SAP Security und IAM entscheiden über Kosten und Compliance in der Cloud-Transformation. Jetzt Clean-Architecture-Blueprint für RISE with SAP entdecken.

SAP Security und IAM: Warum Identity & Access Governance über den Erfolg der SAP-Cloud-Transformation entscheidet

RISE with SAP und native Cloud-Szenarien gelten vielen Unternehmen als reines IT-Migrationsprojekt. Wer die Transformation jedoch nur technisch denkt, übersieht den Faktor, der überproportional über Kosten, Compliance und Umsetzungsgeschwindigkeit entscheidet: SAP Security in Form einer sauberen Identity & Access Governance (IAM). Genau hier liegt der Unterschied zwischen einer SAP-Cloud-Migration, die Mehrwert schafft, und einer, die von Beginn an Geld verbrennt.

Der teure Irrglaube: Die Cloud übernimmt die Sicherheit

Viele Verantwortliche gehen davon aus, dass mit dem Wechsel in eine SaaS- oder PaaS-Umgebung auch die Verantwortung für Zugriffssicherheit an den Cloud-Anbieter übergeht. Das SAP Shared Responsibility Model sagt etwas anderes: SAP und die Hyperscaler sichern die Infrastruktur, also das Gebäude mit stabilen Mauern und funktionierenden Schließanlagen. Wer innerhalb dieser Mauern einen Schlüssel bekommt, welche Türen offenstehen und wer Zugriff auf den Tresor mit den Geschäftsdaten hat, entscheidet weiterhin allein das Unternehmen. Im Ernstfall fragt ein Wirtschaftsprüfer, eine Aufsichtsbehörde oder ein Auditor im Rahmen von ISO 27001 oder BAIT deshalb nicht den Hyperscaler, sondern die Geschäftsführung nach dem Nachweis ordnungsgemäßer Zugriffskontrollen. Genau an dieser Stelle entstehen die größten blinden Flecken in SAP-Migrationsprojekten.

Die Kostenfalle: Wie überladene Berechtigungsprofile die Cloud-Rechnung treiben

Neben dem Compliance-Risiko wirkt sich mangelhafte Identity Governance direkt auf die Lizenzkosten aus. RISE with SAP rechnet nicht nach tatsächlicher Nutzung ab, sondern nach dem zugewiesenen Berechtigungsprofil, dem sogenannten Full Usage Equivalent (FUE). Werden über Jahre gewachsene, überladene Profile unreflektiert in die Cloud übernommen, stuft SAP selbst einfache Sachbearbeiter automatisch in die teuerste Lizenzkategorie ein. Die Cloud-Rechnung steigt damit, bevor im Projekt überhaupt ein erster Mehrwert entstanden ist. Nach Erhebungen der DSAG entstehen so bis zu 35 Prozent der Lizenzkosten allein durch inaktive Konten, veraltete Berechtigungscluster und fehlendes Single Sign-On. SAPinsider geht sogar davon aus, dass 64 Prozent der SAP-Anwender bei Cloud-Migrationen in eine künstliche Überlizenzierung geraten.

Hinzu kommt ein drittes Risiko, das leicht unterschätzt wird: Solange Rollenkonzepte und Freigaben weiterhin manuell über Excel und E-Mail verwaltet werden, bremst das Berechtigungswesen jedes Transformationsprojekt aus. Nicht nur die Migration selbst verzögert sich, sondern auch jede folgende Systemerweiterung und jeder geplante KI-Rollout, weil neue Zugriffe erst mühsam manuell freigegeben werden müssen.

Der Clean-Architecture-Blueprint: Start Clean, Get Clean, Stay Clean

Statt Identity & Access Management als isoliertes Security-Silo zu betrachten, lässt sich SAP IAM entlang eines dreistufigen Lebenszyklus als Fundament der gesamten Transformationsroadmap aufbauen.

In der Phase Start Clean steht das Zielbild vor der eigentlichen Migration im Vordergrund: ein zentraler Identity Provider mit Single Sign-On und erzwungener Multi-Faktor-Authentifizierung über alle On-Premises- und Cloud-Systeme hinweg, ergänzt durch ein standardisiertes Rollendesign auf Basis hybrider RBAC/ABAC-Modelle, das künftige Systemerweiterungen ohne neuen Wildwuchs abbildet.

In der Phase Get Clean wird während der Migration selbst aufgeräumt. Systematisches Role Mining identifiziert und eliminiert ungenutzte Berechtigungen, verwaiste User und kritische Funktionstrennungskonflikte. Parallel dazu wandert die klassische GRC-Prüfung von stichtagsbezogenen manuellen Kontrollen in digitale, systemgestützte Workflows.

In der Phase Stay Clean geht es um kontinuierliche Governance im laufenden Betrieb. Ein automatisierter Hire-to-Retire-Prozess passt Zugriffsrechte bei Eintritt, Abteilungswechsel oder Austritt in Echtzeit an, ohne manuelle Eingriffe. Business Owner der Fachbereiche bestätigen Zugriffsrechte in regelmäßigen, automatisierten Rezertifizierungsintervallen über intuitive Oberflächen. Und ein proaktives Risk Monitoring bindet IAM-Logs in SIEM-Systeme ein, um anomale Zugriffsmuster auf Kern-APIs sofort zu erkennen.

Lift & Shift versus Clean Architecture

Ein sauberes SAP-Berechtigungskonzept löst damit nicht nur das operative Dilemma zwischen Sicherheit und Agilität. Es verwandelt Identity Governance von einem administrativen Kostenblock in einen direkten Treiber für TCO-Reduktion, Lizenzoptimierung und Plattform-Agilität.