SAP-Audit-Vorbereitung: Laufende Massnahmen statt Notfall-Aktivitaeten

Audit-Vorbereitung beginnt nicht in dem Moment, in dem SAP eine Prüfung ankündigt. Wer quartalsweise Self-Audits durchführt, inaktive Accounts systematisch bereinigt und Klassifizierungsabweichungen vor dem Enhanced Audit adressiert, verhandelt aus einer informierten Position. Dieser Artikel beschreibt, welche laufenden Maßnahmen eine strukturierte Audit-Bereitschaft erzeugen und warum reaktive Vorbereitung strukturell benachteiligt.

Audit-Typen und was SAP dabei prüft

SAP unterscheidet zwei Prüfformate mit grundlegend unterschiedlicher Tiefe und unterschiedlichem finanziellem Risiko.

Der Basic Audit ist die jährliche Standardmessung. SAP sendet eine Messaufforderung per E-Mail, der Kunde führt USMM- und LAW-Messungen eigenständig durch und übermittelt die Ergebnisse. Die Prüftiefe ist begrenzt: SAP vertraut weitgehend den selbst-reporteten Daten. Offensichtliche Abweichungen zwischen lizenzierten und gemessenen Nutzern werden erkannt, tiefergehende Rollenanalysen finden in der Regel nicht statt.

Der Enhanced Audit ist eine vertiefte Prüfung, initiiert durch SAP Global License Auditing (GLA). Der Umfang ist erheblich breiter: Rollenanalyse, Transaktionsnutzung, Indirect Access und systemübergreifende Verifizierung werden geprüft. Die Laufzeit beträgt typischerweise drei bis sechs Monate bei komplexeren Umgebungen. Das finanzielle Exposure ist deutlich größer, weil tiefergehende Findings aufgedeckt werden können, darunter misklassifizierte Nutzer über mehrere Jahre mit rückwirkender Back-Maintenance.

Was SAP in jedem Audit prüft, folgt einer klaren Logik: Named-User-Zahlen und Lizenztypen im On-Premise-Kontext, FUE-Verbrauch und Rollenstruktur im Cloud-Kontext, Engine-Metriken wie Payroll-Abrechnungen und Order-Management-Volumen sowie Systemlandschaft inklusive Nicht-Produktivsysteme. Im Enhanced Audit kommt Indirect Access hinzu: Dokumente, die externe Systeme in SAP erzeugen.

Wer die Prüflogik kennt, kann die eigene Governance gezielt auf die Punkte ausrichten, die im Audit relevant werden. Das ist der Steuerungsmoment, der bei laufender Lizenz-Governance planbar nutzbar ist.

Häufige Audit-Auslöser und ihr Zusammenhang mit kommerziellen Events

Audits fallen nicht zufällig an. In der Praxis zeigt sich ein Muster: Enhanced Audits häufig zusammen mit kommerziellen Ereignissen, die SAP ein strategisches Interesse an einer aktuellen Lizenzbewertung geben.

Vor Renewals und Migrationen hat SAP ein Interesse daran, den Ist-Zustand zu kennen, bevor neue Vertragsbedingungen verhandelt werden. Wer eine RISE-Migration plant oder eine laufende RISE-Vertragsverlängerung ansteht hat, sollte mit erhöhter Prüfaufmerksamkeit rechnen.

Bei M&A-Aktivitäten verändern Fusionen, Übernahmen und Ausgliederungen die Systemlandschaft. Eine neue Lizenzbewertung ist SAPs Reaktion auf die veränderte Nutzerbasis.

Nach vorangehenden Non-Compliance-Befunden erhöht sich die Prüffrequenz. Organisationen, die in vergangenen Audits Findings hatten, werden schneller erneut geprüft.

Bei Auffälligkeiten im Basic Audit kann eine signifikante Abweichung zwischen lizenzierten und gemessenen Nutzern ein Enhanced Audit auslösen. Die jährliche Standardmessung ist damit nicht nur eine Compliance-Pflicht, sondern auch ein Frühwarnsystem, das bei schlechter Datenlage zur Einladung für eine vertiefte Prüfung werden kann.

Diese Muster zeigen, dass Audit-Readiness kein eigenständiges Projekt ist, sondern ein Teil des laufenden Steuerungsmoments Berechtigungen und Nutzung. Wer die Lizenzbasis monatlich und quartalsweise kontrolliert, schafft Voraussetzungen für Audit-Situationen, die ohnehin eintreten werden.

Häufige Compliance-Lücken und ihr finanzielles Exposure

Die meisten Compliance-Lücken entstehen nicht durch vorsätzliche Unterlizenzierung, sondern durch fehlende Lifecycle-Prozesse und Klassifizierungsfehler, die sich über Zeit aufschichten. Das ist ein strukturelles Problem, kein personenbezogenes.

Misklassifizierte Nutzer sind der häufigste Enhanced-Audit-Befund. Nutzer mit Limited-Lizenz, die Professional-Transaktionen ausführen, erzeugen Nachzahlungsbedarf für den Preisunterschied zwischen den Lizenztypen. Brancheneinschätzungen aus der SAP-Compliance-Praxis gehen davon aus, dass 15 bis 25 Prozent der Named-User-Lizenzen in Organisationen ohne laufenden Review-Rhythmus fehlklassifiziert oder überflüssig sind (Quelle: Reveal Compliance, SAP User License Categories Explained).

Ein Rechenbeispiel: 100 Nutzer mit Limited-Lizenz, die tatsächlich Professional-Transaktionen ausführen, bei einer Preisdifferenz von rund 1.500 USD pro Nutzer, ergibt 150.000 USD Nachkauf. Zuzüglich drei Jahre Back-Maintenance (22 Prozent per annum auf 150.000 USD) kommt ein Gesamtexposure von rund 249.000 USD zusammen (Quelle: Redress Compliance, SAP License Audit: A Survival Guide).

Inaktive Accounts und Duplikate erhöhen die gemessene Lizenzzahl, ohne einen echten Nutzungsbedarf zu repräsentieren. USMM zählt jeden Named User unabhängig von Aktivität. In Organisationen ohne strukturiertes Offboarding kann diese Kategorie erheblich sein. Im Steuerungsmoment Nutzung ist die Bereinigung inaktiver Accounts eine der direktesten Maßnahmen: In Multi-System-Landschaften entstehen Duplikate, wenn dieselbe Person in verschiedenen Systemen unterschiedliche User-IDs hat und LAW sie nicht automatisch dedupliziert.

Engine- und Paket-Überschreitungen sind häufig unbemerkt, bis SAP sie im Audit aufdeckt. Mehr Payroll-Abrechnungen oder Order-Management-Volumen als lizenziert erzeugen retroaktive Lizenzkosten zuzüglich zwei bis drei Jahren Back-Maintenance. Ein Alert bei 90 Prozent der lizenzierten Engine-Kapazität ist eine praktikable laufende Maßnahme.

Nicht-lizenzierte Systeme betreffen Sandbox-, Schulungs- und Disaster-Recovery-Systeme, die unter bestimmten vertraglichen Bedingungen Lizenzpflichten auslösen können. Die genauen Bedingungen sind vertragsabhängig. Eine jährliche Systembestandsaufnahme inklusive Nicht-Produktivsystemen gehört zum Governance-Rhythmus.

Indirect/Digital Access ist eine unterschätzte Lücke: Wenn externe Systeme SAP-Dokumente erzeugen, ohne dass eine Digital-Access-Lizenzierung vorliegt, kann das Exposure bei hohen Integrationsvolumina erheblich sein. Neun Dokumenttypen sind in SAPs Digital-Access-Modell definiert. Das Thema wird in Pillar 4 dieser Content-Reihe ausführlich behandelt.

Was laufend stehen muss: Maßnahmen für strukturierte Audit-Readiness

Der Unterschied zwischen einer Organisation, die einen Enhanced Audit mit minimalen Findings abschließt, und einer, die erhebliche Nachforderungen erhält, liegt meist nicht im Audit-Verhalten selbst, sondern in den Monaten und Jahren davor. Wer laufend steuert, hat im Audit-Fall wenig zu bereinigen.

Die folgenden Maßnahmen bilden eine belastbare Grundlage.

Quartalsweise Self-Audits mit USMM und SAM4U sind das zentrale Element. USMM liefert die Einzelsystem-Messung, SAM4U bietet darüber hinaus Enhanced Usage Tracking und Optimierungsempfehlungen. Die 90-Tage-Schwelle ohne Login ist die etablierte Praxisregel für die Bereinigung inaktiver Accounts. Wer jedes Quartal misst und bereinigt, nutzt den Steuerungsmoment Nutzung aktiv und hält die Lücke zwischen tatsächlicher und lizenzierter Nutzung klein.

User-Lifecycle-Management als Prozessstandard bedeutet: Neue Nutzer werden mit dem korrekten Lizenztyp angelegt. Abgehende Nutzer werden aus dem System entfernt oder deaktiviert. Rollenänderungen, zum Beispiel ein Wechsel von einer operativen in eine leitende Funktion, werden auf Lizenztyp-Implikationen geprüft. Dieser Prozess verhindert die Aufschichtung von Misklassifizierungen, die in reaktiven Umgebungen über Jahre entsteht.

Integrationslandschaft dokumentieren ist die Basis für Digital-Access-Compliance: Welche Nicht-SAP-Systeme haben Schnittstellen zu SAP? Welche Dokumenttypen erzeugen sie in welchem Volumen? Diese Dokumentation sollte jährlich aktualisiert werden und bei jedem neuen Integrationsprojekt ergänzt werden.

Audit-Response-Team definieren bedeutet, im Vorfeld festzulegen, wer im Audit-Fall welche Verantwortung trägt. Die vier Rollen im Steuerungsmodell spiegeln sich im Audit-Response-Team wider: Contract Manager für Vertragsstruktur und Compliance-Bewertung, Procurement für die kommerzielle Verhandlung, Controlling für die Kostenbewertung der Findings, Executive für Freigaben und strategische Entscheidungen. Ein Team, das erst nach der Audit-Benachrichtigung zusammengestellt wird, verliert in den ersten kritischen Tagen Zeit.

Audit-Readiness-Dokumentation umfasst die strukturierte Antwort auf die Frage, die SAP im Audit stellt: Wer nutzt welche Transaktionen und warum? Technische Rollen werden den Lizenztypen zugeordnet, und diese Zuordnung wird dokumentiert. Im Enhanced Audit kann SAP diese Dokumentation einfordern. Wer sie vorliegen hat, kann kooperativ und kontrolliert antworten, statt unter Zeitdruck zu rekonstruieren.

Vier-Phasen-Prozess: Wie ein Audit strukturiert abläuft

Wenn SAP einen Audit ankündigt, folgt der Ablauf einem definierten Schema. Wer den Prozess kennt, kann jede Phase vorbereitet angehen.

Phase 1: Benachrichtigung (Woche 1). SAP sendet die formelle Audit-Benachrichtigung per E-Mail mit Scope, Timeline und Ansprechpartnern. Die erste Maßnahme ist die Aktivierung des Audit-Response-Teams. Gleichzeitig wird geprüft: Was ist der genaue Scope der Prüfung? Welche Systeme sind umfasst? Was ist die angeforderte Timeline?

Phase 2: Messung und Datenerhebung (Wochen 2 bis 4). USMM wird in allen relevanten Systemen ausgeführt, LAW-Konsolidierung wird durchgeführt. Vor der Datenübermittlung findet eine interne Prüfung und Bereinigung statt: Inaktive Accounts bereinigen, Duplikate korrigieren, offensichtliche Fehlklassifizierungen adressieren. Diese Schritte sind legitime Datenhygiene, keine Manipulation. Im Enhanced Audit werden zusätzlich Transaktionslogs, Rollenauswertungen und Integrationslandschaft vorbereitet.

Phase 3: Datenübermittlung und SAP-Analyse (Wochen 4 bis 8). Der konsolidierte LAW-Report wird über das SAP Support-Portal übermittelt. Die Grundregel für diese Phase: Nur die vertraglich geschuldeten Daten liefern, nicht mehr. SAP kann Rückfragen stellen und weitere Daten anfordern. Jede Anforderung wird gegen den vertraglichen Scope geprüft.

Phase 4: Ergebnis und Verhandlung (Wochen 8 bis 16 und länger). SAP präsentiert die identifizierten Lücken. Jedes Finding wird einzeln geprüft: Stimmt die Grundlage? Ist die Klassifizierung korrekt? Ist der Zeitraum der geltend gemachten Unterlizenzierung nachvollziehbar? Verhandlung über True-Up-Umfang und Konditionen ist in dieser Phase möglich und üblich. Wer gut dokumentiert in diese Phase geht, hat bessere Verhandlungsgrundlage.

Audit-Response-Team: Rollen und Verantwortlichkeiten

Das Audit-Response-Team ist keine Krisenorganisation, die ad hoc zusammengestellt wird. Es ist ein vorher definierter Verantwortungsrahmen, der im Audit-Fall sofort handlungsfähig ist.

Contract Manager ist die erste Adresse bei der Audit-Benachrichtigung. Er bewertet den Scope, koordiniert die Datenerhebung mit IT/Basis, und stellt sicher, dass die übermittelten Daten dem vertraglichen Scope entsprechen. Im Vier-Phasen-Prozess ist er für Phase 1 und Phase 2 federführend.

Procurement übernimmt in Phase 4 die Führung: Die kommerzielle Verhandlung über True-Up-Umfang und Konditionen liegt in der Procurement-Verantwortung. Procurement bringt die Kenntnisse über Vertragskonditionen, Nachkaufpreise und eventuelle Rabattstrukturen ein.

Controlling bewertet das finanzielle Exposure der Findings: Was kostet ein True-Up bei diesem Befund? Wie verteilt sich die Nachzahlung auf Kostenstellen? Welche Back-Maintenance-Berechnung ist vertretbar? Controlling stellt sicher, dass die Bewertung der SAP-Findings auf einer korrekten Finanzbasis basiert.

Executive entscheidet bei Findings mit erheblichem Exposure und gibt die Verhandlungsstrategie frei. Executive ist auch der Ansprechpartner für SAP auf Entscheidungsebene, wenn die Verhandlung eskaliert.

Die Grundhaltung, die sich im Audit-Kontext bewährt, ist kooperativ und kontrolliert: Fristen einhalten, kommunikativ sein, aber gleichzeitig nur das übermitteln, was vertraglich geschuldet ist, und jedes Finding auf seine Grundlage prüfen, bevor es akzeptiert wird.

Was danach laufend stehen sollte

Ein abgeschlossener Audit ist der Ausgangspunkt für eine verbesserte Governance, nicht das Ende der Beschäftigung mit dem Thema. Die Findings eines Audits zeigen, wo die Governance-Lücken lagen. Diese Lücken lassen sich systematisch schließen.

Organisationen, die nach einem Enhanced Audit beginnen, quartalsweise Self-Audits zu institutionalisieren, SAM4U als laufendes Optimierungswerkzeug einzusetzen und das Audit-Response-Team dauerhaft zu definieren, verbessern ihren Lizenz-Reifegrad von Stufe 1 oder 2 auf Stufe 3. Dieser Schritt stellt sicher, dass der nächste Audit mit einer aufgeräumten Lizenzbasis begonnen wird.

Der Steuerungsmoment im Audit-Kontext liegt nicht im Audit selbst, sondern in den Quartalen davor. Wer den Steuerungsmoment Berechtigungen monatlich und den Steuerungsmoment Nutzung quartalsweise adressiert, schafft die Voraussetzungen dafür, dass ein Audit kein Krisenmanagement erfordert, sondern eine strukturierte Lieferung gut vorbereiteter Daten ist.

Weiterführende Informationen zur Toollandschaft (USMM, LAW, SAM4U) finden sich in Cluster 3 dieses Pillars. Ein detaillierter Leitfaden für die ersten vier Wochen nach einer Audit-Benachrichtigung ist im SAP-Audit-Survival-Guide aufgeführt.

FAQ

Wie unterscheiden sich Basic Audit und Enhanced Audit?

Basic Audit ist die jährliche Standardmessung: selbst durchgeführt, begrenzte Prüftiefe, moderates Risiko. Enhanced Audit ist eine vertiefte Prüfung durch SAP GLA: tiefgehende Rollenanalyse, Transaktionsnutzung und Indirect Access werden geprüft, Laufzeit drei bis sechs Monate, erheblich höheres finanzielles Exposure.

Wann kann ein SAP-Audit ausgelöst werden?

Routinemäßig alle zwei bis drei Jahre für den Enhanced Audit. Anlassbezogen vor Renewals und RISE-Migrationen, bei M&A-Aktivitäten, nach vorangehenden Non-Compliance-Befunden oder bei Auffälligkeiten im Basic Audit.

Was ist die wichtigste laufende Maßnahme zur Audit-Vorbereitung?

Quartalsweise Self-Audits mit USMM und SAM4U, kombiniert mit laufender Bereinigung inaktiver Accounts. Wer die Lizenzbasis regelmäßig in einem sauberen Zustand hält, hat beim Enhanced Audit wenig zu korrigieren.

Welche Daten müssen im Audit übermittelt werden?

Die vertraglich geschuldeten Daten: USMM-Messdateien und den konsolidierten LAW-Report. Weitere Daten können im Enhanced Audit angefordert werden; jede Anforderung sollte gegen den vertraglichen Scope geprüft werden.

Was ist Back-Maintenance und wie wird sie berechnet?

Back-Maintenance ist die rückwirkende Maintenance-Gebühr für den Zeitraum der Unterlizenzierung. SAP berechnet sie typischerweise auf Basis von etwa 22 Prozent des Lizenzwerts pro Jahr, rückwirkend für zwei bis drei Jahre. Bei 100 misklassifizierten Nutzern und 1.500 USD Preisdifferenz ergibt sich ein Gesamtexposure von rund 249.000 USD (Nachkauf 150.000 USD plus Back-Maintenance rund 99.000 USD).

Nächste Schritte

Audit-Readiness ist ein Ergebnis laufender Steuerung, kein eigenständiges Projekt. Wer heute nicht weiß, wie die aktuelle Lizenzbasis gegenüber dem Stand eines möglichen Enhanced Audits aussieht, kann diese Klarheit strukturiert schaffen.

Vertragscheck buchen: In vier Wochen wird der Ist-Zustand der Lizenzbasis erhoben, Klassifizierungsabweichungen werden identifiziert, und die Audit-Readiness-Dokumentation beginnt. Festpreis, vier Wochen, unabhängig von SAP. Jetzt Erstgespräch vereinbaren

Weiterführende Inhalte:

USMM, LAW und SAM4U: Das Werkzeugset für SAP-Lizenzmessung (Cluster 3)
SAP-Audit-Survival-Guide: Was Sie tun, wenn SAP eine Prüfung ankündigt (SP-3)
SAP-Lizenzmanagement: Überblick und Reifegradmodell (Pillar 6 Hub)

Autor: Bernhard Mändle. Letztes Update: 21. Mai 2026.