SAP® Berechtigungskonzept – kompakt

Ein SAP Berechtigungskonzept ist ein Regelwerk, das festlegt, wie Berechtigungen im SAP-System strukturiert, zugewiesen und verwaltet werden. Es stellt sicher, dass Benutzer:innen nur die Zugriffe erhalten, die sie für ihre spezifischen Aufgaben benötigen (Minimalprinzip). Ziel ist es, die Datensicherheit zu gewährleisten, unberechtigte Zugriffe zu verhindern und Compliance-Anforderungen zu erfüllen, indem es auch die Funktionstrennung (Segregation of Duties) sicherstellt.

Das SAP Berechtigungskonzept funktioniert durch die Zuweisung von Rollen an Benutzer:innen. Diese Rollen enthalten Berechtigungen, die wiederum aus Berechtigungsobjekten bestehen. Wenn eine Person eine Aktion ausführt, prüft das System mittels „AUTHORITY-CHECK“, ob die im Benutzerstammsatz hinterlegten Berechtigungen für diese Aktion ausreichen. So wird bei jedem Zugriff sichergestellt, dass nur autorisierte Handlungen durchgeführt werden können.

Eine Rolle ist ein Container, der Aufgaben und zugehörige Transaktionen für eine bestimmte Funktion bündelt, zum Beispiel für eine Person in der Buchhaltung. Aus dieser Rolle generiert der Profilgenerator (PFCG) ein oder mehrere Profile, welche die eigentlichen technischen Berechtigungen (Ausprägungen von Berechtigungsobjekten) enthalten. Die Rolle wird den Benutzer:innen zugewiesen, das Profil steuert dann den konkreten Systemzugriff.

SAP Berechtigungsobjekte sind Elemente, die den Zugriff auf bestimmte Daten und Funktionen steuern. Sie funktionieren wie eine Schablone mit bis zu zehn Feldern, die bei einer Berechtigungsprüfung abgefragt werden, zum Beispiel Aktivität und Buchungskreis. Eine Berechtigung entsteht erst, wenn diese Felder mit konkreten Werten gefüllt werden, etwa „Anzeigen“ für den Buchungskreis „1000“. So ermöglichen sie eine sehr detaillierte Zugriffssteuerung.

Die Transaktion PFCG (Profilgenerator) ist das zentrale Werkzeug zur Pflege von Berechtigungsrollen in SAP. Mit der PFCG können Administrator:innen Rollen anlegen, ihnen Transaktionen und Berechtigungsobjekte zuordnen und daraus automatisch die zugehörigen Berechtigungsprofile generieren lassen. Diese Rollen werden anschließend den Benutzer:innen zugewiesen, um deren Zugriffsrechte im System zu steuern und zu vereinfachen.

In SAP unterscheidet man hauptsächlich zwischen Einzel-, Sammel- und abgeleiteten Rollen. Eine Einzelrolle enthält die Berechtigungen für eine spezifische Aufgabe. Eine Sammelrolle fasst mehrere Einzelrollen zusammen, um einen kompletten Arbeitsplatz abzubilden, enthält aber selbst keine Berechtigungen. Eine abgeleitete Rolle erbt die Menü- und Berechtigungsstruktur einer Referenzrolle und unterscheidet sich nur in den Werten der Organisationsebenen (z.B. Buchungskreis).

SAP-Berechtigungen werden in der Regel nicht direkt, sondern über Rollen an Benutzer:innen zugewiesen. Administrator:innen ordnen im Benutzerstammsatz (Transaktion SU01) einer Person eine oder mehrere Rollen zu, die deren Aufgaben im Unternehmen entsprechen. Nach einem sogenannten Benutzerstammabgleich werden die in den Rollen definierten Berechtigungsprofile im Stammsatz der Person wirksam und steuern deren Zugriffsrechte.

Wenn eine Aktion wegen fehlender Berechtigung fehlschlägt, ist die Transaktion SU53 das wichtigste Analysewerkzeug. Direkt nach dem Fehler ausgeführt, zeigt die SU53 an, welche Berechtigung für welches Objekt mit welchen Werten geprüft wurde und fehlgeschlagen ist. Für eine tiefere Analyse, die alle Prüfungen aufzeichnet, kann der System-Trace (Transaktion ST01 oder STAUTHTRACE) genutzt werden, um alle erfolgreichen und fehlgeschlagenen Berechtigungsprüfungen zu protokollieren.

Berechtigungsrollen werden über das SAP-Transportwesen von einem Entwicklungssystem in nachfolgende Systeme (Test, Produktion) verteilt. In der Transaktion PFCG wählt man die gewünschte Rolle aus und fügt sie über die Funktion „Rolle transportieren“ einem Customizing-Auftrag hinzu. Dieser Transportauftrag wird dann freigegeben (z.B. in Transaktion SE09) und anschließend in das Zielsystem importiert (Transaktion STMS).

Der SAP Benutzerstammsatz (Transaktion SU01) enthält alle zentralen Informationen über eine Person im System. Dazu gehören neben Adressdaten und Anmeldeinformationen wie Benutzertyp und Kennwortregeln vor allem die zugewiesenen Rollen und Profile, welche die Berechtigungen definieren. Außerdem können hier Festwerte und Parameter hinterlegt werden, die das Verhalten von Transaktionen für diese spezifische Person steuern.