SAP-Wiki

SAP-Berechtigungen

SAP-Berechtigungen legen fest, welche Transaktionen, Daten und Funktionen ein einzelner Benutzer innerhalb eines SAP-Systems nutzen darf. Sie werden über Rollen gebündelt und einzelnen Anwendern zugewiesen, technisch abgebildet über Berechtigungsobjekte und Berechtigungsfelder. Ein sauberes Berechtigungskonzept ist Voraussetzung für Datenschutz, Funktionstrennung und die Bestehensfähigkeit von Wirtschaftsprüfungen.

Definition

Was ist SAP-Berechtigungen?

SAP hat das Berechtigungskonzept entwickelt, um innerhalb eines Systems mit tausenden Transaktionen und Datenobjekten steuern zu können, wer was sehen und ändern darf. Kern sind Berechtigungsobjekte, die einzelne Felder wie Buchungskreis oder Werk kombinieren, und Rollen, die mehrere Berechtigungsobjekte zu einem Aufgabenpaket bündeln. Ein Anwender erhält eine oder mehrere Rollen und darüber genau die Rechte, die für seine Aufgabe nötig sind.

Relevant sind SAP-Berechtigungen für jedes Unternehmen mit einem SAP-System, besonders aber für Betriebe mit gesetzlicher Prüfungspflicht, etwa im Rahmen von Jahresabschlussprüfungen oder branchenspezifischer Regulierung. Die interne Revision und der Wirtschaftsprüfer verlangen regelmäßig den Nachweis, dass kritische Funktionstrennungen eingehalten werden, etwa dass niemand gleichzeitig Bestellungen anlegen und Rechnungen freigeben kann. Ohne dokumentiertes Berechtigungskonzept wird dieser Nachweis aufwendig und fehleranfällig.

Der Aufbau eines Berechtigungskonzepts beginnt mit der Definition von Rollen entlang tatsächlicher Aufgabenprofile, gefolgt vom technischen Rollenbau über den Profilgenerator und einem Testlauf mit den betroffenen Fachbereichen. Typische Stolperstellen sind über Jahre gewachsene Sammelrollen mit zu weiten Berechtigungen, unklare Verantwortlichkeit für Rollenänderungen und fehlende regelmäßige Rezertifizierung bestehender Zuweisungen. Wer Berechtigungen nur einmalig einrichtet und nie wieder überprüft, sammelt über Jahre unbemerkt Risiken an.

Funktionen

Wie funktioniert SAP-Berechtigungen?

Technisch prüft SAP bei jedem Transaktionsaufruf, ob der angemeldete Benutzer über die passenden Berechtigungsobjekte verfügt, jedes Objekt kombiniert dabei mehrere Felder wie Aktivität, Buchungskreis oder Werk zu einer konkreten Prüfbedingung. Diese Objekte werden in Rollen gebündelt, die über den Profilgenerator technisch generiert und einzelnen Benutzerstammsätzen zugeordnet werden. Fehlt eine Berechtigung, bricht das System den Zugriff mit einer Fehlermeldung ab, die sich über den Berechtigungstrace im Detail auswerten lässt.

Im Zusammenspiel mit der Identitätsverwaltung, etwa den SAP Cloud Identity Services oder einem externen Identity-Management-System, regelt die Anmeldung, wer sich am System überhaupt einloggen darf, während das Berechtigungskonzept festlegt, was der angemeldete Benutzer danach tun darf. Bei hybriden Landschaften mit SAP BTP-Erweiterungen müssen Berechtigungen zusätzlich zwischen dem Kernsystem und den Cloud-Anwendungen synchron gehalten werden, sonst entstehen Lücken oder widersprüchliche Zugriffsrechte.

Vorteile

Klare Funktionstrennung

Kritische Prozesse wie Bestellung und Zahlungsfreigabe lassen sich sauber auf unterschiedliche Rollen verteilen und damit Missbrauch vorbeugen.

Auditfähiger Nachweis

Ein dokumentiertes Rollenkonzept liefert Wirtschaftsprüfern und interner Revision die geforderten Nachweise ohne manuelle Sonderauswertung.

Feingranulare Steuerung

Berechtigungsobjekte erlauben Einschränkungen bis auf Feldebene, etwa nur bestimmte Buchungskreise oder Werke für eine Rolle freizugeben.

Zentrale Pflege über Rollen

Änderungen an einer Rolle wirken sich automatisch auf alle zugeordneten Benutzer aus, statt jeden Einzelfall manuell zu pflegen.

Grenzen

Komplexität wächst mit der Zeit

Ohne regelmäßige Bereinigung sammeln sich über Jahre Sammelrollen mit unnötig weiten Rechten an, die kaum noch nachvollziehbar sind.

Kein Selbstläufer nach Einführung

Ein einmal aufgebautes Konzept veraltet, wenn neue Prozesse, Organisationsänderungen oder Systemerweiterungen nicht laufend nachgezogen werden.

Prüfung braucht Fachwissen

Kritische Berechtigungskombinationen zu erkennen erfordert Erfahrung mit den betriebswirtschaftlichen Prozessen dahinter, reine Systemkenntnis reicht dafür nicht.

FAQ

Häufige Fragen zu SAP-Berechtigungen

Wie oft sollte ein SAP-Berechtigungskonzept überprüft werden?

Mindestens einmal jährlich, üblicherweise im Rahmen der Jahresabschlussprüfung, zusätzlich immer dann, wenn sich Organisation, Prozesse oder Systeme wesentlich ändern. Eine laufende Rezertifizierung verhindert, dass sich unbemerkt zu weite Rechte ansammeln.

Was prüft der Wirtschaftsprüfer bei SAP-Berechtigungen?

Im Mittelpunkt stehen kritische Funktionstrennungen, etwa ob dieselbe Person Bestellungen anlegen und Zahlungen freigeben kann, sowie der Nachweis, dass Rollenzuweisungen dokumentiert und nachvollziehbar sind. Fehlt die Dokumentation, wird die Prüfung deutlich aufwendiger.

Was ist der Unterschied zwischen einer Rolle und einer Berechtigung?

Eine Berechtigung ist eine einzelne technische Prüfbedingung, etwa Zugriff auf einen bestimmten Buchungskreis. Eine Rolle bündelt mehrere Berechtigungen zu einem Aufgabenpaket und wird als Ganzes einem Benutzer zugewiesen.

Lohnt sich ein Werkzeug zur Berechtigungsdokumentation wie smartRoleDoc?

Für Unternehmen mit wiederkehrender Prüfungspflicht ja, weil die Dokumentation sonst manuell und fehleranfällig zusammengetragen werden muss. Bei sehr kleinen, überschaubaren Systemlandschaften lässt sich der Nachweis teils noch ohne zusätzliches Werkzeug führen.

Was sind kritische Berechtigungskombinationen?

Kombinationen von Rechten, die zusammen ein Missbrauchsrisiko schaffen, etwa Anlegen und Freigeben von Zahlungen in einer Hand. Solche Kombinationen lassen sich systematisch über eine Segregation-of-Duties-Prüfung identifizieren und gezielt auflösen.

Ihr Kontakt

Gabriele Görtz

Head of Sales & Growth

Sprechen Sie mit uns.

Ein Erstgespräch dauert 30 Minuten. Sie können auch direkt mit einem konkreten Thema kommen. Rufen Sie an oder schreiben Sie uns.

+49 40 69 658 50-0

Anwender-Helpdesk für Bestandskunden:

0800 52388 55 (kostenfrei)