Wie sieht das Identity & Access Management (IAM) in SAP-Landschaften nach 2027 aus? Diese Frage stellen sich Unternehmen, die bisher SAP Identity Management (IdM) im Einsatz haben. Am 31. Dezember 2027 wird das Wartungsende für SAP IdM Realität. Gegen Aufpreis ist zwar eine Extended Maintenance bis 2030 möglich, diese Variante taugt aber allenfalls als Übergangslösung und nicht als belastbare IAM-Strategie. Aus diesem Grund ist es wichtig, möglichst zeitnah mit der Ablösung von SAP IdM und der Einführung eines alternativen IAM-Tools zu starten.
SAP Identity Management (IdM) läuft am 31. Dezember 2027 aus der Wartung, auch die Extended Maintenance (bis 2030) bietet keine langfristige IAM-Perspektive.
Als Nachfolgelösungen kommen beispielsweise Microsoft Entra ID, One Identity, Omada, Sailpoint in Frage.
Die SAP Cloud Identity Services (SAP IAS und SAP IPS) spielen künftig eine zentrale Rolle für das Identity & Access Management in SAP-Landschaften und sind auch für KI-Anwendungen mit SAP Joule essenziell.
Best Practices für die SAP IdM-Ablösung und das Vermeiden von typischen Fallstricken sorgen für eine reibungslose Projektdurchführung.
Das Supportende für SAP Identity Management bringt erhebliche Konsequenzen für Unternehmen mit sich. Nach 2027 werden keine Sicherheitsupdates mehr bereitgestellt, sodass kritische Lücken im System bestehen bleiben statt geschlossen zu werden. Unternehmen müssen weiterhin Lizenzkosten bezahlen, ohne dafür einen adäquaten Gegenwert zu erhalten. Außerdem dürfte es zunehmend schwieriger werden, SAP IdM-Experten für einen andauernden Support zu finden. Der Einsatz eines vom Hersteller nicht mehr unterstützten IAM-Systems kann zu Compliance-Verstößen führen. Eine weitere Herausforderung ist, dass sich moderne Systeme nicht mehr ohne Weiteres in die alte IAM-Bestandslösung integrieren lassen.
Die SAP-Referenzarchitektur sieht für die Integration in die gesamte SAP-Landschaft – das gilt für On-Premise- und für Cloud-Systeme – die SAP Cloud Identity Services vor. Ebenso hat Microsoft Entra ID einen festen Platz in der SAP-Referenzarchitektur. Hintergrund ist eine strategische Partnerschaft zwischen Microsoft und SAP, die Microsoft zu einem Preferred Supplier macht.
Das bedeutet allerdings nicht, dass Microsoft Entra ID die einzige Alternative für die Ablösung von SAP IdM darstellt. Generell lässt sich jedes auf dem Markt verfügbare IAM-Tool für SAP-Landschaften verwenden. Die entscheidende Frage lautet, inwieweit sich damit die erforderliche Konnektivität in Richtung der SAP-Systeme sicherstellen lässt. Namhafte IGA-Plattformen sind beispielsweise One Identity, Omada, Sailpoint oder die Open-Source-Lösung Midpoint. Eines steht jedoch fest: Unabhängig vom gewählten IAM-System bleiben die SAP Cloud Identity Services hochgradig relevant.
Die maßgebliche Bedeutung der SAP Cloud Identity Services ergibt sich nicht nur aus der SAP-Referenzarchitektur. Vielmehr nehmen die SAP Cloud Identity Services im Zusammenhang mit dem Einsatz von künstlicher Intelligenz mit SAP Joule eine entscheidende Rolle ein. Denn KI-Agenten sollten nicht beliebig auf jede Ressource zugreifen dürfen, sondern müssen ebenso wie menschliche Benutzer zertifiziert, auditiert und berechtigt werden.
An dieser Stelle kommen die SAP Cloud Identity Services ins Spiel. SAP Joule nutzt sie für die Authentifizierung. Ohne die SAP Cloud Identity Services ist SAP Joule nicht in der Lage, sich mit dem Ökosystem zu verbinden und anwendungsübergreifend zu arbeiten – dementsprechend kann die KI nicht den gewünschten Mehrwert liefern. KI-gestützte Prozesse benötigen eine zentrale Identitätsverwaltung. Diese stellen die SAP Cloud Identity Services bereit.
Darüber hinaus setzt die SAP Business Technology Platform (BTP) die SAP Cloud Identity Services als Standard-Identity-Provider voraus. Sie werden benötigt, um SAP BTP-Apps zu deployen. Für SAP S/4HANA Cloud Private Edition und SAP S/4HANA Cloud Public Edition ist der SAP Identity Authentication Service (ein Bestandteil der SAP Cloud Identity Services) für die Single-Sign-On-Anbindung vorgeschrieben. Grundsätzlich wird die Konnektivität mit SAP-Systemen dank der SAP Cloud Identity Services vereinfacht, weil sich SAP selbst um die Wartung der Konnektoren kümmert.
Die wesentlichen Bestandteile der SAP Cloud Identity Services sind der SAP Identity Authentication Service (IAS) und der SAP Identity Provisioning Service (IPS). Die beiden Komponenten stellen alle benötigten Grundfunktionalitäten bereit: Während SAP IAS als zentrales Single Sign-On (SSO) und als Multi-Faktor-Authentifizierung (MFA) für alle SAP-Applikationen fungiert, übernimmt SAP IPS die automatisierte Benutzerbereitstellung in SAP-Systemen. Ebenfalls relevant in diesem Zusammenhang – wenn auch nicht Teil der SAP Cloud Identity Services – ist SAP Cloud Identity Access Governance (IAG), womit sich Themen wie Risk Management und Funktionstrennungen umsetzen lassen.
Die parallele Nutzung der SAP Cloud Identity Services und eines externen IAM-Systems ist kein Widerspruch, vielmehr ergänzen sich die Lösungen. Das externe IAM-System sorgt für das IGA-Fundament und die SAP Cloud Identity Services bilden die SAP-spezifische Identity-Schicht. SAP IAG ergänzt in einem solchen Szenario die Cloud-Governance.
Typische Kombinationen aus der Praxis:
Microsoft Entra ID und die SAP Cloud Identity Services gelten als Standardszenario für SAP Cloud-Systeme.
One Identity, SAP Cloud Identity Services und SAP IAG sind ein bewährtes Konzept in hybriden Landschaften.
Die Kombination aus SAP GRC und SAP IAG eignet sich, um SoD-Prüfungen on-premise und die Cloud-Governance parallel halten zu können.
Bei der Ablösung von SAP IdM lauern bestimmte Fallstricke, die Schwierigkeiten verursachen und einer reibungslosen Projektdurchführung im Weg stehen können. Zu den häufigsten Fehlern gehören:
Das Berechtigungskonzept wird 1:1 aus dem Legacy-System übernommen. Besser ist es, wenn Unternehmen die Gelegenheit des Umstiegs nutzen, um das Berechtigungskonzept zu überarbeiten und an die aktuellen Gegebenheiten anzupassen.
Es erfolgt eine rein technische Migration ohne Prozessreview.
Die Hypercare-Phase (intensive Betreuung nach dem Go-Live) wird zu kurz geplant.
IAM-Governance wird als IT-Thema betrachtet. In Wahrheit handelt es sich dabei um ein Business-Thema, insbesondere mit Blick auf KI.
Die Migration wird als ausschließlich technisches Projekt aufgesetzt.
Wenn sich Unternehmen hingegen an eine Reihe von Best Practices stützen, erhöhen sie die Wahrscheinlichkeit, ihre Nachfolgelösung für SAP IdM erfolgreich zu implementieren. Diese Tipps schaffen dafür die Voraussetzung:
Dokumentieren Sie die Prozesse, bevor die Migration startet.
Denken Sie die Rollentrennung (SoD-Prüfung) von Anfang mit.
Planen Sie Testmandanten für alle Projektphasen ein.
Führen Sie Trainings für die Endanwender durch, die mit dem neuen IAM-System arbeiten sollen.
Das Wartungsende von SAP Identity Management rückt näher, daher ist rechtzeitiges Handeln wichtig. Die gute Nachricht: Es gibt keinen Mangel an Alternativen. Ob Microsoft Entra ID, One Identity, Omada oder SailPoint – Unternehmen können aus einer großen Auswahl an IAM-Tools diejenige Lösung identifizieren, die am besten zu ihren individuellen Anforderungen passt. Unabhängig davon sind die SAP Cloud Identity Services die zentrale SAP-spezifische Identity-Schicht und gerade für die KI-Agenten von SAP Joule unerlässlich. Wer jetzt mit dem IAM-Migrationsprojekt startet, verschafft sich den nötigen Vorlauf, um SAP IdM strukturiert und zukunftssicher abzulösen.