RSUSR_LOCK_USERS: Dormant Accounts bereinigen, Risiken senken und die Lizenzvermessung seriös vorbereiten

In vielen SAP-Landschaften sieht es ähnlich aus: Im Laufe der Jahre sammeln sich unzählige Benutzer-Accounts an, die längst niemand mehr benötigt. Praktikanten, temporäre Berater, Projekt-IDs oder Service-User, die einmal für einen Test angelegt wurden und danach nie wieder im Einsatz waren. Sie bleiben bestehen, weil sie nicht auffallen. Solche Karteileichen sind mehr als nur ein Schönheitsfehler. Sie sind ein Kostenfaktor, weil SAP sie bei der Lizenzvermessung mitzählt, und sie sind ein Risiko, weil ein Account, den niemand mehr kennt, auch niemand mehr kontrolliert.

Warum RSUSR_LOCK_USERS sofort Wirkung zeigt

Dormant Accounts sind die Low Hanging Fruits in jedem Berechtigungs- und Lizenzmanagement. Es kostet wenig Aufwand, sie zu identifizieren und konsequent zu bereinigen. RSUSR_LOCK_USERS macht genau das möglich. Mit einfachen Selektionsparametern wie Tage seit letzter Anmeldung und Benutzertyp zeigt er inaktive Benutzer auf und bietet die Möglichkeit, direkt zu handeln. Das macht ihn zu einem idealen Einstieg, bevor größere Projekte greifen.

Selektionsmöglichkeiten richtig einsetzen

Wirklich relevant sind wenige Einstellungen:

• Tage seit letzter Anmeldung. In der Praxis bewährt: 90 Tage für Dialog-User, 180 Tage für Service-User.
• Benutzertyp. Auf Dialog und Service beschränken.
• Benutzergruppen. Bestehende Gruppen wie SYSTEM, SAP BASIS, IT oder DEV ausschließen.
• Passwort-Status. Um Accounts mit initialem Passwort sichtbar zu machen.

So grenzt man die Auswahl genau auf die Benutzer ein, die unnötig Lizenzen binden und gleichzeitig Risiken darstellen. Technische User wie RFC- oder Batch-Accounts werden konsequent ausgeschlossen, da sie in der Regel keine Lizenzkosten verursachen und prozesskritisch sind.

Best Practice: Zwei tägliche Jobs für einen klaren Lifecycle

Der größte Nutzen entsteht, wenn RSUSR_LOCK_USERS nicht nur punktuell ausgeführt wird, sondern täglich. Zwei aufeinanderfolgende Jobs haben sich als Best Practice etabliert:

1. Job „Dormant User beenden“

   • Selektiert alle Dialog- und Service-User ohne Anmeldung seit 90 beziehungsweise 180 Tagen.
   • Setzt das Gültigkeitsende auf gestern.
   • Ergebnis: Diese Benutzer tauchen nicht mehr in der Lizenzvermessung auf.

2. Job „Abgelaufene Benutzer sperren“

   • Selektiert alle Benutzer, deren Gültigkeit bereits überschritten ist.
   • Sperrt diese Benutzer automatisch.
   • Ergebnis: Doppelter Schutz, falls ein Gültigkeitsende manuell verlängert wird.

Die tägliche Ausführung stellt sicher, dass weder Dormant Accounts noch abgelaufene Benutzer länger offen bleiben als unbedingt nötig.

Lizenzvermessung aktiv vorbereiten

Gerade im Kontext von Lizenzkosten liegt die Stärke des Reports. SAP unterscheidet nicht zwischen einem Benutzer, der nur gesperrt ist, und einem Benutzer, dessen Gültigkeit formal abgelaufen ist. Nur die zweite Variante wird aus der USMM-Vermessung herausgefiltert. Deshalb ist es so wichtig, Dormant User nicht einfach nur zu sperren, sondern ihr Gültigkeitsende zu setzen. Das anschließende Sperren dient als Sicherheitsnetz, verändert aber die Lizenzzahlen nicht.

Fazit

RSUSR_LOCK_USERS ist kein spektakuläres Tool. Er hat keine bunte Oberfläche und keinen Projektcharakter. Aber gerade darin liegt seine Stärke. Mit zwei täglichen Jobs lassen sich Dormant Dialog- und Service-User automatisiert bereinigen, abgelaufene Benutzer konsequent sperren und Lizenzkosten spürbar senken.

Wer diesen Report diszipliniert einsetzt, gewinnt auf drei Ebenen: weniger Kosten, höhere Sicherheit und saubere Compliance-Nachweise. Und das Beste daran: Es braucht dafür weder monatelange Projekte noch zusätzliche Software, sondern nur die Entscheidung, vorhandene Bordmittel endlich konsequent zu nutzen.