Berechtigungen im SAP HCM: den Zugriff auf Gehaltsdaten sauber begrenzen
Datenart, organisatorische Zuordnung und struktureller Ausschnitt sind drei getrennte Stellschrauben. Erst wenn alle drei gesetzt sind, endet der Zugriff dort, wo die Zuständigkeit endet.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Datenart ist begrenzt, der Personenkreis nicht
Der typische Aufbau sieht auf den ersten Blick ordentlich aus. Es gibt eine Rolle für die Personalsachbearbeitung, eine für die Abrechnung, eine für Auswertungen, und in jeder steht sauber, welche Infotypen gelesen und welche geändert werden dürfen. Das Missverständnis beginnt bei der Frage, für wen das gilt. Die allgemeine Berechtigungsprüfung arbeitet mit Merkmalen aus der organisatorischen Zuordnung, also etwa Personalbereich und Mitarbeitergruppe. Sie sagt nichts darüber, ob jemand nur die eigene Abteilung sehen darf oder das ganze Haus.
Für die Begrenzung auf einen Ausschnitt der Aufbauorganisation gibt es einen zweiten Mechanismus, die strukturellen Berechtigungen. Diese Profile werden nicht im Profilgenerator gepflegt, sondern über eine eigene Tabelle beziehungsweise die dafür vorgesehene Transaktion, und sie werden dem Benutzer dort separat zugeordnet. Genau diese Trennung ist der Grund, warum Berechtigungsprojekte im HCM regelmäßig eine halbe Lösung produzieren: Die eine Hälfte wird im gewohnten Werkzeug gebaut, die andere kennt nur, wer sie schon einmal gesehen hat.
Dazu kommt eine Voreinstellung, die im Standardsystem ausgeliefert wird und die viel erklärt. Findet das System für einen Benutzer keinen Eintrag in der Zuordnungstabelle, prüft es den Eintrag für den Benutzer SAP*, und im Standard existiert dort ein Eintrag mit dem Profil ALL. Das bedeutet in einem frisch eingeführten System, dass alle Benutzer strukturell vollständig berechtigt sind, solange niemand eigene Einträge gepflegt hat. Wer nur die Infotypen begrenzt hat, hat damit die Datenart eingeschränkt und den Personenkreis offen gelassen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet, wer setzt um
Im HCM laufen Personalarbeit, Systembetreuung und Datenschutz zusammen, und an den Nahtstellen bleiben Entscheidungen liegen. Diese sechs Zeilen benennen die Stellen, an denen das im Alltag passiert.
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Welche Datenarten für welchen Personenkreis freigegeben sind | Die Personalleitung, im Zweifel gemeinsam mit dem Datenschutzbeauftragten und dem Betriebsrat | Die Berechtigungsadministration, die die Freigabe in Infotypen, Subtypen und Zugriffsarten übersetzt | Die Freigabe entsteht implizit, indem eine bestehende Rolle kopiert wird. Damit ist nie entschieden worden, welche Datenart welchem Kreis offensteht, und niemand kann die Entscheidung später belegen. |
| Begrenzung auf den eigenen Bereich | Die Personalleitung legt die fachliche Grenze fest, die Systembetreuung wählt den technischen Weg | Die Berechtigungsadministration über die organisatorischen Merkmale, ergänzt durch ein strukturelles Profil für den Ausschnitt der Aufbauorganisation | Nur die organisatorischen Merkmale werden gepflegt. Die Datenart ist damit begrenzt, der Personenkreis aber nicht, und im Zweifel sieht die Sachbearbeitung eines Standorts die Bezüge aller Standorte. |
| Änderungen an den Hauptschaltern der Berechtigungsprüfung | Die Systembetreuung gemeinsam mit der Personalleitung, weil die Wirkung das gesamte Berechtigungskonzept betrifft | Die Systembetreuung, mit Test im Qualitätssicherungssystem und dokumentierter Begründung | Ein Schalter wird umgelegt, um ein einzelnes Problem zu lösen. SAP weist ausdrücklich darauf hin, dass Änderungen an diesen Einstellungen das Berechtigungskonzept erheblich beeinflussen, und die Nebenwirkung fällt oft erst Monate später auf. |
| Zugriff von Führungskräften auf das eigene Team | Die Personalleitung, weil sie festlegt, welche Angaben eine Führungskraft für ihre Aufgabe wirklich braucht | Die Berechtigungsadministration über ein strukturelles Profil, das am Platz der Führungskraft in der Aufbauorganisation hängt | Die Führungskraft bekommt dieselbe Rolle wie die Personalsachbearbeitung, nur strukturell begrenzt. Damit sieht sie im eigenen Team deutlich mehr, als für Führungsaufgaben nötig ist. |
| Umgang mit dem eigenen Personalfall | Die Personalleitung gemeinsam mit der Systembetreuung | Die Berechtigungsadministration über das Objekt, das den Zugriff auf die eigene Personalnummer regelt, und über den zugehörigen Hauptschalter | Der Fall wird gar nicht betrachtet. Dann kann jemand aus der Personalabteilung die eigenen Daten pflegen, und die auffälligste Manipulationsmöglichkeit im ganzen Modul bleibt offen. |
| Auswertungen, Exporte und Schnittstellen | Die Personalleitung für den Inhalt, die Informationssicherheit für den Weg nach draußen | Die Berechtigungsadministration für die Berechtigung, der Fachbereich für die Frage, wer eine Liste weitergeben darf | Die Anzeige ist eng begrenzt, die Auswertung nicht. Eine einzige unbegrenzte Liste in einer Tabellenkalkulation hebt jede sorgfältige Einstellung im System auf. |
Welche Datenarten für welchen Personenkreis freigegeben sind
- Wer entscheidet
- Die Personalleitung, im Zweifel gemeinsam mit dem Datenschutzbeauftragten und dem Betriebsrat
- Wer setzt um
- Die Berechtigungsadministration, die die Freigabe in Infotypen, Subtypen und Zugriffsarten übersetzt
- Stolperfalle
- Die Freigabe entsteht implizit, indem eine bestehende Rolle kopiert wird. Damit ist nie entschieden worden, welche Datenart welchem Kreis offensteht, und niemand kann die Entscheidung später belegen.
Begrenzung auf den eigenen Bereich
- Wer entscheidet
- Die Personalleitung legt die fachliche Grenze fest, die Systembetreuung wählt den technischen Weg
- Wer setzt um
- Die Berechtigungsadministration über die organisatorischen Merkmale, ergänzt durch ein strukturelles Profil für den Ausschnitt der Aufbauorganisation
- Stolperfalle
- Nur die organisatorischen Merkmale werden gepflegt. Die Datenart ist damit begrenzt, der Personenkreis aber nicht, und im Zweifel sieht die Sachbearbeitung eines Standorts die Bezüge aller Standorte.
Änderungen an den Hauptschaltern der Berechtigungsprüfung
- Wer entscheidet
- Die Systembetreuung gemeinsam mit der Personalleitung, weil die Wirkung das gesamte Berechtigungskonzept betrifft
- Wer setzt um
- Die Systembetreuung, mit Test im Qualitätssicherungssystem und dokumentierter Begründung
- Stolperfalle
- Ein Schalter wird umgelegt, um ein einzelnes Problem zu lösen. SAP weist ausdrücklich darauf hin, dass Änderungen an diesen Einstellungen das Berechtigungskonzept erheblich beeinflussen, und die Nebenwirkung fällt oft erst Monate später auf.
Zugriff von Führungskräften auf das eigene Team
- Wer entscheidet
- Die Personalleitung, weil sie festlegt, welche Angaben eine Führungskraft für ihre Aufgabe wirklich braucht
- Wer setzt um
- Die Berechtigungsadministration über ein strukturelles Profil, das am Platz der Führungskraft in der Aufbauorganisation hängt
- Stolperfalle
- Die Führungskraft bekommt dieselbe Rolle wie die Personalsachbearbeitung, nur strukturell begrenzt. Damit sieht sie im eigenen Team deutlich mehr, als für Führungsaufgaben nötig ist.
Umgang mit dem eigenen Personalfall
- Wer entscheidet
- Die Personalleitung gemeinsam mit der Systembetreuung
- Wer setzt um
- Die Berechtigungsadministration über das Objekt, das den Zugriff auf die eigene Personalnummer regelt, und über den zugehörigen Hauptschalter
- Stolperfalle
- Der Fall wird gar nicht betrachtet. Dann kann jemand aus der Personalabteilung die eigenen Daten pflegen, und die auffälligste Manipulationsmöglichkeit im ganzen Modul bleibt offen.
Auswertungen, Exporte und Schnittstellen
- Wer entscheidet
- Die Personalleitung für den Inhalt, die Informationssicherheit für den Weg nach draußen
- Wer setzt um
- Die Berechtigungsadministration für die Berechtigung, der Fachbereich für die Frage, wer eine Liste weitergeben darf
- Stolperfalle
- Die Anzeige ist eng begrenzt, die Auswertung nicht. Eine einzige unbegrenzte Liste in einer Tabellenkalkulation hebt jede sorgfältige Einstellung im System auf.
Fünf Ebenen, die zusammen den Zugriff bestimmen
- 01 Welche Infotypen und Subtypen darf die Rolle überhaupt aufrufen?
- 02 Lesen oder ändern, und für welche organisatorischen Merkmale?
- 03 Welcher Ausschnitt der Aufbauorganisation ist strukturell freigegeben?
- 04 Ist der eigene Personalfall ausgeschlossen oder ausdrücklich eingeschlossen?
- 05 Welche Auswertungen und Exporte kann dieselbe Person zusätzlich starten?
Wie der Zugriff verlässlich auf den eigenen Bereich endet
Die sechs Schritte hängen aufeinander auf. Reihenfolge und Zuständigkeit sind dabei wichtiger als die einzelne Einstellung, weil die fachliche Entscheidung immer vor der technischen steht und im HCM besonders selten schriftlich vorliegt.
Die Datenarten fachlich sortieren
Geh die Infotypen durch und ordne sie drei Gruppen zu: allgemein zugängliche Stammangaben, sensible Angaben wie Bezüge und Abwesenheitsgründe, und Angaben mit besonderem Schutzbedarf. Diese Sortierung ist eine Entscheidung der Personalleitung, nicht der Systembetreuung, und sie ist die Grundlage für alles Weitere.
Die allgemeine Prüfung über die organisatorischen Merkmale ziehen
Das Berechtigungsobjekt für die HR-Stammdaten wird geprüft, wenn HR-Infotypen bearbeitet oder gelesen werden. Über seine Felder legst du fest, für welche organisatorischen Merkmale und für welche Infotypen und Subtypen eine Rolle gilt und ob sie lesen oder ändern darf.
Den Ausschnitt der Aufbauorganisation über ein strukturelles Profil setzen
Das strukturelle Profil beschreibt, welcher Teil der Aufbauorganisation für eine Person sichtbar ist, und wird ihr über die dafür vorgesehene Zuordnung zugewiesen. Erst damit endet der Zugriff an der Bereichsgrenze und nicht am Ende der Tabelle.
Die Voreinstellung mit dem Vollprofil entfernen
Solange der Standardeintrag für SAP* mit dem Profil ALL greift, ist jede strukturelle Begrenzung wirkungslos für alle, die keinen eigenen Eintrag haben. Prüf diesen Punkt zuerst, denn er erklärt in vielen Systemen den größten Teil der ungewollten Sichtbarkeit.
Kontexte klären, bevor Sonderfälle entstehen
Sobald jemand für unterschiedliche Aufgaben unterschiedliche Ausschnitte braucht, reichen getrennte allgemeine und strukturelle Profile nicht mehr, weil sie sich gegenseitig überschreiben. Für diesen Fall gibt es Berechtigungsobjekte, die das strukturelle Profil als eigenes Feld führen und damit beide Seiten aneinanderbinden.
Den Weg aus dem System heraus mitregeln
Eine korrekt begrenzte Anzeige nützt wenig, wenn dieselbe Person eine Auswertung ohne Begrenzung starten oder eine Liste exportieren kann. Auswertungen, Schnittstellen und Datenexporte gehören in dieselbe Betrachtung wie die Anzeige der Stammdaten, sonst verlässt genau dort die Information den kontrollierten Bereich.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wie Personaldaten im System liegen
Personalstammdaten stehen in SAP HCM nicht in einer großen Tabelle, sondern in Infotypen. Jeder Infotyp bündelt eine fachlich zusammengehörige Gruppe von Angaben und trägt eine Nummer. Die organisatorische Zuordnung liegt im Infotyp 0001, die persönlichen Daten im Infotyp 0002, die Basisbezüge im Infotyp 0008. Diese Aufteilung ist der Grund, warum sich der Zugriff überhaupt so fein steuern lässt: Man erlaubt nicht Personaldaten, sondern einzelne Infotypen, und innerhalb eines Infotyps zusätzlich einzelne Subtypen.
Der Infotyp für die Basisbezüge ist dabei der, um den es fachlich meistens geht. In ihm liegen die Bezüge einer Person, und je Person können bis zu vierzig Lohnarten erfasst werden. SAP weist außerdem darauf hin, dass dieser Infotyp beim Austritt nicht abgegrenzt werden darf, weil die Abrechnungsdaten im System bleiben müssen, damit Rückrechnungen korrekt laufen. Für die Berechtigungsplanung heißt das: Die Daten verschwinden nicht mit dem Austritt, und der Zugriff darauf muss auch für ehemalige Beschäftigte geregelt sein.
Ein zweites Merkmal ist die Zeitbindung. Infotypen führen Sätze mit Gültigkeitszeiträumen, und eine Änderung erzeugt in der Regel einen neuen Satz, statt den alten zu überschreiben. Das ist für die Nachvollziehbarkeit ein Vorteil und für die Berechtigung eine zusätzliche Frage: Wer die Historie lesen darf, sieht auch frühere Bezüge, frühere Zuordnungen und frühere Abwesenheiten. Diese Frage gehört ausdrücklich beantwortet und nicht nebenbei über eine Anzeigeberechtigung mitgeliefert.
Wie die Berechtigungsprüfung tatsächlich wirkt
Die Grundlage ist dieselbe wie im übrigen System: Rollen werden im Profilgenerator gepflegt, daraus entstehen Profile, und diese hängen an der Benutzerkennung. Für die Personalwirtschaft kommen eigene Berechtigungsobjekte dazu. Das zentrale Objekt für die HR-Stammdaten wird geprüft, wenn HR-Infotypen bearbeitet oder gelesen werden, und über seine Felder legst du Infotyp, Subtyp, Zugriffsart und organisatorische Merkmale fest. Ein weiteres Objekt erlaubt eine erweiterte Prüfung mit zusätzlichen Feldern, wahlweise ergänzend oder anstelle der Standardprüfung.
Daneben steht die strukturelle Berechtigung. Sie beantwortet die andere Frage: nicht welche Angaben, sondern über welche Personen. Ein strukturelles Profil beschreibt einen Ausschnitt der Aufbauorganisation, und die Zuordnung dieses Profils zu einem Benutzer erfolgt nicht über den Profilgenerator, sondern über eine eigene Tabelle beziehungsweise die zugehörige Transaktion. Alternativ lässt sich die Ermittlung des Profils über einen dafür vorgesehenen Erweiterungsbaustein selbst programmieren, wenn die Zuordnung aus anderen Merkmalen abgeleitet werden soll.
Wie diese beiden Seiten zusammenwirken, steuern zentrale Schalter in einer Systemtabelle, zusammengefasst in einer eigenen Gruppe und über eine eigene Transaktion pflegbar. Mit ihnen wird unter anderem festgelegt, ob die Standardprüfung, die erweiterte Prüfung oder die Prüfung auf die eigene Personalnummer aktiv ist. SAP weist ausdrücklich darauf hin, dass Änderungen an diesen Einstellungen das Berechtigungskonzept erheblich beeinflussen. Sie gehören deshalb dokumentiert, getestet und nicht im laufenden Betrieb ausprobiert.
Der Kontextfall: wenn eine Person zwei Ausschnitte braucht
Sobald jemand für unterschiedliche Aufgaben unterschiedliche Datenarten und unterschiedliche Bereiche braucht, wird es unangenehm. Ein Beispiel: Eine Person betreut die vollständige Personalsachbearbeitung für einen Standort und daneben nur die Zeitwirtschaft für einen zweiten. Mit getrennten allgemeinen Profilen und getrennten strukturellen Profilen lässt sich das nicht sauber abbilden, weil die Profile sich in der Prüfung gegenseitig ergänzen und damit mehr freigeben, als gemeint war.
SAP beschreibt genau dieses Problem als Kontextproblem und stellt dafür eigene Berechtigungsobjekte bereit. Sie haben dieselben Felder wie die bekannten Objekte und zusätzlich ein Feld für das strukturelle Profil. Damit wird die allgemeine Berechtigung an einen bestimmten strukturellen Ausschnitt gebunden, statt beide nebeneinanderzustellen. Aktiviert wird das über eigene Schalter in derselben Systemtabelle, und SAP hält ausdrücklich fest, dass sich die klassische Prüfung und die Kontextprüfung in bestimmten Kombinationen gleichzeitig betreiben lassen.
In der Planung lohnt sich deshalb eine frühe Entscheidung. Wenn absehbar ist, dass Vertretungen über Standortgrenzen hinweg vorkommen oder dass die Zeitwirtschaft anders geschnitten ist als die Personalsachbearbeitung, ist der Kontextweg der richtige. Wird er erst später nachgezogen, müssen alle betroffenen Rollen auf die anderen Objekte umgebaut werden, und das ist deutlich mehr Arbeit als die richtige Wahl zu Beginn.
Führungskräfte, Vertretungen und der eigene Personalfall
Der Zugriff von Führungskräften ist der Bereich mit den meisten stillen Fehlern. Fachlich braucht eine Führungskraft Angaben zu Abwesenheiten, Qualifikationen und vielleicht zu Zielvereinbarungen, aber selten die vollständigen Bezüge und praktisch nie die Historie. In der Umsetzung bekommt sie trotzdem oft eine abgeleitete Rolle der Personalsachbearbeitung, die nur strukturell auf das eigene Team eingeschränkt wurde. Damit ist der Personenkreis richtig gesetzt und die Datenart falsch.
Vertretungen sind der zweite Punkt. Eine Vertretung im Personalbereich ist immer eine Erweiterung des Personenkreises, und sie bleibt fast immer länger bestehen als gedacht. Sinnvoll ist deshalb, Vertretungen als eigene, befristete Zuordnung zu führen und den Ablauf der Frist zu überwachen. Ohne Enddatum sammelt sich über die Jahre ein Bestand an strukturellen Profilen an, den niemand mehr auflösen kann, weil die Begründung fehlt.
Der eigene Personalfall verdient eine ausdrückliche Entscheidung. SAP stellt dafür ein eigenes Berechtigungsobjekt bereit, mit dem der Zugriff auf die eigene Personalnummer gesondert geregelt wird, und die Prüfung dafür wird über einen eigenen Hauptschalter aktiviert. Ob eine Person aus der Personalabteilung die eigenen Daten anzeigen darf, ist eine legitime Frage mit unterschiedlichen Antworten. Ob sie die eigenen Bezüge ändern darf, ist keine.
Wo die Daten das System verlassen
Die sorgfältigste Berechtigungsplanung endet an der Stelle, an der jemand eine Auswertung startet. Auswertungen greifen zwar ebenfalls auf die Berechtigungsprüfung zu, aber sie liefern das Ergebnis in einer Form, die sich mit zwei Klicks in eine Tabellenkalkulation und von dort in eine E-Mail bewegen lässt. Für die Praxis heißt das, dass die Liste der freigegebenen Auswertungen genauso begründet gehört wie die Liste der freigegebenen Infotypen.
Der zweite Weg nach draußen sind Schnittstellen. Abrechnungsdaten wandern an Kassen, an Versorgungseinrichtungen und an das Finanzamt, teilweise an ein externes Lohnbüro. Diese Übertragungen laufen über technische Kennungen, und für die gilt dasselbe Minimalprinzip wie für alle anderen. Eine technische Kennung, die für viele Schnittstellen gleichzeitig zuständig ist, sammelt zwangsläufig Berechtigungen an, die keine einzelne Schnittstelle allein bräuchte.
Der dritte Weg ist der unauffälligste: Zugriff unterhalb der Anwendung. Wer Tabellen direkt anzeigen oder auf die Datenbank zugreifen kann, umgeht sämtliche Prüfungen des Moduls. Das BSI verlangt für SAP-Systeme, dass der Zugriff auf die Datenbanken abgesichert und bestimmte Tabellen besonders geschützt werden. Für die Personalwirtschaft ist das kein Nebenschauplatz, sondern die Stelle, an der ein gutes Berechtigungskonzept am schnellsten wertlos wird.
Dazu passende Kurse
Weil sich das Zusammenspiel aus Infotypen, Objekten und strukturellen Profilen schwer aus der Dokumentation allein erschließt, lohnen sich Kurse zur Personalwirtschaft im SAP-System für alle, die das Modell verantworten.
Die Entscheidung, welche Angabe wem offensteht, fällt in der Personalarbeit und nicht im System, und dazu gibt es Seminare zum Umgang mit Personaldaten im Alltag .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Reicht es, die Infotypen für Bezüge zu sperren?
Warum sieht bei uns jeder alles, obwohl Rollen sauber gebaut sind?
Wie regeln wir Vertretungen, ohne jedes Mal ein Projekt zu starten?
Dürfen Führungskräfte die Gehälter ihres Teams sehen?
Was passiert mit den Berechtigungen, wenn jemand das Unternehmen verlässt?
Quellen
- SAP Help Portal, Authorizations in Personnel Management (Rollen und Berechtigungsobjekte)
- SAP Help Portal, Assignment of Structural Authorizations
- SAP Help Portal, Context Solution für HR-Stammdatenberechtigungen
- SAP Help Portal, Basisbezüge (Infotyp 0008)
- BSI, IT-Grundschutz-Baustein APP.4.2 SAP-ERP-System
Passt thematisch dazu
Gegenüber einer Prüfung zählt die Begrenzung erst, wenn sie als Maßnahme aufgeschrieben ist, und der Datenschutzbereich beschreibt, wie aus einem Risiko eine dokumentierte Maßnahme wird .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem SAP-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Berechtigungen im Personalbereich einmal vollständig durchspielen
Im Kurs zu Berechtigungen im HCM bei cmt siehst du, wie Infotyp, organisatorisches Merkmal und strukturelles Profil zusammenwirken, und woran die Begrenzung auf den eigenen Bereich in echten Systemen scheitert.