In vielen Unternehmen ist das SAP-Berechtigungsmanagement über Jahre organisch gewachsen. Jede Migration, jedes Upgrade, jede organisatorische Anpassung hinterlässt Spuren im Rollenmodell. Was kurzfristig praktikabel erscheint, führt langfristig zu strukturellen Risiken im SAP-System. Das Problem liegt nicht in einzelnen Fehlern, sondern in der schleichenden Komplexität. Berechtigungsstrukturen werden erweitert, selten konsolidiert und nicht systematisch überprüft. Dadurch entsteht ein Zustand, in dem Sicherheit fehlt, Verantwortlichkeiten unklar sind und operative Risiken zunehmen. Fehlende Housekeeping-Prozesse im SAP-Berechtigungsmanagement

In der Praxis werden Rollen regelmäßig ergänzt, wenn neue Aufgaben, Module oder Geschäftsprozesse hinzukommen. Eine systematische Bereinigung findet hingegen selten statt. Temporäre Berechtigungen bleiben dauerhaft bestehen. Projektrollen werden nach Go-live nicht zurückgebaut. Alte Transaktionen bleiben im Rollenprofil, obwohl sie nicht mehr genutzt werden. Ohne definierte Prüfzyklen und klare Verantwortlichkeiten lässt sich nicht mehr eindeutig nachvollziehen: ● welche SAP-Berechtigungen aktiv genutzt werden ● welche Zugriffsmöglichkeiten historisch gewachsen sind ● welche Rollen redundante oder überflüssige Berechtigungen enthalten Das Ergebnis ist ein Rollenmodell, das formal existiert, aber faktisch nicht mehr steuerbar ist. Dokumentationslücken und Wissensverlust

Ein weiteres strukturelles Risiko entsteht durch unvollständige oder veraltete Dokumentation. In vielen SAP-Systemen fehlt ein belastbares Berechtigungskonzept, das Rollenlogik, Vergabekriterien und Funktionstrennungen nachvollziehbar beschreibt. Besonders kritisch wird es in Übergabe- oder Transition-Phasen. Verlässt ein erfahrener SAP-Basis- oder Berechtigungsadministrator das Unternehmen, geht häufig implizites Wissen verloren. Neue Verantwortliche übernehmen ein komplexes Rollenmodell, ohne dessen Entstehung oder Logik vollständig zu kennen. Die Folgen sind deutlich: ● Anpassungen erfolgen ohne Gesamtüberblick ● bestehende Strukturprobleme werden fortgeschrieben ● Audit-Vorbereitungen werden zeitintensiv und fehleranfällig Statt gezielter Steuerung entsteht reaktive Verwaltung. Auswirkungen in großen Organisationen

In Unternehmen mit 500 bis 20.000 SAP-Anwendern vervielfachen sich diese Effekte. Kleine Strukturfehler bleiben nicht isoliert, sondern wirken sich systemweit aus. Unklare Rollenvererbungen führen zu unkontrollierten Mehrfachberechtigungen. Fehlende Funktionstrennung begünstigt SoD-Konflikte. Der Pflegeaufwand steigt mit jeder organisatorischen Anpassung. Je größer das SAP-System, desto kritischer wird sauberes SAP-Berechtigungsmanagement. Ohne klare Struktur wächst die Komplexität schneller als die Kontrollmechanismen.

SAP-Berechtigungen sind kein isoliertes Verwaltungsthema. Sie greifen direkt in die technische Struktur Ihres SAP-Systems ein. Wer Berechtigungsmanagement rein organisatorisch betrachtet, übersieht zentrale Abhängigkeiten in der SAP-Basis, der Systemlandschaft und den angebundenen Komponenten. Ein belastbares SAP-Berechtigungsmanagement setzt daher technisches Verständnis voraus. Rollen, Profile und Zugriffsmöglichkeiten sind Bestandteil der Systemarchitektur. Was SAP-Basis technisch umfasst und warum Berechtigungen hier eingreifen Die SAP-Basis bildet das technische Fundament Ihres SAP-Systems. Sie umfasst unter anderem:

● Betriebssystem und Systemarchitektur ● Datenbankebene ● Release-Upgrades und Support Packages ● Performanceanalyse und Systemmonitoring ● Einspielen von Sicherheits-Patches

SAP-Berechtigungen wirken ausschließlich innerhalb der SAP-Anwendung. Sie steuern, welche Transaktionen, Programme, Tabellen oder Fiori-Apps ein Benutzer nutzen darf. Zugriffe auf Betriebssystem, Datenbank oder Systemarchitektur werden separat geregelt und sind nicht Teil des SAP-Berechtigungsmanagements

Berechtigungsmanagement ist damit kein Zusatzanforderung, sondern integraler Bestandteil der technischen Stabilität.

Systemlandschaft und Mandantenstruktur: Wo Inkonsistenzen entstehen

In der Regel besteht eine SAP-Systemumgebungsarchitektur aus mehreren Umgebungen: ● Entwicklungsumgebung (DEV), in der Anpassungen programmiert werden ● Testumgebung (QAS), in der Änderungen geprüft und freigegeben werden ● Produktivumgebung (PRD), in der das System im täglichen Betrieb genutzt wird

Rollen werden im Development-System entwickelt, in QAS getestet und anschließend weitertransportiert. Dieses Vorgehen stellt sicher, dass Änderungen nachvollziehbar, dokumentiert und geprüft sind.

Problematisch wird es, wenn Rollen direkt im Produktivsystem angepasst werden. Dadurch entstehen Abweichungen zwischen DEV, QAS und PRD. Bei späteren Transporten überschreiben Änderungen einander oder führen zu widersprüchlichen Rollenständen. Zusätzlich verschärft eine mandantenabhängige Pflege die Situation.

Unterschiedliche Rollenstände führen zu:

● Problemen bei Release-Wechseln ● unerwarteten Effekten nach Support Packages ● erhöhtem Aufwand in Audit-Prüfungen Ein sauberes SAP-Berechtigungsmanagement berücksichtigt daher immer die gesamte Systemlandschaft, nicht nur das einzelne SAP-System.

Moderne SAP-Landschaften bestehen nicht mehr nur aus klassischem ERP mit SAP-GUI-Oberfläche. HANA-Datenbanken, FIORI-Oberflächen, BW-Systeme oder SAP Analytics Cloud erweitern die Architektur um zusätzliche Ebenen. Damit entstehen neue Berechtigungsschichten: ● HANA Datenbankberechtigungen und Privileges

● Rollen und Objekte

● FIORI-Kataloge, Gruppen, Bereiche und OData-Services

● Reporting-Berechtigungen in BW

● Zugriffskonzepte in SAC

Diese Ebenen greifen technisch ineinander. Eine unklare Abstimmung zwischen ERP-Rollen, HANA-Privilegien und FIORI-Katalogen führt schnell zu Sicherheitslücken oder ungewollten Zugriffsmöglichkeiten.

Bei Auditkonformität geht es darum, jederzeit nachweisen zu können, wer auf welche Daten und Funktionen zugreifen darf und warum. Ein prüfungssicheres SAP-System basiert auf klar definierten Verantwortlichkeiten, nachvollziehbaren Berechtigungskonzepten und dokumentierten Entscheidungswegen. Ohne strukturierte Grundlage wird jede Audit-Anfrage zur manuellen Recherche. Rechtevergabe entlang von Arbeitsplatz und Verantwortung Ein belastbares Berechtigungskonzept orientiert sich nicht an Personen, sondern an Funktionen. Grundlage ist die Arbeitsplatzbeschreibung mit klar definierten Aufgaben und Verantwortlichkeiten. Das bedeutet konkret: ● Keine Sammelrollen mit pauschalen Vollzugriffen ● Keine historisch gewachsenen Mischrollen ● Keine generischen „Power-User“-Konstrukte Stattdessen erhält jeder Benutzer genau die SAP-Berechtigungen, die für seine Aufgaben erforderlich sind. Besonders relevant ist die saubere Trennung kritischer Funktionen. Tätigkeiten wie „Buchen“ und „Freigeben“ dürfen nicht in einer Rolle kombiniert werden, dies stellt einen klassischen SoD-Konflikt (Segregation of Duties) dar. Jede Rollenvergabe wird dokumentiert und fachlich begründet. Nur so entsteht ein nachvollziehbares und auditfähiges Berechtigungskonzept. Vorbereitung auf Audit-Prüfungen Auditfähigkeit entsteht nicht im Moment der Prüfung. Sie ist das Ergebnis kontinuierlicher Strukturarbeit. Dazu gehören: ● Ein dokumentiertes Rollen- und Berechtigungskonzept ● Nachvollziehbare Protokollierung von Rollenänderungen ● Klare Freigabeprozesse bei Berechtigungsvergabe ● Regelmäßige Rezertifizierung von Benutzerrechten Bei der Rezertifizierung prüfen Fachverantwortliche in definierten Intervallen, ob bestehende SAP-Berechtigungen weiterhin erforderlich sind. Überflüssige Zugriffsmöglichkeiten werden entzogen. Ohne diese Prozesse steigt der manuelle Aufwand bei Audit-Anfragen erheblich. Daten müssen zusammengesucht, Berechtigungen nachträglich erklärt und Entscheidungen rekonstruiert werden. Ein strukturiertes SAP-Berechtigungsmanagement reduziert diesen Aufwand deutlich und schafft belastbare Nachweise. Vier-Augen-Prinzip und Betrugsprävention Ein zentrales Element moderner Compliance-Anforderungen ist die Segregation of Duties (Funktionstrennung). Kritische Funktionen werden systematisch voneinander getrennt. Ein klassisches Beispiel: Eine Person darf keine Zahlung anlegen und gleichzeitig freigeben. Fehlt diese Trennung, entstehen Risiken wie: ● Fehlbuchungen ● unbeabsichtigte Änderungen ● vorsätzlicher Missbrauch von Zugriffsmöglichkeiten Das Vier-Augen-Prinzip sorgt dafür, dass Freigabeprozesse mindestens zwei verantwortliche Instanzen durchlaufen. Technisch wird das über getrennte Rollen und Berechtigungsobjekte im SAP-System abgebildet. Ein durchdachtes SAP-Berechtigungsmanagement verbindet daher technische Steuerung mit organisatorischer Kontrolle. Compliance wird nicht dokumentiert, sondern systemseitig erzwungen.

Systemmigrationen und organisatorische Trennungen sind kritische Phasen für jedes SAP-System. Bestehende Rollenmodelle werden häufig übernommen, um Zeit zu sparen. Genau hier entstehen jedoch neue Risiken. Eine Migration oder ein Carve-out bietet die Chance, gewachsene Berechtigungsstrukturen systematisch zu prüfen und neu auszurichten. Wer alte Strukturen unverändert überträgt, übernimmt bestehende Schwächen in die neue Systemlandschaft.

S/4HANA-Migration: Alte Rollen kritisch prüfen

Der Wechsel zu SAP S/4HANA verändert sowohl die technische Basis als auch die Berechtigungslogik. Neue Datenmodelle, FIORI-Oberflächen und S/4HANA-spezifische Zugriffsebenen erweitern das Sicherheitskonzept. Vor einer Migration sollten bestehende Rollen systematisch analysiert werden: ● Identifikation von SoD-Konflikten ● Prüfung auf Überberechtigungen ● Entfernung nicht mehr benötigter Transaktionen ● Bereinigung veralteter Rollen ● Anpassung an FIORI-Kataloge

Ein reines Kopieren bestehender Rollen nach S/4HANA überträgt historische Strukturfehler in die neue Umgebung. Konflikte bleiben bestehen, Zugriffsmöglichkeiten bleiben womöglich zu weit gefasst und alte Inkonsistenzen wirken weiter. S/4HANA erfordert daher ein überarbeitetes Berechtigungskonzept, das sowohl ERP-Logik als auch Datenbank- und Oberflächenebene berücksichtigt. Carve-out und organisatorische Trennung

Bei einem Carve-out werden Gesellschaften oder Geschäftsbereiche organisatorisch getrennt. Damit verändern sich Zuständigkeiten, Verantwortlichkeiten und Geschäftsprozesse. Eine Trennung der Daten erfolgt typischerweise anhand von Buchungskreisen, Verkaufsorganisationen oder Werken als Auswahlkriterium. Berechtigungsstrukturen müssen an diese neue Organisationslogik angepasst werden: ● Rollen werden neuen Gesellschaften zugeordnet ● Buchungskreis- und Kostenstellenlogiken werden neu abgebildet ● Kombinierte Funktionen werden organisatorisch getrennt ● Bestehende Zugriffsmöglichkeiten werden systematisch überprüft Ohne strukturiertes Vorgehen entstehen mehrfache oder widersprüchliche Berechtigungen. Benutzer behalten Zugriff auf Bereiche, die nicht mehr zu ihrem Verantwortungsbereich gehören. Ein Carve-out ist daher kein reines Customizing-Projekt. Er erfordert ein vollständiges Review des SAP-Berechtigungsmanagements, um Sicherheit, Compliance und klare Verantwortlichkeiten in der neuen Organisationsstruktur sicherzustellen.

In großen SAP-Landschaften mit mehreren Systemen, Mandanten und tausenden Benutzern funktioniert SAP-Berechtigungsmanagement nicht als Einzelmaßnahme.

Wer langfristige Stabilität erreichen will, benötigt eine klare Projektstruktur. Dazu gehören: ● Analyse der bestehenden Rollen- und Berechtigungsstruktur ● Identifikation von Dokumentationslücken ● Bewertung von SoD-Konflikten und Überberechtigungen ● Definition klarer fachlicher Verantwortlichkeiten ● Technische Abstimmung mit der SAP-Basis

Erst wenn Organisation, Governance (Steuerung und Richtlinien) und Systemlandschaft gemeinsam betrachtet werden, entsteht ein belastbares Berechtigungskonzept.

Ein strukturiertes Vorgehen folgt klar definierten Phasen.

1. Analyse der Ist-Struktur Bestehende Rollen, Profile, Benutzer und Zugriffsmöglichkeiten werden systematisch ausgewertet. Ziel ist Klarheit über Berechtigungsstrukturen, Konflikte und Inkonsistenzen.

2. Definition eines Zielmodells Auf Basis von Geschäftsprozessen, Compliance-Anforderungen und Organisationsstruktur wird ein konsistentes Rollenmodell entwickelt. Funktionstrennung, Verantwortlichkeiten und Prüfprozesse werden verbindlich festgelegt.

3. Umsetzung im SAP-System Bestehende Rollen werden fachlich geprüft und bei Bedarf angepasst oder neu strukturiert. Änderungen werden über die Entwicklungs-, Test- und Produktivumgebung nachvollziehbar umgesetzt. Dokumentation und Abstimmung mit der SAP-Basis erfolgen parallel.

4. Abschluss und Übergabe Das neue Berechtigungskonzept wird dokumentiert, Verantwortlichkeiten werden definiert und Rezertifizierungsprozesse etabliert. Die Organisation erhält klare Leitlinien für zukünftige Änderungen. Der Projektumfang hängt von mehreren Faktoren ab: ● Größe der Systemlandschaft ● Anzahl der SAP-Anwender ● Komplexität der Organisationsstruktur ● Umfang bestehender Strukturprobleme Je größer das SAP-System, desto wichtiger ist ein methodisches Vorgehen.