Aktualisiert: 09. Juni 2026
7 min.
Haufe Redaktion Mittelstand Cloud ERP Datensicherheit & Datenschutz
Aufgrund ihrer Komplexität sind ERP-Systeme technologische Knotenpunkte für geschäftskritische Unternehmensdaten. ERP-Security zielt darauf ab, Ihre Geschäftsprozesse wirkungsvoll zu schützen. Maßnahmen gegen Cyberangriffe haben höchste Priorität. Ebenso wie die DSGVO-Anforderungen sollten Sicherheitskonzepte bereits bei der ERP-Auswahl mitgedacht werden.
Hackerangriffe sind eine reale Bedrohung für deutsche Unternehmen – und die IT‑Sicherheitslage bleibt laut Bundesamt für Informationssicherheit (BSI) weiterhin angespannt. Zwar konnten internationale Strafverfolgungsbehörden einzelne Cybercrime‑Gruppen zurückdrängen, insgesamt aber stabilisiert sich die Bedrohung auf hohem Niveau, während Angriffsflächen, Schwachstellen und Schadenssummen weiter zunehmen.
Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025 täglich rund 280.000 neue Schadprogramm-Varianten entdeckt. Hochgerechnet sind das rund 100 Millionen neue Varianten im Jahr (Quelle: BSI: Die Lage der IT-Sicherheit in Deutschland 2025). Cyberangriffe werden zugleich immer professioneller und nutzen vermehrt automatisierte und KI-gestützte Methoden. Das BSI fordert deshalb: Bei der Digitalisierung müsse noch stärker als bisher auf die Informationssicherheit geachtet werden.
Schon heute verursachen Cyberkriminelle Schäden, die 200 Milliarden Euro im Jahr überschreiten (Quelle: Bitkom: Wirtschaftsschutz 2025). Experten gehen von einer hohen Dunkelziffer aus. Und betroffen sind längst nicht mehr nur die Big Player ihrer Branchen.
Wer glaubt, nur Großkonzerne seien bei Datendiebstählen im Visier, irrt: Rund 80 Prozent der Ransomware-Angriffe treffen kleine und mittlere Unternehmen (KMU). Das geht aus dem BSI-Lagebericht 2025 hervor. Wie lässt sich das erklären?
In der Regel beschäftigen KMU keine dezidierten Sicherheitsteams – vielfach verfügen sie nicht einmal über eine IT-Abteilung. Das BSI sieht darin ein zentrales Problem: Viele KMU können Sicherheitsrisiken schlicht nicht einschätzen. Hinzu kommt erschwerend: Viele KMU unterschätzen sich selbst als Angriffsziel. Dabei entscheiden Cyberkriminelle nicht nach Umsatz oder Branche. Sie fragen sich: Wie viel Aufwand kostet der Angriff – und was bringt er? Je schlechter ein Unternehmen geschützt ist, desto attraktiver wird es, da der der Aufwand für einen Angriff vergleichsweise gering ist. Vor diesem Hintergrund sind KMU gegenüber Bedrohungen aus dem Cyberspace besonders anfällig.
Dass es Cyberkriminelle auf ERP-Architekturen abgesehen haben, ist kein Zufall. Viele Unternehmen schützen ihre ERP-Infrastruktur kaum. Daraus folgen Datenverluste bis hin zu Systemausfällen. Im schlimmsten Fall sorgt die Beeinträchtigung der Unternehmensprozesse sogar für existenzielle Probleme, denn: ERP-Systeme sind das digitale Herzstück eines Unternehmens. Hier laufen Daten aus allen Bereichen zusammen – über eine Vielzahl unterschiedlicher Schnittstellen und mit einer großen Zahl an Nutzern und Berechtigungen. Grundsätzlich gilt: Je größer und komplexer ein ERP-System ist, desto mehr Angriffsfläche bietet es.
Aufgabe der Cybersicherheit ist es, die Schwachstellen der ERP-Systeme herauszufinden.
Kern des ERP-Systems ist die Vernetzung der Unternehmensprozesse, sodass Angriffe aus der Hacker-Perspektive besonders lukrativ erscheinen. Der Fachkräftemangel – nicht zuletzt im IT-Bereich – verschärft die Situation zusätzlich. Vielfach bleiben Sicherheitslücken über lange Zeiträume unentdeckt und die Risiken bei der Datenhaltung steigen. Vor dem Hintergrund sensibler Daten ist das von Bedeutung; denn: Im ERP-System sind neben den Daten des Unternehmens auch sensible personenbezogene Informationen gespeichert.
Zum Schutz eines ERP-Systems hat es sich bewährt, geeignete Kontrollen, diverse Sicherheitsmaßnahmen und sichere Abläufe zu etablieren. Ziel aller Maßnahmen ist es, einer potenziellen Bedrohung einen Schritt voraus zu sein. Um diesem Anspruch unternehmensweit gerecht zu werden, ist Transparenz gefragt. Das bedeutet: Alle Beschäftigten müssen über sogenannte Best Practices informiert sein, um dem Risiko von Cyberbedrohungen zu begegnen.
In Anlehnung an die Empfehlungen des BSI sollten Sie das Prinzip Absicherung in Ihrem Unternehmen mit folgenden Maßnahmen angehen:
Der unbedachte und leichtfertige Umgang mit Berechtigungen ist in ERP-Systemen immer wieder zu beobachten. Ein ausgeklügeltes Rechtemanagement sorgt dafür, dass Nutzer exakt die Rechte erhalten, die für die jeweilige Tätigkeit erforderlich sind (Least-Privilege-Prinzip). Werden dagegen zu viele Berechtigungen erteilt, dann sind Unternehmensinformationen möglicherweise nicht ausreichend vor Angriffen und Missbrauch geschützt. Entsprechende Schulungen sind deswegen auch ein Investment in die Sicherheit des ERP-Systems.
Die Zugriffsberechtigungen sind auch vor dem Hintergrund der Datenschutzgrundverordnung (DSGVO) von Bedeutung. Die datenschutzrechtliche Vorgabe hat den Unternehmen weitreichende Nachweispflichten und Auflagen für personenbezogene Mitarbeiterdaten auferlegt. Kernbestandteile der DSVGO sind:
Um der DSGVO gerecht zu werden, bedarf es strukturierter Abläufe und Prozesse sowie eine lückenlose Dokumentation. ERP-Systeme bieten dazu alle Voraussetzungen, sofern die Zugriffskontrolle über ein Berechtigungskonzept stringent geregelt ist. Nur so sind Unternehmen vor hohen Bußgeldern geschützt. Die maximale Geldbuße liegt bei 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.
Vor allem für KMU stellen cloudbasierte ERP-Systeme eine attraktive Lösung dar. Allerdings ist die ERP-Software in der Cloud nicht automatisch sicherer als On-Premise-Lösungen. Klar ist aber, dass die etablierten Cloud-Anbieter allesamt über einen hohen Sicherheitsstandard verfügen. Aus Unternehmenssicht ist die Tatsache, dass die Cloud-Anbieter über einen Experten-Pool verfügen, als wesentlicher Vorteil hinsichtlich der Datensicherheit zu verbuchen. Spezialisierte Mitarbeiter kümmern sich um eine einwandfreie Performance, regelmäßige Datensicherungen und Updates. Das entlastet die Unternehmen personell und finanziell. Außerdem kommt hinzu, dass die eigene IT von den sehr hohen Sicherheitsstandards der ERP-Anbieter profitiert.
Regelmäßige Aktualisierungen sowie das Einspielen von Patches und Sicherheitsupdates sind eine wesentliche Voraussetzung für die Sicherheit eines ERP-Systems. Das gilt für die ERP-Anwendungen und -Module ebenso wie für das Betriebssystem, auf dem die Software läuft. Grundsätzlich ist davon auszugehen, dass alle Computerprogramme fehlerhaft sind. Weil die Anbieter dies wissen, versorgen sie ihre ERP-Systeme regelmäßig mit Updates, um erkannte Fehler zu beseitigen und Features nachzureichen.
Wichtiger Hinweis: Wenn der Hersteller seine Software häufig mit Updates versorgt, dann ist das nicht der Nachweis für ein besonders fehleranfälliges ERP-System, sondern vielmehr der Nachweis für intensive Pflege und Wartung. Vor diesem Hintergrund ist auch die Wahl des richtigen ERP-Anbieters eine Frage der ERP-Security.
Langfristige und bedarfsgerechte Informationssicherheit gewährleisten ausgiebige Prüfungen der ERP-Architektur. Damit stellen Sie sicher, dass alle Maßnahmen im Rechenzentrum erfolgreich umgesetzt wurden. Derartige Prüfungen erfolgen auf Grundlage einer kontinuierlichen Überwachung, ständiger Protokollierung und regelmäßiger Backups. Vielfach werden derartige Prüfungen auch mithilfe des Anbieters vorgenommen. Als Komponente der Cybersecurity sind derartige Prüfungen umfassend. Einbezogen werden auch die umgebende Infrastruktur und die Funktionsfähigkeit der Firewall.
Der Sicherheitsaspekt eines ERP-Systems ist gar nicht hoch genug einzuschätzen. Cloud-basierte ERP-Lösungen wie Haufe X360 bieten höchste Sicherheitsstandards. Das Thema Sicherheit beginnt bereits bei der Beratung und wird bei der Konfiguration und Einführung fortgeführt.
Das ERP-System von Haufe X360 zeichnet sich durch Datensicherheit und Datenschutz aus und gewährleistet eine 99-prozentige Verfügbarkeit. Eine Fülle unterschiedlicher Vorkehrungen bietet Schutz vor äußeren Einflüssen inklusive Cyberangriffen. Alle 8 Minuten wird ein automatisiertes Backup angefertigt, sodass eine Notfall-Wiederherstellung innerhalb von drei Stunden jederzeit möglich ist. Gehostet werden Ihre Daten nach höchsten Sicherheitsvorkehrungen im Rechenzentrum in Deutschland.
ERP-Systeme bündeln alle geschäftskritischen Daten eines Unternehmens – von Finanzen über Personal bis zu Kundendaten. Genau das macht sie zum digitalen Knotenpunkt und attraktiven Ziel für Cyberangriffe. Hinzu kommt: Viele Unternehmen schützen ihre ERP-Infrastruktur kaum. Denn mit wenig Personal liegt der Fokus eher auf der Funktionsfähigkeit des Systems. Doch je mehr Schnittstellen, Nutzer und Berechtigungen ein System hat, desto größer die Angriffsfläche.
Rund 80 Prozent der Ransomware-Angriffe richten sich gegen kleinere und mittlere Unternehmen (KMU), obwohl viele glauben, für Kriminelle uninteressant zu sein. Doch Cyberkriminelle entscheiden nicht nach Unternehmensgröße oder Branche, sondern nach Aufwand und Ertrag. Genau hier kommen KMU ins Visier: Sie haben oft kein eigenes Sicherheitsteam und keine IT-Abteilung. Das macht einen Angriff einfach – und damit lohnend für den investierten Aufwand. Viele KMU unterschätzen diese Bedrohung.
Mitarbeiter sensibilisieren: Wer Bedrohungen kennt, erkennt sie früher.
Starke Passwörter und Zwei-Faktor-Authentifizierung nutzen: Gestohlene Zugangsdaten sind noch immer die häufigste Ursache für erfolgreiche Angriffe.
Rollengerechte Berechtigungen: Jeder Nutzer erhält nur die Rechte, die seine Arbeit erfordert (Least-Privilege-Prinzip).
ERP-Sicherheitslösungen: Sie erkennen unbefugte Zugriffe, sichern Datenintegrität und automatisieren Audits.
Regelmäßige Updates und Patches: Aktuelle Software schließt bekannte Sicherheitslücken.
Nicht automatisch – aber etablierte Cloud-Anbieter verfolgen hohe Sicherheitsstandards. Spezialisierte Teams kümmern sich dauerhaft um Updates, Backups und Bedrohungsabwehr. Das entlastet KMU sowohl personell als auch finanziell. Außerdem hosten viele Anbieter die Daten in deutschen Rechenzentren.
