Was sollte das SAP-Anspruchskonzept enthalten?
Lukardi > Blog > Sicherheit > Was sollte das SAP-Anspruchskonzept enthalten?
- Sicherheit
Meiner Beobachtung nach erscheint das Berechtigungskonzept zusammen mit dem Projekt zur Neuordnung der Berechtigungen den geprüften Verwaltern und Berechtigungsverwaltern wie ein Horror.
Dies ist jedoch nur dann der Fall, wenn eine solche Dokumentation in der Organisation nicht gepflegt oder seit vielen Jahren - und oft seit der Einführung von SAP in dem betreffenden Unternehmen - nicht mehr aktualisiert wurde.
Man könnte sich fragen, wo ist unsere Schreibkultur geblieben 😉 😉 😉 😉
Ich beginne meine Empowerment-Konzepte-Workshops oft (wie in einer akademischen Vorlesung) mit einer Aufwärmphase in Form von Fragen an die Klienten:
Was ist Ihrer Meinung nach das Berechtigungskonzept?
Welche Inhalte und Elemente kann und sollte sie enthalten?
Bei weitem am schwierigsten ist es für Organisationen, die alle Dokumentationsaktivitäten bis zur letzten Minute (oder nie) aufschieben.
„Unser Schwerpunkt liegt auf der Geschäftskontinuität, nicht auf der Erstellung von Verfahren.”
„Wir haben zu wenig Ressourcen, um uns mit der Erstellung, Überprüfung und Aktualisierung von Unterlagen zu befassen, wir müssen Ergebnisse liefern”.”
„Als Rechteverwalter bearbeite ich jeden Tag Dutzende von Tickets, glauben Sie wirklich, ich hätte Zeit für die Dokumentation?”
Das kommt Ihnen bekannt vor, nicht wahr?
Außerdem ist es schwierig, die Stichhaltigkeit der angeführten Fragen zu bestreiten.
Stellen Sie sich nun die folgenden Situationen und Antworten vor:
SITUATION 1
„Einige neue Sachbearbeiter sind in die Abteilung von Kasi gekommen und wissen nicht wirklich, wie sie neue Ansprüche beantragen sollen, und das Schlimmste ist, dass ich jeden Tag dieselben Fragen von Einzelnen bekomme. Ich habe keine Zeit, ihnen zu erklären, wie die Dinge in unserer Abteilung funktionieren....
LÖSUNG
- Ich gebe ihnen Zugang zu dem Abschnitt des Berechtigungskonzepts, der für Unternehmen bestimmt ist, und lasse sie verständnisvoll lesen. Dort finden sie Informationen über die Antragstellung, die Formel und die notwendigen Informationen, um den Antrag korrekt zu bearbeiten.
- Toll, danke, das erspart mir die Zeit, jeden Tag eine Mini-Trainingseinheit zu absolvieren.
SITUATION 2
- Marek, schnell! Ich hatte schon Prüfer, die aus heiterem Himmel zu mir kamen und nach dem SAP Entitlement Concept fragten, was ist das? Haben wir es? Verdammt, sie fragen jedes Jahr, und Marta hatte immer etwas zur Hand, aber jetzt ist sie in ihrem Sabbatjahr, wahrscheinlich im Busch in Neuseeland, sie schreibt nicht an WA zurück, und niemand weiß, was mit diesen Akten passiert ist.
LÖSUNG
- Es ist auf der Ressource, ich schicke Ihnen bald den Link und gebe Ihnen die permanente Erlaubnis, es zu sehen.
-Uffffff, was für eine Erleichterung. Danke für die Rettung!”
SITUATION 3
- Hallo, unser neuer Entwicklungsleiter hat bei der heutigen Teambesprechung seine Unzufriedenheit über die häufigen Situationen geäußert, in denen seinen Mitarbeitern die Berechtigungen fehlen. Er hat angeordnet, dass ab morgen jeder SAP_ALL haben sollte, um zu vermeiden, dass man auf die Analyse und Lösung von Tickets warten muss.
LÖSUNG
- Wir geben keine SAP_ALL an Entwickler oder Modulberater, dazu gibt es einen eigenen Abschnitt in dem von unserem Unternehmen verabschiedeten Berechtigungskonzept. Wir haben ein Verfahren für erweiterte Berechtigungen für Feuerwehrleute. Bitte bieten Sie Ihrem Vorgesetzten einen 15-minütigen Termin für ein Gespräch an, in dem ich die Möglichkeiten erläutern werde. Ich bin sicher, er wird mit einer solchen Lösung zufrieden sein.
- Sicher, es klingt gut. Es erledigt den Job!
Kommen Ihnen die zitierten Szenen auch bekannt vor?
Wenn ja, dann sind Sie auf dem besten Weg, Ihr Berechtigungskonzept zu erstellen oder zu verbessern, denn Sie haben den geschäftlichen Bedarf für eine solche Dokumentation erkannt.
Was sollte das Berechtigungskonzept enthalten?
Jeder Kunde und jedes Unternehmen ist anders, aber wir unterscheiden zwischen die vier Hauptbestandteile des Berechtigungskonzepts:
- Grundlegende Aufteilung der Rollen in der Organisation (einzeln, gemeinsam, abgeleitet, Referenz, Vorlage)
- Prozess der Benutzerverwaltung (Vorschläge, Genehmigung, Durchführung, Dokumentation der Aktivitäten)
- Prozess der Rollenverwaltung (Vorschläge, Genehmigung, Durchführung, Dokumentation der Aktivitäten)
- SoD-Politik (geltende Genehmigungsmatrix, kritische Konflikte, verantwortlich für die zyklische Kontrolle)
Die oben genannten Beispiele sind nur einige der relevanten Informationen, die in das Berechtigungskonzept aufgenommen werden sollten.
Das Beraterteam von SAST Polen verfügt über Erfahrung sowohl im Support als auch in der Projektarbeit. Wir helfen unseren Kunden Entwurf und Entwicklung von Berechtigungskonzepten.
Wir bieten maßgeschneiderte Vorlagen, die wir in speziellen Workshops besprechen.
Wenn Sie eine vollständige Dokumentation des SAP-Berechtigungskonzepts erstellen möchten, unterstützen wir Sie gerne dabei. Es ist nicht so beängstigend, wie Sie vielleicht denken. Sprechen Sie uns einfach an.
Mehr aus der Kategorie

Tomasz Jurgielewicz
Leiter der Sicherheitsabteilung bei Lukardi. Er leitet seit 10 Jahren ein Team von SAP-Sicherheitsspezialisten und bietet umfassende Dienstleistungen und Tools zur Sicherung von SAP-Systemen und zur Optimierung von Lizenzen. Erfahrung in den Bereichen: - Identifizierung von Berechtigungskonflikten und Reorganisation von Berechtigungen, - Identifizierung von SAP-Schwachstellen, - Integration von SIEM-Lösungen mit SAP, - Optimierung von SAP-Lizenzen.