Wie sichert ein gro\u00dfes Unternehmen der Kritischen Infrastrukturen (KRITIS) mit hoher Relevanz f\u00fcr das staatliche Gemeinwesen seine SAP-Landschaften bestm\u00f6glich ab? Ein Fallbericht.<\/p>\n\n\n\n
Die Berliner Wasserbetriebe (BWB)<\/strong><\/a> sichern als gr\u00f6\u00dftes deutsches Unternehmen der Branche mit mehr als 4.600 Mitarbeitenden die Versorgung f\u00fcr fast vier Millionen Einwohner. Dem entsprechen IT-Kennzahlen von 13 SAP-Systemen, rund 4.500 SAP-Usern und 10 Mandanten. Als KRITIS-Unternehmen haben sie nach dem IT-Sicherheitsgesetz 2.0 h\u00f6chste Sicherheitsstandards zu erf\u00fcllen, hinsichtlich der Gesch\u00e4ftsprozesse und ebenso des IT-Betriebes. Und gerade bei der IT Security ergab sich Handlungsbedarf.<\/p>\n\n\n\n Das SAP-Berechtigungssystem war \u00fcber die Jahre hinweg historisch gewachsen und es galt, die SAP Security<\/a> & Compliance nachhaltig zu verbessern, denn laut Steffen Gebauer, SAP-Berechtigungsadministrator BWB, \u201eliefen viele Prozesse manuell ab und f\u00fchrten zu Einschr\u00e4nkungen im Arbeitsalltag sowie zu einem Mehraufwand f\u00fcr die Administratoren. Und in puncto historisch gewachsene Berechtigungen hat deren Ausufern immer wieder f\u00fcr \u00c4rger mit Wirtschaftspr\u00fcfern und Innenrevisoren gesorgt. Pr\u00fcfungen einzelner Benutzer aus dem Fachbereich ergaben bis zu 40.000 Transaktionen, weil Rollen mitunter f\u00fcnffach vergeben worden sind.\u201c<\/p>\n\n\n\n Als Konsequenz wurde beschlossen, im Rahmen einer Reorganisation der SAP-Berechtigungs- und Benutzeradministration eine unternehmensweite und transparente Vereinheitlichung des Berechtigungsmanagements zu erreichen. Im Vordergrund standen dabei die Erh\u00f6hung der SAP Security & Compliance sowie eine digitale und revisionssichere Dokumentation. Hier entschied sich die BWB f\u00fcr eine externe Unterst\u00fctzung: \u201eUm unsere IT-Sicherheit zu erh\u00f6hen, suchten wir ein Tool mit einem hohen Automatisierungsgrad, der M\u00f6glichkeit von Echtzeitanalysen und mit einer einfachen Bedienung\u201c, subsumiert Martina Rosenfeld-Gauger, Teamleitung Betriebswirtschaftliche & Zentrale Anwendungen. Im Rahmen einer Ausschreibung entschieden sich die Berliner Wasserbetriebe f\u00fcr die Implementierung der Pathlock Suite<\/strong><\/a>, inklusive begleitendem Support und an die Anforderungen angepassten Handlungsempfehlungen.<\/p>\n\n\n\n Durch den Einsatz unserer Pathlock Suite sollte sowohl der Innenrevision als auch den Anforderungen durch Wirtschaftspr\u00fcfer Rechnung getragen werden. Dar\u00fcber hinaus war es das Ziel, den SAP-Berechtigungsvergabeprozess so zu optimieren, dass er nicht nur bereits im Vorfeld SoD-Konflikte (Segregation of Duties<\/a>) aufdeckt, sondern auch f\u00fcr jeden Mitarbeiter nachvollziehbar und intuitiv anzuwenden ist. Es war uns wichtig, das Projekt Berechtigungskonzept sehr bedacht und pragmatisch anzugehen. Daf\u00fcr haben wir zun\u00e4chst in die Funktionsweise unserer Software eingewiesen und zusammen mit der BWB erarbeitet, welche Berechtigungen zu viel sind, welche angepasst werden m\u00fcssen, und sie dann fortlaufend f\u00fcr den fachlichen Austausch begleitet. Der regelm\u00e4\u00dfige Austausch war f\u00fcr alle Beteiligten von signifikanter Bedeutung. Sowohl hinsichtlich Erfahrungswerte und der Verf\u00fcgbarkeit von Know-how als auch zur kundigen Moderation in innerbetrieblicher Diskussion. In diesem Projekt stand klar im Vordergrund, sich Zeit zu nehmen, Vertrauen aufzubauen und eine langfristige Zusammenarbeit anzuvisieren. Denn diese bedeutet in der Folge weniger Abstimmungsaufwand, Schonung der Ressourcen und die Nutzung bereits etablierter Strukturen und Workflows.<\/p>\n\n\n\n Eine besondere Herausforderung stellten die inh\u00e4renten Zielkonflikte eines KRITIS-Unternehmens dar. Aus Sicht des IT-Sicherheitsgesetzes 2.0<\/strong><\/a> ist die Verf\u00fcgbarkeit der Infrastruktur priorit\u00e4r. Themen wie Datenschutz sind deswegen nicht obsolet, aber nachrangiger. Das hei\u00dft, eine Kontinuit\u00e4t der Versorgung muss gew\u00e4hrleistet sein und im Fall einer Krise ist es hinsichtlich der Berechtigungen besser, dass sozusagen alle alles k\u00f6nnen, anstatt auf nur ein Notfallteam zu setzen. Die Gratwanderung beginnt, wenn andere Richtlinien etwa zum Thema Datenschutz sehr granular abgestimmte Berechtigungen erfordern. Beim Wasserversorger beispielsweise personenbezogene Daten wie Kontodaten. Der Blick eines Au\u00dfenstehenden und eine kritische Betrachtung ist an dieser Stelle unverzichtbar. Optimalerweise \u00fcbernimmt das jemand aus dem oberen Management, der hinter einem steht, wenn es mitunter unliebsame Ma\u00dfnahmen gibt. Der bei Zielkonflikten eine fundierte, aber pragmatische Entscheidung trifft, sodass weitergearbeitet werden kann.<\/p>\n\n\n\n Mithilfe der Pathlock Suite sind nun Berechtigungs- und Funktionstrennungsanalysen in Echtzeit<\/strong> <\/a>m\u00f6glich und sorgen f\u00fcr die Einhaltung der rechtlichen Richtlinien. Kritische SAP-Zugriffe werden so besser und m\u00f6gliche funktionsbasierte Konflikte fr\u00fchzeitig erkannt. Zudem werden Benutzerantr\u00e4ge und Rollen\u00e4nderungen elektronisch und automatisch dokumentiert. Das ist f\u00fcr den internen Nachweis ebenso wichtig wie f\u00fcr die Rechtfertigung gegen\u00fcber dem Wirtschaftspr\u00fcfer. Kritische Berechtigungen und SoD-Konflikte werden angezeigt und die systemische Sicherheit wird \u00fcberwacht. Die Identifizierung der Schwachstellen funktioniert automatisch und zu ihrer Beseitigung bietet die Pathlock Suite entsprechende L\u00f6sungshinweise. Durch das f\u00fcr die Berliner Wasserbetriebe eigens entwickelte Web-Formular ist es jetzt allen Fachbereichen m\u00f6glich, Rollen spezifisch nach ihren Anforderungen zu vergeben. Jeder Benutzer sieht dabei nur die Auswahl der Rollen, f\u00fcr die er auch berechtigt sein darf.<\/p>\n\n\n\n Im Ergebnis zeigt sich, wie Unternehmen ihre SAP-Sicherheit und Compliance Schritt f\u00fcr Schritt verbessern <\/a>und Anforderungen sinnvoll aufeinander aufbauend l\u00f6sen k\u00f6nnen. Dank ihrer einfachen Bedienbarkeit, Echtzeit-Analysen und dem hohen Automatisierungsgrad konnte unsere Suite \u00fcberzeugen. Durch ihr modulares Prinzip gelang es, die SAP-Systeme nach und nach zu optimieren. Die aktuellen Herausforderungen wurden angepasst und seitdem jeder Pr\u00fcfung \u2013 intern wie extern \u2013 standgehalten.<\/p>\n\n\n\n Wir haben beim Thema Sicherheitsauswertung einen Quantensprung gemacht. Es ist immer noch Arbeit, das soll es auch sein, aber viel entspannter. Wir wissen, was wir auswerten, und k\u00f6nnen die Reports erkl\u00e4ren \u2013 eine Erleichterung f\u00fcr alle, und die Zeitersparnis ist enorm. Hinzu kommt das gute Gef\u00fchl, dass man entspannt an solche Themen herangehen kann.<\/p>\nMartina Rosenfeld-Gauger von den Berliner Wasserbetrieben<\/cite><\/blockquote>\n\n\n\n <\/p>\n\n\n\n Haben auch Sie Interesse zu erfahren, wie Sie Ihr Berechtigungssystem automatisieren und optimieren k\u00f6nnen? Schreiben Sie uns<\/strong><\/a>, wir informieren Sie gerne.<\/p>\n\n\n\n Dieser Fachbeitrag wurde zuvor im <\/strong>it-daily.net<\/strong><\/a> Leserservice, Ausgabe 11\/23 ver\u00f6ffentlicht.<\/p>\n\n\n\n Schauen Sie sich zu diesem Thema unseren Expert Talk<\/a> an:<\/strong><\/p>\n\n\n\nReorganisation der SAP-Berechtigungs- und Benutzeradministration<\/strong><\/h2>\n\n\n\n
Eine gute Basis: Know-how, Moderation und Vertrauen<\/strong><\/h2>\n\n\n\n
Zielkonflikte eines KRITIS-Unternehmens l\u00f6sen<\/strong><\/h2>\n\n\n\n
Grundlegende Optimierung durch die Software Suite<\/strong><\/h2>\n\n\n\n
Das Ergebnis: klug optimierte SAP Security und Compliance<\/strong><\/h2>\n\n\n\n
\n