Startseite › SoD-Regelwerk für S/4HANA

SoD-Regelwerk für SAP S/4HANA und Fiori

Ein Regelwerk, das nur Transaktionen kennt, kann Fiori-Zugriffe übersehen. Die Risikoanalyse bleibt dann sauber, obwohl ein Benutzer den kritischen Vorgang ausführen kann. Der Bericht sieht gut aus, das Risiko besteht trotzdem.

Woran es liegt

Eine klassische SAP-Transaktion wird über das Berechtigungsobjekt S_TCODE geprüft. Eine Fiori-App läuft dagegen über einen OData-Service, die Berechtigung dafür liegt in S_SERVICE. Steht der Service nicht im Regelwerk, taucht die App in der Risikoanalyse nicht auf.

Dazu kommen Fälle, in denen einzelne Apps gar nicht erst geprüft werden, weil ihnen S_SERVICE-Einträge fehlen. SAP beschreibt das zum Beispiel in KBA 3664022.

So prüfen Sie Ihr Regelwerk

  1. Vom Bestand ausgehen. Welche Fiori-Apps stecken in Ihren Rollen? Der Ausgangspunkt sind Kataloge und Rollen, nicht das Regelwerk.
  2. Abgleichen. Stehen die Services Ihrer kritischen Apps als Aktionen in den Funktionen des Regelwerks?
  3. Regeln neu generieren. Änderungen an Funktionen wirken erst, wenn die Regeln neu generiert sind (Programm GRAC_GENERATE_RULES).
  4. Gegenprobe machen. Legen Sie einen Testbenutzer an, der einen bekannten Konflikt ausschließlich über Fiori-Apps hat. Meldet die Analyse ihn? Dieser Test sagt mehr als jede Liste.
  5. Mitigationen nachziehen. Ein vollständigeres Regelwerk meldet neue Verletzungen. Planen Sie ein, wer sie bewertet, bevor die Zahlen im Bericht auftauchen.

Eigene Apps und Eigenentwicklungen

Das von SAP ausgelieferte Regelwerk kennt den Standard. Eigene Transaktionen, Fiori-Apps und Services müssen Sie selbst ergänzen, sonst bleiben genau die Prozesse unsichtbar, die Sie am stärksten angepasst haben.

Ein Regelwerk ist auch Fachsache

Die Technik meldet nur, was das Regelwerk als Risiko definiert. Welche Kombination in Ihrem Unternehmen wirklich kritisch ist, entscheidet der Fachbereich. Wird zu viel gemeldet, wird im Review durchgewunken. Wird zu wenig gemeldet, fällt es erst in der Prüfung auf.

Was wir beitragen

Wir entwickeln kundenindividuelle Risikomatrizen, justieren bestehende Regelwerke nach und begleiten die Audit-Vorbereitung. Auch die regelmäßige Überprüfung gehört dazu: User Access Review und SoD Review mit SAP GRC.

Sie wollen wissen, was Ihr Regelwerk übersieht? Schildern Sie uns kurz Ihre Ausgangslage. Sie sprechen direkt mit dem Inhaber.

info@libossek-it-consulting.de 0157 55 84 2086

Stand: Oktober 2026. Quellen: SAP KBA 3664022, SAP PRESS, „Rulesets in SAP Access Control“.