SAP-Berechtigungen für Anwender und Einsteiger - 2., erweiterte Auflage

2.1 Authentifizierung

Ohne Authentifizierung keine personenbezogene Autorisierung, d.h. keine nutzerabhängige Berechtigungsvergabe: Zu Beginn des zweiten Kapitels erfahren Sie, warum das so ist. Außerdem lernen Sie die Merkmale kennen, anhand derer eine Authentifizierung möglich wird – sowie einige Rahmenbedingungen, die erforderlich sind, damit diese Maßnahmen tatsächlich die Sicherheit der Daten und Systemfunktionen verbessern.

2.1.1 Was bedeutet Authentifizierung?

Jeder Anwender sollte innerhalb eines Anwendungssystems nur Zugriff auf Daten und Funktionen haben, die er zur Erledigung seiner betrieblichen Aufgaben benötigt. Man spricht in diesem Zusammenhang auch vom Minimalprinzip bei der Berechtigungsvergabe. Speziell in integrierten Systemen, die die Geschäftsprozesse und Daten aus vielen verschiedenen Teilbereichen der Unternehmung abbilden, ist diese Maxime wichtig. Welche Daten die einzelnen Funktionsbereiche und Sparten einsehen oder bearbeiten dürfen, unterscheidet sich genauso wie die Zugriffsrechte von Führungskräften und Sachbearbeitern innerhalb eines Bereichs.

Grundlegende Rahmenbedingungen für die Beschränkung von Zugriffen auf Daten in IT-Systemen lassen sich aus externen Anforderungen ableiten, insb. aus den gesetzlichen Regelungen zum Thema Datenschutz (vgl. hierzu Abschnitt 6.3.1). Details der Zugriffskonzepte sind hingegen eher durch unternehmensinterne Vorgaben geprägt.

Damit das Minimalprinzip in einem System umsetzbar ist, muss technisch ein anderes Verfahren realisiert sein: eine sogenannte explizite Autorisierung. Jedem Benutzer müssen die Rechte für den Zugriff auf Daten oder Funktionen gezielt zugewiesen werden. In anderen Worten: Alles, was nicht ausdrücklich gestattet wird, ist nicht erlaubt.

Eine Umsetzung des Minimalprinzips ist daher eine wichtige Anforderung an den Betrieb eines Anwendungssystems. Das SAP-System basiert entsprechend auf expliziter Autorisierung. Man bezeichnet die Vergabe von Berechtigungen an die Benutzer eines Systems auch als die Provisionierung von Usern mit Rechten.

Das Berechtigungswesen in SAP ist ein sehr mächtiges und komplexes Werkzeug der Systemadministration. Es ermöglicht eine sehr detaillierte technische Zugriffssteuerung auf Daten und Funktionen, da die Zugriffsrechte in der Realität zumeist ebenfalls sehr vielschichtig sind.

Um einem Benutzer die richtigen Berechtigungen zuweisen zu können, müssen zwei Voraussetzungen erfüllt sein:

• Es muss definiert sein, welche Berechtigungen ein Systemanwender für die Erledigung der ihm zugewiesenen betrieblichen Aufgaben benötigt – dieser Aspekt wird in den Abschnitten 2.3.1 und 6.3.3 aufgegriffen.
• Das System benötigt eine gesicherte Information darüber, wer der Systemanwender ist. Diese Information bereitzustellen, ist Aufgabe der Authentifizierung.

Authentifizierung bezeichnet demnach

1. die Identifizierung einer Person gegenüber einem technischen System bzw.

2. die Feststellung der Identität einer Person durch ein System.

Nicht zu verwechseln ist eine Authentifizierung mit der »einfachen« Überprüfung einer Zugriffsberechtigung – für den Anwender ist der Unterschied mitunter allerdings nicht zu erkennen, zumal Merkmale und Techniken, die in den folgenden beiden Abschnitten vorgestellt werden, dieselben sind. Die Ungleichheit erscheint auf den ersten Blick auch nicht besonders groß: Sie besteht darin, ob bei der Überprüfung der Zugriffsberechtigung die Identität der Person eine Rolle spielt oder nicht.

Aufgrund der heutigen Durchdringung des täglichen Lebens mit technischen Systemen sind damit verbundene Zugriffsbeschränkungen und Passwörter allgegenwärtig: Sie werden entsprechend als alltäglich wahrgenommen und zumeist nicht hinterfragt – insbesondere dann nicht, wenn der Zugriff anschließend »problemlos« gelingt.

2.1.2 Welche Authentifizierungsmerkmale gibt es?

In diesem Abschnitt erfahren Sie zunächst etwas über die verschiedenen Merkmale, auf die die Identifizierung einer Person durch ein System ganz allgemein abstellen kann, bevor im nächsten Abschnitt zwei im SAP-Umfeld übliche Authentifizierungstechniken beschrieben werden.

Grundsätzlich kann Authentifizierung anhand von drei verschiedenen Merkmalen erfolgen: Ein System kann

1. das Vorhandensein von spezifischem Wissen,

2. den Besitz einer Sache oder

3. die Existenz eines charakteristischen Merkmals der Person (biometrische Merkmale)

überprüfen. In Abbildung 2.1 sind diesen drei Merkmalen verschiedene Authentifizierungstechniken zugeordnet, die auf deren Überprüfung ausgerichtet sind.

Abbildung 2.1: Authentifizierungsmerkmale und -techniken

Das am häufigsten verwendete Authentifizierungsmerkmal ist das spezifische Wissen, das i.d.R. in Form eines Passwortes oder einer PIN (persönlichen Identifikationsnummer) abgefragt wird. Gleichzeitig ist es das potenziell unsicherste Merkmal für die Identitätsprüfung:

• Spezifisches Wissen kann jederzeit problemlos auf andere Personen übertragen bzw. von mehreren Personen geteilt werden. Die zweifelsfreie Identifizierung einer Person über dieses Authentifizierungsmerkmal ist daher an bestimmte Voraussetzungen gebunden: insbesondere, dass es geheim bleiben muss. Wird ein personenbezogenes Passwort oder eine PIN frei zugänglich aufbewahrt, handelt es sich nicht mehr um das spezifische Wissen einer Person, sondern sozusagen um allgemeines Wissen, das keinen gesicherten Rückschluss mehr auf die Identität einer Person zulässt.
• Es ist vergleichsweise einfach, unberechtigt Kenntnis über ein spezifisches Wissen zu erlangen, z.B. durch unerlaubtes Beobachten einer Passworteingabe, durch Aufzeichnen von Tastatureingaben an einem Gerät oder durch Abhören einer unverschlüsselten Datenübertragung.
• Je nach Komplexität des spezifischen Wissens ist es u.U. einfach, durch Ausprobieren möglicher Ausprägungen die Lösung herauszufinden. Abhängig von der Anzahl der Zeichen eines Passwortes oder einer PIN, ist zwar ein manuelles Ausprobieren aller möglichen Zeichenkombinationen kaum sinnvoll, das automatisierte Ausprobieren durch ein Programm jedoch immer eine Gefahr.

Das Authentifizierungsmerkmal Besitz einer Sache verlangt von einem Benutzer die Vorlage eines physischen Gegenstands als Identitätsbeweis. Dabei liegt die Annahme zugrunde, dass der Zugriff auf diesen einzigartigen Gegenstand nur dem Eigentümer möglich ist. Für diese Form der Authentifizierung ist zusätzliche Hardware erforderlich.

Die häufigste Authentifizierungstechnik in diesem Kontext ist die Identitätsprüfung mittels einer Smartcard bzw. Chipkarte: Deren Chip enthält mindestens einen Datenspeicher sowie ggf. auch Mikroprozessoren, die Daten verarbeiten können. Auf dem Speicher der Smartcard werden Daten zur Identität der Person in Form eines Zertifikates gespeichert. Sie muss in einen Kartenleser eingeführt werden, der während der Authentifizierung auf die Daten zugreift.

Häufig wird der Besitz einer Sache in Kombination mit einem spezifischen Wissen überprüft: Ergänzend zur Smartcard muss der Anwender mittels Passwort oder PIN beweisen, dass er nicht nur der momentane Besitzer, sondern der rechtmäßige Eigentümer ist. Diese kombinierte Authentifizierungstechnik ist sicherer als eine einfache Passwortabfrage: Während spezifisches Wissen virtuell ist und einfach (und auch unbemerkt) verteilt und geteilt werden kann, sind die Zugriffsmöglichkeiten auf eine nicht-virtuelle »Sache« räumlich und zeitlich begrenzt: Allein mit Benutzername und Passwort könnten sich theoretisch viele Personen gleichzeitig als ein bestimmter Benutzer ausweisen und gleichzeitig im System arbeiten. Wird zusätzlich eine Smartcard zur Anmeldung benötigt, ist dieses Szenario nicht denkbar, da nicht mehrere Personen gleichzeitig die Smartcard im Kartenleser haben können.

Die Überprüfung eines spezifischen Wissens oder des Besitzes einer Sache dient übrigens nicht immer der konkreten Authentifizierung einer Person, denn die Überprüfung einer Identität durch ein System setzt voraus, dass dieses verschiedene Benutzeridentitäten kennt und unterscheidet. Manche Systeme überprüfen spezifisches Wissen und den Besitz einer Sache ausschließlich für die Gewährung von Zugriffsrechten nach dem »An-Aus-Prinzip«, ohne Kenntnis der Identität des Anwenders:

Ebenfalls auf den Besitz einer Sache stellt die Authentifizierung mittels eines Dongles ab. Ein Dongle ist ein Stück zusätzliche Hardware, das mit dem System verbunden werden muss, um Zugriff auf das System zu erlangen: Normalerweise werden Dongles über einen USB-Anschluss mit dem Computer verbunden, über den der Zugriff auf das System erfolgt.

Ohne Verknüpfung mit der Benutzeridentität in einem System werden Dongles vor allem als Kopierschutz für Software eingesetzt: Das Kopieren eines Dongles ist zwar nicht unmöglich, aber mit einem erheblich größeren Aufwand verbunden als das Kopieren einer Software.

Am sichersten ist eine Authentifizierung über sogenannte biometrische Merkmale, da diese personengebunden sind und i.d.R. nicht kopiert werden können. Sie zielen auf die Erkennung charakteristischer Merkmale oder die Überprüfung spezifischer Fähigkeiten ab:

• Überprüfung eines Fingerabdrucks,
• Vermessung von Gesichtsgeometrie, Netzhaut oder Iris des Auges sowie
• Erkennung von Stimme, Gestik, Mimik oder einer Unterschrift.

2.1.3 Welche Authentifizierungstechniken gibt es im SAP-Umfeld?

Für Sie als Anwender eines SAP-Systems sind im Wesentlichen zwei Authentifizierungstechniken relevant, die auf die Überprüfung von spezifischem Wissen und den Besitz einer Sache abstellen.

Die einfachste Authentifizierungstechnik besteht in der Überprüfung einer Kombination aus Benutzername und Passwort. Diese Überprüfung ist das Standard-Anmeldeverfahren für SAP-Systeme. Ist die eingegebene Kombination gültig, kennt das System die Identität des Systemanwenders (vorausgesetzt, es liegt keine Täuschung vor).

Abbildung 2.2 zeigt den Anmeldebildschirm des SAP-Systems für die Authentifizierung mit Benutzername und Passwort.

Abbildung 2.2: Anmelde-Dynpro mit Benutzername und Passwort

Passen der eingetragene Benutzer und das Kennwort im angegebenen Mandanten auf dem gewählten System zusammen, wird der Zugriff auf das SAP-System gewährt.

Die Systembetreuer (d.h. die Administratoren der Anwendungsserver) können verschiedene Maßnahmen ergreifen, um die Anmeldung mit Benutzernamen und Passwort abzusichern, z.B.:

• automatisches Sperren eines Benutzers nach einer bestimmten Anzahl von Fehlversuchen, um ein unbegrenztes Ausprobieren möglicher Passwörter zu unterbinden;
• Vorgabe von Passwortregeln, um triviale oder leicht zu erratende Passwörter möglichst auszuschließen;
• Verschlüsselung der Kommunikation zwischen SAP GUI auf dem Computer des Anwenders und dem Applikationsserver im Rechenzentrum, um das Abfangen eines eingegebenen Passworts während der Datenübertragung zu verhindern.

Die zweite im SAP-Umfeld häufig vorzufindende Authentifizierungstechnik ist die Anmeldung mittels einer Smartcard. Hierbei sind zusätzliche Hardware- und Software-Komponenten an den Rechnern der Anwender erforderlich. SAP stellt hierfür eine standardisierte Schnittstelle zur Anbindung von Zusatzsoftware (früher zumeist von Drittanbietern) zur Verfügung. Diese Schnittstelle wird als Secure Network Connection (SNC) bezeichnet. Eine SAP-eigene Softwarekomponente, die über SNC angebunden werden kann, heißt SAP Single Sign-On Secure Login.

Wenn in einem SAP-System SNC aktiviert und eine Smartcard-Authentifizierung implementiert wurden, erfolgt die Identitätsprüfung des Anwenders nicht mehr direkt am SAP-Applikationsserver, sondern gegenüber der per SNC angebundenen Systemkomponente am Rechner des Anwenders. Nur über sie ist dann der Zugriff auf die Smartcard möglich, und diese Systemkomponente übernimmt den entsprechenden Teil der Kommunikation mit dem SAP-Applikationsserver.

Einen zusätzlichen Vorteil dieser Authentifizierungstechnik für den Anwender bietet die Funktionalität, die der Softwarekomponente ihren Namen gegeben hat: das sogenannte Single-Sign-On: Sie müssen sich als Benutzer nicht, wie beim normalen passwortbasierten Zugang, in jedem System bzw. Mandanten direkt anmelden und sich entsprechend viele unterschiedliche Kennwörter oder Benutzernamen merken, sondern sich nur einmal gegenüber der lokal installierten Systemkomponente ausweisen. Diese speichert Ihre Zugangsdaten lokal für einen gewissen Zeitraum und authentifiziert Sie stellvertretend gegenüber allen SAP-Mandanten, auf die Sie zugreifen wollen.

2.1.4 Was kann ein Anwender zur Sicherheit des SAP-Systems beitragen?

SAP-Systeme bieten durch das komplexe Berechtigungswesen umfangreiche Möglichkeiten, Maßnahmen für die Sicherheit der verarbeiteten Daten zu konzipieren und implementieren und damit den Zugriff auf Daten und Systemfunktionen systematisch zu schützen – die Ausführungen in den Kapiteln 3 (zu technischen Details) und 6 (zu organisatorischen und sonstigen Rahmenbedingungen) werden dieses noch verdeutlichen.

Trotzdem gibt es Risiken, eine 100%ige Sicherheit für IT-Systeme ist nicht nur praktisch, sondern auch theoretisch ausgeschlossen. Und i.d.R. sind Menschen, die Anwender der Systeme, die potenziell größte Schwachstelle in jedem Sicherheitskonzept: Durch vorsätzlichen Missbrauch eingeräumter Rechte oder unbedacht-sorglosen, ggf. sogar fahrlässigen Umgang mit technischen Systemen kann eine Vielzahl technischer Maßnahmen und organisatorischer Festlegungen zur Erhöhung der IT-Sicherheit wirkungslos bleiben.

Die Bedeutung eines personenbezogenen Zugriffs auf SAP-Systeme kann in diesem Zusammenhang nicht deutlich genug betont werden: Nur Sie selbst sollten mit Ihrem persönlichen SAP-Benutzer auf die SAP-Systeme Ihrer Unternehmung zugreifen können. Nicht nur, dass Ihre persönlichen Berechtigungen speziell für Sie konzipiert und für die Erledigung Ihrer Aufgaben bestimmt wurden. Zusätzlich beinhaltet es für Sie ein persönliches Risiko, wenn sich jemand anderes in Ihrem Namen im SAP-System bewegt.

Regeln für Passwortsicherheit

Zu einem verantwortungsvollen Umgang mit SAP-Zugangsdaten gehört entsprechend auch die Wahl eines sicheren Passworts. Dabei sollten ein paar einfache Regeln beachtet werden:

• Wählen Sie ein Passwort ohne erkennbare Bedeutung. Schwache Passwörter sind Begriffe aus Wörterbüchern, Namen, Geburtstage, Autokennzeichen o. Ä.
• Wenn Sie ein Passwort mit Bedeutung wählen möchten, um sich besser daran erinnern zu können, verfremden Sie dieses – durch Einfügen von Ziffern für Buchstaben, Vertauschung der Zeichenfolge, Sonderzeichen sowie Variationen in der Groß- und Kleinschreibung.
• Lange Passwörter sind sicherer als kurze.
• Verwenden Sie keine identischen Passwörter für verschiedene kritische Anwendungen: Computer, mobile Endgeräte, E-Mail-Konto und SAP-Zugang sollten verschiedene Passwörter bekommen. Zudem sollten dienstliche und private Passwörter getrennt gehalten werden.
• Ändern Sie Ihre Passwörter von Zeit zu Zeit.
• Wählen Sie Passwörter trotzdem so, dass Sie sie möglichst nicht notieren müssen. Wenn das Notieren von Passwörtern nicht zu vermeiden ist, speichern Sie diese nicht im Klartext in einer Datei, schreiben Sie (auch auf Papier) nicht alle relevanten Informationen unverschlüsselt in einer auch für Dritte lesbaren Form (z.B. keine kommentierte Liste mit Benutzernamen und zugehörigen Passwörtern) – und achten Sie vor allem darauf, dass Ihre notierten Passwörter nicht frei zugänglich sind.

Wenn in Ihrer Unternehmung eine Authentifizierung über eine Smartcard implementiert wurde, gelten die Passworthinweise ohne Frage gleichermaßen, sofern alphanumerische Passwörter möglich sind. Numerische PINs sollten entsprechend möglichst viele Stellen haben. Wichtig ist zudem, dass die Karte während Ihrer Abwesenheit vom Arbeitsplatz nicht im Kartenleser stecken bleibt … oder in der Nähe des Computers frei zugänglich aufbewahrt wird.

Für die Gesamtsicherheit des SAP-Systembetriebs sollten Sie zudem den Zugang zu Ihrem Arbeitsplatz schützen, indem Sie generell die Bürotür abschließen, selbst wenn Sie nur kurz abwesend sind. Diese Vorsicht ist vor allem geboten, wenn dort Ausdrucke sensibler Daten aus SAP unverschlossen aufbewahrt werden. Selbstverständlich sollten derartige Dokumente auch niemals im Drucker vergessen werden.