Referenz
Die sensibelsten Berechtigungsobjekte, Profile und Einstellungen – mit Risiko und konkreter Empfehlung. Durchsuchen, filtern und im Audit gezielt prüfen.
Enthält praktisch alle Berechtigungen des Systems – der berühmte „Generalschlüssel“.
Vollzugriff inklusive aller kritischen Objekte; ein einziges Profil hebelt jedes Konzept aus.
Nie dauerhaft an Dialognutzer. Nur befristet, protokolliert und über ein Notfalluser-Konzept.
Öffnet Berechtigungen für neu hinzugekommene Prüfungen nach Releasewechseln.
Hebelt nach Upgrades gezielt neue Schutzmechanismen aus, wenn es zugewiesen bleibt.
Im Produktivsystem nicht zuweisen; neue Prüfungen kontrolliert über SU25/SU24 nachziehen.
Tabellenpflege über grobe Berechtigungsgruppen (SM30/SM31 & Co.).
Eine Gruppe umfasst oft hunderte Tabellen – inkl. sensibler wie USR02; die Gruppe &NC& sogar tausende unklassifizierte.
Auf S_TABU_NAM umstellen, &NC& aus Produktivsystemen heraushalten, Gruppen schlank halten.
Tabellenzugriff feingranular direkt je Tabelle statt über Gruppen.
Deutlich transparenter, bei Schreibrechten auf sensible Tabellen aber weiterhin kritisch.
Gezielt je benötigter Tabelle vergeben; Schreibzugriff (ACTVT 02) eng fassen.
Pflege mandantenübergreifender (cross-client) Tabellen.
Änderungen wirken über alle Mandanten hinweg – schwerwiegend und schwer nachvollziehbar.
Nur an wenige Basis-Verantwortliche, getrennt vom normalen Customizing.
Berechtigung, RFC-Funktionsbausteine remote aufzurufen.
Weit offen (z. B. RFC_NAME=*) öffnet Schnittstellen und Funktionsumfang weit über das Nötige.
Auf konkrete Funktionsgruppen begrenzen; UCON/Allowlist nutzen; keine Wildcards.
Steuert Trusted-RFC-Beziehungen zwischen Systemen.
Mit Wildcards Lateral Movement über Systemgrenzen – ein von Prüfern abgelehntes Einfallstor.
Nicht über SAP_ALL; nur gezielte Rollen mit präzisen Werten (SysID, Mandant, User).
ABAP-Entwicklungsumgebung – von Anzeige bis Anlegen/Ändern; ACTVT 02 = Debuggen mit Replace.
Debug-Replace manipuliert Variablen und Berechtigungsprüfungen zur Laufzeit – faktischer Generalschlüssel.
Im Produktivsystem stark einschränken; Debug-Replace nur kontrolliert und protokolliert.
Ausführung von ABAP-Reports (SA38/SE38), gesteuert über Programmberechtigungsgruppen.
Reports direkt starten umgeht den Transaktionsschutz über S_TCODE vollständig.
Programme sauber in Berechtigungsgruppen einordnen; SA38/SE38 produktiv stark einschränken.
Benutzerpflege (SU01/SU10) je Benutzergruppe.
Wer Benutzer pflegen darf, kann sich ohne Schutz selbst hochstufen – ein SoD-Kernrisiko.
Schützenswerte Konten (Admins) eigener Gruppe; Anlegen und Zuordnen trennen.
Pflege und Zuordnung von Rollen (PFCG).
Rollen ändern und zuordnen in einer Hand ist ein klassischer SoD-Konflikt.
Rollen bauen ≠ Rollen zuordnen; Vier-Augen-Prinzip über getrennte Rollen.
Zuordnung von Profilen zu Benutzern.
Erlaubt unter Umständen die Zuweisung von SAP_ALL/SAP_NEW – Umgehung des Rollenkonzepts.
Profilzuordnung strikt begrenzen; kritische Profile gesondert schützen.
Systemadministrationsfunktionen (z. B. Spool, Sperren, Mandantenverwaltung).
Bündelt mächtige Basis-Funktionen; weit vergeben ermöglicht unkontrollierte Eingriffe.
Nur an Basis-Rollen, je Funktion bewusst und einzeln vergeben.
CCMS-/Systemadministration (Instanzen, Profile, Operation Modes).
Direkte Eingriffe in Systembetrieb und -konfiguration.
Auf den Basis-Betrieb beschränken; ändernde Aktivitäten (ACTVT 01/02) eng fassen.
Ausführung externer Betriebssystem-Kommandos (SM49/SM69).
Zugriff bis auf die OS-Ebene des Applikationsservers – sehr weitreichend.
Nur definierte Kommandos zulassen; kein Anlegen freier Kommandos im Produktivsystem.
Zugriff auf Dateien im Dateisystem des Applikationsservers (OPEN DATASET).
Lesen/Schreiben von Server-Dateien ermöglicht Datenabfluss oder Manipulation.
Pfade und Programme einschränken; keine generischen *-Pfade vergeben.
Verwaltung von Hintergrundjobs, inkl. Ausführung unter fremder Benutzerkennung.
Jobs unter fremdem Step-User umgehen Verantwortlichkeit und Funktionstrennung.
Step-User kontrollieren; S_BTCH_ADM nur für Basis; Job-Steuerung eng fassen.
Transportwesen: Aufträge anlegen, freigeben und importieren (STMS).
Import ins Produktivsystem ohne Trennung ist ein Change-Management- und SoD-Risiko.
Entwickeln, Freigeben und Importieren personell trennen; Importrechte stark begrenzen.
Technische Standardkonten mit bekannten Default-Passwörtern und weitreichenden Rechten.
Bekannte Kennungen und Passwörter sind ein primäres Angriffsziel; SAP* hat zudem eine Sonderrolle im Kernel.
Default-Passwörter ändern, Konten sperren bzw. Typ ändern, SAP*-Sonderlogik absichern (login/no_automatic_user_sapstar = 1), regelmäßig prüfen (RSUSR003).
Steuert, ob Mandant und Repository im jeweiligen System änderbar sind.
Ein offener Produktivmandant erlaubt direkte Änderungen ohne Transport – ein Auditfinding ersten Ranges.
Produktivmandant auf „nicht änderbar“ und gegen Customizing sperren; Änderbarkeit nur kontrolliert öffnen.
Keine Treffer – Suche oder Filter anpassen.
Auswahl gängiger kritischer Berechtigungen, keine vollständige Liste. Die Bewertung hängt immer vom konkreten System, der Ausprägung und den Org-Werten ab.
Wir prüfen Ihre kritischen Berechtigungen und beheben Findings nachhaltig.