Personalakte 01
Xavier Grant
SAP Security Admin
Dachte, es wäre ein normaler Job. Je genauer er hinschaut, desto mehr fällt ihm auf. Gefordert wie nie.
Kostenfreie Live-Webcasts · 18.11. / 25.11. / 02.12.2026
Eine Geschichte über Rollen, Risiken und einen externen Berater, dem man besser nicht zu viel zutraut.
Drei Mittwochvormittage, eine fortlaufende Story. Begleiten Sie SAP Security Admin Xavier Grant von der harmlosen Frage „Wer darf hier eigentlich was?“ bis zu dem Moment, in dem sich jemand SAP_ALL zuweist.
Jeder Termin ist für sich verständlich. Zusammen zeigen sie, wie Regelwerk, Rollen, Identity Governance, Notfallzugriffe und Monitoring ineinandergreifen.
Kostenfreie Live-Webcasts für SAP-, Security- und Compliance-Verantwortliche.
Der Fall
Die Offenwerk GmbH hat eine gewachsene, zunehmend komplexe SAP-Landschaft und einen SAP Security Admin, der plötzlich eine Frage beantworten soll: Wie schafft man Transparenz in einer komplexen SAP-Landschaft?
Über drei Mittwoche verfolgen Sie, wie Xavier Grant zuerst ein belastbares Regelwerk aufbaut und die S/4HANA-Migration für ein Rollen-Redesign nutzt. Danach bekommt er Identitäten und Zugriffe über SAP- und Cloud-Systeme hinweg in den Griff, inklusive Rezertifizierung und Lizenzbereinigung. Und schließlich erlebt er, wie ein einziger Notfallzugriff unter Zeitdruck zum Sicherheitsvorfall wird, den erst das Monitoring rechtzeitig stoppt.
Jede Station der Geschichte steht für ein Glied der Sicherheitskette.
SAP Security Admin
Dachte, es wäre ein normaler Job. Je genauer er hinschaut, desto mehr fällt ihm auf. Gefordert wie nie.
Buchhalterin, langjährig und zuverlässig
Hat seit Jahren deutlich mehr SAP-Rechte, als ihre Aufgabe erfordert. Historisch gewachsen, nicht böswillig. Genau das macht es tückisch.
Externer SAP-Prozessberater, startet am Montag
Will sofort produktiv sein. Und ist jemand, der sich zu helfen weiß, wenn ihm Rechte fehlen.
Berater bei Xiting
Mit Hilfe von Xiting Lynera baut er ein Regelwerk auf, das auf Offenwerk abgestimmt ist und weniger Risiken mit sich bringt.
Xavier soll beantworten, wer bei Offenwerk eigentlich was darf. Doch niemand hat je definiert, was überhaupt ein Risiko ist. Gemeinsam mit Erik von Xiting baut er in Lynera ein Regelwerk aus Standard-, Lizenz- und offenwerk-spezifischen Risiken auf. Mit diesem Fundament nutzt er die S/4HANA-Migration für ein Rollen-Redesign in der XAMS. Aus vielen gewachsenen Rollen werden wenige saubere. Weniger Risiko, weniger Lizenzkosten, auch für Fiona.
Aktenvermerke
Regelwerke sind die Grundlage jeder Aussage über Risiko und Lizenzkosten. Ohne definierte Funktionen und Risiken gibt es keine belastbare SoD-Analyse und keine korrekte Lizenzklassifikation. Der Vortrag zeigt, wie Security- und Lizenzregelwerke aufgebaut sind, wo der Standard endet und unternehmensspezifischer Content beginnt, und wie beides dauerhaft aktuell gehalten wird, statt einmalig eingeführt und dann vergessen. Dabei wird deutlich, dass ein Regelwerk kein einmaliges Dokument ist, sondern ein gepflegtes Produkt mit Versionsstand und klar benanntem Verantwortlichen.
Am Beispiel der Offenwerk GmbH entsteht aus regulatorischen Vorgaben und Compliance-Anforderungen ein strukturiertes Regelwerk. Die Demo zeigt den Import des Standardcontents, die Ergänzung offenwerk-spezifischer Risiken und die Übernahme des aktualisierten Lizenzregelwerks als Grundlage für alle nachgelagerten Analysen.
Eine S/4HANA-Migration ist mehr als ein technisches Upgrade. Sie bietet die Chance, historisch gewachsene Rollen- und Berechtigungsstrukturen zu hinterfragen und neu auszurichten. Welche Veränderungen ergeben sich durch die Migration und wo bestehen Optimierungspotenziale? Kann ich meine aktuellen Rollen standardkonform migrieren oder ist eine Neukonzeption erforderlich? Wie sieht meine Lizenzsituation aufgrund der neuen Vermessungsgrundlage aus? Eine frühzeitige Analyse schafft Klarheit über Risiken, Projektaufwände und Lizenzpotenziale und bildet die Grundlage für ein gezieltes Rollen-Redesign, bei dem S/4HANA-Anforderungen, Berechtigungsdesign und Lizenzoptimierung zusammengeführt werden.
Wie lässt sich ein Rollen-Redesign effizient und transparent umsetzen? Am Beispiel der Offenwerk GmbH wird der gesamte Prozess in XAMS praxisnah durchgespielt, vom Design bis zum Go-live. Auf Basis der Analyseergebnisse in der Designphase werden die neuen Rollen im Role Redesigner entwickelt und in die PFCG überführt. Dabei wird auch geprüft, welche kritischen Berechtigungen und kritischen Kombinationen (SoD) durch das neue Rollendesign entstehen oder vermieden werden können. Anschließend zeigt die Lizenzanalyse, wie sich das neue Berechtigungsdesign auf die SAP-Lizenzbewertung auswirkt. Die Lizenzfärbung im PTS macht diese Veränderungen unmittelbar sichtbar. Zum Abschluss steht der direkte Vorher-Nachher-Vergleich. Wie verändern sich die Rollenstruktur, das SoD-Risiko und die Lizenzsituation? So wird transparent, wie ein gezieltes Rollen-Redesign gleichzeitig S/4HANA-Prozesse unterstützt, Risiken reduziert, die Rollenlandschaft vereinfacht und Lizenzpotenziale sichtbar macht.
Offenwerk wächst. Neue Cloud-Anwendungen, neue Benutzer, externe Mitarbeitende. Fiona braucht Zugriff auf Ariba, und ein externer SAP-Prozessberater startet am Montag. Über ServiceNow und die Xiting Security Platform laufen Antrag, Genehmigung und Provisionierung jetzt systemübergreifend. Die Analyse deckt bei Fiona einen systemübergreifenden SoD-Konflikt auf, ihre alte ECC-Rolle wird entzogen und ihre Lizenz sinkt. Im Review streicht der Manager dem Berater allerdings mehr Rechte, als der für seine Arbeit braucht.
Aktenvermerke
Die Xiting Security Platform bindet SAP- und Non-SAP-Systeme an und erzeugt daraus eine einheitliche Datenbasis, auf der die Core Services und Connectors aufsetzen. Das reicht von der Risiko- und Lizenzanalyse über das Provisioning Framework bis zu den Konnektoren für IAM-Lösungen und SAP GRC Access Control. Das Regelwerk aus Tag 1 wird damit nicht mehr nur im ABAP-System angewendet, sondern systemübergreifend über alle angebundenen Anwendungen hinweg.
Identity Consolidation führt lokale Benutzer zu Global Users zusammen, Entitlement Management und Business Roles übersetzen technische Berechtigungen in fachliche Job-Funktionen. Auf dieser Grundlage laufen Antrag, Genehmigungsworkflow und Provisionierung systemübergreifend und nachvollziehbar ab, inklusive der Joiner-, Mover- und Leaver-Prozesse als dauerhafter Betriebsmodus statt als Einzelfallbearbeitung.
Ein externer SAP-Prozessberater kommt ins Haus, gleichzeitig braucht Fiona Ledger Rechte im neuen Ariba-Modul. Die Demo zeigt den Joiner-Prozess über ServiceNow, den Access-Request für beide Benutzer und teasert die systemübergreifende Risikoanalyse, die dabei zukünftig automatisch mitläuft.
Berechtigungen altern, und ohne regelmäßige Überprüfung bleibt jeder Zugriff für immer bestehen. Die Demo zeigt eine systemübergreifende Risikoanalyse, Mitigationskontrollen sowie eine Rezertifizierungskampagne über mehrere Systeme hinweg, den tatsächlichen Entzug nicht mehr benötigter Berechtigungen und die anschließende Lizenzanalyse, die zeigt, was diese Bereinigung finanziell wert ist.
Emergency Access Management, Monitoring und SOC
Für Akte 3 anmeldenDem Berater fehlen genau die Rechte, die ihm im Review gestrichen wurden, das Projekt steht still. Über die EAM-XT-App holt er sich einen Notfallzugriff und weist sich kurzerhand SAP_ALL zu. Xavier hat den Zugriff genehmigt, schafft es aber nicht, die Logs rechtzeitig zu prüfen. Doch Falcora erkennt die Selbstzuweisung, der Alarm landet im SAP SOC und der Zugriff wird gesperrt, bevor größerer Schaden entsteht.
Aktenvermerke
SAP_ALLPrivilegierte und zeitlich begrenzte Zugriffe lassen sich nicht vermeiden, aber sie lassen sich kontrolliert vergeben, protokollieren und auswerten. Der Vortrag zeigt Konzept und Praxis von Emergency Access Management in einem Block und macht dabei sichtbar, wo die eigentliche Schwachstelle liegt. Nicht in der Vergabe, sondern in der Auswertung der entstehenden Protokolle.
SAP-Systeme erzeugen laufend sicherheitsrelevante Ereignisse, die in ihrer Rohform für ein Security-Team unbrauchbar sind. Der Vortrag zeigt, wie diese Ereignisse zentral erfasst, bewertet und priorisiert werden und wie sie in bestehende operative Security-Prozesse und ein SOC eingebunden werden.
Der kritische Zugriff des externen Beraters wird erkannt und an das SOC übergeben. Die Demo zeigt, wie aus technischen Ereignissen ein verwertbarer Security Alert wird, wie das SOC-Team den Vorfall bewertet und wie der Zugriff gesperrt wird, bevor größerer Schaden entsteht.
Abschlussbericht
Regelwerke, Rollen-Design, Identity Governance, Reviews, Emergency Access und Monitoring sind keine losen Bausteine. Sie greifen ineinander.
Berechtigungsqualität und Lizenzoptimierung hängen direkt zusammen. Saubere Prozesse vermeiden außerdem operative Hektik.
Cloud-Anwendungen, externe Mitarbeitende, Joiner, Mover und Leaver und systemübergreifende Konflikte sind Alltag. Genau darum geht es.
Oft reicht ein kleiner Fehler unter Zeitdruck. Warum Monitoring und SOC-Anbindung den entscheidenden Unterschied machen.
Für wen? Fach- und Führungskräfte aus SAP, IT-Security, Compliance und Berechtigungsmanagement, darunter SAP- und IT-Leitung, Projektverantwortliche, Administratoren, Architekten, Auditoren, CISOs und CIOs.
Melden Sie sich zu einer, zwei oder zu allen drei Sessions an. Die Teilnahme ist kostenfrei, den Zugangslink erhalten Sie per E-Mail.
Jeder Termin ist auch für sich verständlich. Sie können also jederzeit einsteigen.
Sie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen