Konzeption und Implementierung eines globalen SAP S/4HANA- Berechtigungskonzepts

Mit der Migration von SAP ECC auf S/4HANA, HANA und Fiori-Nutzung ist ein neues Berechtigungskonzept unabdingbar. Wir fragten Jennifer Schmider, Managing SAP Security Consultant bei Xiting, wieso die Konzeption des neuen Berechtigungskonzept frühzeitig bei der Projektplanung berücksichtigt werden sollte, welche Herausforderungen in der Praxis auftreten und wie man den Produktivstart ohne Berechtigungsprobleme hinbekommt.

Gemeinsam mit Hartmut Schroff, Security & Authorization Specialist bei Glasverpackungshersteller Vetropack berichtet sie im Rahmen eines Expert-Talks zur IT-Onlinekonferenz 2020 „Wie machen es andere Unternehmen?“, wie sie das für die Zielarchitektur passende globale SAP Fiori Berechtigungskonzept für SAP S/4HANA 1809 entworfen und implementiert haben.

Frau Schmider, wir beobachten, dass das SAP-Berechtigungswesen oft erst spät in S/4HANA-Projekten thematisiert wird. Wann sollte man sich darum kümmern und wieso?

Jennifer Schmider: Die Berechtigungen sind ein wichtiger Bestandteil des Projekts und aufgrund der vielen Veränderungen ist mit hohen Zeitaufwänden zu rechnen, sodass sie wie alle anderen Arbeitspakete schon in der Vorbereitungsphase berücksichtigt werden sollten.

Wenn Sie an Gespräche mit Anwenderunternehmen zurückdenken — was wird besonders gerne vergessen?

SAP S/4HANA wird von vielen Kunden als Weiterentwicklung der SAP Business Suite wahrgenommen. Beim Upgrade auf SAP S/4HANA gilt jedoch zu beachten, dass es sich dabei um ein neues Produkt der SAP und nicht um eine Erweiterung der ursprünglichen Software SAP ERP handelt.

Aus diesem Grund gehören neben den Systemvoraussetzungen und genutzten Komponenten auch die Berechtigungen zwingend auf den Prüfstand. Denn in SAP S/4HANA werden Transaktionen teilweise gestrichen oder durch neue Transaktionen und SAP Fiori-Apps ersetzt.

Welche wichtigsten Fragen sollte man sich bei der Konzeption eines Berechtigungskonzepts für S/4HANA stellen?

Wie sieht das aktuelle Rollendesign aus? Wurden die Rollen im Kontext der SU24 erstellt oder enthalten ihre Berechtigungsrollen veränderte und manuelle Berechtigungsobjekte? Wurden die gesetzlichen und internen Vorgaben in den bestehenden Rollen berücksichtigt? Werden im Rahmen der SAP S/4HANA-Migration auch neue Prozesse eingeführt?

Ferner sollte die Implementierung des neuen SAP-Berechtigungskonzepts auf Basis von Funktionsrollen erfolgen. Das heißt: Eine Funktionsrolle umfasst alle Berechtigungen, die zur Ausführung der zugrundeliegenden Tätigkeiten erforderlich sind. Diese sollten im Grundsatz eine Unterscheidung von lesenden Zugriffen, buchenden Vorgängen und Tätigkeiten im Umfeld der Stammdatenverwaltung berücksichtigen, um potentielle IKS-Konflikte aufgrund von Funktionstrennungsverletzungen bestmöglich zu vermeiden.

Welche Besonderheiten waren im Projekt mit Vetropack zu berücksichtigen?

Vetropack hatte bereits ein Rollenkonzept auf Basis von SU24-konformen Rollen, die im Rahmen der Migration nach S/4HANA mit der SAP-Simplifikationsliste abgeglichen und überarbeitet werden mussten. Das SAP Fiori-Launchpad wurde unternehmensweit eingeführt, sodass die notwendigen SAP Fiori-Apps in Workshops mit den Fachbereichen identifiziert und Jobfunktionen zugeordnet werden mussten.

Im Anschluss erfolgte die Erstellung der neuen SAP Fiori-Berechtigungsrollen, welche zusätzlich SAP Fiori-Kataloge und -Gruppen im Rollenmenü enthalten, die zuvor auch definiert und angelegt werden müssen.

Was erfahren wir von Ihnen bei der IT-Onlinekonferenz?

Ich werde zusammen mit Hartmut Schroff das bei Vetropack implementierte SAP Fiori-Berechtigungskonzept vorstellen und erläutern wie die Implementierung im Detail erfolgt ist.

Können Sie uns vorab schon eine Empfehlung verraten?

Kümmern Sie sich rechtzeitig um die Berechtigungen, denn bei der Migration auf SAP S/4HANA müssen neben den klassischen SAP GUI-Berechtigungen auch die Berechtigungen für die neue Benutzeroberfläche SAP Fiori konzipiert und implementiert werden.

Gibt es einen Mythos zur S/4HANA-Migration und SAP Berechtigungen, den Sie geraderücken möchten?

Viele Kunden sind der Annahme, sie könnten ihre PFCG-Rollen weiter nutzen beziehungsweise wiederverwenden. Die technische Implementierung der Berechtigungen erfolgt auch in SAP S/4HANA (aber nicht bei der Public Cloud Variante!) auf Basis von PFCG Rollen.

Jedoch müssen die bereits existierenden Kunden-Berechtigungsrollen mit der von SAP ausgelieferten Simplifikationsliste abgeglichen und an das neue Datenmodell und an die (neuen) Prozesse angepasst werden.

Vielen Dank für das Gespräch.

Die Fragen stellte Helge Sanden, Chefredakteur des IT-Onlinemagazins.

Wie vergibt Vetropack S/4HANA-Berechtigungen? Jennifer Schmider und Hartmut Schroff berichten über die Konzeption und Implementierung eines Berechtigungskonzepts für S/4HANA und geben Empfehlungen. Hier anmelden …

Sie können diesen und alle Beiträge der IT-Onlinekonferenz live (28.01. – 06.02.) oder als Aufzeichnung verfolgen und eigene Fragen an die Experten stellen. Im Konferenzprogramm finden Sie Erfahrungsberichte aus mehr als 30 S/4HANA-Projekten, Migrationen und Prozessoptimierungen.