Eine neue Mitarbeiterin beginnt am Montag, doch die benötigten SAP-Funktionen fehlen. Ein Kollege wechselt die Abteilung und behält seine bisherigen Zugriffe. Nach einem Austritt bleibt unklar, wer den Benutzer sperrt und offene Freigaben übernimmt.
Solche Situationen lassen sich mit einem abgestimmten Ablauf für SAP-Berechtigungen besser beherrschen. Entscheidend ist, dass fachlicher Bedarf, Genehmigung, technische Umsetzung und Kontrolle zusammenpassen.
Dieser Beitrag zeigt, wie Sie Eintritt, Rollenwechsel und Austritt organisieren, Zuständigkeiten festlegen und Berechtigungsänderungen nachvollziehbar dokumentieren.
Einen Überblick über weitere Aufgaben finden Sie im Beitrag SAP Systembetreuung: Was gehört eigentlich alles dazu?
Was sind SAP-Berechtigungen?
SAP-Berechtigungen regeln, welche Funktionen ein Benutzer ausführen und auf welche Daten er zugreifen darf. Dabei geht es beispielsweise darum, ob jemand Kundenaufträge anzeigen, Stammdaten ändern oder Zahlungen freigeben kann. Auch die Beschränkung auf bestimmte organisatorische Bereiche gehört zum Berechtigungskonzept.
Ein praktikabler Grundsatz lautet: Jeder Mitarbeiter erhält die Zugriffe, die er für seine aktuellen Aufgaben benötigt. Dieses Prinzip wird als „Least Privilege“ bezeichnet.
Die technische Umsetzung hängt von der eingesetzten SAP-Lösung ab:
| SAP-Lösung | Grundlagen der Berechtigungsvergabe |
|---|---|
| SAP Business ByDesign | Arbeitsplätze und Sichten sowie Einschränkungen des Lese- und Schreibzugriffs. Geschäftsrollen bündeln Zugriffe für ähnliche Aufgaben. |
| SAP Cloud ERP | Geschäftsrollen mit Business Catalogs und je nach unterstütztem Funktionsumfang IAM-Apps. Einschränkungen bestimmen den zulässigen Datenzugriff. |
Die SAP-Dokumentation beschreibt diese Modelle für SAP Business ByDesign und SAP Cloud ERP. Welche Einstellungen konkret verfügbar sind, richtet sich nach Produkt, Release und Konfiguration.
SAP-Berechtigungen für neue Mitarbeiter vorbereiten
Die Benutzeranlage beginnt mit der Frage, welche Aufgaben die neue Person übernehmen soll. „Bitte dieselben Rechte wie Frau Müller“ ist dafür nur ein Ausgangspunkt. Deren Benutzer kann zusätzliche Vertretungsrechte oder Zugriffe aus früheren Aufgaben enthalten.
Erstellen Sie stattdessen ein fachliches Anforderungsprofil. Es sollte die benötigten Prozesse, Tätigkeiten und organisatorischen Bereiche beschreiben.
Diese Angaben gehören in den Berechtigungsantrag
- Name und eindeutige Zuordnung der Person
- Eintrittsdatum und gewünschter Aktivierungszeitpunkt
- Fachbereich, Führungskraft und organisatorischer Geltungsbereich
- Benötigte Tätigkeiten einschließlich Anzeige, Bearbeitung und Freigabe
- Vorgesehene Standardrolle und begründete zusätzliche Zugriffe
- Zuständige Person für die fachliche Genehmigung
- Enddatum bei befristeten Aufgaben oder externen Einsätzen
Auf dieser Grundlage kann die Administration passende Rollen auswählen oder Anpassungen prüfen. Der Fachbereich bestätigt den Bedarf; die technische Umsetzung folgt der genehmigten Anforderung.
Zugriffe vor dem ersten Arbeitstag prüfen
Ein erfolgreicher Login zeigt noch nicht, dass die Berechtigungen zur Aufgabe passen. Prüfen Sie mit geeigneten Testdaten, ob die vorgesehenen Arbeitsschritte funktionieren und ob Daten außerhalb des genehmigten Bereichs geschützt bleiben.
Ein Mitarbeiter im Vertrieb soll beispielsweise Aufträge seiner zuständigen Organisation bearbeiten können. Gleichzeitig ist zu prüfen, ob er auf vertrauliche Daten anderer Bereiche zugreifen kann, obwohl diese für seine Tätigkeit nicht erforderlich sind.
SAP-Berechtigungen beim Rollenwechsel abgleichen
Beim Abteilungswechsel kommen häufig neue Aufgaben hinzu. Wenn bisherige Rollen unverändert bestehen bleiben, können sich über die Zeit mehr Zugriffe ansammeln, als die Person benötigt.
Organisieren Sie den Rollenwechsel deshalb als vollständigen Abgleich:
- Bisherige Rollen und zusätzliche Berechtigungen erfassen.
- Neue Aufgaben und benötigte Datenbereiche beschreiben.
- Weiterhin erforderliche und entfallende Zugriffe unterscheiden.
- Neue Rollenkombination auf kritische Überschneidungen prüfen.
- Änderungen zum vereinbarten Zeitpunkt umsetzen und testen.
Bei einer Übergangsphase kann es fachlich sinnvoll sein, einzelne bisherige Rechte vorübergehend zu behalten. Dokumentieren Sie dafür Zweck, Genehmigung und Enddatum. Vereinbaren Sie bereits bei der Vergabe, wer den späteren Entzug kontrolliert.
Warum die Kombination mehrerer Rollen zählt
In SAP Cloud ERP können sich Zugriffe aus mehreren Geschäftsrollen erweitern. SAP beschreibt beispielsweise den Fall, dass eine Rolle auf eine Vertriebsorganisation beschränkt ist, eine weitere Rolle jedoch einen umfassenderen Zugriff gewährt. Die zusätzliche Rolle kann dann die beabsichtigte Begrenzung aufheben.
Prüfen Sie deshalb die wirksamen Rechte des Benutzers über alle zugewiesenen Rollen hinweg. Einzelne Rollen jeweils für sich zu betrachten, reicht dafür nicht aus. Details erläutert SAP unter Berechtigungen auf Basis von Einschränkungen definieren.
Austritt und SAP-Zugriffe abgestimmt bearbeiten
Beim Austritt müssen Personalbereich, Fachbereich und Administration denselben verbindlichen Zeitpunkt kennen. Legen Sie fest, wann der Zugang endet und wer die Umsetzung bestätigt.
Eine Austrittscheckliste sollte folgende Aufgaben enthalten:
- Persönliche Benutzerkonten in den betroffenen Anwendungen zum festgelegten Zeitpunkt sperren oder deaktivieren.
- Zentrale Anmeldung und weitere Zugangswege berücksichtigen.
- Prüfen, welche zusätzlichen Maßnahmen für bestehende Sitzungen oder Tokens in der jeweiligen Landschaft erforderlich sind.
- Offene Aufgaben, Genehmigungen und Vertretungen an zuständige Personen übergeben.
- Verantwortlichkeiten für Schnittstellen oder technische Konten neu zuordnen, falls die austretende Person diese betreut hat.
- Umsetzung und Abschlusskontrolle dokumentieren.
Die Sperrung eines Benutzerkontos und die Übergabe fachlicher Aufgaben sind getrennte Arbeitsschritte. Eine offene Freigabe benötigt weiterhin einen Verantwortlichen, auch wenn der bisherige Benutzer keinen Zugriff mehr hat.
Technische Konten sollten gesondert betrachtet werden. Prüfen Sie zunächst, welche Prozesse sie nutzen und wer künftig verantwortlich ist. Änderungen an solchen Zugängen müssen mit den betroffenen Betriebsverantwortlichen abgestimmt werden, damit Schnittstellen und automatisierte Abläufe weiter funktionieren.
Wie Sie die Überwachung und Zuständigkeiten für angebundene Systeme organisieren, erläutert unser Beitrag zum SAP-Schnittstellen-Monitoring.
Zuständigkeiten im SAP-Berechtigungsmanagement festlegen
Ein übersichtlicher Ablauf braucht für jeden Schritt einen Verantwortlichen. Die folgende Aufteilung kann als Ausgangspunkt dienen:
| Beteiligte | Aufgabe |
|---|---|
| Personalbereich | Eintritt, Wechsel oder Austritt mit verbindlichem Datum melden |
| Führungskraft oder Prozessverantwortliche | Benötigte Tätigkeiten und Datenbereiche genehmigen |
| SAP-Administration oder vereinbarter Betreuungspartner | Rollen und Einschränkungen prüfen, freigegebene Änderungen umsetzen und dokumentieren |
| Key-User oder Fachbereich | Fachliche Funktion und erforderliche Begrenzungen anhand vereinbarter Tests prüfen |
| Benannte Kontrollverantwortliche | Abschluss, Befristungen und regelmäßige Überprüfung nachhalten |
Für kleinere Unternehmen können mehrere Aufgaben bei derselben Person liegen. Legen Sie bei sensiblen Zugriffen fest, wie eine zusätzliche Prüfung erfolgt.
Berücksichtigen Sie auch die Funktionstrennung, häufig als „Segregation of Duties“ bezeichnet. Kritisch kann beispielsweise eine Kombination aus der Änderung von Lieferantenbankdaten und der Freigabe zugehöriger Zahlungen sein. Welche Kombinationen in Ihrer Organisation relevant sind, hängt von Prozessen und eingerichteten Kontrollen ab.
Änderungen nachvollziehbar dokumentieren
Für eine spätere Prüfung sollte erkennbar sein, warum eine Berechtigung vergeben oder entzogen wurde. Halten Sie je Änderung mindestens Antragsteller, betroffenen Benutzer, fachlichen Grund, Genehmigung, geänderte Zugriffe und Umsetzungszeitpunkt fest.
Ergänzen Sie bei befristeten Rechten das Enddatum und bei durchgeführten Tests das Ergebnis. Ein zentraler Vorgang im vorhandenen Ticketsystem kann dafür ausreichen, wenn die Angaben vollständig und nachvollziehbar geführt werden.
Ändern Sie eine gemeinsam genutzte Geschäftsrolle, sollten Sie außerdem die Auswirkungen auf andere zugewiesene Benutzer prüfen. Für SAP Business ByDesign ist dabei auch die vorgesehene Übernahme geänderter Rollenrechte auf Benutzer zu berücksichtigen.
SAP-Berechtigungen regelmäßig überprüfen
Eintritt, Wechsel und Austritt bilden wichtige Anlässe für eine Kontrolle. Ergänzend sollten die fachlich Verantwortlichen bestehende Zugriffe in festgelegten Abständen bestätigen.
Orientieren Sie den Rhythmus am Risiko: Administrative Rechte, sensible Finanzfunktionen und befristete Ausnahmen können engere Kontrollen erfordern als reine Anzeigezugriffe.
Prüfen Sie dabei insbesondere, ob Rollen noch zu den aktuellen Aufgaben passen, Übergangsrechte abgelaufen sind und organisatorische Änderungen berücksichtigt wurden. Nach Änderungen an Rollen oder relevanten SAP-Funktionen sollte außerdem geprüft werden, ob bestehende Zugriffe weiterhin wie vorgesehen wirken.
Checkliste für Eintritt, Rollenwechsel und Austritt
| Anlass | Zentrale Prüfung | Nachweis |
|---|---|---|
| Eintritt | Sind benötigte Tätigkeiten und Datenbereiche genehmigt und getestet? | Antrag, Freigabe und Testergebnis |
| Rollenwechsel | Welche Rechte bleiben, welche entfallen und welche kommen hinzu? | Abgleich der bisherigen und neuen Zugriffe |
| Befristete Vertretung | Wer benötigt welche zusätzlichen Rechte bis wann? | Genehmigung, Enddatum und bestätigter Entzug |
| Austritt | Sind Zugänge beendet und offene Aufgaben übergeben? | Abschlussbestätigung mit Zeitpunkt |
| Regelmäßige Kontrolle | Entsprechen die wirksamen Rechte weiterhin dem Bedarf? | Bestätigung oder Korrektur durch Verantwortliche |
Unterstützung bei Ihren SAP-Berechtigungen
Wiederkehrende Zugriffsprobleme, unübersichtliche Rollen und aufwendige Benutzerwechsel können ein Anlass sein, das Berechtigungsmanagement gezielt zu verbessern. Wann dafür eine kontinuierliche Zusammenarbeit sinnvoll sein kann, erfahren Sie im Beitrag Einzelauftrag oder laufende SAP-Betreuung?.
Die Bradler GmbH unterstützt Unternehmen bei Benutzern, Rollen und Zugriffsrechten, Berechtigungskonzepten und Funktionstrennung sowie bei neuen Mitarbeitern und organisatorischen Veränderungen. Im Rahmen der SAP-Systembetreuung stimmen wir mit Ihnen ab, welche Aufgaben wir übernehmen und welche Entscheidungen bei Ihren Fachbereichen bleiben.
Alle Angaben ohne Gewähr.
Verlässliche SAP-Systembetreuung für Ihr Tagesgeschäft
Ob Anwenderfragen, Berechtigungen oder Prozessoptimierung: Wir unterstützen Ihr Team mit festen Ansprechpartnern und entwickeln Ihre SAP-Lösung gezielt weiter.