SAP-Berechtigungskonzepte: Mit entsprechenden Tools lassen sich ungenutzte Berechtigungen und überfrachtete Rollen automatisiert identifizieren und bereinigen.

Mit entsprechenden Tools lassen sich ungenutzte Berechtigungen und überfrachtete Rollen automatisiert identifizieren und bereinigen. (Bildquelle: Sivis)

Ein SAP-Berechtigungskonzept bildet die relevanten Rechtsnormen und unternehmensinternen Regelungen ab, die es mit den IT-Sicherheitsvorgaben innerhalb eines SAP-Systems in Einklang zu bringen gilt. Durch das rudimentäre Regelwerk, das SAP bietet, ist das oft mit Herausforderungen verbunden. Mit einem durchdachten Berechtigungskonzept lässt sich der administrative Aufwand jedoch deutlich reduzieren – bei gleichzeitiger Erfüllung der rechtlichen Auflagen. Es schafft nicht nur die gewünschte Compliance, also nachvollziehbare Strukturen samt lückenloser Dokumentation und Versionierung, sondern stattet auch jeden Benutzer regelkonform mit den Berechtigungen im SAP-System aus, die für seine Aufgaben nötig sind.

Kein Zeichen von Misstrauen, sondern unverzichtbarer Schutz

Wer glaubt, klare Berechtigungen seien ein Zeichen von Misstrauen, liegt falsch. Sie dienen dem Schutz des Versorgungsunternehmens und der Mitarbeiter gleichermaßen. So lassen sich Schäden verhindern, die durch versehentliche Handlungen der Beschäftigten entstehen können. Typische Beispiele hierfür sind das Aufheben einer Liefersperre oder die falsche Verwendung einer Massenänderungsfunktion. Zugleich schützt ein Berechtigungskonzept vor Betrugsversuchen, zum Beispiel, dass Mitarbeiter Bilanzen fälschen und auf diese Weise Stakeholdern schaden.

Von (un)angekündigten Audits und historisch gewachsenen Berechtigungen

Obwohl SAP-Berechtigungskonzepte Energieversorger und Stadtwerke vor erheblichen finanziellen Schäden und Reputationsschäden bewahren können, beschäftigt sich der Großteil erst damit, wenn externe und interne Ereignisse sie dazu zwingen. Zu den externen Ereignissen gehören klassischerweise Audits und Wirtschaftsprüfungen. Intern führen in der Regel historisch gewachsene Berechtigungen zu Konflikten und erfordern dann eine Reduzierung bis hin zu einer grundlegenden Bereinigung. Aber auch eine in naher Zukunft unausweichliche Migration auf S/4 Hana Utilities veranlasst Versorgungsbetriebe dazu, sich mit dem Thema Berechtigungen befassen zu müssen.

Drei Handlungsmöglichkeiten, ein Ziel

Sehen sich EVU mit einem dieser Ereignisse konfrontiert, haben sie im Wesentlichen die folgenden drei Handlungsmöglichkeiten

Kurz vor knapp

Natürlich steht es Versorgern frei, zunächst eine Warteposition einzunehmen und ihr SAP-Berechtigungskonzept samt IS-U erst anzugehen, wenn kein Weg mehr daran vorbeiführt. Zu empfehlen ist dies allerdings nicht – vor allem dann nicht, wenn das nächste Audit vor der Tür steht. Betriebe sind gut beraten, nicht erst einen solch zeitkritischen Trigger als Anlass zu nehmen, um sich mit ihrem Berechtigungskonzept zu beschäftigen.

Punktuelle Anpassungen

Eine weitere, eher notgedrungene Möglichkeit für Versorger ist es, reaktiv punktuelle Anpassungen hinsichtlich ihres SAP-Berechtigungskonzepts vorzunehmen und so den aktuellen Handlungsdruck zu lindern. In Fachkreisen wird ein solches Vorgehen auch gerne als Feigenblatt-Methode bezeichnet. Diese ist oft weniger prozessgetrieben und macht ­nach einer gewissen Zeit – zum Beispiel aufgrund zu vieler Schnittstellen, Work­arounds oder Intransparenzen – einen Neuanfang unausweichlich. Denn echte Quick-Wins entstehen nur dann, wenn die punktuellen Anpassungen mit Weitsicht umgesetzt werden und eine künftige, ganzheitliche Lösung bei der Planung bereits berücksichtigt wird.

Ganzheitlicher Ansatz

Das Optimum für Energieversorger ist, ihr SAP-Berechtigungskonzept samt IS-­U in eine ganzheitliche Strategie einzubetten – das heißt, dieses mittels eines integrierten Systems modular einzuführen. Das mag zwar auf den ersten Blick aufwendiger sein als punktuelle Anpassungen, hat aber mehrere Vorteile. Zum einen müssen Versorger keine Schnittstellen entwickeln. Zum anderen lässt sich die Lösung aufgrund ihres modularen Aufbaus perfekt auf die individuellen Unternehmens- und Mitarbeiterbedürfnisse zuschneiden. Wenn man so möchte, lindert diese Methode nicht nur den Handlungsdruck, sondern packt das Problem an der Wurzel.

Drei Szenarien für die Einführung von SAP-Berechtigungskonzepten

Genauso individuell wie jedes einzelne Versorgungsunternehmen sind auch ihre SAP-Berechtigungskonzepte und deren Implementierung beziehungsweise Optimierung. Der eine Königsweg ist demnach ein Mythos. Die folgenden drei Szenarien zeigen daher beispielhaft die vielfältigen Wege bei SAP-Berechtigungskonzepten einschließlich IS-U auf.

Szenario 1: Mit S/4 Hana Utilities zukunftsfähig sein

Ein Stadtwerk möchte die Migration von SAP IS-U auf S/4 Hana Utilities zeitnah realisieren, um sich einerseits zukunftsfähig aufzustellen und um andererseits die Chance für eine Berechtigungs- und Lizenz-Optimierung zu nutzen. Im Vorfeld wurde hierfür ausführlich diskutiert, welcher Migrationsansatz sich am besten eignet – Greenfield, Brown­field oder Bluefield. Auf der Grundlage ihrer spezifischen Anforderungen und nach gründlicher Abwägung hat sich das Unternehmen schließlich für den Greenfield-Ansatz entschieden, also der Neuimplementierung eines S/4 Hana-Systems. Der Versorger weiß, dass es sinnvoll ist, noch vor dem Go-live ein neues Berechtigungskonzept aufzusetzen, um den klassischen Wildwuchs zu vermeiden und die Compliance sofort sicherzustellen. Nur so lassen sich beim Go-live – zum Beispiel aufgrund von vordefinierten, zu weitreichenden Rollen und Rollen-Zuteilungen – diverse Sicherheitsprobleme vermeiden. Daher beschließt das Unternehmen im Vorfeld den System-Trace von SAP als Grundlage zu nutzen, um kontinuierlich das Benutzerverhalten aufzuzeichnen. Darauf basierend leitet das Stadtwerk entsprechende Anpassungen ab und überführt diese in das neue Berechtigungskonzept einschließlich IS-U. Nach einer Optimierungsphase sind jegliche Sicherheitsprobleme ausgeräumt und die Migration mit den neuen Berechtigungen erfolgreich abgeschlossen.

Szenario 2: Check-up für bevorstehende Auditprüfung

Im Zuge eines internen Audits, das eigentlich nur zu Testzwecken oder zur Vorbereitung des alljährlich anstehenden Audits dienen sollte, stellt ein Gaskonzern fest, dass er diverse Herausforderungen hinsichtlich seiner SAP-­Berechtigungen hat – unter anderem was die Funktionstrennung bei Benutzern in geschäftskritischen Bereichen betrifft. So können aktuell zum Beispiel diverse Mitarbeiter ohne echte Notwendigkeit Lieferanten anlegen, einen Wareneingang buchen und zu allem Überfluss auch den Zahllauf starten. Diese Problematik entstand infolge unzureichend kontrollierter Rollenzuweisungen in der Vergangenheit. Um seinen punktuellen Handlungsdruck schnell – und vor allem rechtzeitig – zu beheben, sucht der Konzern nach einer intelligenten Lösung, die die Compliance-Prozesse automatisiert und in der sich die Prüfung, Freigabe und Mitigation von Konflikten benutzerfreundlich und sicher darstellen lässt. Der Versorger entscheidet sich für eine Lösung, die eine automatische Prüfung vor und nach Änderungen von Berechtigungen und Rollen durchführen kann. Der große Vorteil: Der Gaskonzern kann vor der anstehenden Prüfung sicher­stellen, dass die relevanten Audit-Konflikte erkannt, revisionssicher dokumentiert und versioniert sind. Dies garantiert zudem, dass bei künftigen Änderungen bereits vor dem Antragsworkflow relevante Verstöße angezeigt werden und sich diese so vermeiden lassen. Das reduziert Prozesskosten und stellt eine effiziente Prüfung mit weniger Vorarbeit sicher.

Szenario 3: Historisch gewachsenes Rollenkonzept schrumpfen

Eine Umstrukturierung verbunden mit neuen unternehmensweiten Compliance-Vorgaben stellt ein großes Energieunternehmen vor die Herausforderung, sämtliche Berechtigungen und Rollen zu überprüfen. Dieses Vorhaben entpuppt sich als Herkulesaufgabe, denn die Systeme sind in den vergangenen 10 bis 15 Jahren stark gewachsen. Zwar wurden regelmäßig neue Rollen und Berechtigungen hinzugefügt, jedoch selten bis gar nicht auf Sinnhaftigkeit überprüft. Nur zu gerne möchte das Unternehmen die alten »Monsterrollen« schrumpfen und den Usern überflüssige Berechtigungen entziehen. Schnell stellt sich allerdings heraus, dass sich dies weder mit den SAP-Bordmitteln noch manuell mit vertretbarem Aufwand bewerkstelligen lässt. Das Energieunternehmen braucht eine einfache Lösung, mit der sich ungenutzte Berechtigungen und überfrachtete Rollen automatisiert identifizieren und bereinigen lassen. Damit kann es sich bereits nach kurzer Zeit von seinen historisch gewachsenen Altlasten befreien. Neben verschlankten adminis­trativen Arbeiten profitiert das Energieunternehmen fortan von einem deutlich geringeren Prüfungsaufwand bei Audits. Die verringerten Lizenzkosten lassen die neue Übersichtlichkeit zusätzlich positiv erscheinen. Aufgrund der einfachen Bedienbarkeit und schnell erzielten Erfolge plant das Unternehmen, das Tool in weiteren seiner Business-Units einzusetzen.

Fazit: Keine Scheu vor SAP-Berechtigungskonzepten

Berechtigungskonzepte samt IS-U einzuführen oder auf einen zeitgemäßen Stand zu bringen, muss nicht zwingend einen großen Aufwand bedeuten. Bereits mit punktuellen Optimierungen lassen sich Quick-Wins erzielen. Darüber hinaus werden sich künftig mithilfe komplexer Algorithmen in Verbindung mit künstlicher Intelligenz die Analyse, Erstellung und Überarbeitung von SAP-Berechtigungskonzepten automatisiert und damit wesentlich effizienter gestalten. Dennoch: Den viel beschworenen Königsweg gibt es nicht. So sind die Wege zu einem zeitgemäßen SAP-Berechtigungskonzept genauso individuell wie die Versorgungsunternehmen, die sie beschreiten. Dies sollten sie als Chance begreifen, ein auf ihre Bedarfe abgestimmtes – und künftig KI-gestütztes – Vorgehen auszuloten. Zahlreiche erfolgreiche Beispiele aus der Praxis machen es vor. So legen Energieversorger und Stadtwerke nicht nur die Scheu vor SAP-Berechtigungskonzepten ab, sondern sind auf dem besten Weg, die Compliance und IT-Sicherheit auf ein belastbares Niveau zu heben.

Andreas Knab, Experte für SAP-Berechtigungen und Lizenzierung, Sivis GmbH, Karlsruhe, andreas.knab@sivis.com, www.sivis.com

Ähnliche Beiträge