Wie kann man es mit den Berechtigungen nicht übertreiben? – Das Prinzip des geringsten Privilegs in SAP

In der Welt von ERP-Systemen wie SAP sind Benutzerberechtigungen ein entscheidender Faktor sowohl für die Sicherheit als auch für den reibungslosen Geschäftsbetrieb. Doch überraschenderweise haben die Benutzer oft viel mehr Zugriffsrechte, als sie eigentlich brauchen. Manchmal „nur für den Fall“, manchmal „weil es schneller ging“. Und manchmal einfach, weil sich niemand die Mühe gemacht hat, dies zu überprüfen.

Es gibt jedoch einen Grundsatz, der die Grundlage jeder Richtlinie für die Verwaltung von Berechtigungen bilden sollte: das Least Privilege-Prinzip (LPP). Kurz gesagt: Benutzern sollte nur der Zugriff gewährt werden, der für die Erfüllung ihrer geschäftlichen Aufgaben unbedingt erforderlich ist. Nicht weniger, aber auch nicht mehr.

Das Ausmaß des Problems wird durch eine Studie veranschaulicht, die in 225 Unternehmen durchgeführt wurde: Nicht weniger als 85% der zugewiesenen Berechtigungen wurden in den letzten 90 Tagen nicht genutzt, und 1 von 3 Benutzern hatte Zugriff auf Systeme, bei denen sie gar nicht angemeldet waren. Diese Zahlen verdeutlichen, wie oft ein übermäßiger Zugriff standardmäßig gewährt oder bei Rollenänderungen vergessen wird. Und jeder derartige Zugriff bedeutet ein potenzielles Risiko: Datenlecks, Betrug, Fehler oder Verstöße gegen die Compliance.

Warum ist das so wichtig?

Das LPP ist nicht nur eine bewährte Praxis. Es ist eine der Säulen der Informationssicherheit und der Einhaltung von Vorschriften. Die Erteilung zu weit gefasster Genehmigungen kann dazu führen:

• Finanzbetrug und Datenmanipulation,
• versehentliche Fehler, die zu Datenverlust oder Prozessunterbrechungen führen,
• Verletzung der Aufgabentrennung (SoD),
• die Nichteinhaltung von Vorschriften (z.B. GDPR, SOX),
• schwierigere Audits und eine größere Angriffsfläche für Cyberkriminelle.

Geschichten aus dem wirklichen Leben: Wie es in der Praxis aussieht

Schauen wir uns einige Beispiele an, bei denen das Prinzip des geringsten Privilegs nicht angewendet wurde:

Beispiel 1: Mitarbeiter der Buchhaltung mit vollem Zugriff auf den Rechnungsstellungszyklus

Ein Mitarbeiter der Finanzabteilung hatte Zugriff auf alle Transaktionen innerhalb des Rechnungsstellungszyklus: von der Erfassung der Eingangsrechnungen (MIRO) über die Belegbuchung (FB60) bis hin zur Zahlungsfreigabe (F110).

Risiko: Der Mitarbeiter könnte den gesamten Prozess – von der Erstellung des Dokuments bis zur Ausführung der Zahlung – eigenständig abschließen. Diese Zugriffsmöglichkeit verstößt gegen das Prinzip der Aufgabentrennung und erschwert es erheblich, festzustellen, wer für welchen Teil des Prozesses verantwortlich war.

Lösung: Beschränken Sie den Zugriff auf nur eine Rolle – z.B. entweder MIRO oder FB60 – und weisen Sie die Zahlungsgenehmigung einem anderen Benutzer zu. Es lohnt sich auch, einen Workflow zu implementieren und die Verantwortlichkeiten für jede Phase des Prozesses klar zu definieren.

Beispiel 2: Mitarbeiter im Einkauf mit Zugriff auf Verkaufskonditionen

Ein Mitarbeiter in der Einkaufsabteilung hatte nicht nur Zugriff auf Bestellungen (ME21N, ME22N), sondern auch auf Verkaufskonditionen (VK11). Das Problem dabei? Diese Daten wurden für seine Rolle nicht benötigt, und ihre Bearbeitung könnte strategische Konsequenzen haben.

Risiko: Unbefugte Änderung der Preispolitik – entweder versehentlich oder absichtlich.

Lösung: Trennen Sie die Rollen von Einkauf und Verkauf klar voneinander und beschränken Sie den Zugriff auf die Daten strikt auf die entsprechenden Organisationseinheiten.

Beispiel 3: Mitarbeiter nach einem Rollenwechsel

Nach dem Wechsel vom Lager in die Controlling-Abteilung behielt der Mitarbeiter seine alten Berechtigungen und erhielt neue. Das Ergebnis? Gleichzeitiger Zugriff auf Lagerdokumente und kostenbezogene Daten.

Risiko: Übermäßiger Zugriff auf Prozesse außerhalb der aktuellen Zuständigkeiten; potenzielle SoD (Segregation of Duties) Konflikte.

Lösung: Jede Rollenänderung sollte eine vollständige Zugriffsüberprüfung auslösen – nicht nur das Hinzufügen neuer Rollen, sondern auch das Entfernen von Rollen, die nicht mehr benötigt werden.

Diese Beispiele zeigen, wie leicht ein übermäßiger Zugang gewährt werden kann – oft aufgrund von Eile, fehlender regelmäßiger Überprüfungen oder nachlässiger Rollenkombinationen. Jeder dieser Fälle verdeutlicht, wie selbst scheinbar unbedeutende Versäumnisse zu ernsthaften Risiken führen können, die sich durch die Anwendung des LPP leicht beseitigen lassen.

Wie wendet man das LPP in der Praxis an?

Die Anwendung des Least-Privilege-Prinzips erfordert nicht nur ein Bewusstsein für potenzielle Risiken, sondern auch konkrete organisatorische und technische Maßnahmen – idealerweise systematisch und mit Blick auf die langfristige Sicherheit umgesetzt. Hier sind einige Vorschläge:

• Gestalten Sie Geschäftsrollen auf der Grundlage des tatsächlichen Verantwortungsumfangs – ohne unnötige Transaktionen.
• Definieren Sie organisatorische Felder und beschränken Sie den Datenzugriff (z.B. auf einen bestimmten Buchungskreis oder ein Lager).
• Verwenden Sie strukturierte Genehmigungs- und Überprüfungsverfahren – insbesondere bei Rollen- oder Positionswechseln.
• Überprüfen Sie SoD-Konflikte (Segregation of Duties), bevor Sie Zugriff gewähren.
• Überprüfen Sie den Benutzerzugang regelmäßig, z.B. alle 6 oder 12 Monate.
• Nutzen Sie SAP-Tools wie GRC Access Control, SUIM, ST03N oder Transaktionsprotokolle.

Wenn Sie die Zugangsverwaltung wirklich rationalisieren möchten, lohnt sich die Investition in spezielle Lösungen wie smartGRC (https://smartgrc.eu/). Mit diesen Tools können Sie:

• regelmäßige Zugangsprüfungen durchführen,
• Workflows für Zugriffsanfragen und Genehmigungsprozesse zu implementieren,
• eine SoD-Risikodatenbank verwalten, die die Kontrolle und die Sicherheit Ihrer SAP-Umgebung erheblich verbessert.

LPP und Benutzerfreundlichkeit

Ein weit verbreiteter Mythos ist, dass die Einschränkung des Benutzerzugriffs die Arbeit weniger angenehm macht. In Wirklichkeit ist genau das Gegenteil der Fall.

Gut konzipierte Rollen, die auf die tatsächlichen Verantwortlichkeiten abgestimmt und von unnötigen Transaktionen befreit sind, helfen den Benutzern:

• die benötigten Funktionen schneller finden,
• vermeiden Sie es, von unnötigen Schnittstellenoptionen überwältigt zu werden,
• weniger Fehler machen, weil Sie „das Falsche“ anklicken.

Das Least Privilege-Prinzip verbessert nicht nur die Sicherheit des SAP-Systems, sondern auch seine Benutzerfreundlichkeit. Es schafft eine übersichtlichere, intuitivere Oberfläche – und damit eine bessere Erfahrung für den Endbenutzer.

LPP und Sicherheitsstandards und -vorschriften

Es ist auch wichtig, daran zu denken, dass das Prinzip des geringstmöglichen Geheimnisses nicht nur eine gute Praxis ist – es ist eine formale Anforderung in vielen internationalen Standards und Datenschutzbestimmungen.

Hier sind ein paar Beispiele:

• ISO/IEC 27001 – verlangt, dass der Zugriff auf der Grundlage der geschäftlichen Notwendigkeit gewährt wird.
• NIST SP 800-53 – identifiziert das Prinzip der geringsten Privilegien als grundlegende Kontrolle zum Schutz von IT-Systemen.
• RODO/GDPR – erzwingt die Datenminimierung, was bedeutet, dass der Zugriff auf persönliche Daten auf diejenigen beschränkt werden muss, die sie wirklich benötigen.
• SOX (Sarbanes-Oxley Act) – schreibt eine Zugriffskontrolle vor, um die Integrität der Finanzberichterstattung zu gewährleisten.

Die Befolgung des LPP minimiert nicht nur die betrieblichen Risiken, sondern trägt auch dazu bei, die Einhaltung der geltenden Gesetze und Normen zu gewährleisten – was bei Audits und externen Inspektionen oft entscheidend ist.

Was haben Sie davon, wenn Sie das LPP anwenden?

Bei der Umsetzung des Least Privilege-Prinzips geht es nicht nur um Compliance und Sicherheit. Es bringt auch eine Reihe von praktischen Vorteilen mit sich:

• Weniger Audit-Probleme – dank einer besseren Kontrolle der Zugriffsrechte.
• Schnellere und transparentere Prüfungen – gut strukturierte Rollen bedeuten weniger Ausnahmen, die erklärt werden müssen.
• Geringere Kosten für die Zugangsverwaltung – weniger zu verwaltende Rollen, weniger IT-Support-Anfragen.
• Mehr Transparenz bei den Verantwortlichkeiten – es ist klar, wer für was verantwortlich ist.
• Weniger Benutzerfehler – denn die Benutzer haben nur Zugriff auf das, was sie wirklich brauchen.
• Ein „aufgeräumtes“ SAP-System – keine übergroßen Rollen oder veraltete Berechtigungen, die im Hintergrund schlummern.

Zusammenfassend – gesunder Menschenverstand als Standard

Beim Least Privilege-Prinzip geht es nicht um übertriebene Vorsicht – es ist ein professioneller Ansatz für die SAP-Sicherheit. Es schützt nicht nur Daten und Prozesse, sondern auch den Ruf des Unternehmens.

Deshalb sollten Sie sich einen Moment Zeit nehmen und sich fragen: Ist dieser Zugang wirklich notwendig?
Wenn die Antwort nein lautet, ist das der perfekte Moment, ihn zu reduzieren.

Referenzen

1. Cloud Security Alliance. (2024). Mastering Least Privilege: Beschneiden Sie ungenutzte Zugriffe ohne Abstriche. Abgerufen von https://cloudsecurityalliance.org/blog/2024/05/30/mastering-least-privilege-cutting-unused-access
2. (n.d.). Was ist das geringste Privileg? Abgerufen von https://www.cyberark.com/what-is/least-privilege/
3. Edwards, M. (2025). Anhang A.5.3: Aufgabentrennung. ISMS.online. Abgerufen von https://www.isms.online/iso-27001/annex-a/5-3-segregation-of-duties-2022/
4. Nationales Institut für Standards und Technologie (NIST). (n.d.). Least Privilege. Abgerufen von https://csrc.nist.gov/glossary/term/least_privilege
5. (2024). Sichern Sie SAP mit effektiver Zugriffsverwaltung. Abrufbar unter https://www.safepaas.com/articles/secure-sap-with-effective-access-governance/
6. (2025). Zugangszertifizierung: Ein ultimativer Leitfaden. Zluri. Abgerufen von https://www.zluri.com/blog/access-certification
7. (2024). Offizielle smartGRC-Produktseite. Abgerufen von https://smartgrc.eu/