Berechtigungen und FUE-Kosten: Wie Rollendesign die Lizenzbasis bestimmt

In S/4HANA Cloud entscheidet die zugewiesene Berechtigung, nicht die tatsächliche Nutzung, über den Lizenztyp eines Nutzers. Wer einem Kollegen eine Rolle mit Advanced-Berechtigung zuweist, zählt ihn als Advanced User, unabhängig davon, ob er diese Funktion jemals aufruft. Rollenbreite ist deshalb kein reines Sicherheitsthema, sondern ein direkter Steuerungsmoment für die FUE-Basis und damit für den Vertragspreis.

1. Berechtigungsbasierte Klassifizierung: Wie sie funktioniert

Das Grundprinzip der berechtigungsbasierten Klassifizierung folgt dem Role-Based Access Control-Modell (RBAC): Jeder Nutzer erhält Rollen zugewiesen, und jede Rolle ist einem FUE-Typ zugeordnet. Die höchste Berechtigung, die ein Nutzer über seine Rollen besitzt, bestimmt seinen FUE-Typ. Das ist der entscheidende Unterschied zu einer nutzungsbasierten Klassifizierung.

Nutzungsbasiert würde bedeuten: SAP misst, welche Transaktionen ein Nutzer tatsächlich ausführt, und klassifiziert ihn entsprechend. Das FUE-Ergebnis wäre ein Abbild der realen Systemnutzung.

Berechtigungsbasiert bedeutet: SAP misst, was ein Nutzer tun könnte, also welche Berechtigungen seine Rollen beinhalten. Ob er diese Berechtigungen aktiviert, spielt für die Klassifizierung keine Rolle.

In S/4HANA Cloud gilt das berechtigungsbasierte Modell. Die Konsequenz ist unmittelbar: Rollen, die breiter geschnitten sind als der tatsächliche Bedarf, erzeugen FUE-Kosten, die nicht durch Nutzung begründet sind.

Das PCE Metering (Private Cloud Edition) verstärkt diesen Mechanismus. SAP triggert die Messung monatlich und automatisch. Was im System als Berechtigung hinterlegt ist, fließt jeden Monat in die Metering-Ergebnisse ein und damit in die vertragliche Compliance-Bewertung. Rollenqualität ist deshalb nicht mehr nur ein jährlicher Audit-Punkt, sondern ein monatlicher Steuerungsmoment.

2. Was PCE Metering dabei misst und wann

Der PCE-Metering-Fluss folgt einer definierten Architektur: Das Kundensystem liefert die Metering-Daten an LAW (License Administration Workbench), die User-IDs werden für die Übertragung gehasht, SAP verarbeitet die Daten und stellt sie im SAP for Me-Dashboard unter dem Bereich "License Utilization for Private Cloud" zur Verfügung.

Der Metering-Zyklus ist monatlich. Das bedeutet, dass jede Rollenänderung, die nach dem Stichtag eines Metering-Laufs wirksam wird, erst im Folgemonat in den Metering-Ergebnissen sichtbar ist. Wer plant, FUE-Kosten durch Rollenoptimierung zu steuern, muss den Metering-Zeitpunkt kennen und Optimierungen so terminieren, dass sie vor dem nächsten Lauf abgeschlossen sind.

Ein praktischer Punkt: In der Praxis zeigen sich bei PCE Metering bekannte Qualitätsgrenzen, die SAP weiter adressiert. Diskrepanzen zwischen automatisiertem Metering und STAR-Berichten sind dokumentiert. Die Empfehlung lautet deshalb, Metering-Ergebnisse regelmäßig gegen eigene interne Berechnungen zu prüfen und Abweichungen zu dokumentieren, nicht stillschweigend zu akzeptieren.

Für die laufende Governance gilt: Das PCE-Metering-Dashboard sollte monatlich ausgewertet werden. Liegt der FUE-Verbrauch innerhalb des Erwartungsrahmens? Gibt es Ausreißer, die auf neu zugewiesene Rollen oder veränderte Berechtigungsstrukturen hinweisen? Diese Fragen sind Bestandteil eines strukturierten Steuerungsmoments Berechtigungen.

3. Role Creep: Wie schleichende Rollenerweiterung FUE-Kosten treibt

Role Creep bezeichnet die schleichende Erweiterung von Berechtigungen über den lizenzierten Umfang hinaus. Es ist kein bewusster Prozess, sondern das Ergebnis von Alltagsentscheidungen: Ein Self-Service User bekommt eine Zusatzrolle, weil er gelegentlich eine Genehmigung erteilen soll. Ein Core User erhält eine Berechtigung für eine Transaktion, die eigentlich Advanced erfordert, weil es "nur für eine einmalige Aufgabe" war. Diese Rollenzuweisungen akkumulieren sich über Monate und Jahre.

Das Ergebnis ist strukturell problematisch: Nutzer werden in einem höheren FUE-Typ gemessen, als ihr Arbeitsprofil rechtfertigt. FUE-Headroom wird verbraucht, ohne dass eine bewusste Entscheidung darüber getroffen wurde. Der Steuerungsmoment Berechtigungen wird damit zum stillen Lizenzkostentreiber.

Ein konkretes Muster, das in der Praxis häufig vorkommt: Self-Service User, die im Laufe der Zeit mehrere Zusatzrollen erhalten, die in der Summe Core-Berechtigungen ergeben. Das Metering zählt sie als Core User, obwohl die ursprüngliche Lizenzplanung Self-Service vorgesehen hatte. Die FUE-Differenz zwischen Self-Service (0,033) und Core (0,2) beträgt 0,167 FUE pro Nutzer. Bei 50 betroffenen Nutzern sind das 8,35 FUE, die auf den vertraglich vereinbarten FUE-Pool angerechnet werden, ohne dass eine aktive Entscheidung dafür gefallen wäre.

Die zuverlässigste Gegenmassnahme ist technischer Natur: Rollen konsequent auf das tatsächlich benötigte Berechtigungsniveau begrenzen, statt ihnen im Zweifel ein breiteres Profil zu geben. Organisatorische Prozesse, die jede Rollenzuweisung gegen den Lizenztyp prüfen, ergänzen diesen Schutz.

4. STAR-Analyse: Möglichkeiten und Grenzen

Die STAR-Analyse (S/4HANA Trusted Authorization Review) ist ein SAP-Werkzeug zur Analyse der Berechtigungsstruktur im System. Es zeigt, welche Berechtigungen zugewiesen sind, und liefert damit die Datenbasis, um FUE-Typen zu überprüfen und Optimierungspotenziale zu identifizieren.

Eine wesentliche Einschränkung gilt: STAR-Ergebnisse zeigen zugewiesene Berechtigungen, nicht tatsächliche Nutzung. Rohe STAR-Daten können deshalb überhöhte FUE-Zählungen ausweisen, wenn Berechtigungen zugewiesen, aber nicht genutzt werden. Diese Daten ungeprüft weiterzugeben, kann einen Anlass für Compliance-Maßnahmen schaffen, die auf der tatsächlichen Nutzungssituation nicht gerechtfertigt wären.

Das empfohlene Vorgehen ist deshalb:

STAR-Analyse intern durchführen
Ergebnisse mit tatsächlichen Nutzungslogs und Usage Tracking aus SAM4U abgleichen
Berechtigungen optimieren: Transaktionen entfernen, die zugewiesen, aber dauerhaft nicht genutzt werden
Erst die optimierte Datengrundlage als Basis für Verhandlungen oder Übermittlungen verwenden

SAM4Us Authorization Simulation (verfügbar ab Q4/2025) erlaubt es darüber hinaus, Berechtigungsänderungen zu simulieren und deren Auswirkung auf den FUE-Gesamtbedarf zu bewerten, bevor die Änderungen tatsächlich umgesetzt werden. Das ist ein wertvolles Instrument, um vor einer Rollenbereinigung den erwarteten FUE-Effekt zu quantifizieren.

5. Rollenoptimierung vor dem Metering-Zyklus

Rollenoptimierung ist wirkungslos, wenn sie nach dem Metering-Stichtag abgeschlossen wird. Der Steuerungsmoment Berechtigungen hat eine klare zeitliche Logik: Optimierungen, die vor dem monatlichen Metering-Lauf wirksam sind, verbessern das Metering-Ergebnis für diesen Monat. Optimierungen danach wirken erst im Folgemonat.

Das bedeutet in der Praxis: Wer eine Rollenbereinigung plant, muss wissen, wann der nächste Metering-Lauf stattfindet, und die Umsetzung entsprechend terminieren. Eine quartalsweise Rollenüberprüfung als Betriebsstandard ist deshalb sinnvoll, nicht nur als Good Practice, sondern als strukturelle Voraussetzung dafür, dass Optimierungen auch in den Metering-Ergebnissen sichtbar werden.

Für die quartalsweise Überprüfung sind drei Fragen leitend:

Gibt es Nutzer, deren zugewiesene Rollen einen höheren FUE-Typ ergeben, als ihr Arbeitsprofil erfordert?
Gibt es Rollen, die Advanced-Berechtigungen enthalten, obwohl der überwiegende Nutzungsanteil Core- oder Self-Service-Niveau hat?
Wurden seit dem letzten Review neue Rollenzuweisungen vorgenommen, die nicht auf den Lizenztyp geprüft wurden?

Diese Fragen lassen sich mit SAM4U Enhanced Usage Tracking systematisch beantworten. Das Tool identifiziert konkrete Umstufungsmöglichkeiten und macht den FUE-Effekt einer Reklassifizierung sichtbar.

6. Praktischer Zeitplan: Wann muss was bereinigt sein?

Ein strukturierter Governance-Rhythmus für den Steuerungsmoment Berechtigungen sieht wie folgt aus:

Monatlich: PCE-Metering-Dashboard in SAP for Me auswerten. FUE-Verbrauch gegen interne Kalkulation prüfen. Auffälligkeiten dokumentieren.

Quartalsweise: Self-Audit mit SAM4U durchführen. Rollenzuweisungen gegen FUE-Typen prüfen. Role-Creep-Muster identifizieren. Optimierungen einleiten und vor dem nächsten Metering-Stichtag abschließen. Ergebnisse dokumentieren.

Bei SAP-Upgrades und Releases: Klassifizierungsänderungen prüfen. SAP hat 2025 Anpassungen an der Zuordnung von Rollen zu Nutzertypen vorgenommen; bestimmte Transaktionen können dadurch einen höheren FUE-Typ erfordern als bisher. Jedes Release ist deshalb ein Anlass, die aktuelle Rollen-Nutzertyp-Zuordnung gegen die Vertragsbasis zu prüfen.

12 Monate vor dem Renewal: Lizenz-Optimierungsanalyse aufbauen. Welche FUE-Typen werden tatsächlich benötigt? Welcher Pool ist für die nächste Vertragslaufzeit realistisch? Diese Analyse ist die Verhandlungsgrundlage für das Renewal. Wer sie erst nach Eingang des SAP-Angebots aufbaut, verhandelt mit schwächerer Informationsbasis.

Vor Enhanced Audits: STAR-Analyse intern durchführen, mit Nutzungslogs abgleichen, Berechtigungen optimieren. Erst dann die Datenbasis als Grundlage für Diskussionen mit SAP verwenden.

Häufige Fragen

Was ist berechtigungsbasierte Klassifizierung in S/4HANA?

Berechtigungsbasierte Klassifizierung bedeutet, dass der FUE-Typ eines Nutzers durch die ihm zugewiesenen Rollen und Berechtigungen bestimmt wird, nicht durch seine tatsächliche Systemnutzung. Die höchste Berechtigung in der Rollen-Kombination eines Nutzers bestimmt seinen FUE-Typ.

Was ist der Unterschied zur nutzungsbasierten Klassifizierung?

Bei nutzungsbasierter Klassifizierung würde der tatsächliche Transaktionsumfang eines Nutzers als Basis für den Lizenztyp dienen. In S/4HANA Cloud gilt dagegen das berechtigungsbasierte Modell: Zugewiesene Berechtigung schlägt tatsächliche Nutzung.

Wie oft läuft PCE Metering?

PCE Metering wird monatlich durch SAP automatisch ausgeführt. Rollenoptimierungen müssen deshalb vor dem jeweiligen Metering-Stichtag abgeschlossen sein, um im laufenden Monat wirksam zu sein.

Was ist Role Creep und wie entsteht es?

Role Creep bezeichnet die schleichende Erweiterung von Berechtigungen über den lizenzierten Umfang hinaus. Typischerweise entstehen dadurch Nutzer, die in einem höheren FUE-Typ gemessen werden, als ihre eigentliche Arbeitstätigkeit erfordert. Ursache ist häufig die Zuweisung von Zusatzrollen ohne Prüfung der Lizenztyp-Implikation.

Was ist die STAR-Analyse und wie sollte ich sie nutzen?

Die STAR-Analyse (S/4HANA Trusted Authorization Review) ist ein SAP-Werkzeug zur Analyse der Berechtigungsstruktur. Es zeigt, welche Berechtigungen zugewiesen sind. Wichtig: Rohe STAR-Daten immer zunächst intern mit Nutzungslogs abgleichen und Berechtigungen optimieren, bevor die Datengrundlage für externe Zwecke verwendet wird.

Wie wirkt sich Rollenoptimierung auf den FUE-Bedarf aus?

Jeder Nutzer, der von Advanced auf Core umgestuft werden kann, spart 0,8 FUE. Von Advanced auf Self-Service sind es 0,967 FUE. Von Core auf Self-Service sind es 0,167 FUE. Bei größeren Nutzerbasen summieren sich diese Einsparungen auf einen erheblichen Steuerungshebel für die Vertragsbasis beim nächsten Renewal.

Weiterführende Artikel

SAP-Lizenzmanagement und Reifegradmodell: Pillar-Übersicht: Berechtigungsbasierte Klassifizierung im Gesamtkontext der Lizenz-Governance
Named User und FUE: Die zwei Welten der SAP-Lizenzierung: Grundlagen und Konversionsgewichte im Detail
USMM, LAW und SAM4U: Das Werkzeugset für SAP-Lizenzmessung: Wie die Metering-Daten erhoben, konsolidiert und für die Steuerung genutzt werden

Nächste Schritte

Wer den Steuerungsmoment Berechtigungen strukturiert adressieren möchte, beginnt mit einer Bestandsaufnahme der aktuellen Rollenstruktur und ihrer FUE-Implikationen. Der Vertragscheck liefert dafür eine strukturierte Ausgangsbasis: Er erfasst die Lizenzbasis, prüft Klassifizierungsabweichungen und macht den Optimierungspotenzial im Bereich Berechtigungen sichtbar.

Für ein Erstgespräch steht Bernhard Mändle gerne zur Verfügung: Termin vereinbaren