FUE-Hebel über Berechtigungsrollen: Wie Rollendesign Lizenzkosten direkt beeinflusst

Wer in S/4HANA einem Nutzer eine Rolle mit Advanced-Berechtigung zuweist, zählt ihn als Advanced User. Auch wenn er diese Berechtigung nie aufruft. Die zugewiesene Rolle bestimmt den FUE-Typ, nicht die tatsächliche Nutzung. Daraus folgt: Rollendesign ist kein reines IT-Sicherheitsthema. Es ist ein direkter Steuerungsmoment für die FUE-Basis und damit für den Vertragspreis über die gesamte Laufzeit.

1. Berechtigungsbasierte Klassifizierung: Grundmechanik

In S/4HANA Cloud werden Nutzer nach ihren Berechtigungen klassifiziert, nicht nach ihrem Nutzungsverhalten. Die Grundlogik folgt dem Role-Based Access Control-Prinzip (RBAC): Jeder Nutzer erhält Rollen zugewiesen, jede Rolle ist einem FUE-Typ zugeordnet. Die höchste Berechtigung in der Rollenkombination eines Nutzers bestimmt seinen FUE-Typ.

Das ist der strukturelle Unterschied zu einer nutzungsbasierten Klassifizierung: Nutzungsbasiert würde SAP messen, welche Transaktionen ein Nutzer tatsächlich ausführt. Berechtigungsbasiert misst SAP, was ein Nutzer ausführen könnte. In S/4HANA Cloud gilt das berechtigungsbasierte Modell.

Die Konsequenz ist direkt: Jede Rolle, die breiter geschnitten ist als der tatsächliche Bedarf, erzeugt FUE-Kosten, die durch die Arbeitsrealität des Nutzers nicht gerechtfertigt sind.

In der Private Cloud Edition (PCE) verschärft sich dieser Mechanismus. SAP triggert das Metering monatlich und automatisch. Was im System als Berechtigung hinterlegt ist, fließt jeden Monat in die Metering-Ergebnisse ein. Der Steuerungsmoment Berechtigungen entsteht damit nicht einmal jährlich beim Audit, sondern zwölf Mal pro Jahr, ob er genutzt wird oder nicht.

2. Was eine zu breite Rolle kostet: Rechenbeispiel

Die vier FUE-Typen haben klar definierte Konversionsgewichte:

Nutzertyp	FUE-Gewicht	Kostenrelation zu Advanced
Advanced	1,0	Basiswert
Core	0,2	1/5 der Advanced-Kosten
Self-Service	0,033	ca. 1/30 der Advanced-Kosten
Developer	vertragsspezifisch	Vertrag prüfen

Ein Nutzer, der als Advanced klassifiziert ist, aber tatsächlich nur Core-Funktionen benötigt, verbraucht 0,8 FUE mehr als nötig. Von Advanced auf Self-Service sind es 0,967 FUE pro Nutzer.

Ein konkretes Rechenbeispiel: Eine Organisation hat 80 Nutzer, die als Advanced klassifiziert sind. Nach einer strukturierten Rollenanalyse zeigt sich, dass 30 davon tatsächlich Core-Bedarf haben und 20 Self-Service-Niveau ausreicht.

30 Nutzer von Advanced auf Core: 30 x 0,8 = 24,0 FUE frei
20 Nutzer von Advanced auf Self-Service: 20 x 0,967 = 19,3 FUE frei
Gesamt: 43,3 FUE weniger Verbrauch bei unverändertem Nutzerbestand

In einer Organisation mit einem FUE-Pool von 150 sind das fast 29 Prozent des Pools, die durch Rollenoptimierung freigesetzt werden. Im Renewal-Kontext ist das der Unterschied zwischen einem FUE-Pool, der weiter vergrößert werden muss, und einem Pool, der mit den tatsächlichen Anforderungen übereinstimmt.

3. Drei typische Rollendesign-Fehler und ihre FUE-Implikation

Fehler 1: Pauschalrollen für Abteilungen

Rollen werden auf Abteilungsebene vergeben, nicht auf Arbeitsprofil-Ebene. Eine Einkaufsabteilung erhält alle Mitglieder die Rolle "Einkauf_Standard", die Advanced-Berechtigungen enthält, weil einzelne Spezialisten diese benötigen. Sachbearbeiter, die nur Bestellungen erfassen, sind damit als Advanced klassifiziert, obwohl Core ausreichen würde.

Das Muster: Rollen werden nach organisatorischer Zugehörigkeit vergeben, nicht nach tatsächlichem Funktionsbedarf. Das ist administrativ einfacher, erzeugt aber strukturell überhöhte FUE-Kosten. Die FUE-Implikation wird selten explizit geprüft, wenn eine neue Rolle angelegt oder eine bestehende erweitert wird.

Fehler 2: Role Creep durch Ausnahmeentscheidungen

Ein Self-Service User benötigt einmalig Zugriff auf eine Transaktion, die Core-Berechtigung erfordert. Die schnellste Lösung ist eine Zusatzrolle. Die Aufgabe ist erledigt, die Zusatzrolle bleibt. Ein anderer Nutzer benötigt ähnlichen Zugriff, bekommt dieselbe Rolle. Nach 18 Monaten haben 40 Nutzer Rollen, die in der Summe Core-Berechtigungen ergeben, obwohl die ursprüngliche Lizenzplanung Self-Service vorgesehen hatte.

Die FUE-Differenz zwischen Self-Service (0,033) und Core (0,2) beträgt 0,167 FUE pro Nutzer. Bei 40 betroffenen Nutzern sind das 6,7 FUE, die monatlich auf den FUE-Pool angerechnet werden, ohne dass eine bewusste Entscheidung dafür gefallen wäre.

Fehler 3: Developer-Rollen ohne FUE-Prüfung

Developer-User haben ein vertragsspezifisches FUE-Gewicht, das je nach Vertragsversion erheblich variiert. In einigen Vertragsformulierungen entspricht ein Developer 0,5 FUE, in anderen 2,0 FUE. Bei 20 Developern ergibt sich ein Unterschied von bis zu 30 FUEs, der im sechsstelligen Bereich liegen kann.

Der Fehler liegt darin, das Developer-Gewicht nicht aktiv im eigenen Vertrag nachzusehen und bei FUE-Kalkulationen einen Standardwert anzunehmen. Der tatsächliche Vertragswortlaut bestimmt das Gewicht, nicht eine allgemein kommunizierte Regel.

4. Optimierungsschritte vor dem PCE-Metering-Zyklus

Rollenoptimierungen, die nach dem Metering-Stichtag wirksam werden, verbessern erst das Ergebnis des Folgemonats. Wer den Steuerungsmoment Berechtigungen planbar nutzen will, muss Optimierungen vor dem nächsten Metering-Lauf abgeschlossen haben.

Das folgende Vorgehen hat sich in der Praxis bewährt:

Schritt 1: Berechtigungsstruktur erheben

SAM4U Enhanced Usage Tracking aktivieren und für mindestens 30 Tage laufen lassen. Das liefert die tatsächliche Nutzungsbasis pro Nutzer. Parallel die STAR-Analyse (S/4HANA Trusted Authorization Review) intern durchführen. Sie zeigt, welche Berechtigungen zugewiesen sind.

Wichtig: Rohe STAR-Daten zeigen zugewiesene, nicht genutzte Berechtigungen. Sie dürfen nicht ungeprüft als Grundlage für externe Kommunikation verwendet werden. Erst der Abgleich mit den SAM4U-Nutzungsdaten ergibt ein belastbares Bild.

Schritt 2: FUE-Typen gegen Arbeitsprofil prüfen

Für jeden Nutzertyp prüfen: Entspricht der gemessene FUE-Typ dem tatsächlichen Arbeitsprofil? Die relevanten Fragen:

Welche Transaktionen führt dieser Nutzer tatsächlich aus, und welchen FUE-Typ erfordern sie?
Gibt es Rollen, die Advanced-Berechtigungen enthalten, obwohl die genutzten Funktionen Core- oder Self-Service-Niveau haben?
Wurden seit dem letzten Review Rollenzuweisungen vorgenommen, ohne die FUE-Implikation zu prüfen?

SAM4Us Funktion "Optimized Opportunities" identifiziert konkrete Umstufungsmöglichkeiten automatisch. Die Authorization Simulation (ab Q4/2025) erlaubt darüber hinaus, den FUE-Effekt einer geplanten Rollenänderung zu bewerten, bevor sie umgesetzt wird.

Schritt 3: Rollen technisch bereinigen

Berechtigungen, die zugewiesen, aber dauerhaft nicht genutzt werden, entfernen. Pauschalrollen, die breiter geschnitten sind als der Bedarf, durch rollenspezifische Profile ersetzen. Rollenzuweisungen technisch auf das tatsächlich benötigte Niveau begrenzen, statt im Zweifel ein breiteres Profil zu vergeben.

Dieser Schritt erfordert eine Abstimmung zwischen IT/Basis, dem jeweiligen Fachbereich und, wo vorhanden, dem Contract Manager. Die FUE-Implikation jeder Rollenänderung sollte Teil des Prüfprozesses sein.

Schritt 4: Optimierungen vor Metering-Stichtag abschließen

Den nächsten PCE-Metering-Lauf im Kalender verankern und Bereinigungen so terminieren, dass sie vorher wirksam sind. Das Ergebnis des nächsten Metering-Laufs gegen die eigene Kalkulation prüfen. Abweichungen dokumentieren.

Schritt 5: Governance-Rhythmus verankern

Der Steuerungsmoment Berechtigungen ist kein einmaliges Projekt, sondern ein laufender Betriebsstandard. Eine quartalsweise Rollenüberprüfung als fester Punkt im Governance-Rhythmus stellt sicher, dass Role Creep frühzeitig erkannt und nicht über mehrere Metering-Zyklen akkumuliert wird.

Häufige Fragen

Warum bestimmt die Berechtigung und nicht die Nutzung den FUE-Typ?

In S/4HANA Cloud gilt das berechtigungsbasierte Klassifizierungsmodell: Der FUE-Typ eines Nutzers wird durch die zugewiesenen Rollen und ihre Berechtigungen bestimmt, nicht durch die tatsächlich ausgeführten Transaktionen. Was ein Nutzer tun könnte, ist die Messgröße, nicht was er tatsächlich tut.

Wie groß ist der FUE-Unterschied zwischen den Nutzertypen konkret?

Advanced (1,0 FUE) ist fünfmal teurer als Core (0,2 FUE) und rund dreißigmal teurer als Self-Service (0,033 FUE). Die Einsparung pro Nutzer bei einer Umstufung von Advanced auf Core beträgt 0,8 FUE, von Advanced auf Self-Service 0,967 FUE, von Core auf Self-Service 0,167 FUE.

Kann ich FUE während der Laufzeit reduzieren, wenn ich Rollen optimiere?

Rollenoptimierungen verbessern den FUE-Verbrauch und damit die Headroom-Situation im laufenden Pool. Eine Reduktion des vertraglich vereinbarten FUE-Pools ist bei den meisten RISE-Verträgen während der Laufzeit nicht möglich. Optimierungen wirken deshalb primär als Verhandlungsgrundlage für das nächste Renewal, nicht als sofortige Kostenreduktion.

Was ist der sinnvolle erste Schritt, wenn ich meinen Berechtigungs-Status nicht kenne?

SAM4U (SAP Note 3646933) im Kundensystem installieren und Enhanced Usage Tracking aktivieren. Das liefert eine Datenbasis für die tatsächliche Nutzung pro Nutzer. Parallel eine STAR-Analyse intern durchführen und beide Ergebnisse abgleichen. Dieser Abgleich zeigt, wo Berechtigungen und tatsächlicher Bedarf auseinanderdriften.

Weiterführende Artikel

Berechtigungen und FUE-Kosten: Wie Rollendesign die Lizenzbasis bestimmt: Vertiefte Darstellung von PCE Metering, Role Creep und dem strukturierten Governance-Rhythmus
SAP-Lizenzmanagement und Reifegradmodell: Pillar-Übersicht: Berechtigungsbasierte Klassifizierung im Kontext der gesamten Lizenz-Governance

Nächste Schritte

Wer den Steuerungsmoment Berechtigungen strukturiert in die laufende Vertragssteuerung integrieren möchte, beginnt mit einer Bestandsaufnahme der aktuellen Rollenstruktur und ihrer FUE-Implikationen. Der Vertragscheck liefert eine strukturierte Ausgangsbasis: Er erfasst die Lizenzbasis, prüft Klassifizierungsabweichungen und macht das Optimierungspotenzial im Bereich Berechtigungen sichtbar.

Für ein Erstgespräch steht Bernhard Mändle gerne zur Verfügung: Termin vereinbaren