Die SAP plant für alle ihre Kunden einen Umzug auf Cloud-Systeme. Die meisten mittelständischen und großen Unternehmen im deutschsprachigen Raum setzen SAP ein – rund die Hälfte aller Unternehmen allein in Deutschland. Die Umstellung setzt eine gute Planung voraus und bringt einen enormen organisatorischen Aufwand für IT-Verantwortliche mit sich.
Mit dieser Entwicklung einher geht, dass bis 2025 der Support für alle anderen Produkte eingestellt werden soll. Doch was genau bedeutet das? Welche Veränderungen ergeben sich, wo gibt es Risiken aber auch Chancen für Unternehmen und wie stellen sie die SAP Security & Compliance für ihre SAP-Landschaften sicher?
SAP Cloud: Eine Übersicht
Um das Thema Cloud kurz und präzise zu formulieren: Aus Sicht der Hardware gibt es zwischen einem On-Premise- und einem Cloud-System kaum Unterschiede. Der Server eines On-Premise-Systems wird in den meisten Fällen entweder innerhalb des eigenen Unternehmens oder durch ein Rechenzentrum betrieben. Im zweiten Fall ändert sich, wenn überhaupt, der Betreiber des Rechenzentrums, denn SAP Cloud-Rechenzentren betreibt in der Regel die SAP selbst. Im Fall, dass das Unternehmen der Betreiber ist, würden die Server dann in ein SAP-Rechenzentrum verlagert und dort betrieben sowie gewartet werden. Ein kleinen Überblick über die Unterschiede gibt die nachfolgende Tabelle:
SAP bietet aktuell über 14 verschiedene Cloud-Lösungen an, weswegen wir hier nicht auf die Unterschiede der einzelnen Cloud-Dienste eingehen. Grundlegend lässt sich die SAP Cloud aber in zwei Teilbereiche unterteilen. Die Private Cloud und die Public Cloud.
Für Kunden beider Bereiche gilt das Software as a Service (SaaS)-Versprechen: In den Lizenzkosten sind die Kosten für Wartung der Server und Einspielen der Updates bereits enthalten. Es werden 100% Managed Service für SAP-Systeme mit der Cloud geboten.
In der Public Cloud gelten weiterhin feste Zeiten für die neuen SAP Releases. Erweiterungen im Rahmen der HANA Cloud Platform (kurz HCP) sind möglich. Viele Altbestände können hingegen ohne oder mit nur geringem Aufwand in die Private Cloud gebracht werden. Hier fallen dann in der Regel Zusatzkosten für Wartung und Betrieb an, sofern die Erweiterungen nicht HCP-konform sind.
Step-by-Step: Wie Sie zum initiativen Treiber werden
1. Aufrüstung alter Systeme
Die größte technische Herausforderung, die die SAP Cloud mit sich bringt, ist vermutlich das S/4HANA-Betriebssystem mit der HANA-Datenbank. Denn die eigenen Systeme S/4HANA-tauglich umzubauen ist der erste wichtige Schritt, um für den Umzug auf die Cloud vorbereitet zu sein. ERP Central Component (ECC)-Systeme müssen hier mindestens dem Release von Version 6.06 oder höher entsprechen, um HCP-kompatibel zu sein.
2. Bildung eines Expertenteams
Für die erfolgreiche Mitigation auf S/4HANA und später dann auch in die SAP Cloud benötigen Sie Experten für die einzelnen Fachgebiete. Die Funktionalitäten von Transaktionscodes ändern sich, die Berechtigungsstruktur ist nun zweigeteilt und Unternehmen sind mit ganz neuen Fragen aus dem Bereich Risikomanagement konfrontiert. Selbst bei kleinen Systemlinien dürfte es für eine Person allein schwer genug sein alle Dinge im Blick zu behalten. Hinzu kommen dann meist noch andere Systemlinien und ein Krankheits- oder Ausfallrisiko in der Abteilung. Fachliche Expertise hilft sicherzustellen, dass alle am Projekt Beteiligten gemeinsam an einem Strang ziehen. Insbesondere eine externe Beratung kann an dieser Stelle gewinnbringend sein, da so interne Spannungen verringert werden können. Zudem bringen externe Berater zumeist einen objektiveren Blick auf die Sachlage mit.
3. Strategieplanung
„Wie?“, „Wann?“ und „Wohin?“ sind Fragen, mit denen Verantwortliche unweigerlich konfrontiert werden. Spätestens an dieser Stelle wird es sich lohnen, wenn bereits ein Expertenteam gebildet wurde. Abstimmungen und Diskussionen sind zwar notwendig, können den Prozess an diesem Punkt aber schnell in die Länge ziehen. Zeitgleich sparen Sie hier eine ganze Menge Zeit, Ressourcen und Kosten ein. Denn Probleme, die einzelne Personen vielleicht übersehen hätten, können so aus verschiedenen Perspektiven betrachtet sowie gemeinsam im Vorfeld eine Lösung erarbeitet werden.
4. Chancen wahrnehmen
Wenn alle Ziele gesetzt und alle Fragen für den strategischen Umzug geklärt sind, sollte abschließend noch eine Frage geklärt werden: „Hängen Sie an Ihren ABAP-Sicherheitslücken oder können die weg?“. Mit dem Umzug in die Cloud kommt eine ganze Menge Arbeit auf Sie zu. Alles muss geplant, durchdacht und Anwendungen unter Umständen angepasst werden. Im besten Fall steht lediglich der Transport auf ein neues System an. Die perfekte Gelegenheit, um sich eine Menge Arbeit und langfristige Kosten zu sparen, und zudem die Systeme zu sichern. Gerade, wenn der Wechsel ohnehin ansteht, bietet sich hier eine Gelegenheit, die jeder SAP-Verantwortliche wahrnehmen sollte. Bereinigen Sie ihr System von Schwachstellen im Quellcode und ziehen Sie nur aktives Coding mit um.
5. Testen
Wenn alle Ziele gesetzt, Anpassungen getan und alle Fragen geklärt sind, dann geht es langsam an den Ernst der Sache. Dennoch sollte ausreichend Zeit für umfangreiches Testen eingeplant werden. Auf diesem Wege minimieren Sie potenzielle Go-Live Herausforderungen und erarbeiten bereits im Vorfeld Lösungen. Ein Plan B für den Fall der Fälle kann ebenfalls nicht schaden. Zur Sicherheit können Kopien der Produktivsysteme angelegt werden. In jedem Fall empfiehlt sich zum Testen Systeme zu wählen, die auch in etwa so groß sind, wie eine durchschnittliche Produktivlinie. Der Testaufwand steigt damit deutlich, dafür steht das Ergebnis auch in einer realistischen Relation. Der Kauf eines Neuwagens wird zumeist ja auch nicht an einem Spielzeugmodell, sondern vielmehr durch eine Probefahrt mit dem echten Modell getestet. So können auch Verhaltensänderungen getestet und Mitarbeiter auf ihre neuen Abläufe vorbereitet werden.
6. Info, Info, Info
Bevor dann endlich mit dem eigentlichen Umzug begonnen werden kann, steht die letzte Vorbereitung an: Holen Sie Ihre Mitarbeiter an Bord und informieren Sie sie umfangreich zur geplanten Mitigation. Dabei gilt nicht nur die Frage zu beantworten: „Was soll ich während des Umzugs tun?“. Genauso wichtig wie die Fragen zum Ablauf selbst, sind auch die Fragen, was davor und danach passiert. Ist sich ein jeder Mitarbeiter seiner Aufgaben und Pflichten vor dem Umzug klar und was ändert sich für den Einzelnen, wenn der Umzug abgeschlossen ist. Ein sauberer Umzug ist schön, Kosten für den Leerlauf danach kann den Neustart in der Cloud ebenso verzögern. Dann, wenn Mitarbeiter zu spät geschult worden sind oder Informationen fehlen, wie ihr Aufgabenfeld hinterher beispielsweise durch andere Transaktionscodes oder Umgestaltung von Abläufen oder Benutzeroberflächen aussieht.
7. Verantwortungsbewusste Mitigation
Unabhängig davon, wie viel Zeit und Aufwand bereits in die Planung geflossen sind: Führen Sie die eigentliche Mitigation dennoch mit Bedacht aus. Denn auch bei sorgfältiger Planung treten während der Mitigation nochmal Herausforderungen auf. Diese halten sich bei sorgfältiger Planung und verantwortungsbewusster Umsetzung dafür deutlich in Grenzen und geben den notwendigen Freiraum, um flexibel zu reagieren.
SAP Security & Compliance: Chancen und Risiken beim Wechsel in die SAP Cloud
Manchen bereitet er Kopfzerbrechen, für andere ist es die ersehnte Erlösung: Der Umzug in die SAP Cloud und damit auch der Wechsel in die S/4HANA-Systemlandschaft. Die größte Veränderung bringt sicherlich der SAP Web Access mit sich. Er ermöglicht uns von überall Zugriff auf das SAP-System. Was passiert, wenn doch einmal Login-Daten nach außen gelangen? Hier müssen wir auch über Netzwerke sprechen: Handys, öffentliche Hotspots und private Netzwerke sind oft unzureichend geschützt. Wählt sich ein Nutzer über ein solches Netzwerk in die SAP Cloud ein, besteht ein deutlich höheres Sicherheitsrisiko. Der Schutz durch Firewall und firmeninterne Einstellungen geht verloren und es bedarf neuer oder erweiterter Entwicklerrichtlinien im Umgang mit dem Web Access. Der Bedarf an Security und Compliance steigt.
Oft bedeutet der Wechsel in die S/4HANA-Systemlandschaft auch eine strukturelle Veränderung. Viele Unternehmen wollen ihre alten Daten lediglich in einem soweit möglich alten Format ins neue System bringen. Das wäre allerdings in etwa so gut, wie eine alte Software im Kompatibilitätsmodus arbeiten zu lassen, statt auf die neue Version zu wechseln. Und seien Sie ehrlich: Auf Ihrem Smartphone nutzen sie doch auch die automatische Updatefunktion oder haben Sie diese manuell deaktiviert? Sehen Sie den Wechsel auf ein komplett neues System vor allem als Chance, denn so können Sie sich wie bei einem klassischen Umzug darauf vorbereiten. Und mehr noch: Ihr Unternehmen entscheidet über die zugrunde liegende Softwarearchitektur. Das ist vergleichbar mit der Raumaufteilung in einem Neubau, welche der Auftragsgeber selbst bestimmen kann. Viel Arbeit können Sie sich dabei ersparen, wenn Sie alten und ungenutzten Programmiercode nicht erst mit umziehen lassen, sondern gleich entsorgen. Gerne unterstützen wir Sie dabei mit Erfahrung und Fachpersonal. Und noch viel besser: Wenn Sie Ihr System vor dem Umzug auf Sicherheitsschwachstellen prüfen und diese beheben, gehen Sie gleich vom ersten Tag an sicher online. Dank unserer SAST SUITE bleibt ihr System auch langfristig sicher und Sie können Wirtschaftsprüfungen zu einer Ihrer leichtesten Übungen machen.
Wen Sie sich nun fragen, welche Cloud-Dienste für Ihr Unternehmen richtig sind, dann nehmen Sie Kontakt zu uns auf: sast@akquinet.de. Weitere Informationen zu unseren Produkten und Services finden Sie auf unserer SAST SOLUTIONS Website.
Dieses Thema finden Sie auch als Aufzeichnung in unserem Webinar-Archiv. Fordern Sie ganz einfach Ihren Zugang an.
Jonas Kelbert, Platform Security (SAST SOLUTIONS)
Diese Beiträge könnten Sie ebenfalls interessieren:
SAP Security & Compliance: Herausforderungen im Rahmen von S/4HANA, SAP Cloud und Code-Sicherheit