Sicherheit und Datenschutz für SAP

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Insider Research

Kritische Berechtigungen im Auslieferungszustand von SAP

Bei der Auslieferung ist in SAP der Superuser SAP* enthalten, dessen Benutzerstamm nach der Installation alle Rechte enthält und somit ein besonderes Sicherheitsrisiko darstellt. Da dieser Superuser hardcodiert ist, kann SAP* jedoch auch nach dem Löschen leicht wieder angelegt werden. SAP empfiehlt daher, mit SAP* einen neuen Superuser durch Zuordnung des Sammelprofils SAP_ALL anzulegen, anschließend SAP* eben dieses Sammelprofil SAP_ALL zu entziehen und SAP* in die Benutzergruppe SUPER aufzunehmen. Alle Benutzer in dieser Benutzergruppe können nur vom neu angelegten Superuser geändert werden. SAP* sollte dann ein spezielles Passwort erhalten und im weiteren Betrieb nicht mehr verwendet werden.

Weitere kritische Benutzer im Auslieferungszustand sind DDIC und Early Watch, da sie ebenfalls weit reichende Berechtigungen haben und ebenfalls nicht gelöscht werden sollten. Ihr Einsatz sollte auf wenige Fälle beschränkt werden und ansonsten deaktiviert sein.

Das eben schon angesprochene Sammelprofil SAP_ALL enthält alle Berechtigungen für das SAP-System. Daher sollte aus datenschutzrechtlicher Sicht dieses Profil im Produktionseinsatz nicht aktiv sein. In der Implementierungsphase, also noch vor der Produktivsetzung, kann es aus Praktikabilitätsgründen sinnvoll sein, mit SAP_ALL zu arbeiten. Aus datenschutzrechtlicher Sicht sollten bei den Funktions- und Integrationstests ohnehin keine Produktionsdaten verwendet werden.

Es gibt in SAP eine Reihe von kritischen Berechtigungen, so z.B. bei den Berechtigungsobjekten zur Tabellenpflege (S_TABU_*), denen aus Datenschutzsicht besonderes Augenmerk geschenkt werden sollte. SAP bietet eine Auflistung solcher Kritischen Berechtigungen, so z.B. im Leitfaden für Datenschutz für SAP R/3 vom 28.09.2001.

Kritische Berechtigungen bei Releasewechsel

Standardmäßig werden von SAP in dem Profil SAP_NEW neue Berechtigungsobjekte zu bereits existierenden Funktionen bereitgestellt, deren Berechtigungsumfang jedoch durch die verwendete Wildcard ‚*’ jeweils maximal ist und somit u. U. eine vorhandene Berechtigungseinschränkung unwirksam macht. Somit sollte das Profil SAP_NEW im Produktivbetrieb nicht eingesetzt werden.

Weiterhin ist zu prüfen, inwieweit neue Berechtigungsobjekte wirklich einer Berechtigungsprüfung unterzogen werden. Dazu muss der sog. AUTHORITYCHECK im Berechtigungsobjekt aktiviert sein. Das gilt im Übrigen auch für alle anderen kritischen Berechtigungsobjekte.

Fazit

Wer das SAP-Berechtigungskonzept ‚out of the box’ verwendet, geht große Risiken ein. Mit einigen grundlegenden Anpassungen, wie den hier Beschriebenen, ist es jedoch möglich, eine datenschutzgerechte Basis für den Einsatz von SAP zu schaffen.

(ID:2014777)