Display Authorization Trace: Wie SAP-Security auch in der Public Cloud funktioniert

Einleitung

Ein häufig gehörter Satz in Diskussionen über SAP S/4HANA Cloud, Public Edition lautet: „In der Public Cloud gibt es keine Security mehr.“ Diese Aussage erweckt den Eindruck von mangelnder Kontrolle und fehlenden Werkzeugen zur Sicherheitsanalyse. Bekannte Transaktionen wie SU53, STAUTHTRACE und Tabellen wie USOBX_C sind nicht mehr vorhanden. Doch dieser erste Eindruck täuscht.

Vom klassischen Trace zur Cloud-basierten Analyse

In On-Premise-Systemen folgte die Sicherheitsanalyse einem etablierten Muster: Ein Benutzer meldet ein Problem, die erste Anlaufstelle ist SU53, danach folgt ein Systemtrace. In der Public Cloud übernimmt die Fiori-App „Display Authorization Trace“ diese Aufgabe. Sie dokumentiert durchgeführte Prüfungen während eines Szenarios und zeigt anschließend, warum ein Zugriff erlaubt oder abgelehnt wurde.

Die moderne Oberfläche präsentiert Ergebnisse klarer und führt die Analyse näher an Geschäftsprozesse heran. Security rückt damit von der rein technischen Ebene stärker in die Sprache der Fachbereiche.

Die Besonderheit der Cloud: Der Status Filtered

Eine entscheidende Weiterentwicklung ist der neue Ergebnisstatus „Filtered“ neben „Successful“ und „Failed“. Dieser Status zeigt, dass Berechtigungsprüfungen nicht nur auf klassischer Ebene von Berechtigungsobjekten stattfinden, sondern auch auf Grundlage von Restriktionen in Business-Rollen.

Dieses Prinzip bedeutet eine Annäherung an die Realität von Fachprozessen. Ein fehlender Buchungskreis, ein nicht gepflegtes Werk oder eine restriktive Access Category führen dazu, dass Inhalte nicht angezeigt werden, obwohl alle technischen Prüfungen erfolgreich verlaufen. Der Status „Filtered“ macht diese Logik sichtbar.

Die App existiert bereits seit Jahren, hat aber mit aktuellen Releases neue Bedeutung erlangt. Restriktionen sind inzwischen das zentrale Steuerungsinstrument in der Public Cloud. Die App dokumentiert nicht nur technische Prüfungen, sondern macht auch fachliche Einschränkungen transparent. Sie ist heute ein zentrales Werkzeug für Security-Berater, Key-User und Auditoren.

Praktische Erfahrungen aus Projekten

In Projekten zeigt sich der praktische Nutzen dieser neuen Sichtweise:

• Wenn eine App nicht startet und der Trace den Status „Failed“ anzeigt, liegt die Ursache meist in einem fehlenden Business-Katalog.
• Öffnet sich die App, zeigt aber keine Daten, erscheint im Trace häufig der Status „Filtered“. Hier sind es meist fehlende Restriktionswerte wie Buchungskreis oder Werk.
• Auch Situationen, in denen alle Prüfungen erfolgreich sind, aber keine Daten erscheinen, lassen sich erklären: Eine zu restriktiv definierte Access Category blockiert den Zugriff.

Die App ist weit mehr als ein reines Hilfsmittel zur Fehlersuche. Sie führt in eine neue Denkweise ein. Security wird transparenter, weil man die fachliche Ebene der Restriktionen direkt nachvollziehen kann.

Security im Wandel

Die App steht sinnbildlich für eine größere Entwicklung. Security in der Public Cloud folgt nicht mehr dem Muster, allein über technische Objekte und Tabellen zu arbeiten. Sie entwickelt sich in Richtung von Geschäftsregeln, Rollenlogiken und Identitätsarchitekturen.

Damit verschiebt sich auch die Rolle der Security-Experten. Neben der Pflege von Rollen sind Architekturfragen entscheidend. Es geht darum, Restriktionskonzepte zu entwickeln, Federation mit Identity Authentication Services oder Azure Active Directory zu planen und Governance über mehrere Plattformen hinweg sicherzustellen. Security bedeutet heute nicht mehr nur, Fehler auf technischer Ebene zu suchen, sondern vor allem, nachhaltige und auditfähige Strukturen zu entwerfen.

Kontinuität und Bruch zugleich

Die App „Display Authorization Trace“ verdeutlicht diesen Wandel. Sie sorgt für Kontinuität, weil das vertraute Prinzip von Prüfen, Sichtbarmachen und Korrigieren bestehen bleibt. Gleichzeitig bricht sie mit alten Gewohnheiten, weil die Ebene der Restriktionen eine andere Denkweise erfordert.

Fachbereiche können Security besser verstehen, Audits erhalten klarere Nachweise und Security-Teams müssen ihre Arbeit stärker auf Architektur und Governance ausrichten. Der Authorization Trace wird damit zu einer Brücke zwischen Vergangenheit und Zukunft.

Fazit

Wer behauptet, dass es in der Public Cloud keine Security gibt, sollte sich mit dem Authorization Trace auseinandersetzen. Die grundlegenden Prinzipien bleiben bestehen, auch wenn sie auf einer anderen Ebene angewendet werden. Diagnose, Transparenz und Korrekturmöglichkeiten sind weiterhin gegeben, nur verschiebt sich der Fokus stärker in Richtung Geschäftsprozesse und fachliche Restriktionen.

In aktuellen Releases hat die App deutlich an Bedeutung gewonnen. Restriktionen sind heute das wichtigste Steuerungsinstrument in der Public Cloud, und der Authorization Trace schafft in diesem Bereich die notwendige Klarheit. Was früher nur ein Spezialwerkzeug war, ist mittlerweile ein zentrales Instrument für Fachbereiche und Auditoren.

Security in der Public Cloud bedeutet weniger Detailarbeit an klassischen Berechtigungsobjekten und mehr Gestaltung von Rollenlogiken, Restriktionen und Identitätsarchitekturen. Die Public Cloud ist kein Sicherheitsvakuum, sondern ein Umfeld mit strukturierter, transparenter und verständlicherer Sicherheitsumsetzung.