SAP-Lizenzen nutzungsbasiert zuordnen und aktuell halten Identity Management gewährt Durchblick im Lizenzdschungel

Die Anforderungen an Sicherheit und Compliance in den Unternehmen steigen immer weiter. Trotzdem gibt es bei der Handhabung von Zugangs- und Zugriffsrechten (Identity Management) auf Unternehmensdaten in SAP-Systemen erheblichen Nachholbedarf.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

Berechtigungs- und Lizenzkonzepte für SAP-Systeme werden nach der Implementierung oft nicht mehr angepasst und sind nicht mehr kompatibel mit der tatsächlichen Systemnutzung. Um den internen und externen Anforderungen gerecht zu werden, müssen diese zeitnah und regelmäßig angeglichen werden.

Unabhängig von der zugrundeliegenden Architektur, Konzepten und Programmiersprachen steuert das SAP-Rollenkonzept den Zugriff auf Funktionen der SAP-Software. Die zugeordneten Berechtigungen sollten die Mitarbeiter in die Lage versetzen, am SAP-System auch nur das zu tun, was ihr Aufgabenprofil vorsieht.

Berechtigungskonzepte verändern sich dabei genauso schnell, wie das Unternehmen und die Informationstechnologie im Allgemeinen. Wird dies nicht berücksichtigt, driften die realen Anforderungen und konfigurierten Berechtigungen im Laufe der Zeit unweigerlich auseinander.

Angemessenes Berechtigungskonzept oft Fehlanzeige

Zu welchen Missständen das führen kann, zeigt eine empirische und branchenunabhängige Untersuchung produktiver SAP-Systeme. Die IBIS Prof. Thome AG hat dazu über mehrere Jahre hinweg zahlreiche Unternehmen analysiert. Im Durchschnitt haben sich demnach acht Prozent der Mitarbeiter mit Zugangsberechtigung noch nie am IT-System angemeldet.

Mehr noch: Durchschnittlich 22 Prozent der anmeldeberechtigten Mitarbeiter zeigten über einen mehrmonatigen Zeitraum betrachtet keinerlei Aktivitäten am System. Zudem hatten Mitarbeiter weit mehr Berechtigungen, als sie benötigten. Rund 23 Prozent der Berechtigungsrollen, sowohl Einzel- als auch Sammelrollen erwiesen sich als überflüssig.

Diese Diskrepanz wirkt sich nicht nur negativ auf die Qualität der Geschäftsprozesse aus, sondern beeinträchtigt auch die Sicherheit und erhöht Kosten innerhalb eines Unternehmens beträchtlich. Insbesondere für den Fall, dass auch kritische Funktionen oder Funktionskombinationen zugeordnet sind.

Das erschwert zusätzlich die Einhaltung von Compliance-Vorgaben und eine professionelle Administration. Eine Zahl verdeutlicht die Tragweite dieses Phänomens: In den untersuchten Unternehmen sind im Durchschnitt über 5.000 nicht benötigte Funktionen an die einzelnen Mitarbeiter verteilt.

Ungleichgewichte ausbalancieren

Es herrscht eine geradezu paradoxe Situation. Die empirische Betrachtung zeigt, dass die realitätsorientierte Gestaltung und Pflege der Berechtigungen in vielen Fällen inkonsequent ausgeführt wird.

Und das, obwohl der Einfluss einer adäquaten Zugriffssteuerung im komplexen Umfeld einer betriebswirtschaftlichen Standardanwendungssoftware wie SAP ERP als sicherheits- und erfolgskritisch zu beurteilen ist. Nicht zuletzt aufgrund der hinterlegten Unternehmensdaten, beispielsweise vertrauliche Daten im internen und externen Rechnungswesen, sowie des hohen Einflusses der ERP-Lösung auf die Geschäftsprozesse.

Die Sicherheit und Compliance genießt in Unternehmen zwar einen immer höheren Stellenwert, die Zugangs- und Zugriffsberechtigungen auf die betriebswirtschaftliche Software hingegen – mit all ihren unternehmenskritischen Daten – werden durchweg vernachlässigt. Um dieses Ungleichgewicht zu beheben, bedarf es eines zeitnahen Einblickes in die tatsächliche Nutzung des Systems und der erforderlichen Berechtigungen.

Hierzu ist eine Synchronisation von Systemkonfiguration und realer Systemnutzung notwendig, was drei Schritte erfordert:

• Die Identifizierung der Mitarbeiter, die SAP verwenden und als Anwender Zugangsberechtigung haben.

• Der Anwender-Aktionsradius im System, der über die (Rollen-) Berechtigungen (Zugriffsberechtigungen) reglementiert wird, sollte genau definiert werden.

• Aufgrund des Least-Privilege-Prinzips im Berechtigungsumfeld – nach dem ein Anwender nicht mit mehr Berechtigungen als nötig ausgestattet werden darf – muss sich die Vergabe an den wahren Erfordernissen ausrichten.

Zur Nachvollziehbarkeit der tatsächlichen Aktivitäten im SAP-System müssen folglich jene Funktionen analysiert werden, die nachweislich auch verwendet werden. Nur so ist einem Realitätsverlust im Identity Management gezielt entgegenzuwirken (vgl. Abbildung 1).

SAP-Lizenzen mit tatsächlicher Nutzung abgleichen

Die Parameter Anwender, Aktivität und Berechtigung haben zudem maßgebliche Auswirkungen auf das Lizenzmanagement. Da das SAP-Lizenzmodell nutzungsbasiert aufgebaut ist, sollten die Lizenzen mit den realen Aktivitäten der Anwender im Einklang stehen.

Gemäß dem Least-Privilege-Prinzip der rollenbasierten Berechtigungsvergabe sind die Unternehmen beim Lizenzmanagement gut beraten, sich an einem Least-License-Prinzip zu orientieren. Das bedeutet, dass die Anwender maximal mit der Lizenz auszustatten sind, die sie auch benötigen.

Aufgrund der Komplexität des SAP-Lizenzmodells erfolgt in den Unternehmen das Lizenzmanagement über vereinfachte Zuordnungsmethoden, beispielsweise anhand vergebener Berechtigungen, der Anzahl genutzter Transaktionen, Häufigkeit der Transaktionsausführung oder Art der Transaktionsnutzung (Anzeige, Änderung, etc.).

Jedoch wird ebenso wie die Berechtigungsvergabe, die Lizenzzuordnung ad absurdum geführt, wenn die Konfiguration des Systems nicht der Realität entspricht. Das Lizenzmanagement ist aufgrund zugeordneter Berechtigungen oder Schlüsselrollen schon dann fragwürdig, wenn die Verwendung der entsprechenden Rollen nicht analysiert wird.

Berechtigungen unterliegen stetigem Wandel

Eine Zuordnung aufgrund der Systemnutzung erfordert ebenso eine periodische Kontrolle und Neubewertung. Daraus ergibt sich folgende Schlussfolgerung: Ein SAP-System bildet nur dann die gegenwärtige Situation in einem Unternehmen ab, wenn Konfiguration und reale Systemnutzung regelmäßig gegenübergestellt werden.

Dies erfordert einen internen Prozess, der für ein dynamisches Identity- und Lizenzmanagement periodisch durchlaufen werden muss (vgl. Abbildung 2). Dieser Prozess beginnt mit einer Analyse, die zum einen Missstände und Defizite in der Benutzer-, Berechtigungs- und Lizenzverwaltung aufdeckt und zum anderen Abweichungen von der realen Systemnutzung zeigt.

Diese ganzheitliche Analyse, wie sie beispielsweise über die RBE Plus Benutzer- und Rollenanalyse, einem Supplementary des SAP Solution Managers, erfolgen kann, erzeugt brauchbare Nebeneffekte: Sie trägt zur Gewährleistung von Compliance-Anforderungen bei, steigert durch die Identifizierung von kritischen Berechtigungen die Sicherheit und deckt „Segregation of Duty“-Verletzungen auf.

Durch die Bewertung der Ergebnisse lässt sich das SAP-System bereinigen. Anschließend kann die Konfiguration an die reale Nutzung des Systems angeglichen werden.

Softwarebasierte Analytik auf mehreren Ebenen

Aufgrund der Dynamik unternehmerischer Aktivitäten und dem damit verbundenen Zeitdruck bei der Systemanpassung ist von manuellen Überprüfungen abzusehen. Empfehlenswert ist eine softwarebasierte Analytik.

Sie ermöglicht eine zeitnahe und periodische Kontrolle auf Basis fundierter sowie objektiver Daten. Wobei dieser Prozess nicht einmalig durchlaufen wird, sondern abhängig von den Gegebenheiten des Unternehmens periodisch nicht nur wiederholt werden, sondern auch systematisch auf drei Ebenen erfolgen muss:

Auf der ersten Ebene wir die Zugangssteuerung mittels Anwenderanalyse bewertet. Die Anmeldeberechtigungen müssen im Hinblick auf die tatsächlichen Aktivitäten der Anwender untersucht werden. Dies betrifft beispielsweise Systemanmeldungen, Sperrungen und die Transaktionsnutzung. Dadurch wird eine Zugangskontrolle und -reglementierung möglich, die den realen Erfordernissen entspricht.

Eine Berechtigungsanalyse auf der zweiten Ebene regelt die Zugriffsteuerung. Die Analyse des Berechtigungskonzepts muss einen umfassenden Einblick in das tatsächliche Zugriffsverhalten eröffnen. Dies ermöglicht eine Anpassung der Berechtigungen an die operativen Anforderungen der Anwender und schafft damit die Voraussetzung für eine effiziente Nutzung des SAP-Systems.

Schließlich wird auf der dritten Ebene durch eine Lizenzanalyse das Lizenzmanagement untersucht. Hier erfolgt der Abgleich der lizenzspezifischen Anwenderdaten mit den tatsächlichen Aktivitäten und Anforderungen der Nutzer.

Ergebnis: Aktuelle, nutzungsbasierte Lizenzzuordnung

Über die erste Analyse-Ebene lässt sich auf relevante Mitarbeiter mit Anmeldeberechtigung fokussieren, deren Aktionsraum im zweiten Schritt auf das Nötigste reglementiert wird (Least-Privilege-Prinzip). Darauf aufbauend kann eine Lizenzzuordnung erfolgen, die den aktuellen Anforderungen entspricht (Least-License-Prinzip).

Mit der Analyse der ersten beiden Ebenen erzielen die Unternehmen schnell ein realitätsbasiertes Identity Management. Es lassen sich die tatsächlich erforderlichen Zugangs- und Zugriffsberechtigungen exakt bestimmen. Dies ist unverzichtbare Grundlage für eine aktuelle, nutzungsbasierte Lizenzzuordnung.

Über den Autor

Marlon Füller ist Senior Consultant und als Projekt- und Produktmanager Identity and License Management bei der IBIS Prof. Thome AG tätig.

(ID:35186740)