Oracle beschuldigt SAP van bedrijfsspionage

Bedrijfsautomatiseerder Oracle heeft een rechtszaak tegen het Duitse SAP aangespannen. SAP zou op grote schaal documentatie van zijn concurrent hebben gestolen om support op Oracle-producten te kunnen leveren en zo klanten van Oracle te kunnen weglokken.

De 44 pagina's tellende aanklacht van Oracle beschrijft hoe er tussen september 2006 en januari 2007 massaal documentatie van zijn servers werd opgevraagd vanaf ip-adressen die naar een Texaanse vestiging van SAP herleid konden worden. Daarbij werd gebruikgemaakt van inloggegevens van klanten van Oracle, maar het viel dit bedrijf al snel op dat er documentatie werd gedownload van software waarvoor de betreffende klanten geen licenties hadden. Ook het volume van de downloads - vele duizenden documenten in een tijdsbestek van enkele dagen, waar tientallen documenten per maand normaal is - viel op, en toen Oracle kon bewijzen dat de betreffende klanten net supportcontracten met SAP hadden afgesloten, werd de juridische dienst ingeschakeld.

Volgens Oracle heeft SAP de gegevens van zijn nieuwe klanten misbruikt om toegang tot de Oracle-servers te krijgen, en daarmee zijn de Duitsers in overtreding van diverse wetten: de aanklacht spreekt onder andere van fraude, diefstal, oneerlijke concurrentie, samenzwering en wederrechtelijke verrijking. Uiteraard is het met name de verrijking waar de zaak om draait: SAP zou tegenwoordig support op Oracle-producten geven tegen de helft van de prijs die dat bedrijf vraagt. Supportcontracten leveren Oracle per jaar rond de acht miljard dollar op - ongeveer de helft van de bedrijfsomzet - en de strijd om de grote zakelijke klanten wordt dan ook te vuur en te zwaard gestreden. Als het in deze zaak tot een veroordeling komt, mag echter gesproken worden van een van de grootste en meest opzienbarende bedrijfsspionagezaken van de afgelopen jaren, zo menen analisten. Een woordvoerder van SAP zei dat het nog maar de vraag is of de bewuste documentatie door werknemers van het bedrijf of door klanten van Oracle is gedownload. Een verdere toelichting wilde hij, zolang de zaak onder de rechter is, niet geven.

Reacties (28)

[Verwijderd]

Dus - documentatie van producten die niet behoren tot de licentie van de inloggegens zijn wél allemaal te downloaden bij Oracle? Niet zo'n handige zet van Oracle. Verder kan ik me niet voorstellen dat een bedrijf zo groot als SAP niet al gebruik maakt van een officiele licentie van Oracle (daar ze er o.a. support op leveren) en dus met die inloggegevens de extra documentatie hebben neergeladen. Dus diefstal zal moeilijk aantoonbaar worden.

[Verwijderd]

Nee, dat is een "marketing truc".

Je gebruikt nu nog geen PeopleSoft Financials (ook een oracle product), maar je kan nu wel vast kijken naar de documentatie. Als het je bevalt, willen wij natuurlijk best ook dit product aan je verkopen.

Daarbij is het afschermen van die gegevens vaak helemaal niet zo eenvoudig als dat het lijkt. Dit komt onder andere doordat gegevens vaak op vele verschillende manieren te doorzoeken zijn en er veel kruisverbanden liggen bijvoorbeeld tussen de documentatie van bijvoorbeeld HR en Fin systemen.

SAP zelf heeft wellicht wel een licentie voor Oracle databases, maar niet voor de applicaties, zoals Siebel, PeopleSoft en Oracle Applications.
Dat heeft onder andere te maken met concurentie overwegingen en dergelijke.
Met mijn kennis van deze wereld, verwacht ik ook dat SAP helemaal geen toegang heeft tot (beveiligde) Oracle websites. Oracle heeft in ieder geval geen toegang tot de SAP support websites.

SAP "mag" van Oracle ook helemaal geen support leveren op hun producten. Nu ja, daar is een kleine nuance nodig, ze mogen wel support leveren op de database, voor zover het gaat om problemen die voortkomen uit het gebruik van SAP in combinatie met hun database.
SAP mag volgens de letter van het contract met Oracle geen support leveren in die zin, dat ze bijvoorbeeld vertellen hoe je een upgrade van de database zelf uit moet voeren.
Of als er iemand van SAP de SAP software komt instaleren, mag die niet de Oracle database ook instaleren, die moet door de klant al zijn neergezet.

Tja, concurentie.....

Samengevat: Als Oracle aan kan tonen dat de bedoelde documenten bij SAP op kantoor liggen of lagen, dan heeft SAP een zeer serieus probleem.

[ATS]

Het is natuurlijk maar zeer de vraag of die beperkingen op het support mogen leveren wel wettig zijn, licentie of niet. Ik kan me voorstellen dat een rechter dat soort beperkingen gewoon van tafel veegt, omdat ze niet redelijk zijn en concurrentie tegen gaan.

[Verwijderd]

Daar zijn al eens rechtszaken over aangespannen, maar nooit doorgezet.

Het punt is, dat als je als concurent support verleend op het product van je concorent, je erg snel de verdenking op je laad dat je bezig bent met Reverse engineering en dat is nu juist weer verboden.

Een voorbeeld daarvan is bijvoorbeeld op het punt van integratie geleverd. Op het moment dat PeopleSoft een zogenaamde SAP en Oracle Applications connector mee wilde gaan leveren, werd dit zowel door Oracle als SAP onmogelijk gemaakt door middel van rechtszaken.
Uiteindelijk leverde niet PeopleSoft, maar een ander bedrijf deze conectoren en de technologie achter de connectoren, waarna de zaken zijn beeindigd zonder uitspraak van de rechter.

[Verwijderd]

@DickCAH
Het punt is, dat als je als concurent support verleend op het product van je concorent, je erg snel de verdenking op je laad dat je bezig bent met Reverse engineering en dat is nu juist weer verboden.

Echt weer iets van het IT wilde westen.

Analoog. Een niet merk gebonden auto dealer die beurten aan andere merken doet is ook aan het reverse engineren?!

Het wordt hoor tijd dat het absurde licentie/support systeem opgebroken wordt. Bij veel "merken" kun je zelfs geen bug fixes downloaden als je geen support contract hebt.

[napel25]

Opvallend dat ze bij Oracle bijhouden of je downloads overeenkomen met je licenties.
We beheren verschillende Oracle producten voor verschillende klanten. Dan is het dus niet verstandig met een support account van 1 klant voor alle producten patches e.d. te downloaden...
Zou Oracle de klanten (licentiehouders) daarvoor op de vingers tikken?

[Verwijderd]

Opzich wel te begrijpen.

De webserver admin ziet de resultaten van dit:

Ook het volume van de downloads - vele duizenden documenten in een tijdsbestek van enkele dagen, waar tientallen documenten per maand normaal is - viel op, en toen Oracle kon bewijzen dat de betreffende klanten net supportcontracten met SAP hadden afgesloten, werd de juridische dienst ingeschakeld.

zeer snel in zijn logs natuurlijk. Nu worden webserver logs niet al te vaak doorgeplozen, maar als je eens per week kijkt en je ziet op je AWStats/WebAlizer/etc ineens je uitgaande dataverkeer van 1GB per dag naar 10GB per dag gaan, dan valt dat wel op, en is gemakkelijk te zien dat het van één IP regio vandaan komt.

SAP dacht natuurlijk, we zitten erin, laten we alles maar meteen downloaden voordat toegang afgesloten wordt. Maar voor Oracle viel dat dus snel op, doordat niet-normaal gedrag vaak snel tevoorschijn komt.

En het gebruik van meerdere IPs verspreid over geografische locaties maakt ook niets uit, als je dezelfde account gegevens gebruikt om toegang te krijgen.

Echter kan deze rechtzaak ook andere gevolgen krijgen. Zowel Oracle als SAP hebben genoeg geld om dit tot het allerhoogste rechtelijke nivo uit te spelen, waardoor een eventuele uitspraak van het Amerikaanse/Duitse hooggerechtshof ook van toepassing kan zijn op bijvoorbeeld P2P/etc downloads.

[Renegade]

SAP dacht natuurlijk, we zitten erin, laten we alles maar meteen downloaden voordat toegang afgesloten wordt. Maar voor Oracle viel dat dus snel op, doordat niet-normaal gedrag vaak snel tevoorschijn komt.

Natuurlijk hebben ze dat gedacht. Uiteindelijk is het niet zo dat we zelf ook al jaren lang Oracle als DB ondersteunen en daar ook zelf al support op gaven. Verder hebben we ook geen consultants van andere firma's in huis die gebruik maken van de Oracle KB en tenslotte hebben we al helemaal geen klanten die zelf een grote klant zijn bij Oracle.

Het is echt niet zo dat SAP hiervoor geen (al dan niet gedeeltelijke) toegang zou hebben gehad tot dezelfde informatie. Daarnaast hebben we bijvoorbeeld ook ontwikkelaars en consultants van Oracle zelf on-site zitten die ook bij informatie kunnen die zelfs niet voor grote klanten toegangkelijk is. De motivatie 'dat we er ineens bij zouden kunnen en alles zouden moeten downloaden omdat anders het account niet meer zou werken' lijkt me dan ook zwaar overdreven.

[aequitas]

als je duizende documenten binnen een paar dagen download dus wel

[TheekAzzaBreek]

@napel25: Ik geloof niet dat Oracle bijhoud of downloads sporen met licenties, dit is vast een eenmalige uitzoek actie geweest. Oracle is altijd zwak geweest in het afdwingen van licenties, het is nooit een probleem om meer kopieen te draaien van gelicenceerde software, of zelfs ongelicenceerde software.

@Geronimo: Bij Oracle is zo ongeveer alles te downloaden, en ook legaal te gebruiken voor studie en onderzoek doeleinden. Als jij voor de hobby, of om je vaardigheden op te poetsen Oracle 10R3 met alle toeters en bellen wil installeren kan je dat doen. Ik vind dat eigenlijk wel slim. De echte zakelijke klanten betalen toch wel, die gaan geen risico's lopen, al was het maar om de PR rampen die dat met zich meebrengt.

[Rene59]

Als een bedrijf iets dergelijks flikt bij een ander bedrijf, noemt men het bedrijfsspionage.
Als de EU iets dergelijks afdwingt bij een bedrijf, noemt men het bevordering van concurrentie.
Ik ben benieuwd wat de uitkomst van deze rechtszaak gaat worden...

[JeanJeremy]

Zelf geen SAP-expert, maar draait er onder SAP niet bijna altijd een Oracle database ?

[Asteroid9]

Lang niet altijd, je hebt een beperkte keuze maar er zijn een aantal opties.
IBM DB2 wordt ook heel veel gebruikt.

[Verwijderd]

vergeet MSSQL op windows omgevingen niet

verder inderdaad DB2, oudere versies kunnen nog het MAXDB gebruiken en oracle

[marty]

en tegenwoordig ook MySQL

[rinkel]

Oracle maakt niet alleen databases, maar ook zakelijke software (JD Edwards, PeopleSoft etc) en op dat vlak concurreren ze met SAP

[Jake V]

En bij ons onder Linux...ech waar!

[cyuen]

Twee punten

Ten eerste vraag me af of het mogelijk is documenten at te schermen voor je concurrent. Wat gebeurd er bijv als een bedrijf Peoplesoft gebruikt voor HR en SAP voor logistiek? Een veelvoorkomende scenario, waarbij mensen toch interfaces wil gaan bouwen en zonder documentatie zitten mensen te ploeteren in het donker
Trouwens heel veel bedrijven hebben SAP dus waarom geen SAP & Oracle support?

Tweede vraag, concreet is deze rechtzaak. Aangezien dit de VS is en ze zo ongeveer alles wat lost en vast zit een rechtzaak tegen je aanspannen of om je zoveel mogelijk schade te berokkenen of zoveel mogelijk geld te ontvangen

@mdevente: Ik zie het al voor me... Hallo ik wil een SAP cursus doen, ben je van Oracle? Zo ja dan mag je de cursus niet volgen . Cursussen/forums liggen al publiek op straat of internet, bedrijven weten al precies de programma code ervan bij SAP.. anders weten ze ook niet wat je moet aanpassen

[Verwijderd]

Tja, er is wel wat veschil tussen een bepaald project verspoedigen door wat documentatie dat de klant zelf al in handen heeft te gebruiken, of dat je gewoon alle lijnen los zet om maar zo veel mogelijk documentatie die uitendelijk niet voor jou bestemd is binnen te halen!
Als je het dan ook nog eens niet alleen gebruikt om integratie projecten te verspoedigen, maar ook om simpelweg algehele support aan te bieden voor veel minder dan dat oracle dat zelf doet ben je aardig verkeerd bezig in mijn ogen! Zeker als daar 8milard per jaar in omgaat.

Maar goed, SAP zal er vast geen bezwaar tegen hebben alss Oracle ook al hun documentatie even gaat binnen leechen, want dat maakt volgens jou toch niet uit

[Verwijderd]

De documentatie van SAP is redelijk eenvoudig toegankelijk voor ieder die daar in geinteresseerd is: help.sap.com bijvoorbeeld.

Manuals die nomaal achter een login verborgen zijn, zijn via google ook redelijk eenvoudig te vinden. Daarbij is het redelijk eenvoudig om aan een inlog te komen voor de SAP service site als je je in het wereldje bevindt.

Ik ben benieuwd wat er precies gebeurd is en wat het doel van de downloadactie nu precies was van deze Amerikaanse DOCHTER, niet SAP AG zelf.

[Verwijderd]

Juist, en die gaan het niet op een set DVD'tjes zetten en doorsturen naar de baas.

[Verwijderd]

Het is dan ook niet bepaald slim om dit met het ip (of meerdere) van de zaak te doen

Uiteraard is het natuurlijk helemaal niet passend bij een dergelijk groot bedrijf

@ sCHuTt
Een proxy staat toch ook op eigen terrein?
Het externe IP staat dus gewoon op naam van het bedrijf.
Met behulp van de proxy wordt het aantal externe IP adressen enkel gereduceerd.

[abot13]

anonieme proxy's staan op het net en maskeren het IP adres vanwaar het verkeer komt

[Don_Gulio]

@ Napel25: Ja dat wordt bijgehouden, en nee, er worden geen conclusies aan verbonden. Iedereen mag de software immers testen.

Verder is het voor Oracleniet te doen om softwaregebruik af te schermen middels een code of wat dan ook, en dat komt door de licentiemethode (die afwijkt van bijv. Microsoft...daar gaat het per server/cal etc). Met het huidige licentiemodel zou dat alleen kunnen wanneer er specitieke applikatie ontwikkelings methoden worden opgelegd aan 3rd party leveranciers, waarin bepaald wordt hoe het 'gebruik' gepecificeerd en kekwantificeerd kan worden. Uiteraard is dat niet haalbaar en/of wenselijk.

@DickCAH
SAP mag zeker wel support leveren. Sterker nog....dat wordt zelfs van ze verwacht wanneer klanten een 'ingebakken' Oracle licentie kopen bij SAP. Dan is het gebruiksrecht tot de oracle produkten beperkt tot de SAP applikatie. Oracle kent deze klanten niet eens met naam/toenaam. SAP moet dan namelijk gewoon een percentage v/d omzet aan Oracle afdragen en daarmee is de kous af. Ze mogen ook zonder meer een database installeren bij een klant. Dat mag iedereen ...maar de gebruiker (=licentienemer...dus de eindklant) is verantwoordelijk voor de juiste licenties.

[Thundy]

Het inloggen op de service market place van SAP met een inlog van een klant waarvoor je beheer doet is heel normaal. Waarschijnlijk bij Oracle net zo.

En die documentatie is dus bedoeld voor beheerders en in mindere maten voor de klanten zelf, ik zie niet in wat SAP fout heeft gedaan als beheer organisatie.

Als dit bedrijfsspionage is dan zijn alle 3rd party beheer organisaties daar waarschijnlijk schuldig aan.

[sCHuTt]

Lijkt me sterk dat een bedrijf als SAP simpelweg vanaf het eigen IP documentjes gaat snoepen... De domme term "proxy" schiet me binnen..