SAP-Sicherheit, die jede Ebene versteht.
Das SAPify Security Audit prüft Benutzer, Rollen, Profile und Berechtigungen direkt in Ihrem SAP-System – und zeigt das Ergebnis so, dass Basis, Revision und Geschäftsleitung dasselbe Bild sehen: mit Ampel, Sicherheitsalarm und verständlichem PDF-Bericht.
- 100 % ABAP, kein Agent
- Fiori-App inklusive
- Daten bleiben im System
- Ab SAP_BASIS 7.40 SP08 · S/4HANA
Vom Prüfprotokoll zur Entscheidungsgrundlage
Version 2.5 macht aus technischen Befunden klare Aussagen: Was ist kritisch, wer ist betroffen, was ist zu tun. Und Sie bestimmen selbst, was in Ihrem Unternehmen als kritisch gilt.
Management-Übersicht
Gesamtbewertung als Ampel, Kacheln je Bereich, Diagramme und zu jedem Bereich eine Erklärung mit Empfehlung.
Sicherheitsalarm
Benutzer, die sich selbst Rollen, Profile oder Stammdaten geändert haben – das Vier-Augen-Prinzip auf einen Blick.
Externe Benutzer
Wer aus Gruppen wie EXTERN ist zu lange aktiv oder hat kein Ablaufdatum? Mit Grenzlinie für die erlaubte Dauer.
Ihre kritischen Berechtigungen
Objekte, Felder und Werte selbst festlegen (z. B. S_TABU_DIS mit ACTVT 02). Treffer erscheinen rot.
Monitoring-Mails
Eigene Regeln: neue Treffer sofort melden (Job alle 15 Minuten) oder als Tagesbericht – mit CSV im Anhang.
PDF-Bericht
Mit Logo, Gesamtbewertung, Kennzahlen, Diagrammen und Lesehilfe – direkt aus der App, ohne Internetzugriff.
Filter speichern
Zeitraum, Gruppe, Rolle und Analyse als Variante sichern, als Standard setzen oder für Kollegen freigeben.
Zeitraum für alle Analysen
«Änderungen im Zeitraum»: Rollen, Profile, Benutzerstamm und Eigenänderungen mit demselben Datumsfilter.
So sieht es in der Praxis aus
Alle Bildschirmfotos zeigen Beispieldaten aus einem Testsystem (System S4D, Mandant 100, Firma «Muster AG»). Ein Klick vergrössert das Bild.
Die Lage auf einen Blick
Die Gesamtbewertung fasst sieben Bereiche zusammen. Jede Kachel zeigt die Anzahl kritischer Befunde und wie viele Benutzer betroffen sind – ein Klick öffnet die Details.
- Ampel: In Ordnung, Beobachten, Handlungsbedarf
- Diagramme: Befunde je Bereich, Top-10-Benutzer
- Jeder Bereich mit Erklärung und Empfehlung
Eigenänderungen sofort sichtbar
Hat sich ein Benutzer selbst eine Rolle zugeordnet, ein Profil wie SAP_ALL gegeben oder seine Gültigkeit verlängert, erscheint er rot im Sicherheitsalarm – mit Datum, Aktivität, altem und neuem Wert.
- Quellen: Rollen-Änderungsbelege, Profil- und Benutzerhistorie
- Kennwortänderungen zählen nicht
- Optional sofort per Mail an die Sicherheitsverantwortlichen
Wer hat was – und von wem?
Zu jeder Rollenzuordnung zeigt die Analyse, wer sie zugeordnet hat, wann und wie lange sie gilt. Kritische Rollen laut Ihrer Bewertungsliste sind rot.
- Gültig von/bis mit Resttagen
- «Zugeordnet von/am» aus den PFCG-Änderungsbelegen
- Profile ohne technische Rollenprofile – nur echte Standardprofile
Kritische Berechtigungen nach Ihren Regeln
Die Berechtigungsanalyse prüft die Werte in den Rollen gegen Ihre Liste kritischer Objekte und Transaktionen. Treffer erscheinen rot, mit Begründung.
- Regeln mit UND über Felder, ODER innerhalb eines Feldes
- Volle Berechtigung (*) zählt immer als Treffer
- Muster wie SE1* auch gegen Intervalle in der Rolle
Externe nicht aus den Augen verlieren
Für Benutzergruppen wie EXTERN zeigt die App, wer länger als erlaubt aktiv ist oder kein Ablaufdatum hat. Die rote Linie markiert die erlaubte Dauer.
- Gruppen und Tage frei einstellbar
- Gesperrte und abgelaufene Benutzer zählen nicht
- Wer den Benutzer angelegt hat, steht dabei
Einmal einstellen, immer wieder nutzen
Filter lassen sich unter einem Namen speichern – je Benutzer im SAP-System. Ein Standardfilter wird beim Start automatisch angewendet.
- Relative Zeiträume bleiben relativ («Letzte 30 Tage»)
- Für alle Benutzer freigeben, z. B. für die Revision
- Ändern und löschen nur durch den Ersteller
Ein Bericht, den die Geschäftsleitung liest
Der PDF-Bericht entsteht direkt in der App: Logo, Systemangaben, Gesamtbewertung, Kennzahlen, Diagramme, Tabellen und eine Lesehilfe in einfachen Worten.
- Als Datei, ohne Druckdialog
- Bibliothek ist Teil der App – kein Aufruf ins Internet
- Zusätzlich CSV mit Kopf- und Fussblock
Gewohnte Arbeitsweise für Basis und Berechtigungsteams
Im SAP GUI startet das Tool mit Transaktion ZSAPIFY_AUDIT: Selektionsbild mit Kopfband, Filter für Benutzer, Gruppen, Rollen und Zeitraum, neun Analysearten und die Ausgabe als ALV, CSV-Datei, Mail oder an das SAPify Audit Cockpit.
- ALV mit sprechenden Spaltentexten, kritisch rot, hoch orange
- Mindestrisiko und Benutzergruppe als Filter für alle Analysen
- Varianten und Hintergrundjobs wie bei jedem SAP-Report
Was kritisch ist, entscheiden Sie
Vier Pflegelisten steuern das Tool – ohne Programmänderung, als Customizing transportierbar:
ZSAPIFY_CRIT– kritische Rollen, Profile und Transaktionen mit Risiko 0–100ZSAPIFY_CAUTH– kritische Berechtigungsobjekte mit Feldern und WertenZSAPIFY_CFG– Gruppen externer Benutzer, erlaubte Tage, Mail-DomänenZSAPIFY_MON– Monitoring-Regeln und Empfänger
Gemeldet wird nur, was neu ist
Ein Hintergrundjob prüft alle 15 Minuten Ihre Regeln und meldet nur neue Treffer – dieselbe Feststellung kommt nicht zweimal. Ein zweiter Job verschickt den Tagesbericht.
- HTML-Mail mit Logo, Tabelle und CSV-Anhang
- Empfänger je Regel, erlaubte Domänen einstellbar
- Je Regel: Analyse, Mindestrisiko, Benutzer oder Gruppe
Jede Analyse beantwortet eine klare Frage
| Analyse | Die Frage dahinter | Was Sie sehen |
|---|---|---|
| 1Benutzerstamm | Wer ist gültig, wer ist inaktiv, wer wurde zuletzt geändert? | Gruppe, Typ, Gültigkeit, letzte Anmeldung, letzte Änderung (wer, wann, was) |
| 2Zugewiesene Rollen | Wer hat welche Rolle – von wem und bis wann? | Rolle, Gültig von/bis, zugeordnet von/am, Bewertung laut Liste |
| 3Zugewiesene Profile | Wer hat SAP_ALL, SAP_NEW & Co. direkt? | Nur SAP-Standardprofile, ohne technische Rollenprofile |
| 4Berechtigungsanalyse | Welche Rollen enthalten kritische Werte? | Objekt, Feld, Wert – Treffer Ihrer Regeln in Rot |
| 5Eigenänderungen | Hat sich jemand selbst Rechte gegeben? | Benutzer = Änderer bei Rollen, Profilen und Stammdaten |
| 6Externe Benutzer | Sind Externe befristet und nicht zu lange aktiv? | Aktive Tage, Ablaufdatum, angelegt von |
| 7Kritische Transaktionen | Wer darf kritische Transaktionen – und wer hat sie genutzt? | «Berechtigt» über Rollen und «Genutzt» laut Statistik |
| 8Transaktionsnutzung (ST03N) | Was wird tatsächlich verwendet? | Aufrufe je Benutzer, Transaktion und Tag |
| 9Security Audit Log | Welche sicherheitsrelevanten Ereignisse gab es? | Ereignisse mit Risiko, kritische Transaktionen rot |
Typische Befunde – und was sie bedeuten
So sieht ein Ergebnis bei der fiktiven «Muster AG» aus. Benutzernamen und Werte sind frei erfunden.
| Risiko | Schweregrad | Benutzer | Gruppe | Befund | Empfehlung |
|---|---|---|---|---|---|
| 100 | Kritisch | WWEBER | BASIS | Eigenänderung: Rolle SAP_BC_BASIS_ADMIN sich selbst zugeordnet | Mit Person und Vorgesetzten klären, Zuordnung rückgängig machen |
| 100 | Kritisch | FIREFIGHT01 | NOTFALL | Profil SAP_ALL direkt zugeordnet, unbefristet | Nur als Notfallbenutzer, befristet und dokumentiert |
| 95 | Kritisch | EXT_KOCH | EXTERN | Externer Benutzer ohne Ablaufdatum, seit 40 Tagen aktiv (erlaubt: 5) | Ablaufdatum setzen oder Benutzer sperren |
| 95 | Kritisch | AMUSTER | FINANZ | Rolle Z_FI_KEYUSER enthält S_TABU_DIS mit ACTVT 02 und DICBERCLS * | Tabellenpflege auf nötige Gruppen beschränken |
| 85 | Hoch | PMUSTER | VERTRIEB | Transaktion SE16N am 08.10.2026 dreimal genutzt | Nutzung begründen lassen, Berechtigung prüfen |
| 60 | Mittel | BASIS_ADM1 | BASIS | Rolle Z_BC_ADMIN läuft in 12 Tagen ab | Verlängerung bewusst entscheiden |
| 40 | Niedrig | GSTEINER | FINANZ | Gültig, aber seit 118 Tagen nicht angemeldet (Grenze 90) | Benutzer sperren oder Gültigkeit beenden |
Beispiel: Regel für kritische Berechtigungen
ZSAPIFY_CAUTHBeispiel: Monitoring-Regeln
ZSAPIFY_MON| Regel | Analyse | Meldung | Empfänger |
|---|---|---|---|
| SELF_ALARM | Eigenänderungen | sofort | security@muster-ag.ch |
| SAP_ALL | Profile ab 90 | sofort | security@muster-ag.ch |
| KRIT_ROLLEN | Rollen ab 80 | sofort + täglich | security@muster-ag.ch |
| EXTERNE | Externe Benutzer | täglich | basis@muster-ag.ch |
| AUDITLOG | Audit Log ab 90 | sofort | security@muster-ag.ch |
Das Ergebnis im ALV
Dieselben Daten wie in der App, als ALV-Liste im SAP GUI – hier zugewiesene Rollen der Gruppe EXTERN in den letzten 30 Tagen. Kritische Zeilen sind rot, hohe orange; abgelaufene Zuordnungen sind als «nicht wirksam» erklärt.
Ein Werkzeug, drei Blickwinkel
Geschäftsleitung
Ein Bild der Sicherheitslage ohne Fachjargon.
- Ampel und Kacheln statt Listen
- PDF-Bericht mit Erklärungen
- Nachweis der Sorgfalt gegenüber Revision und Versicherung
Basis & Berechtigungen
Weniger Handarbeit im Alltag.
- Kritische Werte nach eigenen Regeln
- Monitoring-Mails statt manueller Kontrollen
- Externe und inaktive Benutzer im Griff
In wenigen Stunden produktiv
Installieren
Per Transportauftrag oder abapGit-Paket in Ihr Entwicklungssystem, danach über Ihre Transportroute nach QAS und PRD. Alles im eigenen Paket ZSAPIFY.
Einrichten
Bewertungsliste, kritische Berechtigungsobjekte, Einstellungen und Monitoring-Regeln pflegen – mit unseren Startvorschlägen. Fiori-App hochladen, Lizenz aktivieren.
Nutzen
Übersicht in der Fiori-App, Analysen im SAP GUI, Monitoring-Jobs im Hintergrund. Auf Wunsch zusätzlich im SAPify Audit Cockpit über mehrere Systeme.
Läuft dort, wo Ihre Daten sind
Das Tool ist ein ABAP-Programm in Ihrem System. Es liest SAP-Standardtabellen und -Schnittstellen und schreibt nur in seine eigenen Tabellen. Es gibt keinen Agenten und keinen Pflicht-Cloud-Dienst.
- SAP-Release
- SAP_BASIS 7.40 SP08 oder höher, S/4HANA On-Premise, Unicode
- Fiori-App
- SAPUI5 ab 1.71, Launchpad-fähig, getestet mit 1.76 und 1.120
- Datenquellen
- Benutzerstamm, Rollen, Profile, Änderungsbelege, ST03N, Security Audit Log
- Footprint
- Paket ZSAPIFY: ein Report, eine Klasse, sieben eigene Tabellen
- Leistung
- Audit Log blockweise gelesen und sofort gefiltert – auch bei sehr grossen Logs
- Datenhaltung
- Ergebnisse bleiben im System; PDF-Bibliothek liegt in der App, kein Internetaufruf
- Über SAPconnect, nur an erlaubte Domänen
- Cockpit (optional)
- Verschlüsselte Übertragung (HTTPS) an das SAPify Audit Cockpit, nur auf Wunsch
- Berechtigungen
- Prüft selbst die nötigen Rechte je Analyse; Rolle ZSAPIFY_AUDIT als Vorlage
- Lizenz
- Online über das Cockpit oder offline mit Schlüssel – je System
«Vertrauen ist gut, SAPify ist besser.»
Gut zu wissen
Werden Daten aus unserem SAP-System übertragen?
Müssen wir für die Fiori-App etwas aus dem Internet laden?
Können wir selbst festlegen, was als kritisch gilt?
Wie aufwendig ist die Installation?
Wie weit zurück wertet das Tool aus?
Ersetzt das Tool ein GRC-System?
Sehen Sie Ihr System mit anderen Augen
In einer kostenlosen, unverbindlichen Live-Demo zeigen wir das SAPify Security Audit 2.5 mit Beispieldaten – und besprechen, was es in Ihrer Landschaft aufdecken würde.
Was Sie in der Demo sehen
Die Management-Übersicht mit Ampel, den Sicherheitsalarm, die neun Analysen im SAP GUI und in der Fiori-App, Ihre eigenen Regeln für kritische Berechtigungen und den PDF-Bericht – mit Beispieldaten.
Alle Bildschirmfotos und Tabellen auf dieser Seite zeigen Beispieldaten aus einem Testsystem (System S4D, fiktive Firma «Muster AG»); Benutzernamen sind frei erfunden. SAP, SAP S/4HANA, SAP HANA, ABAP, SAPUI5 und SAP Fiori sind Marken der SAP SE. SAPify-Solutions GmbH steht in keiner Verbindung zur SAP SE; das SAPify Security Audit ist kein von SAP geprüftes oder zertifiziertes Produkt.