Die Datenabfrage ist in einem Managementsystem ein alltäglicher Vorgang. Doch welche Werkzeuge stehen im SAP ERP-System zur Verfügung, und ist Reporting in einem transaktionalen System wirklich optimal?
Die Berichterstattung in einem ERP-System wie SAP wirft wichtige Fragen bezüglich Datensicherheit auf. Insbesondere die Verwendung von SAP-Queries, die durch Transaktionen wie Sap Sq00 zugänglich sind, erfordert ein tiefes Verständnis der Sicherheitsimplikationen und deren Bewältigung. Wie können diese Risiken minimiert werden, um eine sichere Datenabfrage zu gewährleisten? Dies ist der Kern eines jeden Überlebenshandbuchs für SAP-Queries.
Wege zur Berichterstattung in SAP ERP
SAP ERP bietet verschiedene Methoden zur Datenextraktion und Berichterstellung, die je nach spezifischem Bedarf eingesetzt werden können. Zu den gängigsten zählen:
- SAP Query (Transaktionen SQ00, SQ01, SQVI): Diese Werkzeuge ermöglichen es Benutzern, eigene Abfragen zu erstellen und auszuführen. Es ist wichtig zu beachten, dass im SAP HR-Modul zusätzliche, spezifische Transaktionen für die Berichterstattung existieren.
- Transaktionen, die Programme zur Extraktion von SAP-Geschäftsberichten ausführen: Diese Methode nutzt vordefinierte Programme, um standardisierte Berichte zu generieren.
SAP Query Sicherheit im Überblick
Ist das SAP-Managementsystem das richtige Werkzeug für Reporting?
Diese Frage wird häufig gestellt und hat eine differenzierte Antwort. Grundsätzlich unterscheiden wir zwei Datenbankmodi:
- Datenbanken, die für Reporting konzipiert sind: Diese Systeme sind optimiert, um große Datenmengen effizient zu analysieren und aussagekräftige Berichte zu generieren.
- Datenbanken, die für Datenverarbeitung ausgelegt sind: Diese Systeme sind primär für die schnelle Verarbeitung und Verwaltung von Transaktionen konzipiert und nicht ausschließlich für Leseoperationen.
Innerhalb der SAP-Produktfamilie gibt es spezialisierte Lösungen für das Reporting, wie beispielsweise SAP BW/BI (Business Warehouse/Business Intelligence) und SAP Business Objects. Darüber hinaus existieren auch zahlreiche externe Softwarelösungen von Drittanbietern.
Die Schlussfolgerung ist klar: Wenn Ihr Unternehmen eine tiefgreifende Datenanalyse und die Erstellung zahlreicher, individueller Auswertungen für verschiedene Abteilungen benötigt, sind dedizierte Reporting-Tools die bessere Wahl. Das ERP-System wie SAP bietet zwar integrierte Reporting-Funktionen, ist aber nicht primär dafür konzipiert, diese Aufgabe im vollen Umfang zu erfüllen.
Reporting-Sicherheit in SAP ERP – Der kritische Aspekt der SAP-Queries
Abgesehen von den grundsätzlichen Überlegungen zur Systemauswahl stellt die Sicherheit von SAP-Queries einen besonders kritischen Punkt dar. Ein wesentliches Problem ist, dass es in diesem Bereich oft keine reinen “Anzeige”-Transaktionen gibt.
Die Steuerung des Zugriffs erfolgt maßgeblich über ein Berechtigungsobjekt namens S_QUERY.
S_QUERY Berechtigungsobjekt
Dieses Objekt, wenn es in den Berechtigungen eines Benutzers hinterlegt ist, bestimmt, ob die SAP-Query-Transaktionen (wie SQ00 und SQ01) lediglich zur Ansicht berechtigen oder auch Änderungen am Inhalt der Queries zulassen.
SAP Transaktion SQ00
Darüber hinaus verfügt das SAP-Queries-Modul über ein eigenes Berechtigungskonzept, das zusätzlich zu den üblicherweise über Rollen verwalteten Berechtigungen (und damit über das von SAP generierte Profil mittels PFCG-Transaktion) greift.
Dieses interne Berechtigungsmodell ermöglicht die Verwaltung von Query-Benutzergruppen über die Transaktion SQ03.
SAP Transaktion SQ03
Beispiel: Benutzer für Nur-Anzeige von Queries autorisieren
Stellen wir uns die Anforderung vor, einem Benutzer nur die Anzeige von Queries zu ermöglichen:
- Berechtigungen für Transaktionen anpassen: Hierbei wird das S_QUERY-Objekt deaktiviert. Dies ermöglicht die Autorisierung der Transaktion im Nur-Lese-Modus.
Dies allein ist jedoch nicht ausreichend. Wenn das S_QUERY-Objekt deaktiviert ist, muss der Benutzer einer oder mehreren definierten Query-Benutzergruppen zugeordnet werden. Dies erlaubt dem Benutzer, Queries innerhalb dieser Gruppen anzuzeigen und auszuführen. Typischerweise sind diese Benutzergruppen nach SAP-Modulen oder Unternehmensfunktionen strukturiert.
Diese Verwaltung kann als weniger komfortabel empfunden werden. Doch es gibt noch weitere Aspekte zu berücksichtigen!
Nachdem der Benutzer für die Transaktion aktiviert, das Berechtigungsobjekt S_QUERY deaktiviert und der Benutzer der entsprechenden Gruppe zugeordnet wurde, müssen noch die korrekten Berechtigungen für die Tabellen zugewiesen werden, auf die die Queries zugreifen.
Dies geschieht über die Berechtigungsobjekte S_TABU_DIS / S_TABU_NAM, welche die Autorisierung für eine Gruppe von Tabellen oder einzelne SAP-Tabellen ermöglichen.
Die zu autorisierenden Tabellen verfügen nicht über eine dedizierte Transaktion. Diese Berechtigung muss entweder benutzerindividuell erteilt oder durch Zuweisung zur SQ00-Transaktion freigegeben werden – letzteres kann jedoch zu weitreichenderen Berechtigungen führen, als ursprünglich beabsichtigt.
Für weitere Details konsultieren Sie bitte den Hinweis OSS 24578 – SAP Query: Authorizations.
Lösungsansätze zur Absicherung des SAP ERP-Reportings
Die effektivsten Lösungen, die sich in der Praxis bewährt haben, sind:
Einsatz eines separaten Systems für unternehmensweites Reporting: Wenn möglich, sollte ein spezialisiertes System für das operative und strategische Reporting implementiert werden, anstatt dies direkt im SAP ERP-System durchzuführen. Diese dedizierten Systeme bieten nicht nur Vorteile in Bezug auf Design und Performance, sondern auch hinsichtlich spezifischer Berechtigungsmechanismen zur besseren Segmentierung und Trennung von Daten. Diese Granularität ist in einem reinen Transaktionssystem oft nicht vorhanden.
Definition individueller Transaktionen für jede Query: Falls die Nutzung eines separaten Reporting-Systems nicht realisierbar ist, empfiehlt sich die Definition einer benutzerdefinierten Transaktion für jede Query. Diese Transaktion würde das von der Query generierte Programm ausführen.
- Obwohl dies zunächst nach einem höheren Aufwand klingt, ist es hinsichtlich Management und Governance vorteilhaft, da es folgende Vorteile bietet:
- Vereinfachte Verwaltung von Query-Benutzergruppen: Dies ist ein nicht unerheblicher Vorteil, der den Verwaltungsaufwand reduziert.
- Genaue Zuweisung von Tabellen-Lese-Berechtigungen: Berechtigungen können präzise für die jeweiligen Transaktionen zugewiesen werden, die sie benötigen.
- Verbesserte Governance: Eine klarere Übersicht, wer welche Daten sehen kann, ist insbesondere im Hinblick auf Datenschutzbestimmungen wie die DSGVO von Bedeutung.
- Vereinfachte Berechtigungsverwaltung: Query-bezogene Berechtigungen werden wie bei jeder anderen Transaktion behandelt und können somit leichter in entsprechende Stellenprofile integriert werden.
- Die Erstellung einer zusätzlichen benutzerdefinierten Transaktion ist geringer Aufwand, da sie lediglich ein Programm (die eigentliche Query) aufruft.
- Obwohl dies zunächst nach einem höheren Aufwand klingt, ist es hinsichtlich Management und Governance vorteilhaft, da es folgende Vorteile bietet:
Effektiver Umgang mit Queries in SAP
Für einen sicheren und effizienten Umgang mit SAP-Queries sollten folgende Schritte beachtet werden:
- Erstellung einer benutzerdefinierten Transaktion über die SE93-Transaktion: Achten Sie auf eine aussagekräftige Namensgebung für benutzerdefinierte Transaktionen, die deren Umfang und Funktionalität widerspiegelt.
- Identifikation des Programnamens der Query: Dies erfolgt über die Transaktion SAP SQ00. Navigieren Sie zu “Query” -> “More functions” -> “Display report name”.
Identifikation des Query-Programmnamens
- Zuweisung des identifizierten Programms in der SAP-Transaktionsdefinition.
- Sicherstellung aller Berechtigungen für die verwendeten Tabellen: Diese Berechtigungen müssen von der Query auf die neu erstellte benutzerdefinierte Transaktion übertragen werden.
- Transport der Queries: Vergessen Sie nicht, dass Queries von der Entwicklungs- in die Produktivumgebung transportiert werden müssen.
Die Absicherung eines SAP-Systems umfasst weit mehr als nur die Verwaltung von Queries. Es gibt zahlreiche weitere Aspekte der SAP-Sicherheit, die sorgfältig gemanagt werden müssen.