Sachstandsbericht zum Projekt -SAP-Berechtigungswesen -
Stadt: osnabrueck
Drucksache: VO/2020/5148
Datum: 2020-06-05
Vorlagenart: Mitteilungsvorlage

Seite: 1/3
Stadt Osnabrück 12.02.2020 
Vorstand für Finanzen, Infrastruktur und Beteiligungen
Fachbereich Finanzen und Controlling
Mitteilungsvorlage Vorlage-Nr:
Öffentlichkeitsstatus:
VO/2020/5148
öffentlich
Sachstandsbericht zum Projekt -SAP-Berechtigungswesen -
Beratungsfolge:
Gremium Datum Sitzungs-
art
Zuständigkeit TOP- 
Nr.
 Ausschuss für Finanzen, Infrastruktur und 
Beteiligungssteuerung 16.06.2020 Ö Kenntnisnahme
 Ausschuss für Rechnungsprüfung 29.09.2020 N Kenntnisnahme
Der Inhalt der Vorlage unterstützt folgende/s strategische/n Stadtziel/e:
 nicht zutreffend
Sachverhalt:
Der Rechnungsprüfungsausschuss hat in seiner Sitzung vom 12.11.2019 um eine 
Sachstandsmitteilung hinsichtlich der Überarbeitung des SAP-Berechtigungskonzepts 
gebeten. Hierzu wurde eine Mitteilungsvorlage in die Sitzung vom 27.02.2020 
eingebracht. Parallel sollte auch eine Information des Ausschusses für Finanzen und 
Beteiligungssteuerung in der Sitzung vom 03.03.2020 stattfinden. Aufgrund technischer 
Probleme ist die Einbringung der entsprechenden Vorlage jedoch bedauerlicherweise 
unterblieben, so dass nun in beide Ausschüsse eine aktualisierte Sachstandsmitteilung 
gegeben wird: 
Ausgangslage und Einrichtung eines Projektes
 
Ende 2017 wurde im Auftrag des RPA eine Prüfung zum SAP Berechtigungskonzept 
sowie zur System- und Schnittstellensicherheit durch die Fa. IBS durchgeführt. Diese 
Prüfung erfolgte auf Basis eines Auswertungstools der Fa. IBS (CheckAud 2017) sowie 
durch Analyse zahlreicher bereitgestellter Transaktionen und Reports.
 
Der hierzu vorgelegte Prüfbericht enthält 127 Feststellungen, die sich auf folgende 
Risikoklassen (Zuordnungen durch die Fa. IBS) und Auftragsarten (eigene überschlägige 
Zuordnung) verteilen:
 
Auftragsart / 
Risikoklasse
Handlungs-
auftrag
Dokumenta-
tionsauftrag
Prüfungs-
auftrag
 
1 
(hoch)
8 0 3 11
2 
(mittel)
20 1 39 60
3 
(gering)
7 4 45 56
 35 5 87  
 
Anfang/ Mitte 2018 erfolgten auf Grundlage der Feststellungen der Risikoklasse 1 bereits 
erste Umsetzungen und Prüfungen. Zudem wurden bereits einzelne Handlungsaufträge 
der Risikoklassen 2 und 3 erledigt.
 
Da deutlich wurde, dass die Bearbeitung der übrigen Feststellungen nicht aus dem 
laufenden Betrieb heraus möglich ist, wurde hierfür ein Projekt eingerichtet, dem zwei 
Mitarbeiterinnen mit einem Stellenanteil von insgesamt 0,9 VZÄ zugeordnet wurden. 
                                                           Seite: 2/3
Offizieller Projektstart war der 01.11.2019. Aufgrund einer personellen Veränderung 
besteht das Projektteam jedoch erst seit dem 02.01.2020 in der jetzigen 
Zusammensetzung.
Schwachstellenbereinigung
 
Das Projekt, das nach gegenwärtiger Planung Ende 2020 abgeschlossen sein wird, 
gliedert sich in zwei Phasen. Begonnen wurde mit einer Schwachstellenbereinigung auf 
Basis des Prüfberichtes. Vorrangiges Ziel dieser Phase ist die Risikoreduzierung. Hierzu 
wurde auf Grundlage aktualisierter und ergänzter Informationen durch die Fa. IBS 
insgesamt 337 Analysedateien zur Verfügung gestellt. Diese dienen der Analyse der 
Prüfungsfeststellungen sowie das sich hieraus ergebene konkrete Handlungserfordernis 
der Verwaltung. 
Hierbei wurde auch festgestellt, dass sich zahlreiche von IBS ermittelte Risiken dadurch 
ergeben, dass Berechtigungsbestandteile, die Anwender/innen zur Verfügung stehen, in 
einer nicht beabsichtigten Weise zusammenwirken und dadurch Berechtigungen 
entstanden sind, die nicht benötigt werden und über die der/der Anwender/in auch nicht 
verfügen soll. Diese Berechtigungskollisionen sind durch die Analysemöglichkeiten, die 
das Verfahren SAP bereitstellt, kaum zu identifizieren. Über die Software, über die IBS 
verfügt, können diese Kollisionen jedoch festgestellt – und damit auch Möglichkeiten der 
Beseitigung erarbeitet – werden.
Letztlich wurde bei der Erarbeitung der Handlungserfordernisse und -möglichkeiten keine 
Unterscheidung nach der Risikoklasse vorgenommen, da die Vorlage der umfangreichen 
Informationen auf der einen Seite und das Vorhandensein von Praxiserfahrungen auf der 
anderen Seite - durch im Laufe der Jahre ausmodellierte Arbeitsprozesse - als Chance für 
eine umfangreiche Bereinigung der gegenwärtigen Strukturen gesehen wurde.
Einige Maßnahmen waren dabei problemlos umsetzbar. Andere Handlungsbedarfe 
erforderten umfangreichere Rücksprachen mit den Anwender/innen und entsprechende 
Tests, um sicherzustellen, dass durch die Anpassungen keine anderen Arbeitsabläufe 
gefährdet werden. Zudem sind einige Maßnahmen konzeptioneller Art festgestellt worden, 
bei denen Berechtigungsbestandteile ggf. sehr grundsätzlich anzupassen sind. In den 
Fällen, in denen zur Sicherstellung von Arbeitsabläufen letztlich keine Anpassungen 
vorgenommen werden können, ist eine Dokumentation und regelmäßige Überprüfung der 
risikobehafteten Berechtigungen vorgesehen.
Durch die sehr detaillierte Analyse und Betrachtung des Berechtigungswesens wurde 
noch einmal verdeutlicht, dass die Komplexität und die Bedeutung des Systems eine 
umfangreichere Personalkapazität erfordert als sie in der Vergangenheit zur Verfügung 
stand. Insofern wurde die Notwendigkeit der diesbezüglich bereits beschlossenen 
Kapazitätsaufstockung deutlich bestätigt.  
Neukonzeptionierung
 
In der zweiten Phase des Projektes ist (noch stärker als zunächst nach Vorlage des IBS-
Berichtes beabsichtigt) vorgesehen, die Berechtigungen neu zu konfigurieren und zu 
standardisieren. Hierzu sollen Berechtigungsbausteine für die verschiedenen Bedarfe 
modelliert werden, die den Anwender/innen dann entsprechend der Anforderungen ihres 
Arbeitsplatzes modular zur Verfügung gestellt werden. Hierdurch soll zum einen die 
Nachvollziehbarkeit des Systems erhöht und zum anderen die dauerhafte Pflege deutlich 
erleichtert werden. Zudem können zielgerichteter und gleichmäßiger Informationen zu den 
Veränderungen oder Schulungen zur Verfügung gestellt werden. 
 
Diese Bausteine sollen nach dem Minimalprinzip modelliert werden und (möglichst) nur 
die Berechtigungen enthalten, die auch tatsächlich benötigt werden. Dieses erfordert 
jedoch umfassende Analysen der Arbeitsprozesse sowie Interviews und Befragungen der 
                                                           Seite: 3/3
SAP-Anwender. Das Projekt befindet sich deshalb in diesem Punkt noch in der Phase der 
Datensammlung und -auswertung. Bedingt durch das Corona-Virus ist das Projekt nicht 
ganz im Zeitplan. Trotzdem geht die Projektleitung davon aus, dass die Zielsetzung zum 
31.12.2020 erreicht werden kann. Der derzeitige Zielerreichungsgrad liegt bei ca. 40%.
 
Die strukturelle Überarbeitung dient nicht nur der Optimierung der gegenwärtigen 
Strukturen, sie dient auch der Vorbereitung auf die in wenigen Jahren anstehende 
Ablösung des jetzigen SAP ERP-Verfahrens durch SAP S/4 HANA. Hier können 
arbeitsintensive Aufgaben strategisch vorüberlegt und Musterbausteine entwickelt 
werden. Dies führt zu einer Entzerrung der anstehenden Arbeiten zur o. g. Ablösung des 
jetzigen SAP-Verfahrens. 
Gez. Fillep gez. Hänsler
Anlage/n: