Berechtigungskonzepte

Kurzantwort

Ein Berechtigungskonzept leitet jede Berechtigung aus einer dokumentierten Aufgabe ab. In SAP prüft das System bei jedem Zugriff ein Berechtigungsobjekt mit seinen Feldern, etwa Aktivität (ACTVT) und Berechtigungsgruppe (BEGRU). Rollen bündeln diese Berechtigungen und werden mit PFCG gepflegt und Benutzern zugeordnet (SU01). Das BSI verlangt für SAP-ERP-Systeme ein solches Konzept und nennt Minimalprinzip und Funktionstrennung ausdrücklich. In IS-U kommt die Berechtigungsgruppe hinzu: Sie trennt Datensätze eines Typs nach Zuständigkeit, etwa Vertragskonten. Gelten muss das für Dialogbenutzer ebenso wie für Schnittstellen- und Batchkonten.

Warum es in IS-U zählt

Wer Zählerstände korrigiert, beeinflusst die Abrechnung. Wer Vertragskonten und Bankverbindungen pflegt, kann Zahlungsströme lenken (Geschäftspartnerdaten). Wer Marktnachrichten anstößt, löst Prozesse mit anderen Marktpartnern aus. Hinzu kommen personenbezogene Daten.

Rechtsrahmen, knapp

• Datenminimierung: Personenbezogene Daten müssen auf das notwendige Maß beschränkt sein (DSGVO Art. 5 Abs. 1 lit. c). Ein Rollenschnitt ohne Reserven setzt das um.
• Datenschutz durch Voreinstellung: Nach Art. 25 Abs. 2 stellt der Verantwortliche sicher, dass durch Voreinstellung nur Daten verarbeitet werden, die für den Zweck erforderlich sind.
• Sicherheit der Verarbeitung: Art. 32 Abs. 1 verlangt unter anderem die Fähigkeit, Vertraulichkeit und Integrität dauerhaft sicherzustellen, und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen (lit. b und d). Nach Abs. 4 verarbeiten unterstellte Personen Daten nur auf Anweisung des Verantwortlichen.
• Messwerte und Messstellen: Nach MsbG § 49 Abs. 1 dürfen personenbezogene Daten ausschließlich von den in Abs. 2 genannten berechtigten Stellen verarbeitet werden, darunter Messstellenbetreiber, Netzbetreiber, Bilanzkreisverantwortliche, Energielieferanten und Stellen mit Einwilligung (MsbG § 49). Wer Messwerte im System lesen darf, ist damit Teil des Konzepts; siehe Berechtigte Stellen und Zweckbindung.
• IT-Sicherheit: Der IT-Sicherheitskatalog nach § 11 EnWG ist für diesen Artikel nicht ausgewertet.

Die Bausteine in SAP

Das Berechtigungsobjekt benennt den Prüfbereich, die Feldbelegung entscheidet. Die Transaktionen dazu:

• PFCG: Rollen aufbauen, Profil generieren, Benutzern zuordnen.
• SU24: welche Objekte eine Transaktion prüft und mit welchen Vorschlagswerten sie in die Rolle kommen.
• SU21: Berechtigungsobjekte pflegen.
• SU53: nach einer abgewiesenen Prüfung sehen, welches Objekt und welcher Feldwert fehlte.
• SUIM: Benutzer, Rollen und Berechtigungen systemweit auswerten, etwa für die Rezertifizierung.

Das BSI verlangt, Berechtigungen in PFCG-Rollen anzulegen, Rollen nur im Entwicklungssystem zu pflegen und per Transport-Management-System zu verteilen, und Vorschlagswerte in SU24 zu pflegen (APP.4.2.A6, Basis-Anforderung). Die Gesamtberechtigung * und Intervalle in Objektausprägungen sind zu vermeiden (A12, Standard).

Berechtigungsobjekte im IS-U-Umfeld

Die folgenden Objekte sind in SAP-Dokumenten genannt. Eine vollständige Liste der E_*-Objekte ist nicht belegt.

• F_KKVK_BEG: Anzeige von Vertragskonto-Stammdaten nach der Berechtigungsgruppe im Stammsatz (SAP Release-Info ECC 6.0).
• F_KKVK_VKT: Anzeige nach Vertragskontotyp, wenn das Kennzeichen im Vertragskontotyp gesetzt ist (Release-Info).
• E_SWTDOC: Wechselbeleg, Anlegen, Ändern und Anzeigen je Wechselsicht und Berechtigungsgruppe (Release-Info).
• B_EMMA_CAS: Bearbeiten von Klärungsfällen (annehmen, weitergeben, zurückgeben), Felder ACTVT und BRGRU (BPEM-Leitfaden 2.3).
• B_EMMA_LOG: Bearbeiten von BPEM-Läufen, etwa Vorbereitung und Fallerzeugung (BPEM-Leitfaden 2.3).

Zum Objekt E_CONTRACT (Vertrag, Felder ISU_ACTIVT, BEGRU, BUKRS, SPART, geprüft in ES21 und ES22) liegt nur ein Verzeichniseintrag eines Drittanbieters vor, den ich nicht an der SAP-Hilfe prüfen konnte. Behandeln Sie diese Angabe als ungeprüft.

Die Berechtigungsgruppe BEGRU steht als Feld an mehreren Katalogtabellen, etwa am Vertragskonto (FKKVKP) und am Wechselbeleg (EIDESWTDOC). Eine Gruppe vergeben Sie dem Datensatz, die Rolle erlaubt Aktivitäten je Gruppe. Damit trennen Sie etwa Sondervertragskunden von Haushaltskunden.

Ableitung aus der Aufgabe

1. Aufgabe beschreiben: Tätigkeiten, Datenobjekte, Organisationseinheiten.
2. Rolle schneiden: nur die Berechtigungen dieser Aufgabe.
3. Verantwortliche benennen: die Fachabteilung legt Umfang fest.
4. Antrag und Genehmigung regeln.
5. Rezertifizieren: in festen Abständen prüfen, ob Rolle und Aufgabe noch passen. Art. 32 Abs. 1 lit. d DSGVO verlangt solche regelmäßige Überprüfung.

Rollenarten: Einzelrolle für eine Aufgabe, Sammelrolle für eine Stelle, technische Rolle für Schnittstellen und Jobs.

Für den Notfall sollen Notfallkonten angelegt, stark kontrolliert und dokumentiert und alle Aktivitäten protokolliert werden (A29, Standard). Das Protokoll lesen Sie im Audit-Trail nach.

Funktionstrennung

Das BSI fordert getrennte Verantwortlichkeiten für Konten-, Berechtigungs- und Profiladministration und rät, kritische Rollenkombinationen und additive Effekte wie Kreuzberechtigungen restriktiv zu vergeben (A6, A14). SAP_ALL, SAP_NEW* und S_DEVELOP mit Änderungsrechten sollen im Produktivsystem nicht vergeben werden; Notfallkonten sind ausgenommen (A14). Typische Trennlinien im Utilities-Betrieb:

• Stammdatenpflege und Zahlungsverkehr
• Abrechnung erzeugen und freigeben
• Marktkommunikation anstoßen und Kundenstammdaten ändern
• Rollen pflegen und Rollen zuordnen

Bewerten Sie die Summe der Rollen je Benutzer, nicht einzelne Rollen. SUIM hilft beim Auswerten.

Technische Konten

Das Konzept soll Hintergrund- und Schnittstellenkonten abdecken (A6). Für Batch-Jobs sollen mehrere Systemkonten nach Funktionsbereichen angelegt und nicht vom Typ Dialog sein (A23). Für IS-U heißt das: getrennte Konten für IDoc-Eingang, Nachrichtenausgang und Abrechnungsläufe (IDoc-Monitoring). Ein Sammelkonto macht Fehlersuche und Trennung unmöglich.

Beispiel: Wechsel in die Fakturierung

Eine Mitarbeiterin wechselt von der Marktkommunikation in die Fakturierung. Die alte Rolle wird am Tag des Wechsels entzogen, nicht am Monatsende. Die Vertretung für einen ausgefallenen Kollegen erhält die Fakturierungsrolle befristet auf vier Wochen. Am Wochenende nutzt die Bereitschaft ein Notfallkonto; am Montag prüft die Kontoadministration das Protokoll und setzt die Berechtigung zurück. (Vereinfachtes Beispiel.)

Fehlerfälle

• Alte Rolle bleibt nach dem Aufgabenwechsel bestehen.
• Austritt im Personalsystem, SAP-Konto bleibt aktiv.
• Vertretung ohne Befristung.
• Notfallkonto als Arbeitskonto.
• Rezertifizierung prüft nur Existenz des Kontos.
• Sicherheitsaufzeichnungen wie Security Audit Log werden nicht überwacht; das BSI sieht kontinuierliches Monitoring und Alarmierung vor (A32, erhöhter Schutzbedarf).

Typische Missverständnisse

Einmal konzipiert, gilt dauerhaft. Ohne Rezertifizierung driftet der Ist-Zustand ab.

Eine unkritische Rolle ist unkritisch in der Kombination. Bewerten Sie das gesamte Profil.

Geprüft wird beim Anmelden. Die Prüfung läuft bei jedem Zugriff auf ein Objekt.

Pflegehinweis

Anforderungsnummern und Schärfegrade (Basis, Standard, erhöht) ändern sich zwischen Editionen des IT-Grundschutz-Kompendiums; geprüft an Edition 2023. Die Release-Informationen zu IS-U beziehen sich auf ECC 6.0. Offen: vollständige Liste der E_*-Objekte, Prüfung E_CONTRACT, IT-Sicherheitskatalog § 11 EnWG.