SAP IDM Wartungsende: Herausforderungen, Alternativen und Ablösung

Seit Februar ist es amtlich: Die Wartung für die Lösung SAP Identity Management läuft 2027 aus, einen Nachfolger wird es aus Walldorf nicht geben. Bleibt die Frage, welche Alternativen SAP-Anwendungsunternehmen in Zukunft im Bereich Identity Governance and Administration (IGA) künftig haben?

Hendrik Winkler (consiness | Foto) zeigt in seinem Gastbeitrag auf, was Unternehmen bei der IGA-Transition beachten sollten und warum es trotz des näher rückenden Wartungsendes keinen Grund zur Panik gibt.

Das Identitäts- und Berechtigungsmanagement ist für viele Unternehmen ein wichtiger Aspekt der IT-Sicherheit und -Effizienz. Eine gängige Lösung dafür war und ist seit vielen Jahren das Java-basierte SAP Identity Management (SAP IDM), welches vor allem durch eine hohe Flexibilität bei der Integration von komplexen SAP-Systemen und Prozessen hervorstechen konnte.

SAP IDM-Nachfolger: SAP überlässt Microsoft das Feld

Spätestens im Februar dieses Jahres wurde Gewissheit, was sich über mehrere Jahre abgezeichnet hat: Die Tage für SAP IDM sind gezählt! Das Wartungsende für den zugrundeliegenden NetWeaver AS Java ist definitiv zum Ende 2027 festgesetzt worden und kann maximal, bei Bedarf, zahlungspflichtig auf das Jahr 2030 erweitert werden. Während bei stark verbreiteten Produkten, wie dem SAP Solution Manager mit Cloud ALM, bereits eine Nachfolger-Lösung am Markt positioniert wurde, hat sich SAP im Bereich Identity Governance and Administration (IGA) bis Anfang Februar bedeckt gehalten.

Erst mit der Keynote auf den DSAG-Technologietagen 2024 in Hamburg wurde sprichwörtlich die Katze aus dem Sack gelassen: SAP wird keine IDM-ebenbürtige Lösung für die Cloud entwickeln und das Feld an den Software-Partner Microsoft abgeben, welcher mit dem Cloud-Service Entra bereits exzellent im Markt positioniert ist.

Sind Identitätsdaten in der Cloud sicher?

Bevor sich Ihr Unternehmen jetzt ungesehen für einen Umzug zu Entra entscheidet, sollten Sie eine grundlegende Frage beantwortet haben: Sind Sie bereit, Identitätsdaten Ihres Unternehmens und ggfs. auch Ihrer Kunden in der Azure Cloud abzulegen? Für immer weniger Kunden wird dieser Paradigmenwechsel als problematisch angesehen. Zu sehr überwiegen die Effizienz-Vorteile und in vielen Fällen auch die Hochverfügbarkeit und Sicherheit, die eine Auslagerung von IT-Infrastruktur an hochspezialisierte Dienstleister nach sich zieht.

Dennoch kann nicht verschwiegen werden, dass es in regelmäßigen Abständen zu sogenannten Cloud-Security-Breaches [1,2] kommt, was für einige Anbieter ein existenzbedrohendes Szenario darstellt. Da sie mit ihrer Identitäts- und Berechtigungsverwaltung üblicherweise ein Einfallstor in die Systeme und somit auch in die Daten Ihrer gesamten IT-Infrastruktur schaffen, ist dieser Schritt gut abzuwägen. Dass aus dieser Gemengelage eine zögernde Haltung bei SAP-Kunden entsteht, bestätigt unter anderem auch der kürzlich erschienene Investitionsreport der DSAG Schweiz. Demnach sind 48 Prozent der SAP-Anwendungsunternehmen im DACH-Raum negativ gegenüber der S/4HANA-Cloud Strategie eingestellt. [3]

IDM-Ablösung und IGA-Transition brauchen Zeit

Unabhängig von der Produktwahl sind bei einem Transitionsprojekt der IGA-Lösung mindestens 12, eher aber 24 Monate oder länger einzuplanen. Wobei dies nicht bedeutet, dass es keine Quick-Wins in den Projekten geben darf. Die Praxis zeigt: Je nach Komplexität der Prozess- und Aufbauorganisation bietet es sich an, in einem internen Pilotprojekt eine Lösung mit der minimal-notwendigen Konfiguration für einen abgegrenzten Bereich auszurollen. Diese Lösung wird anschließend entsprechend der Kundenbedürfnisse weiter angepasst und nach einem festen Zeitplan in der Fläche etabliert. Dabei ist nicht zu unterschätzen, welche Begehrlichkeiten und Anforderungen ein neuer Software-Rollout bei der Anwenderbasis zu Tage bringen kann. Dies begründet, warum erfolgreiche Projekte, welche sowohl den laufenden Betrieb-, als auch ein positives Feedback der Anwender sicherstellen, mit einem entsprechenden Zeitbudget ausgestattet werden sollten.

Kombiniert man das Wartungsende von SAP IDM mit den Vorüberlegungen bezüglich der Dauer eines IGA-Transitionsprojekts, ergibt sich ein Zeitraum von knapp ein bis zwei Jahren, in dem sich die meisten Unternehmen für eine neue Architektur entscheiden sollten. Sind die offiziell von SAP unterstützten Lösungen gesetzt, sollte man sich sowohl mit dem Produkt als auch der Referenzarchitektur [4] von Entra vertraut machen.

Ebenso wichtig ist es, die bestehenden Prozesse im Bereich IGA zu analysieren und zu bewerten, ob sie für eine Cloud-basierte Implementierung geeignet sind. Möglicherweise müssen einige Prozesse vereinfacht oder angepasst werden, um die Vorteile von Entra oder einer vergleichbaren Lösung optimal zu nutzen.

Microsoft Entra: Gibt es Alternativen?

Um eine fundierte Entscheidung für eine neue IGA-Architektur zu treffen, ist es empfehlenswert, sich zunächst mit der Produktlandschaft und den Möglichkeiten von Entra vertraut zu machen. Entra bietet Testversionen an, mit denen potenzielle Kunden die Lösung in ihrer eigenen Umgebung ausprobieren können. Falls Unternehmen bereits Entra im Einsatz haben – und sei es nur, um Azure, SharePoint oder Office 365 Konten zu steuern – kann testweise eine Integration mit SAP-Systemen implementiert und die Funktionen bzw. Restriktionen abgesteckt werden. Welche Funktionalitäten aus der Kooperation zwischen Microsoft und SAP entstehen, bleibt jedoch noch abzuwarten.

Ist ein Umzug in die Cloud aus verschiedenen Gründen noch keine Option, kann innerhalb der bestehenden On-Premises Architektur auf SAP Governance, Risk Management und Compliance (GRC) Access Control gesetzt werden. Was eigentlich als Compliance-Werkzeug konzipiert wurde, lässt sich dank der Komponenten Access Risk Management (ARM) und Business Role Management (BRM) auch zur Verwaltung von Nutzerkonten und Berechtigungen verwenden. Diesen Ansatz haben schon in der Vergangenheit etliche Kunden verfolgt. Sie können sich mit der Ankündigung des neuen Release „SAP GRC edition for HANA“ für 2026 in ihrer Produktauswahl bestätigt fühlen.

Quellen: