Wie sich die S/4HANA Security gewährleisten lässt

Mit S/4HANA müssen sich die meisten SAP-Kunden auf eine komplett neue technologische Plattform einstellen. Und beim Blick auf den enormen Migrationsaufwand drängt die Zeit, bis die SAP die bisherige SAP Business Suite nicht mehr weiterentwickelt und wartet. Unternehmen sollten sich also baldmöglichst an die Arbeit machen. Diese Herausforderung ist aber auch eine Chance: Für eine Optimierung der Sicherheit im SAP-Zielsystem und zur effizienteren Gestaltung der Rollenkonzepte. IT-Dienstleister mit entsprechenden langjährigen Erfahrungen in Sachen SAP Security & Compliance leisten die erforderliche Unterstützung, um ganzheitlich und zielgerichtet vorgehen zu können.

Um die S/4HANA Security umfassend gewährleisten zu können, ist für die technische Absicherung zunächst ein initiales Security-Audit der erste essenzielle Schritt. Aus dem Ergebnis leiten sich dann konkrete Handlungsempfehlungen und eine priorisierte Arbeitsliste ab. Denn trotz vieler Verbesserungen, die SAP implementiert hat, gibt es immer noch Tausende Einstellungen, die bei falscher Konfiguration ein erhebliches Sicherheitsrisiko darstellen.

Nach dieser grundlegenden Absicherung auf Plattform-Ebene geht es um die Prüfung bisheriger Berechtigungskonzepte, die bei einer Migration auf S/4HANA nicht unmittelbar übernommen werden können. Eine vorherige Prüfung und Dokumentation bestehender Rollen und Berechtigungen ist unerlässlich, um ein zu S/4HANA passendes Redesign zu realisieren. Die SAP Security & Compliance-Experten führen bei dieser Gelegenheit gleich eine Prüfung durch, ob eine Anpassung des vorhandenen Rollenkonzeptes sinnvoll oder ob eine grundlegende Neugestaltung die bessere Lösung ist. Der Umfang möglicher kritischer Berechtigungen und SoD-Konflikte ist hierbei ein ähnlich wichtiger Faktor wie die Qualität aktueller Rollen und die interne Zielsetzung.

Und um anschließend ganz sicher zu gehen, sorgt eine Echtzeitüberwachung der SAP S/4HANA-Systeme für einen Security-Status auf Knopfdruck. So werden Angriffe oder Manipulationen umgehend erkannt.

Zu einer weiteren Herausforderung bei der Migration auf S/4HANA gehört neben der technischen Absicherung und der Anpassung von Berechtigungen auch die Korrektur von eigenem ABAP-Code. Im Schnitt haben SAP-Kunden im Laufe der Zeit zwei Millionen Zeilen eigenen Code entwickelt. Es liegt also nahe, im Interesse eines zukunftsfähigen Systems "mal richtig auszukehren" und für eine konsolidierte und übersichtliche Basis zu sorgen. Denn nach den Praxiserfahrungen von AKQUINET sind bis zu 90 Prozent dieses Codes funktionsloser Ballast, der, wird er ungeprüft migriert, im schlimmsten Fall Hackern Tür und Tor öffnet. Auch Fehler in den aktiven Codebereichen können bei der Gelegenheit bereinigt werden. Um den enormen Testaufwand zu umgehen, den kundeneigenen Code auf Funktionalität und Sicherheitslücken zu prüfen, haben die SAP-Experten von AKQUINET eine intelligente Lösung entwickelt: Das alte Coding kann auf Knopfdruck wieder genutzt werden, sollten doch Probleme auftauchen. Der große Vorteil dieses Ansatzes ist, dass die Testphase quasi komplett entfällt und der operative Betrieb zu keiner Zeit eingeschränkt ist.

Umfragen unter Verantwortlichen zeigen, dass sich erst rund ein Viertel der betroffenen Unternehmen mit Security & Compliance-Themen im Rahmen einer S/4HANA-Conversion beschäftigt hat. Die Zahl derer, die bislang aktiv geworden sind, dürfte sogar noch geringer sein. Das ist grob fahrlässig, denn nicht nur, dass es Zeit und Aufwand spart, das Thema S/4HANA Security von Anfang an in die Migrationsprozesse zu integrieren. Zusätzlich werden mit voranschreitender Zeit entsprechende Dienstleister nur noch begrenzt verfügbar sein.