTTPS-Verbindungen) sicherer zu machen, wenn der Anwendungsserver die Serverkomponente der Verbindung ist.

Anonyme SSL-Client-PSE

Der Anwendungsserver verwendet die anonyme SSL-Client-PSE, um eine Verbindung zu anderen Web-Servern herzustellen, bei denen nur die serverseitige Authentifizierung verwendet wird. Er verwendet sie nicht für seine eigene Authentifizierung.

Standard-SSL-Client-PSE

Der SAP Web AS verwendet die Standard-SSL-Client-PSE, um sich an anderen Web-Servern zu authentifizieren, wenn SSL-Client-Authentifizierung verwendet wird und keine individuelle SSL-Client-PSE für die Verbindung angegeben ist.

Individuelle SSL-Client-PSEs

Der SAP Web AS kann auch zusätzliche individuelle SSL-Client-PSEs verwenden, um sich an anderen Web-Servern zu authentifizieren. Durch die Verwendung dieser PSEs können Sie verschiedene "Identitäten" angeben, die der Anwendungsserver für verschiedene Dienste verwenden soll.

Das Navigieren durch diese verschiedenen Arten von Zertifikatsspeichern kann komplex sein, aber glücklicherweise vereinfacht STRUST diesen Prozess. Es bietet eine einheitliche Plattform zur Verwaltung all dieser Speicher und gewährleistet eine sichere und effiziente Zertifikatsverwaltung.

In den kommenden Abschnitten werden wir uns mit dem Erneuerungsprozess für Zertifikate befassen und die optimale Häufigkeit für ihre Neuausstellung besprechen. Außerdem geben wir Ihnen einige Tipps zur Vereinfachung der Zertifikatsverwaltung.

Das Erneuerungsverfahren für Zertifikate

Dieser Prozess wird erforderlich, wenn Zertifikate ihr Ablaufdatum erreichen oder aufgrund anderer Sicherheitsanforderungen. Aber wie geht man dabei vor?

Schritt 1: Proaktive Erkennung von ablaufenden Zertifikaten

Die Bedeutung einer rechtzeitigen Meldung

Die digitalen Zertifikate sind vergleichbar mit einem Personalausweis für Ihre SAP-Systeme. Sie bestätigen die Identität des Systems und sorgen zudem für eine sichere Datenkommunikation. Doch so wie ein Personalausweis ein Ablaufdatum hat, so haben auch diese Zertifikate ein Ablaufdatum. Wenn diese Zertifikate nicht rechtzeitig erneuert werden, kann dies zu Systemausfällen, unterbrochener Kommunikation und sogar zu potenziellen Datenschutzverletzungen führen. Daher kann die Bedeutung einer rechtzeitigen Neuausstellung von Zertifikaten nicht hoch genug eingeschätzt werden.

Wie oft sollten Sie also Ihre Zertifikate neu ausstellen? Auf diese Frage gibt es keine allgemeingültige Antwort. Die Häufigkeit der Neuausstellung hängt weitgehend von der Gültigkeitsdauer des Zertifikats ab, die je nach Zertifizierungsstelle und Art des Zertifikats variieren kann. In der Regel erfordern kürzere Gültigkeitszeiträume häufigere Verlängerungen. Gemäß den Best Practices und Standards der Branche wird im Allgemeinen empfohlen, Zertifikate jährlich zu erneuern.

Eine noch effektivere Strategie besteht jedoch darin, dem Spiel einen Schritt voraus zu sein, indem Zertifikate vor ihrem Ablaufdatum erneuert werden. Das verhindert Hektik in letzter Minute, gibt ausreichend Zeit zum Testen und sorgt für einen nahtlosen Übergang vom alten zum neuen Zertifikat. Es wird auch empfohlen, ein Zertifikatsinventar zu führen und automatische Erinnerungen für bevorstehende Verlängerungen einzurichten.

Denken Sie daran, dass die Neuausstellung von Zertifikaten keine Aufgabe ist, die auf die lange Bank geschoben werden sollte. Durch die regelmäßige Aktualisierung Ihrer Zertifikate erhöhen Sie die Sicherheit Ihres SAP-Systems, sorgen für einen unterbrechungsfreien Betrieb und stärken das Vertrauen Ihrer Stakeholder. Unabhängig davon, ob Sie sich für einen kürzeren oder längeren Verlängerungszyklus entscheiden, ist es wichtig, vorausschauend zu planen und proaktiv zu sein.

Prüfen Sie proaktiv und in regelmäßigen Abständen, ob Zertifikate ablaufen oder ob sie bereits abgelaufen sind. Zertifikate aus allen Zertifikats-Stores (PSE & STRUST) eines SAP-Systems werden identifiziert und gegen einen Ablaufschwellwert geprüft. Benachrichtigungen werden ausgelöst, sobald sich Zertifikate in einem kritischen Zustand befinden.

Welche Zertifikats-Informationen sind dabei relevant:

• ZERTIFIKATS-STORE

• SUBJECT

• SUBJECT ALTERNATIVE NAME

• ABLAUF-DATUM

• AUSSTELLER

• SERIEN-NUMMER

• PFAD

Schritt 3: Ausstellung oder Erneuerung von Zertifikaten

Ausgestellte Zertifikate können entweder selbst signiert, von einer internen PKI oder von einer bekannten PKI (Public Key Infrastructure) eines Dritten signiert sein. Die Zertifikate werden von den verschiedenen Anwendungen verwendet, die den Endnutzern mitteilen, ob die ausgestellten Zertifikate von der jeweiligen Anwendung als vertrauenswürdig eingestuft werden oder nicht.

Die wichtigste Voraussetzung dafür ist, dass das ROOT-Ausstellerzertifikat, welches das Zertifikat ausstellt, in der ROOT-CA-Liste des SAP-Zertifikatspeichers hinzugefügt und gepflegt werden muss.

In SAP basiert die Identifizierung der Anwendung mit ausgestellten Serverzertifikaten auf den DNS-Namen, die im Attribut „Subject Alternative Name“ gepflegt werden. Wenn mehrere DNS-Namen für dieselbe Anwendung bestehen, müssen alle als Teil des Zertifikats angegeben werden. Wenn dies nicht erfolgt, wird die betreffende Anwendung beim Zugriff als ungültiges Zertifikat angezeigt.

Um diese Anforderungen berücksichtigen zu können ist eine Zertifikatsanforderung (Certificate Signing Request, CSR) erforderlich. Im SAP-ABAP-System erfolgt dies mit Hilfe der STRUST, um die Zertifikate für verschiedene Zertifikatspeicher zu erzeugen. Die PKI ist ein ausgeklügeltes System, das digitale Zertifikate ausstellt, verteilt und überprüft. Diese Zertifikate werden innerhalb der PKI genutzt, um die Sicherheit der digitalen Kommunikation zu gewährleisten. Das Zertifikat selbst wird durch eine digitale Signatur geschützt, die mit dem öffentlichen Schlüssel des Zertifikatsausstellers überprüft werden kann.

Um die Authentizität des Ausstellerschlüssels zu bestätigen, wird wiederum ein digitales Zertifikat benötigt. Auf diese Weise lässt sich eine Kette von Zertifikaten aufbauen, die jeweils die Echtheit des vorherigen Zertifikats bestätigen. Diese Kette wird als Validierungspfad oder Zertifizierungspfad bezeichnet. Die Echtheit des letzten Zertifikats kann ohne weitere Überprüfung von den Kommunikationspartnern angenommen werden.

Eine wichtige Rolle in der PKI spielt die Zertifizierungsstelle, auch bekannt als certificate authority oder certification authority. Sie ist verantwortlich für die Ausstellung digitaler Zertifikate und die Überprüfung der Angaben des Antragstellers. Dabei trägt sie die Verantwortung für die Bereitstellung, Zuweisung, Integrität und mögliche Revozierung der Zertifikate. Somit bildet sie das Herzstück der PKI.

Schritt 2: Verteilung von vertrauenswürdigen Zertifikaten in PSE-Files und STRUST Ihrer SAP-Systeme.

Nach Erhalt des erneuerten Zertifikats ist es wichtig, es an alle relevanten Parteien zu verteilen, z. B. an Dienstleister, Geschäftspartner oder verschiedene Systemkomponenten. Dieser Schritt stellt sicher, dass sie die Identität Ihres Systems nach der Erneuerung erkennen und ihnen vertrauen. Sobald die Verteilung abgeschlossen ist, können Sie das verteilte Zertifikat wieder in Ihr System importieren, um den Prozess abzuschließen.

Neu ausgestellte SSL-Client Zertifikate müssen über STRUST in die jeweiligen Zertifikatsspeicher importiert und anschließend aktiviert werden.

CSR-generiertes Serverzertifikat importieren

Importieren eines neuen Server-Zertifikats, das von einer ausstellenden Stelle bereitgestellt wurde, indem ein zuvor generierter Certificate Signing Request (CSR) für die betroffene PSE-Datei verwendet wird. Dabei wird das Zertifikat in eine neue PSE-Datei importiert, die gültigen vertrauenswürdigen Zertifikate übernommen und anschließend das ursprüngliche PSE in Filesystem und ABAP-STRUST überschrieben.

Importieren eines PKCS #12-Serverzertifikats

Importieren eines neuen passwortgeschützten Server-Zertifikats im PKCS #12 Format, das von einer ausstellenden Stelle bereitgestellt wurde. Dabei wird das Zertifikat in eine neue PSE-Datei importiert, die gültigen vertrauenswürdigen Zertifikate übernommen und anschließend das ursprüngliche PSE in Filesystem und ABAP-STRUST überschrieben.

Fazit und Call-to-Action

Die STRUST fungiert als zentrales Werkzeug bei der Aufrechterhaltung der Systemsicherheit, der Verwaltung von Zertifikaten und der Gewährleistung eines nahtlosen Betriebs. Wenn wir uns diesem Thema nähern, ist es unerlässlich, die Notwendigkeit eines effizienten Zertifikatsmanagements und den unbestreitbaren Beitrag von STRUST zu diesem Prozess zu wiederholen.

Die Zertifikatsverwaltung ist nicht nur eine optionale Praxis innerhalb von SAP-Systemen. Es ist ein kritischer Aspekt.

Eine wichtige Strategie dabei ist die Implementierung von Automatisierung, wo immer dies möglich ist. Automatische Benachrichtigungen für Zertifikatsverlängerungen, automatisierte Ausstellungsprozesse und automatische Aktualisierungen von Zertifikaten im System können den manuellen Arbeitsaufwand und das Risiko menschlicher Fehler erheblich reduzieren. Dies macht nicht nur den Verwaltungsprozess effizienter, sondern erhöht auch die Systemsicherheit.

automatics bietet Ihnen für den gesamten Zertifikats-Lifecycle das ideale Werkzeug die damit verbundenen Aufgaben automatisiert abzuwickeln.