Ein Leitfaden zum Zugriffsrisikomanagement in SAP

Das Zugriffsrisikomanagement in SAP ist der entscheidende Prozess, der sicherstellt, dass Benutzer genau die Zugriffsrechte erhalten, die sie zur Erfüllung ihrer Aufgaben benötigen – und nicht mehr. Diese Vorgehensweise ist ein zentraler Bestandteil einer modernen SAP-GRC-Strategie (Governance, Risk und Compliance) und ein wesentlicher Bestandteil jedes effektiven Identity Access Governance (IAG)-Programms. Sein vorrangiges Ziel ist es, Zugriffsrisiken wie Konflikte bei der Aufgabentrennung (Segregation of Duties, SoD) proaktiv zu identifizieren und zu mindern, um Betrug, kostspielige Fehler und Compliance-Verstöße zu verhindern.

Die grundlegende Herausforderung: Durchsetzung des Prinzips der geringsten Berechtigungen in SAP 

Die goldene Regel der Zugriffssicherheit lautet: Prinzip der geringsten Berechtigungen (PoLP). Gemäß der Definition des NIST schreibt dieses Prinzip vor, dass jeder Benutzer nur über die Mindestzugriffsrechte verfügen sollte, die zur Ausübung seiner spezifischen Aufgaben erforderlich sind, und nicht mehr. Die Durchsetzung dieser Regel ist von entscheidender Bedeutung; sie verringert Ihre Angriffsfläche und begrenzt den Schaden, falls das Konto eines Benutzers jemals kompromittiert wird, indem sie verhindert, dass sich ein Angreifer lateral durch Ihr Netzwerk bewegt.

Obwohl PoLP eine allgemein anerkannte bewährte Vorgehensweise ist, ist ihre Umsetzung in der komplexen Welt von SAP-Sicherheit. Die Gründe für diese Herausforderung liegen in der platform begründet:

• Enorme Komplexität: Das SAP-Berechtigungsmodell ist außerordentlich detailliert und umfasst Tausende einzelner Berechtigungsobjekte, die control . Im Laufe der Zeit führt dies häufig zu einer „Rollenflut“, bei der eine Vielzahl sich überschneidender und schlecht dokumentierter Rollen ein chaotisches und risikoreiches Umfeld schafft.
• Aufgelaufene technische Schulden: Viele SAP-Systeme leiden unter jahrelang aufgelaufenen „technischen Schulden“ im Bereich der Sicherheit. Bei der ursprünglichen Implementierung wurde oft Geschwindigkeit vor Sicherheit priorisiert, und im Laufe der Zeit wurden vorübergehende Zugriffsberechtigungen dauerhaft, was zu einer enormen Menge an überflüssigen und ungenutzten Berechtigungen führte, die ein erhebliches Risiko darstellen.
• Dynamische geschäftliche Anforderungen: Die Realitäten eines dynamischen Unternehmens erschweren die Durchsetzung von PoLP ständig. Mitarbeiter wechseln ihre Rollen, werden in befristete Projekte eingebunden und benötigen Ad-hoc-Zugriff, um dringende Aufgaben zu erledigen. Ohne strenge, automatisierte Governance-Prozesse führt dies unweigerlich zu einem „Privilegien-Creep“, bei dem Benutzer neue Berechtigungen erhalten, ihre alten, überflüssigen Zugriffsrechte jedoch selten widerrufen werden.

Die vier Säulen des SAP-Zugriffsrisikomanagements 

Um die Herausforderungen bei der Durchsetzung des Prinzips der geringsten Berechtigungen effektiv zu bewältigen, müssen Unternehmen einen strukturierten, vielschichtigen Ansatz verfolgen. Ein ausgereiftes Programm zum Zugriffsrisikomanagement basiert auf vier miteinander verbundenen Säulen, die ein kontinuierliches, synergetisches System bilden:

Säule 1: Zugangsrisikoanalyse (ARA) 

Die Zugriffsrisikoanalyse ist die tragende Säule, die die erforderlichen Erkenntnisse liefert, um die Zugriffsrisikosituation eines Unternehmens zu verstehen und zu quantifizieren. Sie ist eine Form des vulnerability management , das sich speziell auf Benutzerberechtigungen konzentriert. Durch den Abgleich von Benutzer-, Rollen- und Profilzuweisungen mit einem vordefinierten Regelsatz ermittelt ARA potenzielle Verstöße. Zu den primär identifizierten Risiken gehören:

Konflikte bei der Aufgabentrennung (SoD): 

SoD ist eine grundlegende interne control, die von Berufsverbänden wie ISACA als ein Mittel definiert wird, um sicherzustellen, dass keine einzelne Person in der Lage ist, Fehler oder Betrug sowohl zu begehen als auch zu vertuschen. Ein klassisches Beispiel für einen SoD-Konflikt in SAP ist ein einzelner Benutzer, der sowohl die Lieferantenstammdaten pflegen (einen neuen Lieferanten anlegen) als auch Zahlungen an Lieferanten abwickeln kann, was Betrug ermöglichen könnte.

Hier sind einige typische Beispiele für risikoreiche SoD-Konflikte in SAP:

Kritischer und sensibler Zugriff: 

Über SoD hinaus identifiziert ARA auch Risiken, die mit einzelnen, weitreichenden Berechtigungen verbunden sind. Der Begriff „kritischer Zugriff“ bezieht sich auf Berechtigungen, die die Betriebsstabilität oder die Datenintegrität beeinträchtigen könnten, während „sensibler Zugriff“ Berechtigungen bezeichnet, die den Zugriff auf vertrauliche Informationen ermöglichen, wie beispielsweise Gehaltsdaten der Personalabteilung.

control den allgemein anerkannten Genehmigungen mit hohem Risiko, die control strengen control unterliegen, control :

• Zugriff für Entwickler im Produktivbetrieb: Die Möglichkeit, Entwicklungswerkzeuge wie den ABAP-Debugger in einem Produktivsystem zu nutzen, birgt ein extremes Risiko, da damit alle etablierten Sicherheitskontrollen umgangen und Daten manipuliert werden können, ohne dass ein standardmäßiger Prüfpfad hinterlassen wird.
• Stammdatenmanagement: Ein unkontrollierter Zugriff auf kritische Stammdaten wie Bankverbindungen von Lieferanten, Kreditlimits von Kunden oder Materialpreislisten kann unmittelbar zu Finanzbetrug oder erheblichen Betriebsstörungen führen.
• Grundlagen / Anwendungsmanagement: Die Berechtigungen zur Verwaltung von Benutzern und Rollen, zur Umsetzung von Systemänderungen und zur Durchführung von Aufgaben der Client-Administration sind äußerst weitreichend und müssen streng auf eine kleine Anzahl autorisierter Administratoren beschränkt werden.

Säule 2: Sichere Rollenkonfiguration und Korrekturmaßnahmen 

Die aus ARA gewonnenen Erkenntnisse fließen direkt in die zweite Säule ein: die Gestaltung sicherer Rollen und die Nachbesserung bestehender Rollen. Ein klares Rollendesign ist die wirksamste control Zugriffsrisiken. Das Ziel besteht darin, eine Reihe vereinfachter, konformer und wartbarer Rollen zu schaffen, die frei von inhärenten SoD-Risiken und kritischen Zugriffsrisiken sind.

Bewährte Vorgehensweise: Das Konzept der Master- und abgeleiteten Rollen

Für Unternehmen mit mehreren Buchungskreisen, Werken oder anderen Organisationsstrukturen gilt das Konzept der Stamm- und abgeleiteten Rollen als allgemein anerkannte bewährte Vorgehensweise für die Erstellung eines skalierbaren und wartungsfreundlichen Rollendesigns.

So funktioniert es: Es wird eine Masterrolle angelegt, die alle funktionalen Berechtigungen für eine bestimmte betriebliche Aufgabe (z. B. Sachbearbeiter Kreditorenbuchhaltung) enthält, jedoch keine spezifischen organisatorischen Werte wie einen Buchungskreis. Aus dieser Masterrolle werden dann abgeleitete Rollen erstellt. Diese erben automatisch alle funktionalen Berechtigungen, und die einzige Änderung besteht in der Hinzufügung der spezifischen Werte auf Organisationsebene (z. B. eine abgeleitete Rolle für den Buchungskreis 1000, eine weitere für den Buchungskreis 2000).

Dieser Ansatz bietet erhebliche Vorteile:

• Konsistenz: Sie gewährleistet, dass eine geschäftliche Aufgabe in allen Organisationseinheiten einheitlich ausgeführt wird.
• Effizienz: Wenn eine neue Transaktion hinzugefügt werden muss, wird sie nur einmal zur Master-Rolle hinzugefügt. Die Änderung wird dann automatisch an alle abgeleiteten Rollen weitergegeben, was den Wartungsaufwand und das Fehlerrisiko drastisch reduziert.

Säule 3: Konforme Benutzerverwaltung 

Sobald klare Rollen definiert wurden, stellt die dritte Säule sicher, dass diese den Benutzern im Rahmen eines konformen, nachvollziehbaren und kontrollierten Prozesses zugewiesen werden. Diese Säule ersetzt unsichere, manuelle Methoden zur Beantragung von Zugriffsrechten wie E-Mails oder Papierformulare durch ein strukturiertes, workflowgesteuertes System für automatisierte Compliance, wie beispielsweise die Komponente „Access Request Management“ (ARM) von SAP GRC.

Die Stärke dieses Ansatzes liegt in seiner flexiblen Workflow-Engine, die es Unternehmen ermöglicht, mehrstufige Genehmigungsprozesse zu entwerfen und zu implementieren, die genau auf ihre internen control abgestimmt sind. Ein wesentliches Element eines konformen Workflows ist die direkte Einbindung einer Echtzeit-Risikoanalyse in den Genehmigungsprozess. Dies zwingt die Genehmigenden (wie den Vorgesetzten eines Benutzers oder einen Rolleninhaber) dazu, potenzielle SoD-Risiken zu prüfen und zu mindern, bevor überhaupt Zugriff gewährt wird, wodurch das Unternehmen von einem reaktiven zu einem proaktiven Risikomanagement übergeht.

Jede Aktion innerhalb dieses Workflows wird sorgfältig protokolliert, wodurch ein lückenloser, durchgängiger und unveränderlicher Prüfpfad entsteht, der für den Nachweis der Einhaltung von Vorschriften wie SOX unerlässlich ist.

Säule 4: Notfallzugangsmanagement (EAM) 

Die letzte Säule befasst sich mit der unvermeidlichen Notwendigkeit von Ausnahmeregelungen. Das Emergency Access Management (EAM), oft auch als „Firefighter“ bezeichnet, bietet einen formellen, kontrollierten und überprüfbaren Prozess für Notfallszenarien, in denen zur Behebung kritischer Probleme sofortiger Zugriff mit erweiterten Berechtigungen erforderlich ist. Es soll die gefährliche und nicht überprüfbare Praxis verhindern, in Krisensituationen leistungsstarke, allgemeine Administratorpasswörter weiterzugeben.

Identitäten von Feuerwehrleuten vs. Rollen von Feuerwehrleuten

EAM unterstützt in der Regel zwei Hauptmethoden zur Gewährung dieses vorübergehenden Zugriffs mit erweiterten Rechten:

• Firefighter-ID: Einem Benutzer wird vorübergehend Zugriff auf ein separates, vordefiniertes und leistungsstarkes Benutzerkonto gewährt, das als „Firefighter-ID“ bezeichnet wird. Diese ID ist normalerweise gesperrt und wird nur für die Dauer der Notfallsitzung aktiviert.
• Rolle „Feuerwehrmann“: Dem benannten Benutzerkonto des Nutzers wird für die Dauer des Notfalls vorübergehend eine vordefinierte, weitreichende Rolle zugewiesen.

Die Bedeutung von Protokollierung und Überprüfung

Das Fundament für den Mehrwert und die Compliance von EAM bildet sein robuster, in sich geschlossener Protokollierungs- und Überprüfungsprozess.

• Umfassende Protokollierung: Alle Aktivitäten, die der Benutzer (der „Firefighter“) während einer Notfall-Sitzung ausführt, werden detailliert erfasst. Das System sammelt verschiedene Arten von Protokollen aus dem Zielsystem, darunter Protokolle zur Transaktionsausführung, detaillierte Änderungsprotokolle für Datenänderungen sowie Sicherheitsüberwachungsprotokolle.
• Obligatorische Überprüfung: Nach Beendigung der Sitzung werden diese Protokolle automatisch erfasst, zusammengefasst und über einen Workflow an einen dafür zuständigen Firefighter-Controller übermittelt. Diese Person, die vom Firefighter-Benutzer unabhängig sein muss, ist dafür verantwortlich, den Protokollbericht zu überprüfen und zu bestätigen, dass alle ergriffenen Maßnahmen zur Bewältigung des angegebenen Notfalls angemessen waren. Diese obligatorische Überprüfung gewährleistet die Rechenschaftspflicht und bietet einen dokumentierten Prüfpfad für alle privilegierten Aktivitäten.

Modernisierung der Unternehmensführung: Von manuellen Überprüfungen hin zu kontinuierlicher Control 

Ein Rahmenkonzept für die vier Säulen ist unerlässlich, doch seine Wirksamkeit hängt ganz davon ab, wie es umgesetzt wird. Viele Unternehmen stützen sich bei der Überprüfung von Zugriffsrechten nach wie vor auf traditionelle, manuelle Methoden – eine Vorgehensweise, die langsam und fehleranfällig ist und sich in einer modernen SAP-Landschaft grundsätzlich nicht skalieren lässt.

Die Grenzen manueller Zugriffsprüfungen 

Der traditionelle Ansatz sieht häufig vierteljährliche oder halbjährliche Überprüfungen der Benutzerzugriffsrechte (User Access Reviews, UARs) vor, die mithilfe von Tabellenkalkulationen durchgeführt werden. Diese Methode ist zwar gut gemeint, weist jedoch zahlreiche Einschränkungen auf, die ihre Wirksamkeit beeinträchtigen:

Ineffizienz und Fehler: 

Das manuelle Exportieren von Benutzerdaten in Tabellenkalkulationen ist ein langwieriger und chaotischer Prozess. Die Daten werden verstreut, control nahezu unmöglich, und das Risiko menschlicher Fehler durch Fehler beim Kopieren und Einfügen oder fehlerhafte Formeln ist extrem hoch, was zu unzuverlässigen Ergebnissen führt.

„Rezensentenmüdigkeit“: 

Wenn Führungskräfte immer wieder mit umfangreichen, komplexen Tabellenkalkulationen konfrontiert werden, leiden sie unweigerlich unter „Prüfungsmüdigkeit“. Die Überprüfung wird zu einer mühsamen Aufgabe, bei der lediglich Kästchen angekreuzt werden, anstatt eine sinnvolle control, was dazu führt, dass der Prozess zu einer reinen Formalität verkommt.

Keine Echtzeit-Sicherheit: 

Eine manuelle Überprüfung ist naturgemäß eine Momentaufnahme. Sie ist bereits in dem Moment, in dem sie abgeschlossen ist, veraltet, wodurch das Unternehmen Risiken ausgesetzt bleibt, die in den entscheidenden Zeiträumen zwischen den Überprüfungen entstehen und ausgenutzt werden.

Der moderne Ansatz: Automatisierte, kontinuierliche Control 

Angesichts dieser Einschränkungen gilt ein moderner Ansatz der Identity Access Governance (IAG) mittlerweile als wesentlicher Bestandteil der Unternehmenssicherheit. Diese Strategie bewirkt einen grundlegenden Paradigmenwechsel von der periodischen Erkennung hin zu automatisierte, kontinuierliche control. Die Vorteile dieses Wandels sind umfassend:

• Proaktive Risikoprävention: Anstatt Risiken erst Monate nach ihrer Entdeckung zu beheben, platform eine moderne platform die Risikoanalyse direkt in den Workflow der Benutzerbereitstellung. Dadurch werden potenzielle SoD-Konflikte und andere Zugriffsrisiken gestoppt, bevor sie überhaupt in das System gelangen.
• Optimierte Abläufe und Audit-Bereitschaft: Die Automatisierung optimiert den gesamten Lebenszyklus von Zugriffsrechten, vom Onboarding bis zum Offboarding. Die Möglichkeit, umfassende Berichte auf Abruf zu erstellen und einen unveränderlichen Prüfpfad zu führen, reduziert den Zeit- und Kostenaufwand sowie den Stress bei der Vorbereitung auf interne und externe Audits erheblich.
• Einheitliche Transparenz und Control: Eine zentralisierte platform zentrale Informationsquelle für Zugriffsdaten im gesamten Unternehmen. Dadurch werden Datensilos beseitigt und eine einheitliche Oberfläche für die Überprüfung von Berechtigungen, die Verwaltung von Rollen und die einheitliche Durchsetzung von Richtlinien bereitgestellt.

Wie Onapsis Control SAP-Zug Control verbessert 

Während herkömmliche GRC- und IAG-Tools sich hervorragend für die Verwaltung von Geschäftsprozesskontrollen und Workflows zur Benutzerbereitstellung eignen, weisen sie oft eine Schwachstelle auf: die zugrunde liegende technische Ebene. Der Zugriff eines Benutzers ist nur so sicher wie die Grundlage, auf der er aufbaut. Genau hier bietet Onapsis einen entscheidenden, ergänzenden Mehrwert.

Die Onapsis Platform ergänzt Ihre bestehende control durch eine umfassende technische Validierung der SAP-Umgebung selbst. Sie stellt sicher, dass die von Ihren GRC-Tools verwalteten Kontrollen auf Unternehmensebene nicht durch Systemfehlkonfigurationen, ungepatchte Sicherheitslücken oder unsicheren benutzerdefinierten Code untergraben werden, die es einem Benutzer ermöglichen könnten, vorgesehene Einschränkungen zu umgehen.

Zum Beispiel, Onapsis Assess kritische Systemschwachstellen oder Fehlkonfigurationen identifizieren, die es einem Benutzer mit scheinbar eingeschränktem Zugriff ermöglichen könnten, seine Berechtigungen zu erweitern oder Transaktionen auszuführen, zu denen er eigentlich nicht berechtigt sein sollte. Durch die Bereitstellung dieses umfassenden Sicherheitskontexts stellt Onapsis sicher, dass Ihre Richtlinien zur Zugriffssteuerung auf einer sicheren und wirklich konformen Grundlage basieren.

Dieser Ansatz, automatisierte technische Validierungen in Ihre Prozesse zu integrieren, hat sich bewährt. So konnte beispielsweise ein ein kanadisches Medienunternehmen sein PCI-DSS-Audit erfolgreich zu bestehen und gleichzeitig den Aufwand für manuelle Codeüberprüfungen um 90 % zu reduzieren.

Häufig gestellte Fragen (FAQ) 

Was ist ein SoD-Konflikt in SAP?

 Ein SoD-Konflikt (Segregation of Duties) ist eine Art von Zugriffsrisiko, bei dem einem einzelnen Benutzer Berechtigungen erteilt werden, zwei oder mehr miteinander in Konflikt stehende Aktionen auszuführen, die es ihm ermöglichen könnten, Betrug oder einen schwerwiegenden Fehler zu begehen und zu verschleiern. Ein klassisches Beispiel ist ein Benutzer, der sowohl einen neuen Lieferanten im System anlegen als auch Zahlungen an diesen Lieferanten genehmigen kann.

Reicht SAP GRC Access Control allein für das Risikomanagement im Bereich der Zugriffsrechte Control ? 

SAP GRC Access Control ein leistungsstarkes Tool zur Verwaltung von Geschäftsprozesskontrollen, der Benutzerverwaltung und des SoD-Risikos auf Unternehmensebene. Es erkennt jedoch möglicherweise keine zugrunde liegenden technischen Schwachstellen oder Fehlkonfigurationen im SAP-System selbst. Eine umfassende Strategie kombiniert ein GRC-Tool mit einer platform Onapsis, die eine gründliche technische Überprüfung bietet, um sicherzustellen, dass die GRC-Kontrollen auf einer sicheren und ordnungsgemäß konfigurierten Grundlage funktionieren.

Wie oft sollten wir die Benutzerzugriffe in SAP überprüfen? 

Während regelmäßige Überprüfungen (oft vierteljährlich oder halbjährlich) eine gängige Compliance-Anforderung sind, konzentriert sich ein moderner Ansatz auf eine kontinuierliche Überwachung statt auf punktuelle Überprüfungen. Indem Sie automatisierte Risikoanalysen in Ihren Prozess zur Benutzerbereitstellung integrieren und Änderungen kontinuierlich überwachen, können Sie einen konstanten Compliance-Status aufrechterhalten und den Aufwand für regelmäßige Überprüfungen reduzieren.