Rollen und Zugriffsschutz

Was ist ein SAP-Berechtigungskonzept?

Authorization Concept

Ein SAP-Berechtigungskonzept legt fest, welche Personen welche Transaktionen ausführen und welche Daten sie dabei sehen oder ändern dürfen, und setzt diese Regeln über Rollen, generierte Profile und Berechtigungsobjekte technisch im System um.

Wenn dir eine Transaktion die fehlende Berechtigung meldet, entscheidet darüber nicht dein Menü, sondern ein Berechtigungsobjekt mit Feldern, die in deiner Rolle gefüllt sein müssen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Bausteine: Rolle, Profil, Berechtigungsobjekt
Werkzeug: Rollenpflege PFCG
Prüfung: AUTHORITY-CHECK im Programm
Fehlersuche: SU53 für die letzte Prüfung, STAUTHTRACE für den Mitschnitt

Wie die Prüfung technisch abläuft

Am Benutzerstamm hängen Rollen, aus jeder Rolle erzeugt das System beim Generieren ein Profil, und im Profil stehen Berechtigungsobjekte mit konkreten Feldwerten. Ein Objekt hat mehrere Felder, etwa Aktivität und Buchungskreis, und erst die Kombination ergibt die Erlaubnis: anzeigen ja, ändern nein, und das auch nur für bestimmte Buchungskreise.

Beim Aufruf einer Transaktion prüft das System zuerst das Startrecht. Danach prüft der Programmcode an weiteren Stellen selbst, ob die nötigen Objekte vorliegen. Deshalb kann eine Transaktion starten und trotzdem mitten in der Verarbeitung abbrechen, weil dort ein zusätzliches Objekt geprüft wird, das in der Rolle fehlt.

Wie ein Rollenkonzept entsteht

Ausgangspunkt sind Aufgaben, nicht Transaktionen. Zuerst wird beschrieben, welche Tätigkeiten eine Stelle im Prozess ausübt, daraus entstehen Einzelrollen, die zu Sammelrollen für eine Stelle gebündelt werden. Für Organisationsebenen wie Buchungskreis oder Werk nutzt man abgeleitete Rollen: Sie erben die Berechtigungen der Musterrolle und unterscheiden sich nur in diesen Werten, was die Pflege bei vielen Standorten drastisch verkürzt.

Die zweite Hälfte der Arbeit ist die Funktionstrennung. Wer einen Lieferanten anlegen darf, sollte nicht gleichzeitig Zahlläufe freigeben, und wer Bestellungen erfasst, nicht auch den Wareneingang buchen. Diese kritischen Kombinationen gehören dokumentiert und regelmäßig überprüft, denn sie entstehen selten absichtlich, sondern durch angesammelte Zusatzrollen.

Woran es im Alltag scheitert

Der häufigste Fehler ist das Erweitern auf Zuruf. Jemand meldet einen Berechtigungsfehler, die Administration hängt schnell eine Rolle dazu, und niemand nimmt sie später weg. Nach zwei Jahren hat ein Teil der Belegschaft Rechte, die aus lange abgeschlossenen Projekten stammen. Dagegen hilft nur ein fester Rhythmus, in dem Führungskräfte die Rollen ihres Bereichs bestätigen oder streichen.

Der zweite Fehler ist technischer Natur: Eine Rolle wird geändert, aber das Profil nicht neu generiert oder der Benutzerabgleich läuft nicht. Dann steht in der Rolle das Richtige, im wirksamen Profil aber noch der alte Stand. Bei Sammelrollen und zeitlich befristeten Zuordnungen kommt der Abgleich üblicherweise als regelmäßiger Job dazu.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

SAP-Berechtigungskonzept und was oft damit gleichgesetzt wird

SAP-Berechtigungskonzept gegen Authentifizierung

Die Anmeldung klärt, wer du bist, etwa über Passwort oder Single Sign-on. Das Berechtigungskonzept klärt danach, was diese Person darf. Beides wird oft in einem Atemzug genannt, ist aber technisch völlig getrennt.

SAP-Berechtigungskonzept gegen Funktionstrennung

Die Funktionstrennung ist eine fachliche Anforderung aus der Revision, nämlich dass bestimmte Aufgaben nicht in einer Hand liegen dürfen. Das Berechtigungskonzept ist das Mittel, mit dem diese Anforderung im System durchgesetzt wird.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Am Ende scheitert es nicht am Konzept, sondern an gewachsenen Rollen

Technisch prüft das Programm gegen ein Berechtigungsobjekt und dessen Felder, etwa Aktivität und Buchungskreis. Der Transaktionsstart ist dabei nur die erste Hürde. Deshalb kannst du eine Transaktion öffnen und trotzdem beim Sichern scheitern, weil die zweite Prüfung ein Feld enthält, das deine Rolle nicht abdeckt.

Bei der Fehlersuche zeigt dir SU53 die zuletzt fehlgeschlagene Prüfung, und wenn du den ganzen Ablauf brauchst, schneidet STAUTHTRACE jede einzelne Prüfung mit. Was du dort siehst, ist das fehlende Objekt samt Feldwert, und genau diese Angabe braucht das Berechtigungsteam. Ein Ticket mit dem Satz, es gehe nicht, erzeugt dagegen nur eine Rückfrage.

Der eigentliche Schaden entsteht über Jahre. Rollen werden bei jedem Sonderfall um ein Objekt erweitert, Sternwerte schleichen sich ein, und niemand nimmt je etwas weg. Irgendwann darf ein größerer Kreis Bestellungen anlegen und freigeben, ohne dass das jemand beschlossen hätte. Eine regelmäßige Prüfung kritischer Kombinationen ist die einzige Gegenmaßnahme, die im Alltag durchhält.

SAP-Berechtigungskonzept lernen

Wie du Rollen baust, ableitest und Fehlermeldungen aus dem Alltag auflöst, üben die Trainings zur Sicherheit im SAP System am System.

Kurse, die SAP-Berechtigungskonzept behandeln

Häufige Fragen

Was tue ich bei einem Berechtigungsfehler?

Ruf direkt nach dem Fehler die Anzeige der letzten fehlgeschlagenen Prüfung auf, Transaktion SU53. Sie nennt Berechtigungsobjekt und Feldwert, die gefehlt haben. Ein Bildschirmfoto davon genügt der Administration, um die Rolle gezielt zu ergänzen, statt zu raten.

Warum reicht die Berechtigung für die Transaktion nicht aus?

Weil der Start nur die erste Prüfung ist. Im Programmablauf prüft der Code weitere Objekte, häufig eingeschränkt auf Organisationsebenen wie Buchungskreis, Werk oder Personalbereich. Fehlt dort ein Wert, bricht die Verarbeitung trotz Startrecht ab.

Wie oft sollten Berechtigungen überprüft werden?

Ein fester Turnus ist wichtiger als der genaue Abstand. Viele Unternehmen lassen die Zuordnungen jährlich von den Führungskräften bestätigen und prüfen kritische Kombinationen häufiger. Zusätzlich gehört jeder Stellenwechsel als Auslöser dazu, nicht nur der Austritt.

Persönlich für dich da