← Alle Beiträge

Audit und Compliance

Sieben Fragen der Revision zu SAP-Berechtigungen, auf die Sie vorbereitet sein sollten

November 2026 · 6 Min. Lesezeit

Ob interne Revision oder Wirtschaftsprüfer: Die Fragen zu SAP-Berechtigungen ähneln sich von Prüfung zu Prüfung. Wer sie vorher selbst beantwortet, erlebt im Bericht keine Überraschung. Eine gute Orientierung ist der DSAG-Prüfleitfaden.

1. Wer hat SAP_ALL oder ähnlich weitreichende Rechte?

Das ist fast immer die erste Auswertung. In einem Produktivsystem sollte kein Dialogbenutzer dauerhaft mit SAP_ALL arbeiten. Das gilt auch für Rollen, die faktisch dasselbe erlauben, nur unter anderem Namen.

2. Wie sind Notfallzugriffe geregelt?

Notfälle gibt es in jedem System. Entscheidend ist, dass der Zugriff beantragt, zeitlich begrenzt und protokolliert wird, und dass jemand das Protokoll danach auch prüft. Ein Notfallbenutzer, dessen Kennwort im Team bekannt ist, ist kein Konzept.

3. Wer kann Benutzer und Rollen zugleich pflegen?

Wer Rollen ändern und sie sich selbst zuweisen kann, kann sich jede Berechtigung verschaffen. Benutzer- und Rollenadministration sollten deshalb getrennt sein. Wo das wegen der Teamgröße nicht geht, braucht es eine nachgelagerte Kontrolle.

4. Wer hat kritische Einzelberechtigungen?

Typische Kandidaten sind Debugging mit Änderungsmöglichkeit (S_DEVELOP) und die direkte Pflege von Tabellen (S_TABU_DIS mit SM30 oder SE16). Beides umgeht die Prüfungen der Anwendung. Prüfer fragen nach einer Liste dieser Benutzer und nach der Begründung für jeden einzelnen.

5. Welche Funktionstrennungskonflikte gibt es?

Das klassische Beispiel: Wer einen Lieferanten anlegen und zugleich Zahlungen freigeben kann, kann Geld an sich selbst überweisen. Erwartet wird ein Regelwerk, eine regelmäßige Auswertung und für jeden verbleibenden Konflikt eine dokumentierte Kontrolle, die das Risiko ausgleicht.

6. Wie laufen Eintritt, Wechsel und Austritt?

Neue Rechte brauchen einen Antrag und eine Genehmigung. Wer das Unternehmen verlässt, wird zeitnah gesperrt. Am häufigsten hakt es beim Abteilungswechsel: Alte Rechte bleiben, neue kommen dazu. Eine regelmäßige Überprüfung durch die Vorgesetzten fängt das auf.

7. Sind die Standardbenutzer abgesichert?

SAP* und DDIC gibt es in jedem System, und ihre Standardkennwörter sind öffentlich bekannt. Der Report RSUSR003 zeigt in wenigen Sekunden, ob sie geändert wurden. Diese Feststellung ist vermeidbar.

Und die Grundlage für alles

Hinter jeder dieser Fragen steht eine achte: Gibt es ein schriftliches Berechtigungskonzept, und entspricht es dem, was im System eingestellt ist? Ein Konzept, das seit fünf Jahren niemand angefasst hat, hilft in der Prüfung wenig.