Funktionstrennung im SAP-System: kritische Kombinationen erkennen und bewerten
Ein Konflikt entsteht dort, wo jemand Stammdaten und die dazugehörigen Bewegungsdaten gleichzeitig beherrscht. Die Frage ist nicht, ob es solche Fälle gibt, sondern wer sie bewertet und was danach passiert.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Funktionstrennung scheitert an zwei entgegengesetzten Fehlern
Der erste Fehler ist die Vollständigkeitsfalle. Jemand besorgt eine Liste kritischer Kombinationen aus dem Netz, lässt sie gegen das System laufen und bekommt mehrere hundert Treffer. Danach passiert entweder nichts, weil niemand die Liste durcharbeiten kann, oder es passiert zu viel, und die Berechtigungen werden so lange beschnitten, bis der Fachbereich in jeder zweiten Woche eine Ausnahme beantragt. Beides endet an derselben Stelle: Die Ausnahmen werden zur Regel, und die Regel steht nur noch auf dem Papier.
Der zweite Fehler ist die Größenfalle. In einem Team mit drei Leuten in der Buchhaltung lässt sich der Einkauf nicht sauber von der Zahlung trennen, und bei Urlaub oder Krankheit erst recht nicht. Das BSI sagt dazu ausdrücklich, dass ein Funktionstrennungsprinzip in kleineren Institutionen teilweise nicht durchgeführt werden kann und in diesem Fall kompensierende Kontrollen eingesetzt werden sollten, die in regelmäßigen Abständen zu prüfen sind. Der Fehler liegt also nicht darin, dass die Trennung fehlt, sondern darin, dass niemand die Ersatzkontrolle benennt und nachhält.
Dazwischen liegt das eigentliche Problem: Wer entscheidet, ob eine Kombination im eigenen Haus kritisch ist? Diese Frage ist keine Systemfrage. Ob es riskant ist, dass dieselbe Person Lieferantenstammdaten ändert und Zahlläufe anstößt, hängt davon ab, wie viele Zahlungen laufen, welche Beträge im Spiel sind und welche Kontrollen dahinterliegen. Solange diese Bewertung nicht im Fachbereich getroffen wird, produziert jede Analyse nur eine Liste, die niemand verantwortet.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet, wer setzt um
Funktionstrennung geht selten daran kaputt, dass jemand die falsche Entscheidung trifft, sondern daran, dass niemand sie trifft. Diese sechs Zeilen benennen die Punkte, an denen die Zuständigkeit in der Praxis auseinanderläuft.
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Welche Kombinationen im Haus als kritisch gelten | Die Fachbereiche gemeinsam mit der internen Revision oder der Stelle, die das interne Kontrollsystem verantwortet | Die Berechtigungsadministration, die die Liste in prüfbare Regeln gegen Rollen und Kennungen übersetzt | Eine fremde Regelliste wird eingekauft und nie an das eigene Geschäft angepasst. Sie erzeugt hunderte Treffer, von denen die meisten im eigenen Haus gar nicht relevant sind, und diskreditiert damit das ganze Thema. |
| Bewertung eines einzelnen Konflikts | Die Führungskraft des betroffenen Prozesses, weil sie das Risiko trägt und die Ersatzkontrolle bezahlen muss | Die Berechtigungsadministration bei einer Trennung, der Fachbereich selbst bei einer Kontrolle | Die Bewertung landet bei der IT, weil dort die Liste entstanden ist. Die IT kann aber nicht beurteilen, welcher Schaden aus einer Kombination folgt, und entscheidet deshalb im Zweifel gar nicht. |
| Kompensierende Kontrollen bei zu kleinen Teams | Die Geschäftsführung oder Bereichsleitung, weil sie das verbleibende Risiko bewusst übernimmt | Eine namentlich benannte Person außerhalb des betroffenen Ablaufs, mit festem Rhythmus und schriftlichem Ergebnis | Die Kontrolle wird beschlossen, aber nie terminiert. Das BSI verlangt ausdrücklich, dass kompensierende Kontrollen in regelmäßigen Abständen geprüft werden, und genau dieser Teil fällt als Erstes aus. |
| Genehmigung einer Rollenzuordnung | Nach dem Vier-Augen-Prinzip zuerst die Führungskraft der anfragenden Person, danach die für den Prozess verantwortliche Stelle | Die Benutzeradministration, und zwar erst nach vorliegender Genehmigung | Genehmigt wird auf Zuruf, weil es eilt. Danach fehlt der Nachweis, wer die Berechtigung veranlasst hat, und bei der nächsten Prüfung steht die Berechtigungsadministration allein da. |
| Trennung innerhalb der Berechtigungsadministration | Die IT-Leitung gemeinsam mit der Informationssicherheit | Getrennte Kennungen und getrennte Rollen für Benutzer-, Berechtigungs- und Profiladministration | Eine Person macht beides, weil das Team klein ist. Damit kann sie sich selbst Berechtigungen bauen und zuordnen, und keine Analyse im Fachbereich fängt das je auf. |
| Notfallzugang mit weitreichenden Rechten | Die IT-Leitung, mit vorher festgelegten Auslösern und einer Höchstdauer | Ein eigener Notfallzugang, der beantragt, befristet und protokolliert wird, statt einer dauerhaft breiten Rolle | Der Notfallzugang wird einmal geöffnet und nie geschlossen. Er ist dann keine Ausnahme mehr, sondern die stillste Umgehung der gesamten Funktionstrennung. |
Welche Kombinationen im Haus als kritisch gelten
- Wer entscheidet
- Die Fachbereiche gemeinsam mit der internen Revision oder der Stelle, die das interne Kontrollsystem verantwortet
- Wer setzt um
- Die Berechtigungsadministration, die die Liste in prüfbare Regeln gegen Rollen und Kennungen übersetzt
- Stolperfalle
- Eine fremde Regelliste wird eingekauft und nie an das eigene Geschäft angepasst. Sie erzeugt hunderte Treffer, von denen die meisten im eigenen Haus gar nicht relevant sind, und diskreditiert damit das ganze Thema.
Bewertung eines einzelnen Konflikts
- Wer entscheidet
- Die Führungskraft des betroffenen Prozesses, weil sie das Risiko trägt und die Ersatzkontrolle bezahlen muss
- Wer setzt um
- Die Berechtigungsadministration bei einer Trennung, der Fachbereich selbst bei einer Kontrolle
- Stolperfalle
- Die Bewertung landet bei der IT, weil dort die Liste entstanden ist. Die IT kann aber nicht beurteilen, welcher Schaden aus einer Kombination folgt, und entscheidet deshalb im Zweifel gar nicht.
Kompensierende Kontrollen bei zu kleinen Teams
- Wer entscheidet
- Die Geschäftsführung oder Bereichsleitung, weil sie das verbleibende Risiko bewusst übernimmt
- Wer setzt um
- Eine namentlich benannte Person außerhalb des betroffenen Ablaufs, mit festem Rhythmus und schriftlichem Ergebnis
- Stolperfalle
- Die Kontrolle wird beschlossen, aber nie terminiert. Das BSI verlangt ausdrücklich, dass kompensierende Kontrollen in regelmäßigen Abständen geprüft werden, und genau dieser Teil fällt als Erstes aus.
Genehmigung einer Rollenzuordnung
- Wer entscheidet
- Nach dem Vier-Augen-Prinzip zuerst die Führungskraft der anfragenden Person, danach die für den Prozess verantwortliche Stelle
- Wer setzt um
- Die Benutzeradministration, und zwar erst nach vorliegender Genehmigung
- Stolperfalle
- Genehmigt wird auf Zuruf, weil es eilt. Danach fehlt der Nachweis, wer die Berechtigung veranlasst hat, und bei der nächsten Prüfung steht die Berechtigungsadministration allein da.
Trennung innerhalb der Berechtigungsadministration
- Wer entscheidet
- Die IT-Leitung gemeinsam mit der Informationssicherheit
- Wer setzt um
- Getrennte Kennungen und getrennte Rollen für Benutzer-, Berechtigungs- und Profiladministration
- Stolperfalle
- Eine Person macht beides, weil das Team klein ist. Damit kann sie sich selbst Berechtigungen bauen und zuordnen, und keine Analyse im Fachbereich fängt das je auf.
Notfallzugang mit weitreichenden Rechten
- Wer entscheidet
- Die IT-Leitung, mit vorher festgelegten Auslösern und einer Höchstdauer
- Wer setzt um
- Ein eigener Notfallzugang, der beantragt, befristet und protokolliert wird, statt einer dauerhaft breiten Rolle
- Stolperfalle
- Der Notfallzugang wird einmal geöffnet und nie geschlossen. Er ist dann keine Ausnahme mehr, sondern die stillste Umgehung der gesamten Funktionstrennung.
Vier Fragen, mit denen du einen Konflikt bewertest
- 01 Kann eine Person beide Schritte allein abschließen, ohne dass jemand gegenzeichnet?
- 02 Welcher Schaden entsteht im ungünstigsten Fall, und ist er umkehrbar?
- 03 Gibt es eine spätere Kontrolle, die den Fall zuverlässig entdecken würde?
- 04 Wie oft kommt die Kombination vor, an einer Kennung oder an vierzig?
- 05 Entsteht sie dauerhaft oder nur durch eine Vertretung, die man befristen kann?
Wie aus einer Trefferliste ein tragfähiges Regelwerk wird
Die folgenden sechs Schritte lassen sich in wenigen Wochen abarbeiten und beantworten am Ende die Frage, die im Prüfungsgespräch gestellt wird: Welche Kombinationen gelten bei euch als kritisch, warum, und was passiert, wenn sie trotzdem vorkommen.
Die eigene Liste kritischer Kombinationen schreiben
Statt eine fremde Liste zu übernehmen, gehst du die Vorgänge durch, bei denen im eigenen Haus Geld oder Ware das Unternehmen verlässt. Für jeden Vorgang notierst du die Schritte und wer sie ausführt. Kritisch ist eine Kombination immer dann, wenn eine Person zwei aufeinanderfolgende Schritte allein abschließen kann.
Stammdaten und Bewegungsdaten konsequent trennen
Das ist die Faustregel mit dem größten Ertrag. Das BSI formuliert sie als Grundsatz: Berechtigungen auf Stamm- und Bewegungsdaten sind voneinander zu trennen, etwa Bestellungen aufgeben und Lieferantendaten ändern. Wer nur diese eine Trennung sauber zieht, hat den größten Teil der ernsthaften Fälle bereits erledigt.
Jeden Konflikt bewerten statt ihn nur zu melden
Zu jedem Treffer gehört eine Entscheidung: trennen, durch eine Kontrolle abfangen oder bewusst akzeptieren. Die Entscheidung braucht ein Datum, einen Namen und eine Begründung. Eine Liste ohne diese drei Angaben ist im nächsten Jahr wertlos, weil niemand mehr weiß, ob ein Eintrag geprüft oder nur übersehen wurde.
Kompensierende Kontrollen konkret beschreiben
Eine Kontrolle ist erst dann eine Kontrolle, wenn jemand benannt ist, ein Rhythmus feststeht und das Ergebnis irgendwo landet. Der monatliche Blick einer zweiten Person auf alle neuen Lieferanten mit Bankverbindungsänderung ist eine Kontrolle. Die Aussage, das falle schon jemandem auf, ist keine.
Die Trennung in der Administration selbst einhalten
Das BSI verlangt getrennte Verantwortlichkeiten für Benutzer-, Berechtigungs- und gegebenenfalls Profiladministration. Wer Kennungen anlegt, sollte keine Berechtigungsrollen bauen. Zusätzlich sollten Administratoren Benutzergruppen zugeordnet sein, die sie selbst nicht pflegen dürfen, damit sich niemand die eigene Berechtigung erweitern kann.
Additive Effekte und Vertretungen mitprüfen
Ein Konflikt entsteht oft erst durch die Summe. Zwei für sich unauffällige Rollen ergeben zusammen den kritischen Fall, und eine Vertretungsrolle für zwei Urlaubswochen bleibt gern jahrelang hängen. Das BSI nennt genau diese Kreuzberechtigungen und additiven Effekte als eigenen Punkt, weil sie in Einzelbetrachtungen nie auffallen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum die Trennung von Stamm- und Bewegungsdaten die wichtigste ist
Ein Betrugsfall im ERP läuft fast immer über dasselbe Muster. Jemand verändert einen Stammdatensatz so, dass ein regulärer Vorgang danach in die falsche Richtung zeigt, und stößt anschließend genau diesen Vorgang an. Ein geänderter Lieferantenstamm mit neuer Bankverbindung und ein danach ausgelöster Zahllauf sind das Lehrbuchbeispiel, ein geändertes Konditionsstammblatt mit anschließender Auftragsanlage ein zweites. In beiden Fällen ist keiner der Schritte für sich auffällig.
Deshalb ist die Trennung zwischen Stammdaten und Bewegungsdaten wirkungsvoller als jede lange Konfliktmatrix. Sie greift genau dort, wo die Manipulation stattfindet, und sie lässt sich im Rollenmodell sauber abbilden, weil Stammdatenpflege und Vorgangsbearbeitung in der Regel ohnehin verschiedene Arbeitsplätze sind. Das BSI führt sie als Grundsatz auf und nennt als Beispiel ausdrücklich Bestellungen aufgeben und Lieferantendaten ändern.
Der zweite Grund ist die Prüfbarkeit. Nach dem Handelsgesetzbuch müssen sich Geschäftsvorfälle in ihrer Entstehung und Abwicklung verfolgen lassen, und die Buchführung muss einem sachverständigen Dritten innerhalb angemessener Zeit einen Überblick geben. Eine Trennung, die entlang der Belegkette verläuft, macht genau das leichter: Man sieht, wer den Stammdatensatz angelegt hat, wer den Vorgang erfasst hat und wer freigegeben hat. Eine Trennung, die quer dazu verläuft, verkompliziert die Nachvollziehbarkeit, ohne das Risiko zu senken.
Wann eine Kontrolle die Trennung ersetzen darf
Es gibt Konstellationen, in denen die Trennung nicht durchführbar ist. Ein Betrieb mit zwei Leuten in der Buchhaltung kann Erfassung und Freigabe nicht dauerhaft auf zwei Köpfe verteilen, und bei Urlaub bleibt am Ende immer nur einer übrig. Das BSI erkennt diesen Fall an und verweist auf kompensierende Kontrollen. Die Bedingung dafür ist allerdings eindeutig: Diese Kontrollen müssen in regelmäßigen Abständen geprüft werden, und das heißt, dass sie überhaupt beschrieben sein müssen.
Eine brauchbare Kontrolle erfüllt vier Bedingungen. Sie wird von einer Person durchgeführt, die nicht am kontrollierten Vorgang beteiligt ist. Sie hat einen festen Rhythmus, der zum Risiko passt, also eher monatlich als jährlich, wenn es um Zahlungen geht. Sie stützt sich auf eine Auswertung, die nicht von der kontrollierten Person erstellt wird. Und sie hinterlässt ein Ergebnis, das jemand später lesen kann, auch wenn nichts gefunden wurde.
Typische Kontrollen in diesem Bereich sind überschaubar: eine Liste aller im Monat geänderten Bankverbindungen im Lieferantenstamm, ein Abgleich der Zahlläufe gegen die freigegebenen Rechnungen, eine Auswertung neu angelegter Kreditoren ohne Bestellbezug. Der Aufwand liegt bei wenigen Minuten pro Monat, sobald die Auswertung einmal steht. Der eigentliche Aufwand ist die Entscheidung, wer sie ansieht, und die fällt nicht die IT.
Wie Konflikte im laufenden Betrieb wieder entstehen
Ein sauber geschnittenes Rollenmodell bleibt selten sauber. Der häufigste Grund ist die Vertretung: Jemand fällt aus, eine zweite Rolle wird zugeordnet, der Antrag auf Rücknahme kommt nie. Der zweitehäufigste ist der Wechsel innerhalb des Hauses. Wer aus dem Einkauf in die Buchhaltung wechselt, bekommt die neuen Berechtigungen sofort, verliert die alten aber erst, wenn jemand daran denkt. Das BSI nennt diesen Punkt in den Anforderungen an das Berechtigungsmanagement ausdrücklich: Bei personellen Veränderungen müssen die nicht mehr benötigten Kennungen und Berechtigungen entfernt werden.
Der dritte Grund ist die Sammelrolle. Sie ist bequem, weil sie mehrere Einzelrollen bündelt, und sie ist gefährlich, weil ihr Inhalt sich verändern kann, ohne dass die Zuordnung angefasst wird. Wenn jemand einer Einzelrolle innerhalb der Sammelrolle eine Berechtigung hinzufügt, erben alle Träger der Sammelrolle diese Berechtigung mit. Eine Konfliktanalyse, die nur zum Projektende einmal lief, findet das nie.
Deshalb braucht die Funktionstrennung einen Betriebsmodus. Das BSI empfiehlt ein kontinuierliches Monitoring auf konfliktfreie Rollen und auf die Vergabe kritischer Berechtigungen mit geeigneten Werkzeugen, damit Abweichungen früh auffallen. Für die Analyse von Benutzer- und Rollenzuordnungen nennt es unter anderem SAP Access Control. Wichtiger als das Werkzeug ist aber der Termin: Wer die Auswertung wann ansieht und wer entscheidet, was mit den Treffern passiert.
Was ihr für eine Prüfung zusammenhaben solltet
Prüfungen fragen selten nach einer perfekten Trennung. Sie fragen, ob ihr wisst, wo eure kritischen Stellen liegen, ob ihr sie bewertet habt und ob die daraus folgenden Maßnahmen tatsächlich laufen. Dafür braucht es drei Dokumente: die Liste der kritischen Kombinationen mit Begründung, die Bewertung der aktuellen Treffer mit Datum und Verantwortlichem, und die Beschreibung der kompensierenden Kontrollen samt Nachweis, dass sie stattgefunden haben.
Dazu kommt der Nachweis über die Berechtigungsvergabe selbst. Das BSI beschreibt das als Belegprinzip der Berechtigungsverwaltung: Aufzubewahren sind die Zuordnung eines Benutzers zu einer natürlichen Person, die Zuweisung von Berechtigungen sowie Art, Umfang, Änderungen und die ändernde Stelle. Ein Berechtigungswesen, das diese Angaben nicht liefern kann, ist in der Prüfung schwer zu verteidigen, egal wie gut das Rollenmodell fachlich geschnitten ist.
Der letzte Punkt betrifft die Dokumentation der Vergabe insgesamt. Sie muss regelmäßig daraufhin überprüft werden, ob sie den tatsächlichen Stand widerspiegelt und ob die Rechtevergabe noch zu den aktuellen Aufgaben passt. Das ist die Stelle, an der die meisten Häuser scheitern, nicht weil die Prüfung schwierig wäre, sondern weil sie in keinem Kalender steht und deshalb schlicht nicht stattfindet.
Wo die Funktionstrennung an ihre Grenze kommt
Die technische Trennung wirkt nur so weit, wie das System sie prüfen kann. Neben den Dialogkennungen arbeiten Hintergrundjobs und Schnittstellen im ERP, und die tragen häufig weitreichende Berechtigungen, weil sie mehrere Aufgaben gleichzeitig erledigen. Das BSI warnt davor, einen einzigen technischen Benutzer für viele Schnittstellen und Hintergrundjobs zu verwenden, weil er dadurch zu umfangreiche Berechtigungen sammelt. Für die Funktionstrennung heißt das: Eine Kennung, die alles darf, hebt jede Trennung im Dialog wieder auf.
Die zweite Grenze ist der direkte Zugriff unterhalb der Anwendung. Wer auf die Datenbank oder auf Tabellenpflege zugreifen kann, umgeht die Berechtigungsprüfungen der Anwendung. Deshalb gehören solche Zugriffe eng begrenzt und protokolliert, und die Profile und Objekte, die dafür stehen, gehören nach BSI-Vorgabe im Produktivsystem gar nicht erst vergeben. Eine Konfliktmatrix, die nur Transaktionen betrachtet, sieht diese Wege nicht.
Die dritte Grenze ist organisatorisch. Funktionstrennung kann verhindern, dass jemand allein handelt, sie kann aber nicht verhindern, dass zwei Leute sich absprechen. Genau deshalb bleiben die nachgelagerten Kontrollen wichtig, auch wenn die Trennung technisch sitzt. Die Trennung senkt die Wahrscheinlichkeit, die Kontrolle erhöht die Entdeckungswahrscheinlichkeit, und erst beides zusammen ergibt ein Kontrollsystem, das diesen Namen verdient.
Dazu passende Kurse
Weil die Bewertung eines Konflikts fachliches und technisches Wissen zugleich verlangt, lohnen sich Kurse zur Funktionstrennung im SAP-Berechtigungswesen für die Leute, die beide Seiten zusammenbringen müssen.
Wer entscheiden soll, welche Kombination gefährlich ist, muss den Weg eines Belegs kennen, und dafür gibt es Grundlagenkurse zum Belegfluss in der Buchhaltung .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Wie viele kritische Kombinationen sollten auf unserer Liste stehen?
Reicht es, die Konflikte auf Rollenebene zu prüfen?
Wir sind zu klein für echte Funktionstrennung. Was ist der Mindeststandard?
Brauchen wir dafür ein eigenes Werkzeug?
Wie gehen wir mit Vertretungen um, ohne jedes Mal ein Genehmigungsverfahren zu starten?
Passt thematisch dazu
Weil eure Liste am Ende einer Prüfung standhalten muss, hilft es zu wissen, wonach eine Prüfung tatsächlich fragt und was sie ausdrücklich nicht entscheidet .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem SAP-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Konflikte im eigenen System erkennen, statt sie zu vermuten
Im Kurs zum Berechtigungskonzept bei cmt arbeitest du an Rollen, Objekten und Prüfungen und siehst, an welcher Stelle eine Kombination entsteht, die in keiner Rolle einzeln sichtbar ist.