Prüfprogramm SAP-Berechtigungen.
Wie Sie prüfen, ob Berechtigungen im SAP-System nach einem Konzept vergeben, Funktionstrennungen eingehalten und kritische Rechte, Notfallzugriffe und Änderungen am Produktivsystem kontrolliert werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation Berechtigungen im ERP-System nach einem freigegebenen Konzept vergibt und regelmäßig überprüft, ob unvereinbare Funktionen getrennt sind und ob kritische Berechtigungen, Standard- und Notfallbenutzer sowie Änderungen am Produktivsystem kontrolliert und nachvollziehbar sind. Sie beurteilt außerdem, ob die Protokollierung die Nachvollziehbarkeit buchungsrelevanter Änderungen sichert.
Geltungsbereich
- Produktive SAP-Systeme und Mandanten mit buchungsrelevanten Prozessen
- Rollen, Benutzer, Antrags- und Genehmigungsprozess sowie Regelwerk zur Funktionstrennung
- Notfallbenutzer, Standardbenutzer, Schnittstellen- und Systembenutzer
- Nicht Gegenstand: Berechtigungen in Vorsystemen außerhalb von SAP, die eigene Prüfungen haben
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Berechtigungskonzept beschreibt Rollenaufbau, Namenskonventionen, Vergabe, Überprüfung und Verantwortlichkeiten und ist freigegeben. | BSI APP.4.2; ISO/IEC 27001:2022 Anhang A 5.15 | Konzept lesen, Freigabe prüfen und Namenskonventionen an zehn Rollen im System nachvollziehen. | Berechtigungskonzept mit Freigabe, Rollenliste |
| 2 | Rollen sind fachlich zugeschnitten und haben verantwortliche Rolleneigentümer aus dem Fachbereich. | BSI APP.4.2; ISO/IEC 27001:2022 Anhang A 5.18 | Für fünf Rollen Inhalt und Eigentümer prüfen und Eigentümer zur Kenntnis der Rolleninhalte befragen. | Rollenbeschreibungen, Liste der Rolleneigentümer |
| 3 | Berechtigungen werden nur auf Antrag mit Genehmigung durch Vorgesetzte und Rolleneigentümer vergeben. | ISO/IEC 27001:2022 Anhang A 5.18 | Zehn Rollenzuordnungen der letzten sechs Monate mit Anträgen und Genehmigungen abgleichen. | Änderungsbelege der Benutzerstammsätze, Anträge, Genehmigungen |
| 4 | Ein Regelwerk zur Funktionstrennung ist festgelegt; Konflikte werden erkannt, bewertet und durch Kontrollen ausgeglichen. | ISO/IEC 27001:2022 Anhang A 5.3; GoBD Rz. 100 | Regelwerk ansehen, aktuelle Konfliktauswertung abrufen und für drei Konflikte die ausgleichenden Kontrollen nachvollziehen. | Regelwerk zur Funktionstrennung, Konfliktbericht, Kontrollnachweise |
| 5 | Kritische Berechtigungen wie Vollzugriffsprofile, Debugging mit Änderungsrecht oder direkte Tabellenpflege sind auf wenige begründete Fälle beschränkt. | ISO/IEC 27001:2022 Anhang A 8.2; BSI APP.4.2 | Benutzer mit kritischen Profilen und Berechtigungen auswerten und mit genehmigten Ausnahmen abgleichen. | Auswertung kritischer Berechtigungen, Ausnahmegenehmigungen |
| 6 | Standardbenutzer sind gesperrt oder mit geänderten Kennwörtern gesichert und in allen Mandanten überwacht. | BSI APP.4.2 | Status und Kennwortänderung der Standardbenutzer in allen Mandanten auslesen. | Auswertung der Standardbenutzer je Mandant |
| 7 | Notfallbenutzer werden nur bei Bedarf freigeschaltet; ihre Tätigkeiten werden protokolliert und nachträglich kontrolliert. | ISO/IEC 27001:2022 Anhang A 8.2 und 8.15 | Fünf Notfalleinsätze auswählen und Anlass, Freischaltung, Protokoll und Nachkontrolle nachvollziehen. | Notfallprotokolle, Freigaben, Nachweise der Nachkontrolle |
| 8 | Berechtigungen werden regelmäßig durch Vorgesetzte und Rolleneigentümer rezertifiziert; Entzüge werden umgesetzt. | ISO/IEC 27001:2022 Anhang A 5.18 | Letzte Rezertifizierung auf Vollständigkeit prüfen und für fünf Entzüge die Umsetzung im System nachvollziehen. | Rezertifizierungsprotokoll, Änderungsbelege |
| 9 | Produktivmandanten und Produktivsystem sind gegen direkte Änderungen gesperrt; Öffnungen sind genehmigt und protokolliert. | GoBD Rz. 107; BSI APP.4.2 | Einstellungen zur Änderbarkeit von System und Mandanten auslesen und Öffnungen der letzten zwölf Monate nachvollziehen. | Systemeinstellungen, Protokoll der Systemänderbarkeit, Genehmigungen |
| 10 | Tabellenprotokollierung und Änderungsbelege sind für buchungsrelevante Daten aktiv. | GoBD Rz. 107; ISO/IEC 27001:2022 Anhang A 8.15 | Systemparameter zur Tabellenprotokollierung prüfen und für drei relevante Tabellen die Protokollierung nachweisen lassen. | Systemparameter, Auswertung der Tabellenprotokolle |
| 11 | Entwicklung, Test und Produktion sind getrennt; Änderungen gelangen nur über das Transportwesen in die Produktion. | ISO/IEC 27001:2022 Anhang A 8.31 und 8.32 | Transportwege ansehen und prüfen, ob im Produktivsystem Entwicklungsrechte vergeben sind. | Transportlandschaft, Transportprotokolle, Auswertung der Entwicklungsrechte |
| 12 | Schnittstellen- und Systembenutzer haben nur die für ihre Aufgabe nötigen Rechte und sind nicht für Dialoganmeldungen nutzbar. | BSI APP.4.2; ISO/IEC 27001:2022 Anhang A 8.2 | Benutzer vom Typ System und Kommunikation auslesen und Rechte sowie Benutzertyp prüfen. | Liste technischer Benutzer mit Rollen und Benutzertyp |
| 13 | Benutzer ausgeschiedener Mitarbeitender werden zeitnah gesperrt und Gültigkeiten werden gepflegt. | ISO/IEC 27001:2022 Anhang A 5.18; BSI ORP.4 | Austrittsliste der Personalabteilung mit aktiven SAP-Benutzern und letzten Anmeldungen abgleichen. | Austrittsliste, Benutzerliste mit Status und letzter Anmeldung |
Unterlagen zur Anforderung
- Berechtigungskonzept mit Freigabe
- Rollenliste mit Rolleneigentümern
- Regelwerk zur Funktionstrennung und aktuelle Konfliktauswertung
- Auswertung kritischer Berechtigungen und Standardbenutzer
- Protokolle der Notfallbenutzer mit Nachkontrolle
- Protokoll der letzten Rezertifizierung
- Einstellungen und Protokoll zur Systemänderbarkeit
- Liste technischer Benutzer
Typische Feststellungen
- Mehrere Benutzer haben Vollzugriffsprofile im Produktivsystem.
- Konflikte der Funktionstrennung sind bekannt, ausgleichende Kontrollen fehlen.
- Notfallbenutzer werden genutzt, die Protokolle aber nie ausgewertet.
- Das Produktivsystem war über Wochen für direkte Änderungen geöffnet.
- Tabellenprotokollierung ist nicht aktiviert.
- Ausgeschiedene Mitarbeitende haben weiterhin gültige Benutzer.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen