Jedes Unternehmen, das SAP im Einsatz hat, sollte in der Lage sein, schnell und dennoch compliance-konform auf Ausnahme- und Notfallsituationen im Geschäftsalltag zu reagieren. Durch die Bereitstellung erweiterter Berechtigungen über SAP Firefighter Prozesse (Notfallbenutzerkonzept im EAM – Extended Access Management) erhalten ausgewählte Benutzer die Möglichkeit, auch Tätigkeiten außerhalb der alltäglichen Aufgaben auszuführen. Dabei soll die Zuweisung der erforderlichen Rechte umgehend und temporär erfolgen, wobei jederzeit eine revisionskonforme, lückenlose Protokollierung gewährleistet sein muss. Zudem muss sichergestellt sein, dass dem Unternehmen auch während des vorübergehenden Einsatzes weitreichender Berechtigungen keine wesentlichen Risiken entstehen.
Die Gründe für ein SAP Firefighter Konzept sowie die daraus resultierenden Herausforderungen werden in diesem Blogbeitrag beleuchtet. Anschließend wird erläutert, wie die Xiting Authorizations Management Suite (XAMS) Sie dabei unterstützen kann, erweiterte Rechte effizient und revisionskonform bereitzustellen.
Ein SAP Firefighter User ist ein speziell eingerichteter Notfallbenutzer, der im Rahmen des Extended Access Management (EAM) temporär erweiterte Berechtigungen erhält. Diese Berechtigungen überschreiten das reguläre Rollen- und Berechtigungskonzept und dienen ausschließlich der Durchführung klar definierter Ausnahme- oder Notfallszenarien.
Das SAP Firefighter Konzept beschreibt die organisatorischen und technischen Rahmenbedingungen zur sicheren Steuerung solcher Notfallzugriffe. Es umfasst die Beantragung, Genehmigung, zeitliche Begrenzung, Protokollierung sowie die nachgelagerte Kontrolle der durchgeführten Aktivitäten. Ziel eines SAP Firefighter Konzepts ist es, eine kurzfristige Bereitstellung privilegierter Zugriffe zu ermöglichen und gleichzeitig Compliance-Anforderungen, interne Kontrollsysteme sowie gesetzliche Vorgaben einzuhalten.
Im Gegensatz zu dauerhaft privilegierten Benutzern, wie beispielsweise Administratoren oder Key-Usern, erfolgt der Zugriff im SAP Firefighter Konzept ausschließlich anlassbezogen und zeitlich begrenzt. Jeder Zugriff unterliegt einer lückenlosen Protokollierung und einer verpflichtenden Nachprüfung, wodurch Risiken aus Funktionstrennungskonflikten (SoD-Konflikten) reduziert werden.
Die Anzahl der digitalen Angriffe auf Unternehmensdaten ist in den letzten Jahren rasant gestiegen, was die Gefahr eines immensen wirtschaftlichen Schadens birgt. Zudem müssen sich Unternehmen an geltende Gesetze, wie z.B. das Radierverbot (§239 des HGB), und branchenspezifische Richtlinien halten.
Ein gut konzipiertes SAP Firefighter Konzept ist daher unverzichtbar für alle Unternehmen, die Ausfälle und erhebliche Risiken für die unternehmensinterne Sicherheit vermeiden möchten. Auch interne Vorgaben und Funktionstrennungskonflikte können Gründe dafür sein, weitreichende oder gesonderte Berechtigungen über ein SAP-Notfallbenutzerkonzept auszulagern. Grundsätzlich geht es darum, ausgewählten Benutzern für vorab definierte Szenarien die Möglichkeit zur speziellen Aufgabenerfüllung einzuräumen, die zeitkritisch und zwingend erforderlich sind. Die häufigsten Szenarien, die ein Notfallbenutzerkonzept abdecken soll, sind:
Aus Compliance-Gründen sollten vordefinierte Rahmenbedingungen für den Einsatz eines SAP Firefighter Users (Notfallbenutzers) eingehalten werden, um Missbrauch vorzubeugen. So sollte die Vergabe erweiterter Berechtigungen nur temporär und kontrolliert erfolgen. Wichtig ist in jedem Fall eine lückenlose, revisionskonforme Protokollierung des Notfallbenutzers. Zudem sollte eine regelmäßige Auswertung der Sitzungsprotokolle durch eine unabhängige Instanz wie einen Sicherheitsbeauftragten oder die interne Revision erfolgen. Auf Shared Access sollte generell verzichtet werden, um die Nachvollziehbarkeit zu gewährleisten.
Welche Berechtigungen ein Notfallbenutzer benötigt, hängt vom jeweiligen Einsatzszenario ab. Ein SAP Firefighter für kritische Tätigkeiten benötigt oft sehr umfangreiche Berechtigungen, die beispielsweise aus einem SAP_ALL generiert werden können, wobei gesetzeskritische Berechtigungen wie das Löschen von Änderungsbelegen oder Tabellenänderungsprotokollen ausgeschlossen werden. Soll der Notfalluser hingegen das Szenario eines Vertretungsfalles abdecken, genügen die Rollenzuweisungen des entsprechenden Keyusers.
Mit Hilfe der XAMS verhindern Sie den Missbrauch der umfangreichen Berechtigungen eines Firefighter Users durch ein smartes Konzept, das skalierbar und wirtschaftlich wartbar ist. Innerhalb weniger Tage kann ein solches Konzept definiert und voll einsatzbereit implementiert werden. Die XAMS arbeitet dafür mit einer temporären Zuweisung von Referenzbenutzern, ein Vorgehen, das auch bei anderen Szenarien wie der Produktiven Testsimulation oder dem Protected Go-Live genutzt wird. Der Benutzer selbst behält dabei seine Standardrechte, während über den Referenzbenutzer zusätzliche erweiterte Firefighter-Berechtigungen bereitgestellt werden. Dadurch erfolgt die Nutzung erweiterter Berechtigungen stets mit der eigenen Benutzerkennung, was absolute Transparenz bezüglich der Nachvollziehbarkeit bietet. Ein weiterer Vorteil ist, dass persönliche Einstellungen, wie Favoriten oder Drucker, auch während der Notfallsitzungen beibehalten werden.
Mit Hilfe der XAMS können Sie festlegen, welche Benutzer Zugriff auf erweiterte Berechtigungen erhalten sollen. Die maximale Dauer einer EAM-Sitzung ist dabei für jeden Notfallbenutzer individuell einstellbar. Es stehen verschiedene Workflow-Varianten und eine Auswahl an Protokollierungsaktivitäten zur Verfügung, um das Konzept individuell an die Bedürfnisse Ihres Unternehmens anzupassen.
Eine zusätzliche Sicherheitsstufe kann eingebaut werden, indem ein vorgängiges Genehmigungsverfahren integriert wird. In diesem Fall muss die Zuweisung des Notfallusers zunächst von einem befugten Dritten im System genehmigt werden. Auch abweichende Genehmiger für einen Verantwortlichen können definiert werden, wobei die Genehmigung für den eigenen User stets ausgeschlossen ist.
Entscheidet man sich gegen diesen vorausgeschalteten Workflow, erhält der berechtigte Antragsteller die zusätzlichen Rechte des Firefighters automatisch und sofort nach Absenden des Self-Service-Antrags. Diese Option ist für zeitkritische Tätigkeiten von großem Vorteil. Die Möglichkeit zur nachgelagerten Revision stellt sicher, dass der Notfalluser nur zum vorgesehenen Zweck genutzt wurde.
Die Entscheidung, welche Änderungsprotokolle für einen User oder Firefighter (de-)aktiviert werden, kann individuell festgelegt werden. Durch konfigurierbare Änderungsprotokolle sind diese bereits nach Funktionen gruppiert und können somit auch für ganze Gruppen (de-)aktiviert werden, siehe Abbildung 2. Zusätzlich zu den Standard-Logging-Programmen der SAP können eigene Programme definiert werden, um die ausgeführten Aktivitäten während der EAM-Session aufzuzeichnen. Sobald eine Sitzung beendet wird, werden die ausgewählten Berichte ausgeführt und deren Ergebnisse zu einem einzelnen Report zusammengeführt.
Im Folgenden wird nun an einem Beispiel dargestellt, wie ein solches Notfallbenutzerkonzept mit der XAMS aus Sicht eines Administrators, des berechtigten Endanwenders und des Genehmigers aussehen kann. Im dargestellten Szenario wird eine nachgelagerte Revision, ohne vorausgehende Genehmigung der EAM-Sitzung, betrachtet.
Der Administrator erfasst in der XAMS zunächst den neu definierten Notfallbenutzer (Referenzuser) E_BC_SUPPORT mit einer maximalen Nutzungsdauer von vier Stunden pro Sitzung. Als Verantwortlichen hinterlegt er den dafür vorgesehenen Benutzer X_APPROVER. Für die Beantragung dieses SAP Firefighters ist kein vorgelagerter Genehmigungsworkflow erforderlich; jedoch wird eine anschließende Revision vorgeschrieben und daher aktiviert.
Anschließend legt der Administrator fest, welche Benutzer auf einen oder mehrere Firefighter zugreifen dürfen. In diesem Fall soll der Anwender X_FI die Berechtigung zur Beantragung des Notfallusers E_BC_SUPPORT erhalten. Über eine Verteilerliste (E-Mail-Gruppe) können sich die Verantwortlichen, wenn gewünscht, über die Beantragung des Notfallusers, das Ende einer Session und das Vorliegen von zu prüfenden Protokollen informieren lassen. Spätere Anpassungen sind jederzeit möglich.
Der Administrator nimmt auch die (De-)Aktivierung der gewünschten Änderungsprotokolle im Customizing vor. Dadurch wird sichergestellt, dass alle relevanten Aktivitäten des Notfallbenutzers revisionskonform dokumentiert werden.
Der nun dafür berechtigte User X_FI kann die EAM-Session über einen Self-Service beantragen, was ein zeit- und ressourcensparendes Arbeiten sowohl für den Anwender als auch den Administrator ermöglicht. Im Antragsfenster hinterlegt der User X_FI eine Begründung und die gewünschte Zeitdauer für die Zuweisung der erweiterten Berechtigungen. Die vom Administrator festgelegte maximale Dauer für diesen Notfalluser stellt hierbei die Obergrenze dar.
Da in diesem Fall keine vorausgehende Genehmigung gewünscht war, wird direkt mit Absenden des Antrags eine neue Session gestartet, in welcher der User umgehend mit den erweiterten Berechtigungen arbeiten kann.
In diesem Beispiel führt der User X_FI umgehend eine kritische Finanztransaktion durch, die aufgrund eines unterwarteten Fehlerzustands in der Buchhaltung erforderlich wurde.
Die XAMS bietet die Möglichkeit, beim Beenden der Session durch den Anwender oder spätestens mit Ablauf der beantragten Sitzungsdauer eine Systemabmeldung zu erzwingen, was in jedem Fall zu empfehlen ist. So ist sichergestellt, dass niemand länger als zuvor definiert mit den erweiterten Berechtigungen tätig ist. Dabei wird der Referenzuser mit den erweiterten Berechtigungen automatisch wieder entzogen und der User vom System abgemeldet. Ein weiterer Vorteil der Umsetzung mit der XAMS ist, dass ein dabei zur gleichen Zeit von mehreren Anwendern genutzt werden kann, da die Aktivitäten stets unter der eigenen Benutzerkennung protokolliert werden.
Nach Beendigung der Sitzung werden die für den User definierten Protokollierungsprogramme ausgeführt und innerhalb von Spool Aufträgen gesichert. Um eine längerfristige Aufbewahrung der Protokolle zu gewährleisten, werden die Spool Aufträge in eine gesonderte Tabelle übertragen.
Auch die regelmäßige Auswertung der Änderungsprotokolle gehört zu einem gut dokumentierten und gelebten Notfallbenutzerkonzept dazu. Über die hinterlegte Verteilerliste lässt sich der Prüfer X_APPROVER informieren, dass die EAM-Sitzung beendet wurde und ein neues Protokoll vorliegt, welches er nun überprüft.
Als Beispiel für eine typische Prüfsituation könnte der Prüfer X_APPROVER in den Protokollen feststellen, dass der E_BC_SUPPORT von X_FI für eine kritische Finanztransaktion genutzt wurde. Nach Überprüfung der Protokolle und der Transaktion stellt der Prüfer sicher, dass alle Sicherheitsrichtlinien eingehalten wurden und keine unnötigen Risiken entstanden sind.
In einer alternativen Prüfsituation stellt der Prüfer X_APPROVER fest, dass der E_BC_SUPPORT von X_FI zusätzlich nicht autorisierte, kritische Tätigkeiten ausgeführt hat, die nicht in der Begründung des Antrags dokumentiert waren. Der Prüfer leitet umgehend weitere Untersuchungen ein und fordert eine detaillierte Erklärung des Users X_FI an, um die Umstände zu klären und sicherzustellen, dass keine Sicherheitsrichtlinien verletzt wurden.
Das Firefighter Konzept ist für Unternehmen, die SAP einsetzen, unverzichtbar, um schnell und sicher auf Ausnahmesituationen reagieren zu können, ohne dabei die Compliance aus den Augen zu verlieren. Die Xiting Authorizations Management Suite (XAMS) bietet eine robuste Lösung, um erweiterte Firefighter-Berechtigungen temporär und kontrolliert zu vergeben, während gleichzeitig eine lückenlose Protokollierung und Nachvollziehbarkeit gewährleistet wird.
Zusammenfassend lässt sich sagen, die XAMS bietet für Ihr Notfallbenutzerkonzept folgende Vorteile:
Die Integration eines SAP Firefighter Konzepts mit der XAMS stellt sicher, dass Unternehmen nicht nur ihre Sicherheitsstandards erhöhen, sondern auch ihre geschäftlichen Abläufe in kritischen Momenten aufrechterhalten können. Möchten Sie mehr darüber erfahren? Kontaktieren Sie uns gerne für ein persönliches Webinar, das praktische Demonstrationen und Erfahrungswerte im Umgang mit der XAMS bietet. Informieren Sie sich auch über maßgeschneiderte Schulungen oder fragen Sie nach einer Implementierungsberatung, die auf die individuellen Anforderungen Ihres Unternehmens zugeschnitten ist.
Ein SAP Firefighter ist ein temporärer Benutzer mit erweiterten Berechtigungen, der in Ausnahme‑ oder Notfallsituationen eingesetzt wird. Er ermöglicht es, kritische Tätigkeiten sofort umzusetzen, ohne reguläre Rollenzuordnungen dauerhaft anzupassen. Jeder Zugriff wird dabei vollständig protokolliert, um Compliance‑ und Audit‑Anforderungen zu erfüllen.
Das SAP Firefighter Konzept beschreibt die kontrollierte, zeitlich begrenzte Vergabe von kritischen Berechtigungen für Support‑, Fehlerbehebungs- oder Notfallszenarien. Ziel ist es, Risiken zu minimieren, Transparenz zu schaffen und die Einhaltung gesetzlicher Vorgaben sicherzustellen.
Ein regulärer Benutzer besitzt klar definierte Rollen für seine täglichen Aufgaben. Ein Firefighter User hingegen erhält vorübergehend zusätzliche Berechtigungen, die sonst stark eingeschränkt sind.
Wichtig: Die Nutzung erfolgt stets nachvollziehbar, zeitlich begrenzt und revisionskonform.
Ohne ein strukturiertes SAP Firefighter Konzept können:
Ein Firefighter Konzept schafft hier Sicherheit, Transparenz und Nachvollziehbarkeit.
Die Xiting Authorizations Management Suite (XAMS) erweitert das klassische Firefighter‑Prinzip um moderne Funktionen:
Hiermit wird ein Firefighter Konzept sauber, revisionssicher und effizient umgesetzt.
Empfohlene Vorgehensweisen sind:
