[English]Bei der Umstellung auf S/4HANA und das neue Lizenzmodell von SAP ist eine strategische Optimierung der Nutzerberechtigungen unverzichtbar. Worauf müssen Unternehmen bei der Optimierung ihres Berechtigungsmanagements achten?
Björn Rolka, Associate Partner & Manager des Center of Excellence „Governance, Risk und Compliance" (GRC) bei Convista, hatte mir bereits vor einiger Zeit einen Beitrag zukommen lassen, der beschreibt, worauf Unternehmen bei der Optimierung ihres Berechtigungsmanagements bei der Umstellung auf S/4HANA und das neue Lizenzmodell von SAP achten müssen und wie sie es so gestalten können, dass sie ihre Lizenzkosten senken und zugleich ihre Compliance verbessern. Ich stelle die Informationen mal hier im Blog ein – vielleicht ist es für einige Leser hilfreich.
ERP-Suite S/4HANA von SAP
Mit S/4HANA steht Unternehmen eine moderne ERP-Suite mit Schwerpunkt auf der Echtzeit-Datenanalyse und -verarbeitung zur Verfügung, die es ermöglicht, Erkenntnisse aus ihren Daten für Geschäftsentscheidungen zu gewinnen und mittels künstlicher Intelligenz und maschinellem Lernen Prozesse zu automatisieren.
Da der Support und die Wartung für SAP Enterprise Resource Planning (ERP) ausläuft, müssen SAP-Kunden bis 2027, allerspätestens bis 2030, auf S/4HANA migrieren. Bereits jetzt reduziert SAP die Anrechnungen von Altlizenzen jährlich um zehn Prozent, was die Umstellung auf S/4HANA unaufhaltsam verteuert, wenn die Migration hinausgezögert wird.
SAP-Lizenzkosten auf Basis des Nutzerverhaltens
Dass die Bemessung der Lizenzkosten bei SAP zukünftig nicht mehr auf Basis des tatsächlichen Nutzungsverhaltens, sondern der vergebenen Berechtigungen erfolgt, bedeutet, dass zu viele unnötige Berechtigungen rasch zu einer teureren Lizenzkategorie führen und eine Kostenexplosion zur Folge haben können. Darüber hinaus entstehen durch zu viele oder falsche Berechtigungen Compliance-Risiken, weil dies die Gefahr von Sicherheitsvorfällen und Verstößen gegen regulatorische Anforderungen erhöht.
Unternehmen, die den Umstieg auf S/4HANA planen, sollten deshalb zunächst bestehende Strukturen bereinigen und das Berechtigungsmanagement neu strukturieren, bevor der Wechsel zu S/4HANA erfolgt. Denn mit einer systematischen Optimierung der Berechtigungen können Unternehmen die genannten Herausforderungen in Chancen verwandeln.
Unternehmensrisiken und Lizenzkosten reduzieren
Eine sauberes Berechtigungsmanagement mit einer korrekten, granularen Zuweisung von Rollen und Berechtigungen ist grundlegend, um sicherzustellen, dass Benutzer nur auf die Daten und Funktionen zugreifen können, die sie für die effiziente Erfüllung ihre Aufgaben benötigen. Dies sorgt dafür, dass Mitarbeiter weder in ihren Arbeitsabläufen eingeschränkt werden noch außerhalb ihrer Kompetenzen agieren, und dass die Sicherheit und Integrität von Unternehmensdaten und -systemen gewahrt bleiben.
Schäden durch versehentliches Handeln, wie zum Beispiel die Aufhebung einer Liefersperre oder die falsche Verwendung einer Massenveränderungsfunktion, können damit verhindert werden. Ebenso wird sichergestellt, dass zum Beispiel Bilanzen nicht geschönt werden, Stakeholdern oder Steuerbehörden ein Schaden entsteht und dem Unternehmen wirtschaftliche und strafrechtliche Konsequenzen drohen. Nicht zuletzt sind Konten mit zu hohen Berechtigungen auch ein Risiko, wenn Accounts durch Cyberangriffe kompromittiert werden, Angreifer dadurch unbemerkt sensible Unternehmensdaten exfiltrieren oder ganze Systeme mit Ransomware infizieren, um ein Lösegeld zu erpressen.
Das Argument, dass Mitarbeiter über mehr Berechtigungen verfügen sollten als unbedingt notwendig, um möglichst breit einsatzbereit zu sein, kann deshalb sowohl aus Compliance- und Sicherheitsgründen kostspielig werden, als auch, wenn diese Berechtigungen auf Grundlage eines alten SAP-Lizenzkosten-Modells vergeben wurden. Da die Lizenzierung bei der technischen Zuweisung von Berechtigungen bisher in den meisten Unternehmen vernachlässigt wurde, müssen nun viele ihre Berechtigungsstrukturen überprüfen und anpassen, um die Kosten unter Kontrolle halten. Nachfolgend finden sich deshalb drei Schritte, mit denen Unternehmen ihre Berechtigungsmanagement optimieren können.
Fahrplan für die Berechtigungsoptimierung
Schritt 1: Bestandsaufnahme der Berechtigungen
Zunächst sollten Unternehmen den Status quo analysieren und prüfen, welche Berechtigungen derzeit vergeben sind, sowie inaktive Nutzer oder Rollen, die nicht verwendet werden, identifizieren. Hierfür können sie Analysetools nutzen, um detaillierte Einblicke in ihre Berechtigungen zu erhalten. Tipp: Auch historische Berechtigungen, die über Jahre hinweg nicht bereinigt wurden, sollten berücksichtigt werden.
Schritt 2: Optimierung der Berechtigungen
Im zweiten Schritt sollten Unternehmen für jede Benutzergruppe granular spezifische Rollen mit klaren Berechtigungen definieren und erstellen. Die Vergabe von zu weitreichenden Berechtigungen, die für eine Benutzergruppe nicht einmal benötigt werden, sollte dabei vermieden werden. Dies kann unter Umständen zu einer teureren Lizenzkategorie führen. Bei den Rollenbereinigung werden unnötige Berechtigungen aus den Rollen entfernt und auf das notwendige Minimum reduziert. Dieser Ansatz folgt dem Need-to-know-Prinzip, einem Sicherheitskonzept im Datenschutz, bei dem der Zugriff auf sensible Daten nur denjenigen Personen gestattet sein sollte, die diese Informationen zwingend für ihre Arbeit benötigen. Die Feinabstimmung der Berechtigungen auf Benutzerebene vermeidet eine Überlizenzierung und gewährleistet die optimale Ausnutzung der Lizenzen.
Schritt 3: Implementierung eines kontinuierlichen Optimierungsprozesses
Der Einsatz von Monitoring-Tools ermöglicht es, die Nutzerberechtigungen fortlaufend zu überwachen und schnell auf Veränderungen zu reagieren. Zudem sollte eine regelmäßige Überprüfung erfolgen, um sicherzustellen, dass die Berechtigungen den aktuellen Anforderungen des Unternehmens und der SAP-Lizenzierung entsprechen. Mittels automatisierter Zuweisung und Überprüfung von Berechtigungen kann der Administrationsaufwand minimiert werden. Ein klar definierter Eskalationsprozess für Überberechtigungen spart zudem Zeit und stellt sicher, dass keine neuen Kostenfallen entstehen.
Was ist das Fazit?
Die Umstellung auf SAP S/4HANA bietet Unternehmen eine Gelegenheit, ihre SAP-Berechtigungsstrukturen zu überarbeiten und auf den neuesten Stand zu bringen. Durch die Identifizierung und Entfernung unnötiger Berechtigungen können nicht nur die SAP-Lizenzkosten maßgeblich gesenkt werden. Die konsequente Einhaltung von Best Practices im Berechtigungsmanagement minimiert auch Sicherheitsrisiken, verbessert die Transparenz und unterstützt bei der Einhaltung von Compliance-Vorgaben.
Frage an die Leserschaft: Ist jemand von dieser Umstellung betroffen? Falls ja, wie seid ihr die obige Fragestellung bzw. Problematik angegangen? Ist ein Berechtigungsmanagement in diesem Bereich Standard?
Ähnliche Artikel:
SAP: Warum Firmen zügig auf SAP S/4HANA umsteigen sollten
EOL für SAP ECC ERP-Falle für Kunden; S4/HANA-Mangel an Beratern und Systemintegratoren
SAP ECC RP-Falle, viele SAP-Kunden ab 2030 ohne Support?
MVP: 2013 – 2016
Wir stellen aktuell von SAP ECC in der Private Cloud auf SAP4 Hana in der Public Cloud um.
Wir haben ein fein-granuliertes Berechtigungsmanagement im alten SAP. Das nützt einem für die Umstellung gar nichts. Die Systeme sind völlig unterschiedlich. Es lässt sich nichts übernehmen und man fängt komplett von vorne an.
Die Lizenzen waren auch im alten SAP an die Rolle (und damit an die Berechtigungen) geknüpft.
Das perfide bei SAP ist: Wurde eine Lizenz einer höheren Rolle einmal gekauft, wird man diese nie wieder los. Also ist man bei der SAP Einführung zu großzügig (man steht ja unter Zeitdruck) und hat noch kein granulares Berechtigungskonzept (den Beratungshäusern ist das egal), bezahlt man diese Lizenzen auf Lebenszeit mit (jährliche Inventur).
Der Umstieg auf S4 bietet da zumindest ne Chance Lizenzen zu verrechnen. Aber die S4-Welt ist im Vergleich zu ECC so unübersichtlich, dass die Gefahr von Überberechtigung vermutlich um einiges höher ist.
> Das perfide bei SAP ist: … man fängt komplett von vorne an. <
Tatsächlich? Sie benutzen weder Tools von SAP (bspw. SU25) noch von Drittanbietern?
Die Frage die sich 50% der SAP Kunden – nämlich die, die bisher noch nicht umgestiegen sind, stellen, ist, soll ich jetzt umstellen und 100k an Lizenzkosten sparen, was mich das s4 Projekt in Summe 700k statt 800k kostet, oder soll ich den Aufschlag für das aktuelle System bis 2030 in der Wartung bezahlen was in Summe ca. 40k sind. Wenn ich keine Fiori Apps möchte und mit dem vorhanden ERP zufrieden bin und es optimiert mit allen Prozessen läuft, sicherlich die 2. Option.
Wenn man schon Rollen und Berechtigungen hat und man geht davon aus, die Kosten bleiben so, kann man dann wenigsten 2030 mit genau den gekauften Lizenzkosten rechnen. Bis 2030 ist eine lange Zeit und niemand kann sagen, was die SAP bis dahin noch aus dem Hut zaubert. Das ganze Thema angefangen beim Hosting mit Public und privat Cloud bis hin zur Entwicklung mit KI. Vielleicht lässt sich ein bestehenden ERP 2030 viel einfacher 1:1 migrieren. Deswegen warten so viele Kunden noch und tun sich mit dem ganzen Thema schwer. Mit internen Personalkosten und Validierung kommt man da gleich mal auf über 1 Mio Euro, ohne echten Nutzen und bei der Wirtschaftslage überlegen sich das viele Firmen doppelt und warten lieber ab. Das kann ich nach knapp 1 Jahr seit dem ich mich mit dem Thema beschäftige sagen.