SAP-Lizenzen nutzungsbasiert zuordnen und aktuell halten

Identity Management gewährt Durchblick im Lizenzdschungel

23.08.12 | Autor / Redakteur: Marlon Füller, IBIS Prof. Thome AG / Stephan Augsten

Jeder SAP-Nutzer sollte nur auf die für ihn bestimmten Informationen zugreifen dürfen. (© ISO K° - Fotolia.com)

Die Anforderungen an Sicherheit und Compliance in den Unternehmen steigen immer weiter. Trotzdem gibt es bei der Handhabung von Zugangs- und Zugriffsrechten (Identity Management) auf Unternehmensdaten in SAP-Systemen erheblichen Nachholbedarf.

Berechtigungs- und Lizenzkonzepte für SAP-Systeme werden nach der Implementierung oft nicht mehr angepasst und sind nicht mehr kompatibel mit der tatsächlichen Systemnutzung. Um den internen und externen Anforderungen gerecht zu werden, müssen diese zeitnah und regelmäßig angeglichen werden.

Unabhängig von der zugrundeliegenden Architektur, Konzepten und Programmiersprachen steuert das SAP-Rollenkonzept den Zugriff auf Funktionen der SAP-Software. Die zugeordneten Berechtigungen sollten die Mitarbeiter in die Lage versetzen, am SAP-System auch nur das zu tun, was ihr Aufgabenprofil vorsieht.

Berechtigungskonzepte verändern sich dabei genauso schnell, wie das Unternehmen und die Informationstechnologie im Allgemeinen. Wird dies nicht berücksichtigt, driften die realen Anforderungen und konfigurierten Berechtigungen im Laufe der Zeit unweigerlich auseinander.

Angemessenes Berechtigungskonzept oft Fehlanzeige

Zu welchen Missständen das führen kann, zeigt eine empirische und branchenunabhängige Untersuchung produktiver SAP-Systeme. Die IBIS Prof. Thome AG hat dazu über mehrere Jahre hinweg zahlreiche Unternehmen analysiert. Im Durchschnitt haben sich demnach acht Prozent der Mitarbeiter mit Zugangsberechtigung noch nie am IT-System angemeldet.

Mehr noch: Durchschnittlich 22 Prozent der anmeldeberechtigten Mitarbeiter zeigten über einen mehrmonatigen Zeitraum betrachtet keinerlei Aktivitäten am System. Zudem hatten Mitarbeiter weit mehr Berechtigungen, als sie benötigten. Rund 23 Prozent der Berechtigungsrollen, sowohl Einzel- als auch Sammelrollen erwiesen sich als überflüssig.

Diese Diskrepanz wirkt sich nicht nur negativ auf die Qualität der Geschäftsprozesse aus, sondern beeinträchtigt auch die Sicherheit und erhöht Kosten innerhalb eines Unternehmens beträchtlich. Insbesondere für den Fall, dass auch kritische Funktionen oder Funktionskombinationen zugeordnet sind.

Das erschwert zusätzlich die Einhaltung von Compliance-Vorgaben und eine professionelle Administration. Eine Zahl verdeutlicht die Tragweite dieses Phänomens: In den untersuchten Unternehmen sind im Durchschnitt über 5.000 nicht benötigte Funktionen an die einzelnen Mitarbeiter verteilt.