Kritische Berechtigungen
Berechtigungen zur Tabellenbearbeitung organisatorisch einschränken
Jede Aktion des Notfallbenutzers muss nachvollziehbar sein, was die entsprechende Konfiguration von Protokollierungskomponenten wie dem Security Audit Log voraussetzt. Im Nachgang des Einsatzes werden stets sämtliche Logdateien ausgewertet und alle Details in einer Dokumentation festgehalten. Möglicherweise wird konzeptionell festgelegt, dass im Ernstfall auch an andere ausgewählte User eine erweiterte Berechtigungsvergabe erfolgen darf, das obliegt der Abwägung des Unternehmens.
Spätestens dann, wenn nicht mehr klar definiert werden kann, welche Transaktionen in welche Rollen aufgenommen werden sollen und welche Rollen ein Anwender benötigt, ist eine Korrektur notwendig. Es muss klar sein, welche Rechte für die einzelnen Aufgaben im System nötig sind.
Organisatorische Zuordnung
Ihre SAP-Systemlandschaft halten Sie sicher und aktuell, indem Sie verschiedene Arten von SAP-Hinweisen und Patches einspielen. Eine erste Übersicht zu den Sicherheitshinweisen für SAP-Systeme finden Sie im SAP Service Marketplace unter https://service.sap.com/securitynotes. Eine vollständige Liste aller Sicherheitshinweise für alle SAP-Lösungen (SAP NetWeaver Application Server ABAP und Java, TREX, SAP HANA, Sybase, SAP GUI usw.) finden Sie über Security Notes Search auf dieser Seite. Mit der Seite My Security Notes können Sie die SAP-Hinweise finden, die für im SAP Service Marketplace registrierte Systeme relevant sind. Hier werden bereits eingespielte Hinweise allerdings nicht berücksichtigt.
WF-BATCH: Der Benutzer WF-BATCH dient der Hintergrundverarbeitung in SAP Business Workflow und wird beim Customizing von Workflows automatisch angelegt. WF-BATCH ist häufig das Profil SAP_ALL zugeordnet, da die genauen Anforderungen an die Berechtigungen von der Nutzung des Benutzers abhängig sind. Das Passwort des Benutzers können Sie über die Transaktion SWU3 setzen und synchronisieren. Schutzmaßnahmen: Ändern Sie nach der automatischen Generierung das Passwort des Benutzers, und ordnen Sie ihn der Benutzergruppe SUPER zu.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Eine solche Bereinigung der Berechtigungen Ihrer Schnittstellenbenutzer kann allerdings nicht von heute auf morgen erfolgen.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Die Startberechtigungsprüfung für S_START wird von SAP inaktiv ausgeliefert.