Mit dem Wartungsende von SAP Identity Management (SAP IDM) im Jahr 2027 stellt sich für viele Unternehmen eine Grundsatzfrage: Womit verwalte ich künftig meine SAP-Benutzer und -Berechtigungen? SAP hat sich gegen einen eigenen Nachfolger und für eine Partnerschaft mit Microsoft entschieden – die offizielle Empfehlung lautet heute Entra ID. Was das Microsoft-Produkt in der SAP-Welt wirklich leisten kann, bespreche ich mit Lucas Hoppe, Strategieberater für SAP Security und IAM.
…zum Anschauen
YOUTUBE-CHANNEL abonnieren: https://www.youtube.com/@sap-it-podcast
…zum Hören
…zum Lesen
Warum Entra ID plötzlich ein SAP-Thema ist
Entra ID – früher Azure AD – ist der zentrale Benutzerspeicher der Microsoft-Welt: Wer sich an Outlook oder Teams anmeldet, nutzt in aller Regel einen Benutzer aus Entra ID. Genau dieser Speicher wird nun mit der SAP-Welt verknüpft. Der Hintergrund ist pragmatisch: SAP IDM ist abgekündigt, viele Kunden haben es im Einsatz, ein Nachfolger musste her. Statt einen eigenen Nachfolger zu entwickeln oder eine Lösung zuzukaufen, setzt SAP auf die Zusammenarbeit mit Microsoft – da laut Lucas viele Unternehmen, die SAP verwenden, auch Microsoft nutzen.
Der Reifegrad: produktiv nutzbar
Die anfängliche Skepsis war berechtigt: Zur Ankündigung waren noch wenige SAP-Funktionen verfügbar. Das hat sich mittlerweile deutlich geändert. Die klassischen Anwendungsfälle funktionieren heute gut: Ein neuer Mitarbeitender bekommt seinen Benutzer, erhält Berechtigungen und meldet sich per Single Sign-On und Multi-Faktor-Authentifizierung an – nicht nur im ERP, sondern über die gesamte SAP-Landschaft inklusive der Cloud-Systeme hinweg. Dazu kommen Oberflächen für Beantragung und Genehmigung sowie regelbasierte Automatismen. Entra ID ist damit auch für zentrale SAP-Anwendungsfälle produktiv einsetzbar.
Wir zeigen in diesem Workshop, wie Sie die Benutzerverwaltung im SAP mit Best Practices hinsichtlich Prozesse und Automatisierung verbessern.
Wo die Grenzen von Entra ID liegen
Die wichtigste Einschränkung betrifft die Tiefe des SAP-Berechtigungsmodells. Entra ID versteht nicht im Detail, was sich innerhalb einer PFCG-Rolle berindet – etwa Transaktionen, Fiori-Berechtigungen oder Berechtigungsobjekte. Zuweisen kann es die Rolle – aber es meldet nicht, dass dadurch gerade ein Funktionstrennungskonflikt entstanden ist. Prüfungen auf kritische Berechtigungen und SoD-Konflikte bleiben die Domäne spezialisierter Werkzeuge; auch gegenüber IAM-Suiten wie Omada oder One Identity fehlt diese Tiefe. Für die Frage „Welcher Benutzer soll in welchem System welche Rolle bekommen?“ ist Entra ID aber ein sehr gutes Werkzeug.
Die Architektur: HR-System, Entra ID, Cloud Identity Services
Eine sinnvolle IAM-Architektur beginnt nicht bei SAP, sondern beim HR-System – SuccessFactors oder ein Nicht-SAP-Produkt. Dort entsteht der Mitarbeitende zuerst, inklusive Stammdaten und Eintrittsdatum. Diese Daten wandern nach Entra ID, wo Regeln hinterlegt werden: Wer in der Finanzbuchhaltung arbeitet, braucht Zugang zu diesen Systemen und dort diese Rollen.
Für die Provisionierung in die SAP-Landschaft kommen anschließend die SAP Cloud Identity Services (CIS) ins Spiel. Sie sind das Tor in die SAP-Welt und verteilen die Benutzer in die einzelnen Systeme. Entra ID muss also nur an diesen einen Dienst angebunden werden, nicht an jedes SAP-Produkt einzeln; um die Schnittstellen dahinter kümmert sich SAP selbst.
Eine technische Anbindung erfolgt allerdings nicht auf Knopfdruck: Dokumentation durcharbeiten, Benutzer anlegen, Zertifikate verteilen, Feldwerte mappen. Für S/4HANA On-Premises kommt zusätzlich der Cloud Connector ins Spiel. Anbinden lässt sich praktisch jedes größere SAP-System – bei manchen ist es nur aufwendiger.
Was ist mit einem bestehenden IAM-System?
Wer bereits ein etabliertes IAM-System betreibt, sollte nicht reflexhaft umsteigen. Solche Systeme sind über Jahre tief in die gesamte IT-Landschaft hineingewachsen – nicht nur in SAP und Microsoft. Die realistischere Frage lautet: Wo gibt es echte Lücken, und lohnt sich eine Aufteilung? Etwa Microsoft- und SAP-Welt über Entra ID, alles Weitere über das bestehende System. Für Unternehmen ohne bestehendes IAM-Tool ist Entra ID dagegen ein naheliegender erster Kandidat, insbesondere wenn die Lösung für die Microsoft-Welt bereits eingesetzt wird.
Automatisierung und Governance
Der eigentliche Mehrwert liegt in Zentralisierung und Automatisierung. Benutzer müssen nicht mehr in jedem System einzeln angelegt, gesperrt oder gelöscht werden. Viele dieser Vorgänge lassen sich zentralisieren und über definierte Regeln automatisieren. Möglich sind Reaktionen auf HR-Events wie Ein- und Austritt, Zuweisungen anhand von Benutzereigenschaften, Rezertifizierungen als Inventur der Berechtigungen sowie Genehmigungsprozesse im Self-Service. Statt eines unstrukturierten Tickets nach dem Muster „Ich brauche Rechte wie XY“ läuft die Anfrage über eine Oberfläche, wird freigegeben und automatisch umgesetzt.
Für weitergehende Anforderungen gibt es Entra ID Governance als kostenpflichtiges Add-on von Microsoft – mit Access Reviews und Prozessthemen wie der Delegation von Freigaben im Urlaubsfall. Aber auch dieses Add-on versteht das Berechtigungsobjekt einer ERP-Rolle nicht.
Ein typisches Kundenbeispiel
Der klassische Fall: Ein Unternehmen betreibt die Zentrale Benutzerverwaltung (ZBV), ein zuverlässiges Arbeitspferd für das, was sie kann. Dann kommt die SAP-Cloud-Welt dazu – SuccessFactors, Ariba und weitere Systeme, in denen der Benutzerverwalter nun ebenfalls Benutzer pflegen muss, jeweils mit eigener Logik. Die ZBV hilft dort nicht weiter und lässt sich auch nicht an die Cloud Identity Services anbinden – an diesem Punkt entsteht der Bedarf nach einem übergreifenden IAM-System.
Der Einstieg erfolgt dann über einen eintägigen Workshop. Dabei werden die IT-Landschaft und relevante Use Cases aufgenommen, eine erste Architekturskizze entworfen und vor allem die Ziele geklärt: Soll Aufwand reduziert oder die Compliance verbessert werden?
Iterativ vorgehen – aber mit Vision
Der häufigste Einstiegsfehler ist der Versuch, alles auf einmal zu machen – solche Vorhaben werden schnell zu groß. Besser beginnt man mit einem Prozess, der sofort spürbar entlastet – etwa dem Zurücksetzen von Passwörtern im Self-Service. Danach lohnt der Blick dorthin, wo die höchste Fluktuation herrscht: erst zentralisieren, dann Antragsprozesse für einzelne Systeme aufbauen und sukzessive ausbauen.
Wichtig ist trotzdem die große Vision. Wer nur Benutzeranlage und Rollenzuweisung umsetzt, zahlt für eine Software, die er nicht ausschöpft. Die Perspektive sollte deshalb nicht bei SAP oder Microsoft enden, sondern beim Mitarbeitenden: Wo muss der überall hin, was braucht der im Arbeitsalltag? Ein letzter Stolperstein: Entra ID bringt vorkonfigurierte Prozesse mit, die sich nur begrenzt anpassen lassen. Statt jeden individuellen Prozess hineinzupressen, lohnt manchmal die Gegenfrage, ob man ihn nicht einfach ändert.
Fazit
Entra ID lässt sich für SAP produktiv einsetzen: Benutzer verwalten, Rollen zuweisen, Anmeldung und Automatisierung abbilden. Die Inhalte von SAP-Rollen versteht Entra ID allerdings nicht bis auf Ebene einzelner Transaktionen oder Berechtigungsobjekte. Die Anbindung der SAP-Systeme erfolgt dabei über die SAP Cloud Identity Services. Ohne bestehende IAM-Lösung ist Entra ID die erste Wahl – mit etabliertem IAM ein Kandidat, den man bewerten, aber nicht blind einführen sollte.
