SAP Commerce Cloud: CVSS-10-Lücke ermöglicht vollständige Übernahme

Veröffentlicht am 13.08.2026

Ein nicht angemeldeter Angreifer, irgendwo im Netz, kann eine SAP-Commerce-Cloud-Instanz vollständig übernehmen – ohne Passwort, ohne dass jemand auf einen Link klickt, mit vergleichsweise wenig Aufwand. Genau das beschreibt SAP für die Sicherheitslücke CVE-2026-58231, die der Konzern am 11. August 2026 mit dem denkbar höchsten Schweregrad bewertet hat: CVSS 10,0. Höher geht es auf dieser Skala nicht. Wer eine betroffene SAP-Commerce-Cloud-Umgebung betreibt, sollte diesen Artikel nicht aufschieben.

Was ist passiert?

Im Rahmen seines August-Patchdays hat SAP die Sicherheitsmitteilung (Security Note) 3771065 veröffentlicht und darin eine kritische Schwachstelle in SAP Commerce Cloud geschlossen. Betroffen ist konkret der sogenannte Data Hub Adapter – das ist die Komponente, die SAP Commerce Cloud mit dem SAP Data Hub verbindet, also mit dem System, das Daten für den Shop aufbereitet und importiert.

Der Fehler erlaubt laut SAP einem nicht authentifizierten Angreifer – also jemandem, der sich nicht anmelden muss –, einen Standard-Authentifizierungsclient zu missbrauchen und speziell präparierte Eingaben an Funktionen zu senden, deren Eingabeprüfung unzureichend ist. Das Ergebnis: beliebige Codeausführung und damit die vollständige Kontrolle über die Instanz. In der Sprache der Klassifizierung ist das eine Code Injection (CWE-94), also das Einschleusen und Ausführen fremden Programmcodes.

SAP selbst formuliert in seinem CVE-Datensatz nüchtern, aber unmissverständlich:

„SAP Commerce Cloud allows an unauthenticated attacker to abuse a default authentication client and submit specially crafted input to certain functions lacking sufficient validation.“ (SAP SE, CVE-Record)

Warum die Bewertung „10 von 10“ so ernst ist

Der technische Bewertungsvektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Übersetzt heißt das:

• AV:N (Network): Der Angriff funktioniert über das Netzwerk – der Angreifer muss nicht im lokalen System sitzen.
• AC:L (Low): Die Angriffskomplexität ist niedrig, der Angriff ist also nicht besonders schwer durchzuführen.
• PR:N (None): Es werden keinerlei Zugangsrechte benötigt – keine Anmeldung, kein Konto.
• UI:N (None): Keine Benutzerinteraktion nötig – niemand muss auf etwas klicken.
• S:C (Changed): Die Auswirkungen reichen über die unmittelbar verwundbare Komponente hinaus; auch interne Komponenten können kompromittiert werden.
• C:H / I:H / A:H: Hohe Auswirkungen auf Vertraulichkeit (Daten können abfließen), Integrität (Daten können verändert werden) und Verfügbarkeit (der Dienst kann ausfallen).

Diese Kombination – Netzwerkangriff, ohne Anmeldung, ohne Nutzeraktion, mit maximaler Auswirkung – ist genau das Profil, das Angreifer bevorzugen und das sich gut automatisieren lässt.

Wer ist betroffen – und wer nicht?

Wichtig für die Einordnung, damit hier keine unnötige Aufregung entsteht: Nicht jede Website und nicht jede Commerce-Cloud-Nutzung ist betroffen. Eine normale Unternehmenswebsite ohne SAP Commerce Cloud hat mit dieser Lücke nichts zu tun.

Nach Angaben von SAP und CVE.org sind ausschließlich die Release-Linien COM_CLOUD 2211 und 2211-JDK21 im Kontext des Data Hub Adapter betroffen. Der Data Hub Adapter kommt ins Spiel, wenn Data Hub Daten für Ihre Commerce-Cloud-Installation aufbereitet und importiert.

Wichtiger Hinweis zu Zahlen: In den frei zugänglichen Quellen gibt es keine belastbare Angabe zur Zahl exponierter Instanzen, betroffener Unternehmen, kompromittierter Datensätze oder bestätigter Opfer. Wo Sie in technischen Datensätzen „installations: 0“ lesen, bedeutet das „öffentlich nicht beziffert“ – nicht „null Installationen“. Wir spekulieren an dieser Stelle bewusst nicht.

Wird die Lücke bereits aktiv ausgenutzt?

Stand 12. August 2026 liegt in den geprüften öffentlichen Quellen kein bestätigter Hinweis auf aktive Ausnutzung vor. Es gibt keinen öffentlichen Proof of Concept (also keinen frei verfügbaren Beispiel-Exploit), keine bekannten kompromittierten Installationen und keinen Eintrag im CISA-KEV-Katalog, dem US-Verzeichnis nachweislich ausgenutzter Schwachstellen.

Das ist ausdrücklich keine Entwarnung. „Keine bestätigte Ausnutzung“ heißt nur: Bis zum Stichtag wurde in den öffentlichen Quellen nichts festgestellt. Es heißt nicht, dass keine Ausnutzung stattgefunden hat oder stattfinden kann. Wegen Netzwerkangriff ohne Anmeldung, niedriger Komplexität und maximaler Bewertung sollte jede betroffene Instanz als dringender Patch-Fall behandelt werden.

Zur Erinnerung, warum das kein theoretisches Risiko ist: Der fachlich vergleichbare SAP-Fall CVE-2025-31324 (SAP NetWeaver) wurde im April 2025 veröffentlicht, bereits am 29. April 2025 in den CISA-KEV-Katalog aufgenommen und laut dem kanadischen Cyber Centre schon seit März 2025 aktiv ausgenutzt. Das belegt keine Ausnutzung der hier besprochenen Lücke, zeigt aber deutlich: Kritische SAP-Schwachstellen werden von Angreifern schnell aufgegriffen.

So prüfen Sie, ob Sie betroffen sind

1. Verantwortlichen benennen. Klären Sie sofort mit Ihrem SAP-Commerce-Owner, Implementierungspartner oder Managed-Service-Provider verbindlich, ob überhaupt eine SAP-Commerce-Cloud-Instanz betrieben wird. Ohne SAP Commerce Cloud sind Sie nicht betroffen.
2. Release-Linie feststellen. Prüfen Sie in den Build-, Deployment- und Release-Unterlagen der produktiven Instanz die eingesetzte Release-Linie. COM_CLOUD 2211 oder 2211-JDK21 ist nach SAP/CVE.org potenziell betroffen.
3. Data-Hub-Nutzung prüfen. Klären Sie, ob Data Hub zur Datenintegration oder -bereitstellung genutzt wird. Ist das der Fall, stellt der Data Hub Adapter die Verbindung her – ein sachlicher Prüfpunkt.
4. Gegen die SAP Security Note abgleichen. Vergleichen Sie die ermittelte Release- und Buildinformation über einen berechtigten SAP-Supportzugang mit den Angaben der SAP Security Note 3771065. Die frei zugänglichen Quellen enthalten keine exakte Fixed-Buildnummer – die verbindlichen Angaben stehen in der zugangsgeschützten Note.
5. Im Zweifel als patchpflichtig behandeln. Ist eine betroffene Release-Linie im Einsatz oder lässt sich der Abgleich nicht sofort belegen, behandeln Sie die Instanz vorsorglich als patchpflichtig, stoßen Patch/Rebuild/Re-Deployment an und dokumentieren die Entscheidung.
6. Nicht selbst „testen“. Versuchen Sie nicht, die Lücke über öffentliche Testanfragen zu verifizieren. Der genaue Endpunkt und eine sichere Testspezifikation sind öffentlich nicht dokumentiert. Beziehen Sie stattdessen Ihren autorisierten SAP- bzw. Implementierungspartner ein.

Das müssen Sie jetzt konkret tun

1. Patch einspielen. Rufen Sie über den berechtigten SAP-Supportzugang die SAP Security Note 3771065 ab, setzen Sie die dort genannten Fixed-Release-Level um und bauen Sie die aktualisierte SAP-Commerce-Cloud-Version neu (Rebuild) und stellen sie erneut bereit (Re-Deployment). Onapsis-Experte Thomas Fritsch formuliert es so:

   „Customers must patch to the fixed Commerce Cloud release levels referenced in the note and re-build/re-deploy the updated SAP Commerce Cloud version.“ (Thomas Fritsch, Onapsis)

2. Übergangsmaßnahme: Zugriff einschränken. Bis der Patch vollständig ausgerollt ist, können Sie mit einem IP Filter Set in SAP Commerce Cloud den Zugriff auf den verwundbaren Endpunkt auf unbedingt notwendige, vertrauenswürdige Quellen begrenzen. Dazu Onapsis:

   „As a temporary workaround, customers can reduce their exposure by configuring an IP Filter Set in SAP Commerce Cloud to restrict access to the vulnerable endpoint.“ (Thomas Fritsch, Onapsis)

   Wichtig: Diese Maßnahme reduziert die Exposition, ersetzt aber den Patch nicht.
3. Ergänzende SAP-FAQ prüfen. Besprechen Sie mit Ihrem SAP-Administrator bzw. Integrationspartner zusätzlich die FAQ zur Note (SAP Note 3775386), die laut Onapsis weitere Empfehlungen enthält.
4. Umsetzung dokumentieren. Weisen Sie nach der Bereitstellung den tatsächlich laufenden Release-Stand, den erfolgreichen Rebuild und das Re-Deployment nachweisbar nach. Eine nur vorbereitete, aber nicht bereitgestellte Aktualisierung beseitigt die Exposition nicht.
5. Bei Verdacht: Incident-Response starten. Wenn es Hinweise auf unbefugten Zugriff, Datenabfluss, Manipulation oder Ausfall gibt, aktivieren Sie Ihren Incident-Response- und Datenschutzprozess, sichern Sie Beweise und Protokolle und veranlassen Sie die DSGVO-Risikobewertung.

Was das für die DSGVO bedeutet

Der folgende Abschnitt ist allgemeine Information und keine Rechtsberatung.

Das bloße Vorhandensein von CVE-2026-58231 ist noch keine DSGVO-Datenpanne. Eine Verletzung des Schutzes personenbezogener Daten liegt nach Art. 4 Nr. 12 DSGVO erst dann vor, wenn eine Sicherheitsverletzung tatsächlich zu unbefugtem Zugang, unbefugter Offenlegung, Verlust, Veränderung oder Vernichtung personenbezogener Daten führt.

Bei einer erfolgreichen Übernahme einer Commerce-Instanz ist genau das ein naheliegendes Prüfszenario: Shops verarbeiten typischerweise Kunden-, Konto-, Bestell-, Adress- oder Zahlungsbezugdaten. Der Verantwortliche muss dann das Risiko für die Rechte und Freiheiten der betroffenen Personen bewerten.

• Meldung an die Aufsichtsbehörde (Art. 33 DSGVO): Besteht wahrscheinlich ein Risiko, ist die zuständige Aufsichtsbehörde grundsätzlich unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden zu informieren. Eine Überschreitung dieser Frist ist zu begründen.
• Benachrichtigung Betroffener (Art. 34 DSGVO): Bei hohem Risiko sind grundsätzlich auch die betroffenen Personen zu benachrichtigen.
• Auftragsverarbeiter (Art. 33 Abs. 2 DSGVO): Betreiben Sie den Shop über einen Dienstleister, muss dieser Sie als Verantwortlichen ohne unangemessene Verzögerung informieren.
• Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Gefordert sind risikoadäquate Schutzmaßnahmen. Der Europäische Datenschutzausschuss (EDSA) betont zudem vorbereitete Verfahren zur Erkennung, Eindämmung, Risikobewertung und Dokumentation von Datenschutzverletzungen.

Wie ernst Aufsichtsbehörden unzureichende technisch-organisatorische Maßnahmen nehmen, zeigt – als deutsche Einordnung, nicht als Präzedenzfall für diese CVE – ein älterer Fall: Der BfDI verhängte 2019 gegen 1&1 Telecom ein Bußgeld von 9.550.000 Euro, weil er die Authentifizierungsmaßnahmen für unzureichend hielt und ein Risiko für den gesamten Kundenbestand sah. Der Sachverhalt betraf Telefon-Authentifizierung und nicht SAP Commerce Cloud, unterstreicht aber die aufsichtsrechtliche Bedeutung von Art. 32 DSGVO.

Einordnung: angespannte Lage, klare Priorität

Die allgemeine Bedrohungslage bleibt hoch. Das BSI bewertet die deutsche IT-Sicherheitslage für den Zeitraum 1. Juli 2024 bis 30. Juni 2025 als angespannt und berichtet von 950 beim BKA angezeigten Ransomware-Angriffen. Die ENISA wertete für ihre Threat Landscape 2025 insgesamt 4.875 Vorfälle aus; die Ausnutzung von Schwachstellen war dabei mit 21,3 % ein wesentlicher Weg zum Erstzugang. Das sind allgemeine EU- und Deutschland-Einordnungen, keine Statistiken speziell zu SAP Commerce Cloud – sie zeigen aber, in welchem Umfeld eine CVSS-10-Lücke einzuordnen ist.

Fazit

CVE-2026-58231 ist eine der schwersten Kategorien von Schwachstellen: aus dem Netz, ohne Anmeldung, ohne Nutzerinteraktion, mit vollständiger Kontrolle als möglichem Ergebnis – bewertet mit dem Maximalwert CVSS 10,0. Betroffen sind gezielt die SAP-Commerce-Cloud-Release-Linien COM_CLOUD 2211 und 2211-JDK21 im Kontext des Data Hub Adapter, nicht jede beliebige Website.

Auch wenn bislang keine aktive Ausnutzung öffentlich bestätigt ist: Warten Sie nicht darauf. SAP empfiehlt unmissverständlich, die Patches über das Support-Portal mit Priorität einzuspielen. Klären Sie heute, ob Sie betroffen sind, spielen Sie die in SAP Security Note 3771065 genannten Fixed-Release-Level ein, bauen Sie die Instanz neu und stellen Sie sie erneut bereit – und dokumentieren Sie jeden Schritt. Bis der Patch steht, begrenzt ein IP Filter Set die Exposition. Und falls es Anzeichen für einen unbefugten Zugriff gibt, aktivieren Sie umgehend Ihren Datenschutz- und Incident-Response-Prozess. Bei einer Lücke dieser Größenordnung entscheidet Geschwindigkeit.