SAP Systeme: User Berechtigungen mit Konzept steuern

In IT Systemen, auf die verschiedene Nutzer Zugriff haben, weichen die Berechtigungen in der Regel voneinander ab. Wie ein Berechtigungskonzept für SAP Systeme und das neue SAP S/4HANA for Group Reporting aussehen kann.

Ziel eines Berechtigungskonzepts

Das Ziel eines Berechtigungskonzepts besteht darin, jeden User nach einer vorher definierten Regel individuell für seine Aufgaben mit den entsprechenden Berechtigungen im System zu versehen. Hierfür muss ein Berechtigungskonzept als Fundament für eine effiziente Berechtigungsvergabe definiert werden. So erhält jeder Mitarbeiter durch die rollenspezifische Vergabe von Berechtigungen entsprechend seiner Aufgaben System-Zugriff. Damit können einerseits sensible Informationen geschützt und andererseits Schäden durch falsche Verwendung von Daten verhindert werden.

Für ein Berechtigungskonzept muss ein klares Ziel definiert werden, das mithilfe des Konzepts erreicht werden soll. Darin sollte aufgelistet werden, welche regulatorischen Auflagen das jeweilige  System und das zugehörige Berechtigungskonzept berücksichtigen muss. Auf diese Weise werden die rechtlichen Rahmenbedingungen festgelegt, welche eine juristische Notwendigkeit zur erfolgreichen Umsetzung darstellen.

Eine universal anwendbare Vorlage für ein zuverlässiges und funktionierendes Berechtigungskonzept existiert aufgrund der Individualität und der unterschiedlichen Prozesse innerhalb jedes Unternehmens nicht. Im Rahmen der Erstellung müssen somit die Strukturen des Unternehmens und die relevanten Prozesse genau analysiert werden. Einige Kernelemente des zu erstellenden Berechtigungskonzepts können im Vorfeld definiert werden. Dazu gehören das übergeordnete Ziel, die rechtlichen Rahmenbedingungen, eine Namenskonvention, die Klärung von Verantwortlichkeiten und Prozessabläufen für das Benutzer- wie auch Berechtigungsmanagement sowie die Ergänzung durch Sonderberechtigungen. Nur mit klar definierten Verantwortlichkeiten wird die Wirksamkeit eines Konzepts gewährleistet.

Berechtigungskonzepte in SAP Systemen

Das SAP Berechtigungskonzept schützt Transaktionen, Programme, Services und Informationen in SAP Systemen vor unberechtigtem Zugriff. Auf Basis des Berechtigungskonzepts weist der Administrator den Benutzern die Berechtigungen zu, welche die Aktionen bestimmen, die dieser Benutzer im SAP System ausführen kann, nachdem er sich angemeldet und dabei authentifiziert hat.

Das vordefinierte Berechtigungskonzept einer SAP Lösung besteht aus mehreren Kernelementen (siehe Abbildung 1).

Abbildung 1: Rollen und Profile in der Nutzerverwaltung (SAP Standard)

Single Role: Ermöglicht die automatische Generierung eines Berechtigungsprofils. Die Rolle enthält die Berechtigungsdaten und das Anmeldemenü für den Benutzer.

Composite role: Besteht aus einer beliebigen Anzahl von Einzelrollen.

Authorization: Mit einer Authorization (Berechtigung) kann ein Benutzer eine bestimmte Aktivität im SAP System basierend auf einem Satz von Berechtigungsobjektfeldwerten ausführen. Berechtigungen ermöglichen Benutzern die Ausführung von Aktionen innerhalb des Systems.

Authorization object: Berechtigungsobjekte sind Gruppen von Berechtigungsfeldern, die eine bestimmte Aktivität steuern. Berechtigungsobjekte sollten immer im Vorfeld mit dem Nutzerkreis definiert werden und beziehen sich dann auf eine bestimmte Aktion innerhalb des Systems.

Authorization field: Berechtigungsfelder sind die grundlegenden Elemente eines Berechtigungsobjekts.

Wenn zum Beispiel in einem Berechtigungsobjekt für einen Buchungskreis dem Benutzer die Möglichkeit gegeben werden soll, den Buchungskreis 1000 nur im Anzeigemodus (also nur lesend) zu verwenden, jedoch den Buchungskreis 2000 im Modus „Ändern“ und „Anzeigen“, wird das Objekt entsprechend mit zwei Instanzen definiert.

Um auf Geschäftsobjekte zuzugreifen oder SAP Transaktionen auszuführen, benötigt ein Benutzer entsprechende Berechtigungen, da Geschäftsobjekte oder Transaktionen durch Berechtigungsobjekte (Authorization objects) mit mehreren Berechtigungsfeldern (Authorization fields) geschützt werden. Die Berechtigungen stellen Instanzen generischer Berechtigungsobjekte dar und werden abhängig von der Tätigkeit und den Verantwortlichkeiten des Mitarbeiters definiert. Die Berechtigungen werden in einem Berechtigungsprofil (Generated profil) zusammengefasst, das einer Rolle zugeordnet ist. Die Benutzeradministratoren ordnen dann die entsprechenden Rollen (Single role oder Composite role) über den Benutzerstammsatz zu, sodass der Benutzer die entsprechenden Transaktionen für seine Aufgaben verwenden kann.

Ein weiterer wichtiger Faktor, der in einem Berechtigungskonzept berücksichtigt werden sollte, besteht darin, eine einheitliche Namenskonvention zu verwenden, weil einerseits vieles nach der Erstbenennung nicht mehr änderbar ist und andererseits so die Suchbarkeit im SAP System sichergestellt wird. Zusätzlich sollten die voreingestellten Berechtigungsrollen des SAP System niemals überschrieben oder gelöscht werden, sondern lediglich Kopien davon erstellt werden, welche dann beliebig angepasst werden können.

Im Bereich der Konzernkonsolidierung sorgt ein Berechtigungskonzept dafür, dass keine Daten bewusst manipuliert werden können, um z.B. Bilanzen zu verändern. So kann erheblicher finanzieller- oder Reputationsschaden gegenüber Banken und Stakeholdern verhindert werden. Des Weiteren muss der Zugriff auf Finanzdaten von Teilbereichen eines Konzerns, wie einzelne Geschäftsbereiche oder Gesellschaften nur den Mitarbeitern vorbehalten sein, die diese auch aufrufen dürfen, da ihre laufenden Tätigkeiten dies erfordern. Daraus resultiert, dass z.B. ein Controller eines Geschäftsbereichs nur die konsolidierten Zahlen seines Geschäftsbereichs einsehen kann, nicht aber die Zahlen des gesamten Konzerns. Weitere Berechtigungsrollen werden bspw. für externe Wirtschaftsprüfer benötigt. Diese prüfen sämtliche Zahlen des gesamten Konzerns, dürfen somit aber nur einen Lesezugriff auf diese Daten besitzen.

Die voreingestellten Berechtigungsrollen des neuen SAP-Systems für die Konsolidierung und Planung, SAP Group Reporting,sind in der folgenden Grafik dargestellt. Hierbei ist es nicht entscheidend, ob der Zugriff auf das System über den Browser (Fiori Launchpad) oder über den lokalen Zugang (SAP GUI) erfolgt. Die in der Grafik dargestellten Berechtigungsrollen zeigen lediglich die durch SAP voreingestellten technischen Spezifikationen. Allerdings können diese als Aufsatzpunkt genutzt und nach der Erstellung einer Kopie entsprechend angepasst werden.

Abbildung 2: Voreingestellte Berechtigungsrollen in SAP Group Reporting

Grundlegend wird empfohlen das Thema Berechtigungskonzeption frühzeitig in die Projektplanung bei einer Neuimplementierung aufzunehmen, um so spätere Nacharbeiten zu verhindern und außerdem die anfallende Abnahme durch externe Prüfer problemlos durchlaufen zu können.