Bei einer SAP-Security-Prüfung steht insbesondere die Berechtigungsvergabe im Mittelpunkt. Sie ermöglicht Benutzern erst die Arbeit am SAP-System, kann sich jedoch u. U. ungewollt zu Funktionstrennungskonflikten oder gar gesetzeskritischen Befugnissen aufsummieren. Daher sind regelmäßig Tools zur technischen Analyse einzusetzen, die den Status quo der Berechtigungsvergabe und somit die Grundlage für eine Optimierung liefern.

Bei Prüfungen von SAP-Berechtigungen stehen häufig die konkret an Benutzer zugeordneten Berechtigungen im Fokus. Dabei können Feststellungen aus falsch bzw. unsauber ausgeprägten Rollen resultieren. Durch falsche Ausprägungen von Rollen können sich Fehler einschleichen, die zu falschen Berechtigungszuordnungen führen können.

Jedes Unternehmen kennt die Situation, jedes Jahr wieder kündigt sich der Wirtschaftsprüfer an, um die Jahresabschlussprüfung durchzuführen und am Ende der Prüfung die Bilanz zu testieren. Im ersten Teil zu diesem Thema lag der Schwerpunkt auf den relevanten Prozessen und Dokumentationen. In diesem Teil liegt die Konzentration auf einer tieferen Ebene, nämlich direkt im SAP®-System. Die Vorgaben hierfür sollten im SAP®-Berechtigungskonzept bereits verschriftlicht sein.

Dieser Beitrag behandelt Risikothemen, die vom Entwicklungssystem ausgehen und sich auf die nachgelagerten Systeme bis hin zum Produktivsystem auswirken. Neben Änderungen im Entwicklungs- und Customizing-Umfeld sind dies auch die systemspezifischen Transportprozess-Schritte und vorhandenen Schnittstellen.

Bei der Sicherheitsbetrachtung von SAP-Transportlandschaften ist nicht nur das Produktivsystem prüfungsrelevant. Auch die anderen Systeme, einschließlich der Entwicklungssysteme, sind in die Risikobetrachtungen einzubeziehen. Noch immer wird dort häufig das Profil SAP_ALL genutzt, anstelle konkreter Rollen. Dieser Beitrag zeigt hier die wesentlichen Risikofelder auf.

Jedes Unternehmen kennt die Situation jedes Jahr wieder, dass sich der Wirtschaftsprüfer ankündigt, um die Jahresabschlussprüfung durchzuführen und am Ende der Prüfung die Bilanz zu testieren.

Mit den letzten Release-Ständen von SAP S/4HANA® hat SAP eine Vielzahl von Sicherheitseinstellungen optimiert. In diesem Artikel sind wesentliche Einstellungen beschrieben. Einige davon können Auswirkungen auf die Berechtigungen haben. Daher sind vor jedem Release-Wechsel diese Änderungen zu prüfen.

Sicherheitsthemen sind traditionell nicht sonderlich beliebt. Viele Unternehmen verbinden hiermit vermeintlich lästige Tätigkeiten, großen Zeitaufwand und hohe Kosten. In Zeiten einer Pandemie allerdings rückt die Security zwangsläufig ins Rampenlicht und zeigt in vielerlei Hinsicht ihre Dringlichkeit auf.

Das SAL ist bekanntermaßen ein optional einzusetzendes Protokollierungs-Tool, mit dessen Hilfe ausgewählte Benutzeraktivitäten im ABAP-Stack eines SAP-Systems aufgezeichnet werden können.

Möchte man Daten auf Tabellenebene analysieren, braucht man für den Zugriff entsprechende Berechtigungen im zu prüfenden SAP®-System. Diese werden mit den Berechtigungsobjekten S_TABU_DIS und S_TABU_NAM realisiert. Mit diesen beiden Berechtigungsobjekten wird gesteuert, auf welche Tabellen ich zugreifen und ob ich die Daten der Tabelle ändern oder nur lesen kann.