# SAP-Passwortregeln: Profilparameter und Security Policies via SECPOL Quelle: https://rz10.de/sap-security/sap-passwortregeln-profilparameter-und-security-policies-via-secpol/ Stand: 2026-07-28 Passwortregeln für das SAP werden seit jeher über Profilparameter gesetzt. Ab EHP 6 für das ECC sind die so genannten "Security Policies" verfügbar. Damit können Sicherheitsrichtlinien auch benutzerabhängig umgesetzt werden. Nachfolgend erfahren Sie, wie Sie diese Nutzen und was das für Sie bei der Prüfung der Security-Einstellungen einer SAP-Installation bedeutet. ## Profilparameter und Security Policies Gute Passwörter sind essentiell für einen adäquaten Zugriffsschutz auf Computersysteme. Deshalb können im SAP die Regeln für ein Passwort systemseitig eingestellt werden und sind für den Anwender verpflichtend. Traditionell geschieht das im SAP-Umfeld über die Pflege der Profilparameter zu den Passwortvorgaben und können über die [SAP-Transaktion RZ10](https://rz10.de/sap-basis/sap-transaktion-rz10-pflege-von-profilparametern/) eingestellt werden. Die Profilparameter hinsichtlich der Passwortregeln haben einen entscheidenden Nachteil: sie gelten systemweit bzw. mandantenübergreifend und sind unabhängig von den Berechtigungen eines Benutzers. Somit lassen sich Benutzerkennungen mit weitreichenden Berechtigungen, wie sie beispielsweise in der Systemadministration oder bei Firefighter-Kennungen vergeben werden, nicht verpflichtend mit komplexeren Passwortvorgaben als der Standard belegen. Zum Beispiel, dass das Passwort anstelle von 90 bereits nach 30 Tagen geändert werden muss. Aus diesem Grund hat SAP eine **zusätzliche** Möglichkeit geschaffen, einzelnen Benutzern strengere Passwortregeln vorzugeben – die Security Policies. ## Sicherheitsrichtlinie in Transaktion SECPOL anlegen Dazu wird über die Transaktion SECPOL (Alternativ: IMG > SAP NetWeaver > Application Server > Benutzer und Berechtigungen > Sicherheitsrichtlinien > Sicherheitsrichtlinien anlegen) zunächst eine Sicherheitsrichtlinie angelegt und die entsprechenden Passwortvorgaben als Attribute spezifiziert. **RZ10 als Dienstleister: SAP Security** Als spezialisierter **Dienstleister für SAP Security** unterstützen wir Unternehmen dabei, ihre SAP-Systeme ganzheitlich abzusichern, Risiken zu identifizieren und geeignete Sicherheitsmaßnahmen umzusetzen. Dabei begleiten wir Sie von der strategischen Beratung über die Konzeption bis hin zur technischen Implementierung und dem laufenden Betrieb. Wie so eine Zusammenarbeit konkret abläuft, zeigt unser Kundenprojekt mit BADER Leather. Hier lesen: [Ganzheitliche Security Roadmap für BADER Leather](https://rz10.de/referenzen/security-roadmap-fuer-bader-leather/) Anschließend können die Security Policies über den jeweiligen Benutzerstammsatz Benutzern zugewiesen werden (Transaktion SU01 > Benutzer auswählen > Tab: Logondaten > Feld: Sich.-Richtlinie). Wichtig sind in diesem Zusammenhang zwei Dinge: erstens, die Sicherheitsrichtlinien sind additiv. Das heißt, die Passwort-Profilparamter gelten weiterhin für alle Benutzer. Die strengeren Attribute der Security Policy gelten im Gegensatz dazu nur für Benutzer, bei denen sie über die Security Policy im Stammsatz hinterlegt wurden und sind folglich auch ausschließlich für diese verbindlich. Und zweitens, sie unterscheiden sich marginal in der Bezeichnung gegenüber den entsprechenden Instanzparametern. Unter dem unten angegebenen Link zur SAP-Hilfe finden Sie eine Auflistung der Einstellmöglichkeiten zu den einzelnen Passwortvorgaben nebst einer Referenz auf die entsprechenden Profilparameter. [![Über die Transaktion SU01 können Sie die erstellten Sicherheitsrichtlinien Benutzern zuweisen. Diese übersteuern die allgemeinen Passwort-Profilparameter für den jeweiligen Benutzer.](https://rz10.de/files/2019/02/SAP-Security-Policy-zuordnen_markiert.png)](https://rz10.de/files/2019/02/SAP-Security-Policy-zuordnen_markiert.png) Über die Transaktion SU01 können Sie die erstellten Sicherheitsrichtlinien Benutzern zuweisen. Diese übersteuern die allgemeinen Passwort-Profilparameter für den jeweiligen Benutzer. [![Über die Transaktion SU01 können Sie die erstellten Sicherheitsrichtlinien Benutzern zuweisen. Diese übersteuern die allgemeinen Profilparameter für den jeweiligen Benutzer.](https://rz10.de/files/2019/02/SAP-Security-Policy-zuordnen.png)](https://rz10.de/files/2019/02/SAP-Security-Policy-zuordnen.png) Über die Transaktion SU01 können Sie die erstellten Sicherheitsrichtlinien Benutzern zuweisen. Diese übersteuern die allgemeinen Profilparameter für den jeweiligen Benutzer. ## Auswirkungen auf die SAP-Security-Einstellungen Welchen Konsequenzen hat das nun für die Prüfung der SAP-Security-Einstellungen? Der Check der Passwortregeln ausschließlich über die Profilparameter (Standard-Report RSPARAM) kann ab EHP 6 zu falsch-positiven Ergebnissen führen. Denn über den Benutzerstammsatz können die Sicherheitsrichtlinien auf Ebene der Benutzer die zu prüfenden Vorgaben gewährleisten, auch wenn die Instanzparameter ungenügend sind. Sofern Sie kein Audit-Tool im Einsatz haben, sollten Sie zunächst über den IMG prüfen, ob Sicherheitsrichtlinien angelegt wurden und welche Parameter bzw. Attribute jeweils vergeben wurden. Anschließend prüfen Sie über die Tabelle "USR02" in der Spalte "Security_Policy", welchen Benutzern Sicherheitsrichtlinien zugewiesen wurde. Im letzten Schritt verifizieren Sie über die Transaktion SECPOL_CHANGES, wann zuletzt Änderungen an den Sicherheitsrichtlinien vorgenommen wurden. Auditoren prüfen so, ob die Sicherheitsrichtlinien nicht erst kurz vor dem Audit scharf geschaltet wurden. [![Über Doppelklick auf "Attribute" in der Sicherheitsrichtlinie werden Ihnen die verfügbaren Passwort-Vorgaben angezeigt und können an dieser Stelle angepasst werden.](https://rz10.de/files/2019/02/SAP-Security-Policy-anlegen.png)](https://rz10.de/files/2019/02/SAP-Security-Policy-anlegen.png) Über Doppelklick auf "Attribute" in der Sicherheitsrichtlinie werden Ihnen die verfügbaren Passwort-Vorgaben angezeigt und können an dieser Stelle angepasst werden. *Dieser Artikel erschien bereits im Februar 2019. Der Artikel wurde am 23.07.2026 erneut geprüft und mit leichten Anpassungen aktualisiert.* ## Weiterführende Links SAP Help: Security Policy Attributes for Logon and Passwords: [https://help.sap.com/doc/saphelp_nw73ehp1/7.31.19/en-us/e9/c15fb4c06340558898fda99d98cb0d/frameset.htm](https://help.sap.com/doc/saphelp_nw73ehp1/7.31.19/en-us/e9/c15fb4c06340558898fda99d98cb0d/frameset.htm) SAP-Hilfe: Security Policy bzw. Sicherheitsrichtlinie einrichten: [https://help.sap.com/docs/SAP_NETWEAVER_750/c6e6d078ab99452db94ed7b3b7bbcccf/41019a4dba8d4afcb9e6a12003e40a2a.html](https://help.sap.com/docs/SAP_NETWEAVER_750/c6e6d078ab99452db94ed7b3b7bbcccf/41019a4dba8d4afcb9e6a12003e40a2a.html) [KnowHow: SAP-Installation](https://rz10.de/knowhow/sap-installation/)