Wer darf was – und wer hat es sich selbst gegeben?
In fast jedem SAP-System wachsen Berechtigungen über die Jahre: neue Rollen, befristete Ausnahmen, externe Berater, Notfallbenutzer. Irgendwann kann niemand mehr auf Anhieb sagen, wer SAP_ALL hat, welche Rolle kritische Tabellenpflege erlaubt oder ob sich jemand selbst Rechte zugeordnet hat.
Spätestens bei der nächsten Revision wird daraus Handarbeit: Listen aus SUIM ziehen, Änderungsbelege durchsuchen, Ergebnisse in Excel zusammenführen – und am Ende eine Präsentation bauen, die auch die Geschäftsleitung versteht.
Mit dem SAPify Security Audit 2.5 prüfen Sie Benutzer, Rollen, Profile und Berechtigungen direkt in Ihrem SAP-System – und zeigen das Ergebnis so, dass Basis, Revision und Geschäftsleitung dasselbe Bild sehen: mit Ampel, Sicherheitsalarm und verständlichem PDF-Bericht.
Vom Prüfprotokoll zur Entscheidungsgrundlage
Version 2.5 macht aus technischen Befunden klare Aussagen: Was ist kritisch, wer ist betroffen, was ist zu tun. Und Sie bestimmen selbst, was in Ihrem Unternehmen als kritisch gilt.
Die Lage auf einen Blick
Die Gesamtbewertung fasst sieben Bereiche zusammen. Jede Kachel zeigt die Anzahl kritischer Befunde und wie viele Benutzer betroffen sind – ein Klick öffnet die Details.
- Ampel: In Ordnung, Beobachten, Handlungsbedarf
- Diagramme: Befunde je Bereich, Top-10-Benutzer
- Jeder Bereich mit Erklärung und Empfehlung
Sicherheitsalarm
Benutzer, die sich selbst Rollen, Profile oder Stammdaten geändert haben – das Vier-Augen-Prinzip auf einen Blick.
Externe Benutzer
Wer aus Gruppen wie EXTERN ist zu lange aktiv oder hat kein Ablaufdatum? Mit Grenzlinie für die erlaubte Dauer.
Ihre kritischen Berechtigungen
Objekte, Felder und Werte selbst festlegen (z. B. S_TABU_DIS mit ACTVT 02). Treffer erscheinen rot.
Monitoring-Mails
Neue Treffer sofort melden (Job alle 15 Minuten) oder als Tagesbericht – mit CSV im Anhang.
PDF-Bericht
Mit Logo, Gesamtbewertung, Kennzahlen, Diagrammen und Lesehilfe – direkt aus der App, ohne Internetzugriff.
Filter speichern
Zeitraum, Gruppe, Rolle und Analyse als Variante sichern, als Standard setzen oder für Kollegen freigeben.
Zeitraum für alle Analysen
Rollen, Profile, Benutzerstamm und Eigenänderungen mit demselben Datumsfilter.
Management-Übersicht
Gesamtbewertung als Ampel, Kacheln je Bereich, Diagramme und zu jedem Bereich eine Empfehlung.
Was das Audit konkret aufdeckt
Eigenänderungen
Hat sich ein Benutzer selbst eine Rolle zugeordnet, ein Profil wie SAP_ALL gegeben oder seine Gültigkeit verlängert, erscheint er rot im Sicherheitsalarm – mit Datum, Aktivität, altem und neuem Wert.
- Quellen: Rollen-Änderungsbelege, Profil- und Benutzerhistorie
- Kennwortänderungen zählen nicht
- Optional sofort per Mail an die Sicherheitsverantwortlichen
Kritische Werte in Rollen
Die Berechtigungsanalyse prüft die Werte in den Rollen gegen Ihre Liste kritischer Objekte und Transaktionen. Treffer erscheinen rot, mit Begründung.
- Regeln mit UND über Felder, ODER innerhalb eines Feldes
- Volle Berechtigung (*) zählt immer als Treffer
- Muster wie SE1* auch gegen Intervalle in der Rolle
Externe ohne Ablaufdatum
Für Benutzergruppen wie EXTERN zeigt die App, wer länger als erlaubt aktiv ist oder kein Ablaufdatum hat. Die rote Linie markiert die erlaubte Dauer.
- Gruppen und Tage frei einstellbar
- Gesperrte und abgelaufene Benutzer zählen nicht
- Wer den Benutzer angelegt hat, steht dabei
Alle Bildschirmfotos zeigen Beispieldaten aus einem Testsystem (System S4D, fiktive Firma «Muster AG»). Ein Klick vergrössert das Bild.
Jede Analyse beantwortet eine klare Frage
| Analyse | Die Frage dahinter | Was Sie sehen |
|---|---|---|
| 1Benutzerstamm | Wer ist gültig, wer ist inaktiv, wer wurde zuletzt geändert? | Gruppe, Typ, Gültigkeit, letzte Anmeldung, letzte Änderung (wer, wann, was) |
| 2Zugewiesene Rollen | Wer hat welche Rolle – von wem und bis wann? | Rolle, Gültig von/bis, zugeordnet von/am, Bewertung laut Liste |
| 3Zugewiesene Profile | Wer hat SAP_ALL, SAP_NEW & Co. direkt? | Nur SAP-Standardprofile, ohne technische Rollenprofile |
| 4Berechtigungsanalyse | Welche Rollen enthalten kritische Werte? | Objekt, Feld, Wert – Treffer Ihrer Regeln in Rot |
| 5Eigenänderungen | Hat sich jemand selbst Rechte gegeben? | Benutzer = Änderer bei Rollen, Profilen und Stammdaten |
| 6Externe Benutzer | Sind Externe befristet und nicht zu lange aktiv? | Aktive Tage, Ablaufdatum, angelegt von |
| 7Kritische Transaktionen | Wer darf kritische Transaktionen – und wer hat sie genutzt? | «Berechtigt» über Rollen und «Genutzt» laut Statistik |
| 8Transaktionsnutzung (ST03N) | Was wird tatsächlich verwendet? | Aufrufe je Benutzer, Transaktion und Tag |
| 9Security Audit Log | Welche sicherheitsrelevanten Ereignisse gab es? | Ereignisse mit Risiko, kritische Transaktionen rot |
Was kritisch ist, entscheiden Sie
Vier Pflegelisten steuern das Tool – ohne Programmänderung, als Customizing transportierbar.
Beispiel: Regel für kritische Berechtigungen
ZSAPIFY_CAUTHGemeldet wird nur, was neu ist
Ein Hintergrundjob prüft alle 15 Minuten Ihre Regeln und meldet nur neue Treffer – dieselbe Feststellung kommt nicht zweimal. Ein zweiter Job verschickt den Tagesbericht.
Jede Regel ist einstellbar
- HTML-Mail mit Logo, Tabelle und CSV-Anhang
- Empfänger je Regel, erlaubte Domänen einstellbar
- Je Regel: Analyse, Mindestrisiko, Benutzer oder Gruppe
- Sofort melden oder als Tagesbericht
Ein Werkzeug, drei Blickwinkel
Geschäftsleitung
Ein Bild der Sicherheitslage ohne Fachjargon.
- Ampel und Kacheln statt Listen
- PDF-Bericht mit Erklärungen
- Nachweis der Sorgfalt gegenüber Revision und Versicherung
Basis & Berechtigungen
Weniger Handarbeit im Alltag.
- Kritische Werte nach eigenen Regeln
- Monitoring-Mails statt manueller Kontrollen
- Externe und inaktive Benutzer im Griff
Läuft dort, wo Ihre Daten sind
Das Tool ist ein ABAP-Programm in Ihrem System. Es liest SAP-Standardtabellen und -Schnittstellen und schreibt nur in seine eigenen Tabellen. Es gibt keinen Agenten und keinen Pflicht-Cloud-Dienst.
- SAP-Release
- SAP_BASIS 7.40 SP08 oder höher, S/4HANA On-Premise, Unicode
- Fiori-App
- SAPUI5 ab 1.71, Launchpad-fähig, getestet mit 1.76 und 1.120
- Datenquellen
- Benutzerstamm, Rollen, Profile, Änderungsbelege, ST03N, Security Audit Log
- Footprint
- Paket ZSAPIFY: ein Report, eine Klasse, sieben eigene Tabellen
- Datenhaltung
- Ergebnisse bleiben im System; PDF-Bibliothek liegt in der App, kein Internetaufruf
- Über SAPconnect, nur an erlaubte Domänen
In wenigen Stunden produktiv
Installieren
Per Transportauftrag oder abapGit-Paket ins Entwicklungssystem, danach über Ihre Transportroute nach QAS und PRD. Alles im eigenen Paket ZSAPIFY.
Einrichten
Bewertungsliste, kritische Berechtigungsobjekte, Einstellungen und Monitoring-Regeln pflegen – mit unseren Startvorschlägen. Fiori-App hochladen, Lizenz aktivieren.
Nutzen
Übersicht in der Fiori-App, Analysen im SAP GUI, Monitoring-Jobs im Hintergrund. Auf Wunsch zusätzlich im SAPify Audit Cockpit über mehrere Systeme.
Was Basis-Teams und Revision vorab wissen wollen
Werden Daten aus unserem SAP-System übertragen?
Können wir selbst festlegen, was als kritisch gilt?
Wie aufwendig ist die Installation?
Wie weit zurück wertet das Tool aus?
Ersetzt das Tool ein GRC-System?
SAP, SAP S/4HANA, ABAP, SAPUI5 und SAP Fiori sind Marken der SAP SE. SAPify-Solutions GmbH steht in keiner Verbindung zur SAP SE; das SAPify Security Audit ist kein von SAP geprüftes oder zertifiziertes Produkt.