SAP-Lizenzkosten gehören in vielen Organisationen zu den größten IT-Budgetposten und gleichzeitig zu den Bereichen mit dem höchsten Optimierungspotenzial. Während Infrastruktur, Cloud oder Hardware regelmäßig überprüft werden, bleiben historisch gewachsene Rollen- und Berechtigungskonzepte häufig über Jahre unverändert bestehen.
Die moderne SAP-Lizenzmetrik bewertet heute nicht mehr Nutzung von Transaktionen und Berechtigungen. Entscheidend für die Zuordnung eines Lizenztyps sind nun vor allem die zugewiesenen Berechtigungen und Rollen.
Im Zuge von SAP S/4HANA-Migrationen und hybriden SAP-Landschaften gewinnt daher ein modernes SAP-Berechtigungskonzept zunehmend an Bedeutung. Mit der Xiting Authorizations Management Suite (XAMS) lassen sich Rollen bereits im ersten Schritt direkt auf Basis des aktuellen SAP-Lizenzregelwerks analysieren und bewerten.
Doch genau hier beginnt häufig die eigentliche Herausforderung:
Wie geht man nach der Lizenzanalyse weiter vor?
Eine Analyse reduziert noch keine Lizenzkosten. Erst durch gezielte Optimierung, kontrollierte Tests und eine sichere Einführung der lizenzoptimierten Rollen lassen sich nachhaltige Ergebnisse erzielen.
Das Grundprinzip moderner SAP Lizenzmetriken sieht vor, dass nicht die Nutzung primär über den Lizenztyp entscheidet, sondern die vorhandenen Berechtigungen.
Folglich können bereits einzelne kritische Berechtigungen dazu führen, dass ein Benutzer als SAP Professional User klassifiziert wird, auch wenn diese Berechtigungen niemals produktiv genutzt werden.
Ein typisches Beispiel:
Ein Mitarbeiter nutzt ausschließlich Anzeige-Transaktionen im Einkauf. Durch eine historisch gewachsene Sammelrolle enthält seine Rolle jedoch zusätzlich einzelne kritische Änderungs- oder Administrationsberechtigungen.
Die Folge:
Der Benutzer wird als SAP Professional User bewertet, obwohl die erweiterten Funktionen nie genutzt werden.
Im Rahmen der SAP-Lizenzierung spielen verschiedene SAP-Lizenztypen eine zentrale Rolle. Sie basieren auf dem Umfang der Berechtigungen und den möglichen Aktivitäten eines Benutzers.
Zu den wichtigsten SAP S/4HANA User Lizenz Typen gehören:
| ID | SAP User Lizenz Typ | Nutzung |
|---|---|---|
| HA | S/4HANA Developer Access | Entwicklung, Debugging, technische Administration |
| HB | S/4HANA Professional Use | Umfangreiche operative und fachliche Tätigkeiten |
| HC | S/4HANA Functional Use | Operative Tätigkeiten mit eingeschränkten Änderungsrechten |
| HD | S/4HANA Productivity Use | Einfache operative Tätigkeiten und Self-Services |
Zu den wichtigsten SAP S/4HANA Cloud, private edition User-Lizenztypen im Rahmen von RISE with SAP gehören:
| ID | SAP User Lizenz Typ | Nutzung |
|---|---|---|
| GA | SAP RISE S/4HANA Developer Access | Entwicklung, Debugging, technische Administration |
| GB | SAP RISE S/4HANA Advanced Use | Umfangreiche operative und fachliche Tätigkeiten |
| GC | SAP RISE S/4HANA Core Use | Operative Tätigkeiten mit eingeschränkten Änderungsrechten |
| GD | SAP RISE S/4HANA Self-Service User | Einfache operative Tätigkeiten und Self-Services |
Durch den Betrieb hybrider SAP-Landschaften aus SAP ECC, SAP S/4HANA, SAP BTP sowie Cloud- und On-Premise-Systemen wird ein konsolidierter Überblick über bestehende Berechtigungskonzepte zunehmend wichtiger.
Besonders hervorzuheben ist, dass bereits einzelne lizenzrelevante Berechtigungen einen Benutzer in einen höheren Lizenztyp verschieben können. Zudem entstehen lizenzrelevante Berechtigungen oft nicht mehr isoliert innerhalb eines einzelnen Systems, sondern durch die Kombination verschiedener Rollen, Anwendungen und Zugriffe innerhalb hybrider SAP-Landschaften. Dabei ist zu berücksichtigen, dass die vertraglichen Rahmenbedingungen bestimmen, ob Systeme und Mandanten separat oder in einer konsolidierten Betrachtung bewertet werden.
In der Praxis entstehen hohe SAP-Lizenzkosten selten durch einzelne Benutzer, sondern vielmehr durch strukturelle Probleme im SAP-Rollenkonzept.
Typische Ursachen sind dabei:
Gerade bei großen SAP-Landschaften summieren sich daraus schnell erhebliche Lizenzkosten. Ein wesentlicher Faktor sind Sammelrollen. Diese bündeln häufig zahlreiche Einzelrollen und Berechtigungen. Dadurch entstehen oftmals Überberechtigungen und schwer nachvollziehbare Rollenstrukturen. Genau diese fehlende Nachvollziehbarkeit führt dazu, dass Optimierungspotenziale im SAP Lizenzmanagement häufig unentdeckt bleiben.
Eine klassische SAP-Lizenzvermessung mit SAP USMM und SAP LAW liefert Organisationen zunächst eine wichtige Grundlage zur Bewertung der bestehenden Lizenztypen und Benutzerklassifikationen. Sie schafft Transparenz darüber, welche SAP Named User im System vorhanden sind und wie diese aktuell klassifiziert sind.
Die reine Lizenzvermessung zeigt zwar, wer welche Lizenz besitzt, sie beantwortet jedoch nicht zuverlässig, warum ein Benutzer einem bestimmten Lizenztyp zugeordnet wurde.
Mit der Xiting Authorizations Management Suite (XAMS) werden bestehende Rollen analysiert und lizenzrelevante Berechtigungen identifiziert. Dadurch wird unmittelbar erkennbar, welche Rollen erhöhte Lizenztypen verursachen. Zusätzlich wird sichtbar, welche Berechtigungsobjekte direkte Auswirkungen auf Lizenzkosten haben und wo konkrete Optimierungspotenziale im Berechtigungskonzept bestehen.
Damit wird aus einer reinen Lizenzübersicht eine konkrete technische Entscheidungsgrundlage für die SAP-Lizenzoptimierung.
Nach der Lizenzanalyse mithilfe der XAMS ergeben sich zwei grundlegende Vorgehensweisen:
Das bestehende Rollenkonzept bleibt im Kern bestehen und wird gezielt optimiert. Einzelne lizenzkritische Berechtigungen werden entfernt oder angepasst.
Geeignet für: stabile Rollenstrukturen mit begrenztem OptimierungsbedarfWenn viele Rollen betroffen sind oder das bestehende Konzept historisch gewachsen und inkonsistent ist, ist ein vollständiges Redesign erforderlich. Rollen werden neu nach Jobfunktionen aufgebaut – nach den Prinzipien Least Privilege und Need-to-Know, mit klarer Trennung von Anzeige- und Änderungsberechtigungen, von Stamm- und Bewegungsdaten sowie der Auslagerung kritischer Berechtigungen in separate, SoD-konforme Rollen.
Geeignet für: langfristige Governance- und LizenzoptimierungDie Rollenbereinigung ist häufig der schnellste Weg zur Reduktion von SAP-Lizenzkosten. Ziel ist es, bestehende Rollen gezielt zu optimieren, ohne das gesamte Berechtigungskonzept sofort neu aufzubauen.
Typische Maßnahmen sind:
Der Vorteil dieses Ansatzes liegt in der hohen Geschwindigkeit der Umsetzung bei gleichzeitig geringem Eingriff in bestehende Systemstrukturen.
So lassen sich bereits kurzfristig spürbare Effekte auf die Lizenzkosten erzielen.
Mit der XAMS können kurzfristig erste Optimierungserfolge erzielt werden. Dabei lassen sich im XAMS Role Designer sowohl auf Basis der einem Benutzer zugewiesenen Rollen als auch auf Ebene einzelner Rollen die konkreten Berechtigungsobjekte analysieren, die für höhere SAP-Lizenztypen verantwortlich sind. Auf dieser Grundlage können die Berechtigungen gezielt angepasst oder entfernt werden.
Darüber hinaus ermöglicht der XAMS Role Profiler einen detaillierten Abgleich zwischen Benutzer- und Rolleninformationen und den tatsächlich vergebenen Berechtigungen. So können beispielsweise die in der SU01 hinterlegten Lizenztypen der Benutzer mit den effektiv zugewiesenen Berechtigungen abgeglichen werden.
Ebenso ist es möglich, die in Rollen hinterlegten Lizenzklassifikationen direkt mit den enthaltenen Berechtigungen zu vergleichen. Dadurch wird sichtbar, ob eine Rolle aufgrund ihrer Berechtigungsstruktur zu einer höheren Lizenzstufe führt als ursprünglich vorgesehen.
Zusätzlich bietet der XAMS Lizenz-Trace eine gezielte Optimierungsmöglichkeit für bereits identifizierte Benutzer mit Überberechtigungen oder hohen Lizenzkosten. Dabei wird auf Berechtigungsebene analysiert, welche tatsächlich genutzten Berechtigungen zur höchsten Lizenzklassifizierung führen.
Mit diesen Möglichkeiten lassen sich lizenztreibende Berechtigungen gezielt bereinigen und SAP-Lizenzkosten nachhaltig reduzieren, ohne dass dafür ein vollständiges Redesign des Rollenmodells erforderlich ist.
Reicht eine reine Rollenbereinigung nicht aus, folgt häufig ein grundlegendes Redesign des Rollenkonzepts. Das intransparente Rollenkonzept führt nicht nur zu erhöhten Lizenzkosten, sondern erschwert auch Governance, Auditfähigkeit und Systempflege.
Ein modernes Rollendesign setzt daher auf eine klare Strukturierung nach Jobfunktionen.
Mit dem XAMS Role Designer lassen sich neue Rollenmodelle gezielt und strukturiert basierend auf der Verwendungshistorie der User aufbauen. Der Schwerpunkt liegt dabei insbesondere auf dem Aufbau schlanker Einzelrollen, einer klaren Trennung von Business- und IT-Rollen, der Definition standardisierter Rollenmodelle sowie der gezielten Isolierung lizenzrelevanter Berechtigungen.
Durch diesen Ansatz entsteht ein strukturiertes, wartbares und langfristig stabil optimiertes Berechtigungskonzept. Gleichzeitig wird die Steuerbarkeit der Lizenztypen deutlich verbessert und unnötige Überlizenzierungen werden nachhaltig reduziert.
Bei größeren Rollenänderungen stellt sich häufig die Frage, wie neue oder optimierte Rollen sicher in die Produktivumgebung überführt werden können. Besonders bei einem vollständigen Rollendesign ist ein strukturierter und risikofreier Übergang entscheidend, um Geschäftsprozesse nicht zu beeinträchtigen.
Der Ansatz der XAMS kombiniert hierfür zwei aufeinander aufbauende Phasen: Die produktive Testsimulation (PTS) und den Protected Go-Live (PGL).
Im Rahmen eines vollständigen Redesign ermöglicht die produktive Testsimulation (PTS) die Validierung neuer Rollen auf Basis realer Produktivdaten, bevor diese aktiv durch die Endanwender genutzt werden. Die Rollen werden technisch validiert und die benötigten Berechtigungsobjekte ausgeprägt.
Ein zusätzlicher Mehrwert liegt in der direkten Transparenz der Lizenzauswirkungen auf Ebene der Berechtigungsobjekte.
Im Rahmen der PTS wird sichtbar, welche Berechtigungsobjekte und Feldwerte nach dem SAP-Lizenzregelwerk einem bestimmten Lizenztyp zugeordnet sind. Die PTS zeigt nicht die finale Lizenzklassifizierung eines Benutzers. Stattdessen wird sichtbar, welche Berechtigungsobjekte und Feldwerte zu einer bestimmten Lizenzbewertung beitragen. Damit wird nachvollziehbar, welche Rollenbestandteile lizenzrelevant wirken und welchen Einfluss sie auf die mögliche Einstufung für den Lizenztyp haben.
Auf dieser Grundlage können benötigte Berechtigungen gezielt angepasst werden.
Nach erfolgreicher Validierung in der PTS erfolgt die kontrollierte Einführung in die Produktivumgebung über den Protected Go-Live (PGL).
Der Protected Go-Live (PGL) dient dabei als Absicherungsmechanismus im laufenden Betrieb. Sollte es mit den neuen Rollen zu Einschränkungen kommen, können Benutzer ihre ursprünglichen Berechtigungen über einen Self-Service-Mechanismus jederzeit reaktivieren. Hierdurch bleibt die Handlungsfähigkeit der Fachbereiche jederzeit gewährleistet.
Während bei reinen Rollenoptimierungen häufig bereits der Protected Go-Live als Absicherung ausreicht, bildet bei umfassenden Rollendesigns die produktive Testsimulation die vorgelagerte Validierungsstufe. So entsteht ein durchgängiger, risikoarmer Übergang vom bestehenden Rollenmodell hin zu einer optimierten Rollenstruktur.
Nach einer erfolgreichen Rollenbereinigung oder einem umfassenden Redesign ist das Ziel, die neu aufgebauten Rollenstrukturen langfristig stabil zu halten und SAP-Lizenzkosten auch im laufenden Betrieb transparent und steuerbar zu machen.
Die PFCG Integration der XAMS bewertet Rollenänderungen direkt im SAP-Standardprozess automatisch im Hinblick auf Lizenzierung und Compliance.
Sobald eine Rolle in der PFCG angepasst und das Profil generiert wird, analysiert die XAMS automatisch die Auswirkungen. Es werden sowohl Veränderungen der Lizenztypen als auch mögliche SoD-Konflikte angezeigt.
Damit wird sichergestellt, dass das optimierte Rollenmodell auch im Tagesgeschäft stabil bleibt.
Moderne SAP-Landschaften bestehen zunehmend aus hybriden Systemen wie SAP ECC, SAP S/4HANA, SAP BTP sowie weiteren SAP Cloud-Lösungen oder ergänzenden SaaS-Komponenten.
Insbesondere in solchen Landschaften gewinnt SAP Digital Access zunehmend an Bedeutung. Geschäftliche Prozesse laufen heute häufig systemübergreifend ab. Lizenzrelevante Effekte entstehen daher nicht mehr nur durch direkte Benutzerzugriffe, sondern auch durch Schnittstellen, externe Anwendungen und integrierte Plattformen.
Vor diesem Hintergrund ist eine konsolidierte Sicht auf Rollen, Berechtigungen und Lizenzstrukturen innerhalb der zentralen Systeme entscheidend, sofern dies gemäß den vertraglichen Regelungen vorgesehen ist. Dadurch können potenzielle Lizenzrisiken frühzeitig erkannt und gezielt gesteuert werden.
Mit der Xiting Security Platform (XSP) lassen sich SAP S/4HANA-Systeme und Mandanten zentral analysieren und sofern vertraglich eine konsolidierte Betrachtung vereinbart wurde, auswerten. So entsteht eine systemübergreifende Transparenz über Benutzer, Rollen, Berechtigungen und Lizenztypen innerhalb der angebundenen S/4HANA-Landschaft.
Insbesondere in hybriden Szenarien mit mehreren Systemen schafft dieser zentrale Ansatz die Grundlage, um Lizenz- und Berechtigungsstrukturen konsistent zu bewerten und systemübergreifende Abweichungen frühzeitig zu erkennen.
Damit wird aus einer fragmentierten Systemsicht eine konsolidierte Governance-Perspektive, die sowohl für Lizenzoptimierung als auch für Compliance- und Audit-Anforderungen entscheidend ist.
Die SAP-Lizenzanalyse ist nur der Einstieg in ein umfassendes Optimierungsthema. Entscheidend sind die Schritte danach:
Mit XAMS und XSP entsteht ein durchgängiger Ansatz, um SAP-Lizenzkosten nachhaltig zu senken und das SAP-Berechtigungskonzept langfristig zu optimieren.
Häufig sind historisch gewachsene Rollenmodelle, überberechtigte Benutzer und falsch klassifizierte SAP Named User die Hauptursachen für unnötig hohe Lizenzkosten.
Moderne SAP Lizenzmetriken bewerten vor allem vorhandene Berechtigungen und nicht ausschließlich die tatsächliche Nutzung von Funktionen.
SAP USMM vermisst Benutzer innerhalb einzelner Systeme, während SAP LAW die Ergebnisse systemübergreifend konsolidiert.
Neue Technologien wie SAP Fiori und die dahinter liegenden OData-Services sowie hybride Systemlandschaften verändern die Anforderungen an Rollen und Lizenzklassifikationen erheblich.
XAMS analysiert User, Rollen und Berechtigungen auf Basis aktueller SAP-Lizenzregelwerke und macht lizenzrelevante Änderungen direkt sichtbar. Zusätzlich ermöglicht die PFCG Integration eine kontinuierliche Kontrolle der Lizenztypen nach Rollenanpassungen.
SAP Digital Access ist ein Lizenzmodell von SAP zur Abbildung indirekter Systemzugriffe. Im Gegensatz zur klassischen Named-User-Lizenzierung steht dabei nicht der einzelne Benutzer im Fokus, sondern die durch Systeme erzeugten Geschäftsdokumente in SAP.
Derzeit konzentriert sich die Lizenzanalyse der Xiting Security Platform auf SAP S/4HANA-Landschaften. Die XSP bietet damit eine zentrale und konsolidierte Sicht auf Benutzer, Rollen, Berechtigungen und Lizenztypen innerhalb der angebundenen S/4HANA-Systeme. Andere SAP-Lösungen sind derzeit nicht Bestandteil der Analyse, eine Erweiterung der unterstützten Systeme ist jedoch perspektivisch vorgesehen.
Sie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen