SAP-Sicherheitslücke OVERPASS: Wie kritisch ist CVSS 10?

OVERPASS: SAP-Kernel-Lücke mit CVSS 10.0 trifft jedes ABAP-System

Michael Dobler

Autor Dr. Web

11. September 2026

3 Min. Lesezeit

Eine einzige Lücke im SAP-Kernel reicht, um S/4HANA, ECC und die halbe Systemlandschaft ohne Passwort zu übernehmen. Onapsis-Forscher tauften den Fehler OVERPASS, SAP bewertet ihn mit dem Höchstwert CVSS 10.0. Noch beobachtet niemand Angriffe in freier Wildbahn, doch der Patch duldet keinen Aufschub bis zum nächsten Wartungsfenster.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Die SAP-Sicherheitslücke mit der Kennung CVE-2026-44756 erreicht als eine von wenigen jemals den maximalen CVSS-Wert von 10.0. Am 8. September 2026 verteilte SAP den Notfall-Patch, zusammen mit vier weiteren kritischen Korrekturen im September-Patchday. Betroffen ist nicht ein Randmodul, sondern der Kernel, auf dem praktisch jedes ABAP-Produkt des Konzerns läuft.

Das Wichtigste in Kürze

CVE-2026-44756, genannt OVERPASS: ein Speicherfehler im SAP-Kernel mit der Höchstwertung CVSS 10.0.
Der Fehler greift schon vor der Anmeldung, deshalb laufen Rollen, Sperren und Berechtigungen ins Leere.
Über HTTP, SAP GUI oder die RFC-Schnittstelle führt ein Angreifer Befehle mit Administratorrechten aus.
SAP-Hinweis 3747649 schließt die Lücke, Hinweis 3756304 liefert einen Notbehelf für den HTTP-Weg.

Warum hebelt OVERPASS jede SAP-Anmeldung aus?

Offene Tresortür mit „CVSS 10.0“-Zettel, davor ein goldener Schlüssel — Pufferüberlauf im Extended Passport ermöglicht Angriff ohne Authentifizierung beim Verbindungsaufbau zum Server

Der Fehler steckt im Extended Passport, einer Diagnose-Struktur, die jeder Client schon beim Verbindungsaufbau an den Server hängt. Der Kernel verarbeitet diese Struktur, bevor Anmeldung, Rollen und Berechtigungsobjekte überhaupt greifen. Ein präpariertes Paket löst dort einen Pufferüberlauf aus, und der Angreifer braucht dafür kein einziges gültiges Kennwort.

Drei Wege stehen offen: der Web Dispatcher über HTTP, der klassische SAP-GUI-Dispatcher und die RFC-Schnittstelle zwischen den Systemen. Über jeden davon lässt sich Schadcode einschleusen, der anschließend Betriebssystembefehle mit SAP-Administratorrechten ausführt. Damit öffnen sich Datenbank-Zugänge, Geschäftsdaten und der Weg zu den Nachbarsystemen.

Ist der Ernstfall bei SAP nur Theorie?

Ein Blick auf 2025 genügt: Damals erreichte CVE-2025-31324 im NetWeaver Visual Composer denselben Höchstwert, und Angreifer nutzten die Lücke binnen Tagen aus. Sicherheitsforscher ordneten die Angriffe den Ransomware-Gruppen BianLian und RansomEXX zu, die US-Behörde CISA nahm den Fehler in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Vor allem Fertigungsbetriebe gerieten ins Visier.

OVERPASS wiegt schwerer, weil der Kernel tiefer sitzt als ein einzelnes Modul. Onapsis meldet zwar noch keine aktive Ausnutzung, doch bis zum ersten Exploit bleibt erfahrungsgemäß wenig Zeit. Erst im September musste die CISA vor einer ähnlich bewerteten Firewall-Lücke bei Cisco, Citrix und Fortinet warnen.^[1]

Ein CVSS-Wert von 10.0 im SAP-Kernel ist kein Routine-Patch, sondern ein Feueralarm für jede Systemlandschaft. Firmen, die auf das nächste Quartals-Wartungsfenster warten, behandeln ihren wichtigsten Geschäftsserver fahrlässiger als ihren Router.
— Markus Seyfferth, Chefredakteur Dr. Web

Was bedeutet die Lücke für Betriebe in der DACH-Region?

Seit Dezember 2025 unterliegen rund 29.500 deutsche Unternehmen dem NIS2-Umsetzungsgesetz und damit der Aufsicht des BSI. Ein erfolgreicher Angriff über OVERPASS wäre ein meldepflichtiger Sicherheitsvorfall, mit einer Frühwarnung binnen 24 Stunden und einem vollen Bericht nach 72 Stunden. Bußgelder reichen bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.^[2]

Zuerst der Patch: Der Kernel-Fix aus SAP-Hinweis 3747649 kommt vor jede andere Wartung, ersatzweise sperrt der Notbehelf aus Hinweis 3756304 den Angriffsweg über HTTP. Ebenso wichtig bleibt, Web Dispatcher, Dispatcher und RFC-Schnittstellen aus dem offenen Internet zu nehmen. Cyberversicherer wie die Münchener Rück warnen ohnehin, dass KI Angriffe auf den Mittelstand zum Massengeschäft macht.

OVERPASS: die SAP-Lücke in Zahlen

CVE-2026-44756 im SAP-Kernel, veröffentlicht am Patchday 8. September 2026.

10.0

CVSS-Höchstwertung für CVE-2026-44756

gültige Zugangsdaten nötig, der Angriff läuft vor der Anmeldung

Angriffswege: Web Dispatcher über HTTP, SAP GUI und RFC

29.500

Firmen unter NIS2-Aufsicht des BSI in Deutschland

So läuft der Angriff

1. Der Extended Passport wird schon vor der Anmeldung verarbeitet.

2. Ein präpariertes Paket löst im Kernel einen Pufferüberlauf aus.

3. Der Angreifer führt Betriebssystembefehle mit SAP-Adminrechten aus.

Sofort einspielen: SAP-Hinweis 3747649 (Kernel-Fix) und, wo ein Patch noch nicht möglich ist, Hinweis 3756304 als Notbehelf für den HTTP-Weg.

Der September-Patchday bündelt fünf kritische SAP-Lücken, darunter Schwachstellen in der Commerce Cloud und im Message Server. Priorität hat OVERPASS, denn ein einziges ungepatchtes System genügt, um die gesamte Landschaft zu öffnen. Was ein erfolgreicher Zugriff anrichtet, führte zuletzt das Berliner Datenleck mit 5,8 Terabyte im Darknet vor Augen. Setzen Sie den Kernel-Patch daher noch in dieser Woche, bevor der erste Scanner ihn zum Ziel nimmt.^[3]

FAQ: OVERPASS und die SAP-Kernel-Lücke

Was ist die SAP-Lücke OVERPASS?

OVERPASS ist eine Schwachstelle im SAP-Kernel, geführt als CVE-2026-44756 mit der Höchstwertung CVSS 10.0. Über einen Speicherfehler in der Extended-Passport-Verarbeitung lässt sich ein System ohne Anmeldung übernehmen und mit Administratorrechten steuern.

Welche SAP-Systeme sind von CVE-2026-44756 betroffen?

Der Fehler sitzt im gemeinsamen SAP-Kernel, deshalb betrifft er praktisch jedes ABAP-Produkt: S/4HANA, ECC beziehungsweise die Business Suite, NetWeaver Application Server ABAP, den Web Dispatcher, BW/4HANA, PI/PO und den Solution Manager.

Wird OVERPASS bereits aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung meldet Onapsis keine Angriffe in freier Wildbahn. Bei der vergleichbaren NetWeaver-Lücke CVE-2025-31324 vergingen 2025 aber nur Tage bis zu den ersten Ransomware-Angriffen, deshalb ist schnelles Patchen entscheidend.

Wie schließen Unternehmen die Lücke?

Maßgeblich ist der Kernel-Patch aus SAP-Hinweis 3747649. Wo ein Update noch nicht möglich ist, sperrt der Notbehelf aus Hinweis 3756304 den Angriffsweg über HTTP. Zusätzlich sollten Web Dispatcher, Dispatcher und RFC-Schnittstellen nicht offen aus dem Internet erreichbar sein.

Was bedeutet die Lücke unter NIS2?

Rund 29.500 Unternehmen fallen in Deutschland unter das NIS2-Umsetzungsgesetz und die BSI-Aufsicht. Ein erfolgreicher Angriff über OVERPASS wäre ein meldepflichtiger Vorfall mit 24-Stunden-Frühwarnung und 72-Stunden-Bericht, Bußgelder reichen bis zu 10 Millionen Euro oder zwei Prozent des Jahresumsatzes.