Was macht ein SAP Security Consultant?
Im Mittelpunkt steht das Berechtigungswesen in SAP-Systemen. SAP Security Consultants entwerfen Rollenkonzepte, bauen Einzel- und Sammelrollen in der Transaktion PFCG, pflegen Organisationsebenen und prüfen, ob kritische Kombinationen von Rechten vermieden werden. Dazu gehört die Analyse von Funktionstrennungskonflikten (Segregation of Duties), häufig mit SAP GRC Access Control, sowie die Einrichtung von Notfallzugängen und Genehmigungsworkflows. Ein großer Teil der Projekte dreht sich derzeit um die Umstellung auf S/4HANA: Alte Rollen werden bereinigt, Fiori-Kataloge und -Gruppen berechtigt, Schnittstellen- und Systembenutzer neu bewertet. Hinzu kommen technische Aufgaben wie das Härten von Systemparametern, das Einspielen von Security Notes, die Konfiguration des Security Audit Log und die Anbindung an Identity-Management-Lösungen oder Single Sign-on. In Beratungshäusern und Wirtschaftsprüfungsgesellschaften unterstützen Consultants zudem Jahresabschlussprüfungen, bewerten interne Kontrollsysteme und schreiben Prüfberichte. Ein wiederkehrender Teil des Alltags ist die Abstimmung mit Fachbereichen, die wissen wollen, warum ein Mitarbeiter eine Transaktion nicht ausführen kann.
Wie wird man SAP Security Consultant?
Einen geschützten Ausbildungsweg gibt es nicht. Die meisten kommen über ein Studium der Wirtschaftsinformatik, Informatik oder Betriebswirtschaft mit IT-Schwerpunkt. Andere steigen aus der SAP-Basis-Administration, aus dem Benutzer-Support oder aus der internen Revision ein und spezialisieren sich nach und nach. Auch eine Ausbildung als Fachinformatiker für Systemintegration mit anschließender SAP-Erfahrung ist ein gangbarer Weg. Größere Beratungen stellen Absolventen als Junior Consultants ein und schulen sie intern. SAP-Zertifizierungen, etwa im Bereich Security and Authorizations oder GRC, sind verbreitet und erleichtern den Einstieg, ersetzen aber keine Projekterfahrung.
Was der Beruf verlangt
Die Arbeit ist detailreich und verlangt Geduld: Ein Berechtigungsfehler zeigt sich oft erst im Echtbetrieb, und die Ursachensuche in Traces und Berechtigungsobjekten kann sich ziehen. Zugleich braucht es Verständnis für Geschäftsprozesse im Einkauf, im Rechnungswesen oder in der Personalwirtschaft, denn Rollen bilden Arbeitsabläufe ab. In der Beratung kommen Termindruck vor Go-lives und Prüfungsterminen sowie wechselnde Kunden hinzu. Systemumstellungen finden häufig am Wochenende statt, Rufbereitschaft in der Hypercare-Phase ist nicht ungewöhnlich. Je nach Arbeitgeber gehört Reisetätigkeit zum Kunden dazu, in manchen Beratungen in erheblichem Umfang. Das Englische ist in internationalen Projekten Arbeitssprache. Wer gern alleine programmiert, ist hier weniger gut aufgehoben als jemand, der zwischen Fachbereich, IT und Prüfern vermitteln kann.
Aussichten
Die Nachfrage ist hoch. Das Auslaufen der Wartung älterer SAP-Versionen treibt S/4HANA-Projekte an, gesetzliche Anforderungen an IT-Sicherheit und Prüfbarkeit nehmen zu, und erfahrene Fachleute sind knapp. Entwicklungswege führen zum Senior Consultant oder Projektleiter, zur Spezialisierung auf GRC, Identity Management oder Cloud-Sicherheit in der SAP Business Technology Platform oder in Führungsrollen der IT-Revision. Viele wechseln nach einigen Jahren Beratung in eine Inhouse-Stelle mit weniger Reisen, andere machen sich als freiberufliche Berater selbstständig, was in diesem Feld verbreitet ist.