SAP-Berechtigungskonzept sicher gestalten

Die regulatorischen Anforderungen an SAP-Berechtigungskonzepte steigen stetig. Gleichzeitig verändert der Umstieg auf SAP S/4HANA die technische Grundlage für Rollen, Profile und Zugriffskontrolle. Dieser Leitfaden ordnet die zentralen Bausteine eines sicheren Berechtigungskonzepts ein und zeigt, worauf Unternehmen diesbezüglich achten sollten.

Das Wichtigste in Kürze:

• Ein SAP-Berechtigungskonzept regelt nach dem Prinzip der minimalen Rechtevergabe, wer im System welche Aktionen ausführen darf. Es schützt sensible Daten und macht die Berechtigungsstruktur für Audits nachvollziehbar.

• Mit SAP S/4HANA kommen Kataloge und Gruppen als zusätzliche Ebenen im Rahmen von SAP Fiori hinzu. Diese müssen mit den Backend-Berechtigungen konsistent sein.

• Bewährt hat sich ein Rollenmodell aus kleinen, granularen Einzelrollen, die über Sammelrollen zu Arbeitsplatzprofilen gebündelt werden.

• Das Berechtigungsredesign sollte frühzeitig als strategisches Projekt starten und mithilfe von Rezertifizierungen, Role Lifecycle Management und Notfallbenutzerkonzepten dauerhaft gepflegt und aktuell gehalten werden.

• KI-Agenten mit den passenden Berechtigungen auszustatten, wird zu einem zentralen Sicherheitsaspekt. Sie benötigen eigene Identitäten gemäß dem Prinzip der minimalen Rechtevergabe. Der SAP AI Agent Hub schafft die dafür notwendige Transparenz und Governance.

Steuern Sie, wer in Ihrer SAP-Landschaft worauf Zugriff hat

Was ein SAP-Berechtigungskonzept leistet

Ein SAP-Berechtigungskonzept legt fest, welche Benutzer welche Aktionen in einem SAP-System ausführen dürfen. Als Grundlage gilt das Prinzip der minimalen Rechtevergabe: Jeder Benutzer erhält nur die Berechtigungen, die er für die Erledigung seiner Aufgaben benötigt. Berechtigungsobjekte, Rollen und Profile bilden die technische Architektur, auf der dieses Prinzip aufsetzt.

Das Konzept schützt sensible Daten vor unberechtigtem Zugriff und gezieltem Missbrauch. Zusätzlich dokumentiert es die Berechtigungsstruktur für Audits und Prüfungen mit Bezug auf das Identity & Access Management. Ein klar definiertes Berechtigungskonzept ist die Voraussetzung, um Compliance-Anforderungen nachweisbar zu erfüllen.

Rollen und Profile in SAP S/4HANA richtig aufbauen

Der Umstieg auf SAP S/4HANA geht mit Veränderungen bei der Rollenpflege einher. SAP Fiori führt zusätzliche Ebenen ein: Kataloge steuern, welche Apps verfügbar sind; Gruppen bestimmen die Sichtbarkeit auf dem SAP Fiori Launchpad. Beide Ebenen müssen mit den Backend-Berechtigungen konsistent sein.

Bewährt hat sich ein Rollenmodell aus kleinen, granularen Einzelrollen, die über Sammelrollen zu Arbeitsplatzprofilen zusammengefasst werden. Einheitliche Namenskonventionen und eine saubere Trennung organisatorischer Daten durch abgeleitete Rollen erleichtern die Pflege und verbessern die Nachvollziehbarkeit.

Funktionstrennung etablieren und SoD-Konflikte vermeiden

Die Funktionstrennung (Segregation of Duties = SoD) beruht auf dem Grundsatz, dass kein einzelner Benutzer die vollständige Kontrolle über sensible Systeme, Prozesse oder Aktivitäten haben sollte. Ein typisches Beispiel: Wer einen Lieferanten anlegen darf, sollte keine Zahlungen an diesen Lieferanten freigeben. SoD-Konflikte gelten als einer der häufigsten Befunde in Berechtigungsaudits. Die korrekte Konfiguration von Berechtigungsobjekten bildet das Fundament jeder Zugriffskontrolle.

Beim Wechsel auf SAP S/4HANA reicht es nicht aus, bestehende SoD-Regeln einfach nur zu kopieren. Vielmehr machen neue Berechtigungsobjekte, OData-Services und das zentrale Business-Partner-Modell eine Überarbeitung der SoD-Matrix unbedingt erforderlich.

Berechtigungsredesign strukturiert umsetzen

Ein Redesign der Berechtigungen folgt in der Praxis einem phasenorientierten Ansatz, der von der Analyse bestehender Rollen über den Entwurf eines neuen Rollenmodells bis zum abgesicherten Go-Live reicht. Der Ablauf umfasst typischerweise fünf Schritte: erstens die Auswertung des Ist-Zustands und die Erstellung eines schriftlichen Konzepts; zweitens die Systemvorbereitung, einschließlich der Optimierung der SU24-Vorschlagswerte; drittens den Entwurf granularer Funktionsrollen; viertens die Abstimmung mit Fachbereichen und die Rollenumsetzung; und fünftens eine Simulation und einen abgesicherten Go-Live, bei dem Anwender für einen definierten Zeitraum auf frühere Berechtigungen zurückgreifen können, falls ein geschäftskritischer Prozess betroffen ist.

Berechtigungen nach dem Go-Live dauerhaft pflegen

Ein Berechtigungskonzept verliert mit der Zeit an Qualität und Passgenauigkeit, weil sich Organisationsstrukturen, Geschäftsprozesse oder regulatorische Rahmenbedingungen verändern. Regelmäßige Rezertifizierungen stellen sicher, dass erteilte Berechtigungen noch zum tatsächlichen Aufgabenprofil passen. Fachbereichsverantwortliche sollten in festen Zyklen prüfen, dass die Rollen ihrer Mitarbeiter weiterhin aktuell sind. Ist das nicht mehr der Fall, muss das Berechtigungskonzept entsprechend angepasst werden.

Ergänzend empfiehlt sich die Etablierung eines Role Lifecycle Management, das die Erstellung, Änderung und Löschung von Rollen in einem durchgängigen Prozess abbildet. Notfallbenutzerkonzepte sichern den Zugriff auf weitreichende Berechtigungen wie SAP_ALL ab und protokollieren jede Aktion, die unter diesem Profil erfolgt.

Ausblick: Berechtigungen für KI-Agenten

Mit dem vermehrten Einsatz von KI-Agenten kommt künftig eine weitere Dimension im Berechtigungskonzept hinzu: Agenten greifen selbstständig auf SAP-Daten zu und stoßen Aktionen an, ohne dass ein Mensch jede einzelne Entscheidung auslöst. So sieht zumindest die SAP-Vision vom Autonomous Enterprise aus. Damit gelten für die KI-Agenten dieselben Grundsätze wie für menschliche Benutzer. Jeder Agent benötigt eine klar definierte Identität, Berechtigungen nach dem Prinzip der minimalen Rechtevergabe und eine nachvollziehbare Protokollierung. Auch SoD-Konflikte können entstehen, wenn ein Agent Rechte bündelt, die einem Menschen nie gemeinsam zugewiesen würden. Passgenaue Berechtigungen für KI-Agenten müssen deshalb fester Bestandteil jedes zukunftsfähigen Berechtigungskonzepts sein.

Der SAP AI Agent Hub unterstützt dabei auf der Governance-Ebene. Er dient als zentrale Anlaufstelle, um KI-Agenten im Unternehmen zu erfassen, zu verwalten und zu steuern – auch über die SAP-Landschaft hinaus. Mit dem SAP AI Agent Hub lässt sich Transparenz über die eingesetzten KI-Agenten herstellen, das Entstehen einer Schatten-KI verhindern, Freigaben dokumentieren und die Agenten über ihren gesamten Lebenszyklus begleiten. Die konkrete Rechtevergabe bleibt Aufgabe des Berechtigungskonzepts, während der SAP AI Agent Hub den Überblick liefert, welche Agenten genau vorhanden und freigegeben sind. Wer beides zusammendenkt, behält auch in einer von agentischer KI geprägten SAP-Landschaft jederzeit die Kontrolle.

Fazit: Berechtigungskonzept als Fundament der SAP-Sicherheit

Ein revisionssicheres SAP-Berechtigungskonzept schützt sensible Unternehmensdaten, erfüllt Compliance-Vorgaben und schafft die Grundlage für eine kontrollierte SAP-Systemlandschaft. Wer den Umstieg auf SAP S/4HANA plant, sollte das Berechtigungsredesign frühzeitig als strategisches Projekt aufsetzen und nicht erst nachgeordnet im Anschluss an den erfolgten Go-Live angehen.

Dabei ist es unabdingbar, bereits heute auch KI-Agenten mitzudenken: Wer Identitäten, Rollen und Freigabeprozesse für Agenten von Anfang an im Berechtigungskonzept verankert und mit Governance-Werkzeugen wie dem SAP AI Agent Hub flankiert, ist auf SAP Business AI bestens vorbereitet. Allerdings: Noch ist das Autonomous Enterprise keine Realität. Es liegt an SAP, die versprochenen Funktionalitäten jetzt auch möglichst schnell in den Markt zu bringen. Statt abzuwarten sollten Unternehmen ihre Hausaufgaben machen und die eigene Infrastruktur auf die Zukunft der agentischen KI vorbereiten.