Dieses Wochenende habe ich mich eigentlich mehr mit SAP beschäftigt, aber da das Thema Sicherheit bei Zugängen zu Systemen nicht nur über die Benutzersteuerung und Rollenkonzept im SAP Umfeld ein wichtiges Thema ist mag ich auch hier im Blog einmal wieder einen der schon länger geplanten Artikel online stellen :-).

Im Artikel "Wordpress als CMS für die Internetseite unserer Kirchengemeinde auf kirche-miteinander.de" hatte ich ja schon erwähnt, dass es hilfreich ist sich, gerade bei bekannter Software auch Gedanken um die Sicherheit zu machen.

Gerade bei Wordpress sollte hier das Thema Updates eine besondere Bedeutung haben. Hier gehe ich (meistens) nach folgenden Muster vor, sofern ein größeres Update anliegt:

1. Backup :-)
2. Themes und Plugins aktualisieren
3. Wordpress aktualisieren
4. Schauen ob noch alles funktioniert

Aber neben dieser allgemein wohl empfehlenswerten Vorgehensweise für jede Software ist gerade bei öffentlichen Seiten auch die Frage der Zugangssicherheit für Redakteure aber auch Admins ein wichtiges Thema.

Hier nutze ich bei der von mir eingesetzten Wordpress Version zwei Plugins um den Zugang für Unbefugte etwas zu erschweren.

Plugins zur Zugangssicherheit von Wordpress

Wie bereits im vorherigen Artikel erwähnt reduziere ich die Möglichkeit sich am Passwort der User zu vesuchen (BruteForce) und habe die Anzahl der Anmeldungen entsprechend reduziert, so dass bei mehrmaliger Falschanmeldung die IP Anschrift gesperrt wird.

Plugin Limit Login Attempts Reloaded

Limit Login Attempts Reloaded Von WPChef
URL: https://de.wordpress.org/plugins/limit-login-attempts-reloaded/
Gerade in Richtung Sicherheit sollte zumindest das Login etwas abgesichert werden. Dieses Plugin setzt hier DSGVO konform auf einen gewissen Schutz, was brute force Angriffe anbelangt.



Damit sind zumindest mehrere Versuche gesperrt und die IP werden nur als HASH gespeichert. Natürlich sollte dennoch kein Name wie Admin für den Administratorzugang gewählt werden.

Zwei-Faktor-Authentifizierung 2FA mit Wordpress

Da ich aber vemehrt mitbekommen habe, dass hier auch immer mal wieder automatische Anmeldeversuche getestet werden (meist für den nicht vorhandenen User Admin aber auch für tatsächlich vorhandene User habe ich nun doch das Thema 2FA ebenfalls per Plugin umgesetzt.

Das Thema habe ich auch im Artikel "Zweistufige Anmeldung oder Zwei-Faktor-Authentifizierung (2FA) bei Onlinediensten (Datensicherheit und Datenschutz) bspw. per OTP (One-Time Password, Einmal-Passwort) App" näher vorgestellt und entsprechend lag es nahe dieses auch in der eigenen Seite umzusetzen.

Plugin Two-Factor

Two-Factor Von Plugin Contributors
URL: https://de.wordpress.org/plugins/two-factor/

Nachdem das Plugin installiert ist können die einzelnen User:innen über ihr Profil einen zweiten oder mehrere Faktoren zur Absicherung ihres Account anlegen. Als Admin kann ich dieses auch in der Userliste und sehen wer diesen Faktor aktiviert hat.

Im Profil habe ich dann mehrere Möglichkeiten wie ich meinen Zugang konkret sichern möchte:



Hier kann der zweite Faktor ein Code per Mail (der dann nach der Angabe von Benutzername und Passwort zugesandt wird) oder auch ein zeitlich limitiertes Einmalpasswort (OTP / OneTimePasswort dass dann per App am Smartphone generiert wird) sein. Neben QR Code kann auch der darunter befindliche Schlüssel zur Authentifizierung in der App eingetragen werden. Für beide habe ich die Daten aber verborgen, so dass der QR Code auf eine andere Seite und die darunterbefindliche Nummer (hier allerdings blau anonymisiert) eingetragen werden kann.


Als weitere Möglichkeiten stehen hier Backupscode oder auch FIDO Universal 2nd Factor (U2F)  zur Verfügung.

Zum Thema FIDO2 (nicht zu verwechseln mit FidoNet) hat Heise unter "Passwort-Nachfolger FIDO2" eine FAQ veröffentllicht.


Die Backupscode sind sehr praktisch, sollte einmal der Authenticator nicht vorhanden sein (Smartphone kaputt) und hier eine neue Registrierung eines zweiten Faktors erforderlich sein. Daher empfiehlt es sich hier einen zweiten Faktor in der Spalte "Aktiviert" zu markieren, so dass im Falle eines Falles eine alternative Anmeldung möglich ist.

Als letzte Möglichkeit kann auch der Pluginordner per FTP umbenannt werden, wenn man gar keine andere Möglichkeit mehr sieht.

Nachdem ein entsprechender Faktor eingerichtet worden ist und der bevorzugte Faktor ausgewählt wurde (bei mir tatsächich 2FA) funktioniert nun die Anmeldung bei Wordpress in zwei Schritten.

Die erste Anmeldung erfolgt mit Benutzername und Passwort:



Wenn dieses erfolgreich ist kommt es nun aber zur Nachfrage des zweiten Faktors:



Da ich auch noch alternative Anmeldungsmöglichkeiten als zweiten Faktor aktiviert habe kann ich hier auch auf E-Mail oder Backup-Verifizierungs-Code umstellen.
 

Schnittstellen deaktivieren bei Wordpress

Innerhalb der functions.php meines Wordpress Themes habe ich noch folgende Anpassungen vorgenommen um externe Schnittstellen zu deaktivieren.

XMLRPC deaktivieren:

add_filter(
    'xmlrpc_enabled',
    '__return_false'
);

Gerade durch BruteForce Angriffe oder DDOS ist es in meinen Augen sinnvoll diese Schnittstelle auf die API von Wordpress zu deaktivieren.

Da ich auch keine externe Anwendung habe die auf diese veraltete API zugreift kann ich diese auch bedenkenlos deaktiverne.

Rest_Authentication / Programmierschnittstelle, JSON-API deaktivieren
 

add_filter( 'rest_authentication_errors', function( $result ) {
  if ( ! empty( $result ) ) {
    return $result;
  }
  if ( ! is_user_logged_in() ) {
    return new WP_Error( '401', 'not allowed.', array('status' => 401) );
  }
  return $result;
});

Durch den c't Artikel "Datenklau durch die ­Hintertür Wie unzureichend geschützte Wordpress-Installationen Daten preisgeben"  (c't 23/2020) bin ich noch auf diese Schnittstelle aufmerksam geworden die ebenfalls hier deaktiviert wurde.

Berechtigungskonzept und Rollenerweiterungen von Wordpress

Innerhalb der Benutzerverwaltung von Wordpress können einzelnen Benutzern unterschiedliche Rollen zugeordnet werden. Dieses kann in einer Kirchengemeinde sinnvoll sein, wenn einzelne Personen Termine einpflegen sollen, andere Ankündigungen und Artikel veröffentlichen sollen und wieder andere auch Seiten pflegen sollen. Darüberhinaus sollte sich auch jemand um die Technik und das Design kümmern.

Für unsere Kirchengemeinde nutzen wir folgende Rollen:

• Administrator
  Dieses entspricht der Gesamtberechtigung und kümmert sich um Design, Templates, Plugins aber auch um Updates der Software
• Redakteur
  Ein Redakteur kann jede Seite bearbeiten (und auch Autoren der Seite ändern), Bilder und Dateien hochladen sowie Kategorien pflegen
• Autor
  Autoren können Artikel (Beiträge) aber nicht Seiten pflegen, Bilder und Dateien hochladen. Dabei können Autoren auch direkt Beiträge und auch Termine veröffentlichen.
• Mitarbeiter
  Werden bei uns nicht genutzt, aber diese könnten Artikel schreiben ohne diese zu veröffentlichen. Die Veröffentlichung müsste dann von jemand anderen vorgenommen werden.

Problematisch ist nun allerdings, dass die Seitenstruktur nur durch den Administrator bearbeitet werden kann, entsprechend ist hier ebenfalls eine Anpasssung erforderlich.

Auf diese bin ich im Artikel "Menüeinträge unter Wordpress durch Redakteure pflegen lassen - Berechtigungen im CMS der Rolle Editor / Redakteur anpassen" eingegangen.

 

Fazit

Auch für die Internetredaktion unserer Kirchengemeinde war die Einrichtung eines zweiten Faktors keine große Hürde und tatsächlich scheint das Bewustsein für Sicherheit für Zugänge hier ebenfalls breit akkzeptiert zu sein.

Da das ganze optional ist, habe ich mich sehr gefreut, dass es in der Breite angenommen wurde.

Kerstin Sommer (kerstinsommer.at) hat in ihren Artikel "WordPress Sicherheit: So schützt du deine Website" noch einige weitere Empfehlungen rund um die Sicherheit mit Wordpress veröffentlicht. Da ich mit Wordpress seltener arbeite, verweise ich an dieser Stelle gerne dahin, auch da hier sicherlich noch weitere aktuelle Artikel online veröffentlicht werden.



Unter Android nutze ich als zweiten Faktor zur Anmeldung in zwei Schritten die Apps Google Authenticator oder FreeOTP. Aber auch einige Passwortmanager haben eine entsprechende Verwaltung eines zweiten Faktor (2FA/OTP) (siehe Artikel) integriert.

 

Update: #Autorenleben Verwertungsgesellschaft Wort ( VG Wort ) und das Thema Steuer

Zum Thema Datenschutz noch als kleiner Hinweis, dass sich auch der Artikel "EU DSGVO - Info- bzw. Link-Sammlung mit Schwerpunkt auf die Umsetzung bei Blogs oder der eigenen Website (hier: Autorenwebsite, Blogger, KMU)" erneut aktualisiert wurde.

Abseits davon dürfte auch gerade für Autor:innen interessant sein, dass  das Thema VG Wort und Steuern einige Updates heute erfahren hat.

Hier bin ich unter anderem intensiver auf das Thema

• "Hintergrund Entscheidung des EUGH zur Umsatzsteuer zu Ausschüttungen von Verwertungsgesellschaften an Urheber"
• "Gutschrift & Ausschüttungsauskunft für Hauptausschüttung und Ausschüttung METIS"

Aber auch ganz konkret (mit Zahlenbeispiel) auf die Themen:

• "Rechnung über Inkassoleistung für die beiliegende Gutschrift"
• "Beispiel zur Hauptausschüttung und Steuer und EÜR"
• "Ausweis der umsatzsteuerfreien Einnahmen aus VG Wort in der Umsatzsteuervoranmeldung (UstVA)"

eingegangen. Hintergrund war, dass ich mir erst einmal selbst klar werden wollte, was es mit dieser Aufstellung für das Jahr 2019 auf sich hatte und mich dann sehr über eine positive Rückmeldung erhalten habe von jemandern der sich hier ebenfalls intensiver damit auseinander gesetzt hat und selbst im Netz dann auf meine Seite landete... daher weise ich an dieser Stelle auch gerne für andere darauf hin. Unter "Autorenleben" finden sich auch weitere Quellen die für Autor:innen nicht nur im Bezug auf Steuer und VG Wort interessant sein können.

Für eine Einzelpostenliste als ALV soll eine Auswertung über die im SAP System eingebuchten statistische Kennzahlen je CO Objekt im SAP Modul CO-OM (Gemeinkostencontrolling) erfolgen.

Grundsätzlich würde ich hier zwar auch eher einen Report Painter Bericht wie im Artikel "Hochschulcontrolling: Vergleich Lehrimport von Studiengängen und Kostenanteile einzelner Lehreinheiten - Abschnitte mit abgeleiteten Kennzahlen im Report Painter" oder "Auswertung Statistische Kennzahlen auf Innenaufträge für Lehrimport und Lehrexport auf Ebene Studiengänge" für das die Kostenstellenrechnung oder INnenauftragsrechnung anlegen. Da ich aber für die Auswertung der eingebuchten LENA je Cluster die einzelnen Studiengänge, die als Innenauftrag angelegt sind, benötige um hier eine entsprechende Auswertung zu erstellen, erscheint eine Query als eine gute Wahl.

Hier sollen nun aber die abgerechneten Ergebnisse der Studiengänge (über die Kennzahl Lehrnachfrage (LENA)) zurück auf die einzelnen Lehreinheiten gerechnet werden, als Basis zur Verteilung des Grundbudget. Leider scheint es im SAP Standard keinen Bericht über die gebuchten statistischen Kennzahlen je CO Objekt zu geben.

Tabellen Stat. Kennzahlen COSR, COEJ, COEPR

Die statistischen Kennzahlen (bzw. die Mengen) sind in den Tabellen COSR (Summe) und COEPR (Einzelposten "CO-Objekt: Einzelposten Stat. Kennzahlen - periodenbezogen") gespeichert.


Seitens SAP wird der View VIEW COVPR "CO-Objekt: EP Stat. Kennzahlen - periodenbezogen + Bel.kopf" zur Verfügung gestellt über din die beiden Tabellen COBK

Hier sind direkt COBK und COEPR über Mandant, Kostenrechnungskreis und Belegnummer miteinander verknüpft.

Allerdings scheinen in der COEPR keine Werte mehr abgespeichert zu sein, so dass ich hier lieber eine eigene Query über die Tabellen COEJR "CO-Objekt: Einzelposten Stat. Kennzahlen - jahresbezogen"  anlege.


In der erwähnten Tabellen sind für meine Auswertung insbesondere folgende Felder relevant:

• Statische Menge (hier gibt es für jede Periode en Feld SME001 bis SME016)
• Geschäftsjahr (Feld GJAHR)
• Version (Feld VERSN)
• Statistische Kennzahl (Feld STAGR)

Für das Gemeinkostencontrolling ist noch das Feld Objektnummer (OBJNR) wichtig.
 

Exkurs Objektnummer oder Partnerobjektnummer

Die Objektnummer stellt unterschiedeliche Objekte im Controlling einheitlich dar. Hierbei werden Kostenstellen mit führenden KS* und Innenaufträge mit OR* abgebildet.
In vielen Stammdatentabellen ist ebenfalls die Objektnummer vorhanden, so dass diese verknüpft werden kann.


In unseren Fall ist das aber sehr praktisch, da hierdurch zwei Infosets angelegt werden können durch die ich sowohl eine Auswertung der statistischen Kennzahlen je Innenauftrag als auch Kostenstelle auswerten kann.
 

Datenherkunft / Infoset statistische Kennzahlen und CO Objekte

Für die Innenaufträge:

Infoset:
ZCO_COEJR-AUFK  - "ZCO_COEJR-AUFK Stat Kennzahl Innenauftrag"

Join über tabelle COEJR und mit folgenden Tabellen verknüpft:

COEJR-KOKRS <->  AUFK-KOKRS "Kostenrechnungskreis"
COEJR-OBJNR <->  AUFK-OBJNR "Objektnummer"

Das Feld OBJNR hat in Tabellen eine besondere Funktion, da hier unterschiedliche Kontierungsobjekte festgehalten werden können. So werden beispielsweise Innenaufträge als OR* gespeichert, so dass hier eine entsprechende Verknüpfung erfolgen kann.

Um auch Erfasser und Erfassungsdatum zu erhalten kann ich noch

COEJR-KOKRS <-> COBK-KOKRS "Kostenrechnungskreis"
COEJR-BELNR <-> COBK-BELNR "Belegnummer"

miteinander verknüpfe.


Damit ist das Infoset für die Innenaufträge fertig.


Für die Kostenstellen:

Infoset:
ZCO_COEJR-CSKS-CSKT - "ZCO_COEJR-CSKS-CSKT Stat Kennzahl Kostenstelle"
 
Hier werden mehr Tabellen verknüpft, da die Texte zu den Kostnestellen in Tabelle CSKT und die Stammdaten in CSKS gespeichert sind.


Join über tabelle COEJR und mit folgenden Tabellen verknüpft:

COEJR-KOKRS <->  CSKS-KOKRS "Kostenrechnungskreis"
COEJR-OBJNR <->  CSKS-OBJNR "Objektnummer"

Das Feld OBJNR hat in Tabellen eine besondere Funktion, da hier unterschiedliche Kontierungsobjekte festgehalten werden können. So werden beispielsweise Kostenstellen als KS* gespeichert, so dass hier eine entsprechende Verknüpfung erfolgen kann.


Als kleiner Hinweis am Rande, die Profitcenter sind hier leider als CO Objekte nicht erfasst. Sofern eine Buchung in der Profit-Center-Rechnung (EC-PCA) erfolgte wie im Artikel "Statistische Kennzahlen in Profit-Center-Rechnung EC-PCA auf einzelnen Profit-Center auswerten".

Mit den ersten Join sind nun schon einmal die statistische Kennzahl und die Kostenstellenstammdaten verknüpft.

Ferner sollte nun noch die Tabelle CKS "Kostenstellenstammsatz" und CSKT "Kostenstellentexte" wie folgt verknüpft werden:

CSKS-KOKRS <-> CSKT-KOKRS "Kostenrechnungskreis"
CSKS-KOSTL <-> CSKT-KOSTL "Kostenstelle"
CSKS-DATBI <-> CSKT-DATBI "Datum gültig bis"

Besonders letzteres Feld ist erforderlich, wenn unterjährig sich der Name der Kostenstelle ändert.

Auch hier können noch die Daten aus dem Belegkopf ergänzt werden indem ich die Tabellen

COEJR-KOKRS <-> COBK-KOKRS "Kostenrechnungskreis"
COEJR-BELNR <-> COBK-BELNR "Belegnummer"

miteinander verknüpfe.

Auswertung / Query über statistische Kennzahlen nach CO Objekten (hier: Kostenstelle und Innenauftrag)

Nun kommt es zur eigentlichen Auswertung per Query.

In der Grundliste der jeweiligen Query habe ich zu den einzelnen Feldern in Klammern angeegeben, ob dieses ist L = Listenfeld (nur Anzeige) oder auch ein S = Selektionsfeld (Auswahl) handelt.

Dabei habe ich folgende Felder in die Query übernommen:

Query ZCO_STATK-IA "Statistische Kennzahl Innenauftrag"
zum Infoset ZCO_COEJR-AUFK

Version (L,S) COEJR-VERSN
Geschäftsjahr (L,S) COEJR-GJAHR

Auftrag (L,S) AUFK-AUFNR
Kurztext (L)  AUFK-KTEXT

Statistische Kennzahl (L,S) COEJR-STAGR
Statistische Menge (L) COEJR-SME001

Da ich die Kennzahl jede Periode erneut einspiele und es sich bei den Kennzahlen um Festwerte handelt reicht mir hier der Wert für die erste Periode.
Wichitg ist mir noch, dass bei den Eigenschaften dieses Feld keine Einheit mit ausgegeben wird, was sonst ein Extrafeld in der Query wäre.

Optional können aus dem Belegkopf

Erfassungsdatum (L) COBK-CPUDT
Benutzername (L) COBK-USNAME

ergänzt werden.

Query ZCO_STATK-KS "Statistische Kennzahl Kostenstelle"
zum Infoset ZCO_COEJR-CSKS-CSKT

Hier sind folgende Felder aufzunehmen:


Version (L,S) COEJR-VERSN
Geschäftsjahr (L,S) COEJR-GJAHR

Kostenstelle (L,S) CSKS-KOSTL
Bezeichnung (L) CSKT-KTEXT

Statistische Kennzahl (L,S) COEJR-STAGR
Statistische Menge (L) COEJR-SME001

Da ich die Kennzahl jede Periode erneut einspiele und es sich bei den Kennzahlen um Festwerte handelt reicht mir hier der Wert für die erste Periode.
Wichitg ist mir noch, dass bei den Eigenschaften dieses Feld keine Einheit mit ausgegeben wird, was sonst ein Extrafeld in der Query wäre.

Optional können aus dem Belegkopf

Erfassungsdatum (L) COBK-CPUDT
Benutzername (L) COBK-USNAME

ergänzt werden.

Wichtig ist nun allerdings noch das Feld Gültig bis, so dass nur die aktuellste Bezeichnung der Kostenstelle ausgwertet wird.

Datum Gültig bis (S) CSKS-DATBI

Hier bietet es sich an die Query nur mit einer Variante ausführen zu lassen und das Feld als geschützt mit Datumswert 31.12.9999 laufen zu lassen, sofern alle Kostenstellen grds. bis in die Ewigkeit gültig sind. Andernfalls eben bis zum aktuellen Systemdatum.

Fazit

Die entsprechende Auswertung stellt nun eine Query als ALV Liste dar in der sowohl der Wert in der ersten Buchungsperiode als auch die Kostenstelle beziehungsweise der Innenauftrag mit Kurztext sowie Erfassungsdatum und Benutzername dargestellt wird.

Ein Export kann dann wie folgt aussehen.



Natürlich lassen sich diese Daten dann auch noch ergänzen zum Beispiel nach einer virtuellen Lehreinheit als Zusatzdatum zur Kostenstelle oder aber, wie im Artikel "Auswertung sprechender Nummernkreisintervalle von CO Innenaufträgen mit Query Zusatzfeldcoding und Unterscheidung numerischer oder alphanumerischer Schlüssel" beschrieben mit weiteren Stammdaten.

Besonders im Hochschulberichtswesen und Hochschulcontrolling sind solche Auswertung sehr hilfreich. Da diese dann auch als Basis für weitere Berechnungen genutzt werden können.

Neben den eingangs erwähnten Möglichkeiten mit Report Painter / Report Writer kann auch durch Excel hier einiges erreicht werden.

Beispiele sind "Pivottabellen ab Excel 2010 dynamischer filtern mit Datenschnitten am Beispiel Hochschulfinanzstatistik" oder "Datentrends für Drittmittelstatistik mit Sparklines ab Excel 2010 darstellen durch Liniendiagramme in Zellen".

Hier sind dann Auswertungen mit SAP Query als Datengrundlage sehr nützlich und werden von mir gerne genutzt.

 

---

Hinweis:

Eine kurze Einführung in das Thema SAP Query habe ich im Artikel
"Grundlagen Kurzeinführung und Handbuch SAP Query" beschrieben und hoffe Ihnen hier eine Einführung ins Thema bieten zu können.

---

Auch Ende 2020 sind wieder die FICO Forum Infotage geplant. Aus bekannten Gründen werden diese jedoch nicht in Köln, sondern online vom 16. bis 18. November 2020 angeboten werden. Ich schätze die Infotage nicht nur durch das vorhandene SAP Know-how innerhalb der Vorträge und einen Blick in die Zukunft in Richtung SAP S/4 HANA, sondern auch durch den Austausch am Rande der Vorträge, Kontakte zu anderen die sich mit SAP beschäftigen und manch lehrreiches Gespräch am Rande der Veranstaltung.

Ich werde an allen drei Tagen bei den FICO-Forum-Infotagen teilnehmen und freue mich schon sehr auf einige der angebotenen Vorträge. Sollte noch jemand hier im Blog oder auf socialmedia an der Veranstaltung teilnehmen würde ich mich über einen Kommentar oder Nachricht sehr freuen, sodass ein Austausch nach oder während der Veranstaltung möglich ist. :-) Ich glaube zwar nicht, dass hier ein Twitterhandle wie #ficoforum2020 verbreitet sein wird, aber ein Austausch am Rande der Vorträge empfand ich bisher immer als spannend. 


Gerade für mein neues Buch "SAP S/4HANA Migration Cockpit - Datenmigration mit LTMC und LTMOM" konnte ich hier einige Impulse und Anmerkungen mitnehmen und freue mich auch sehr über das bisher erhaltene positive Feedback sei es in den Rezensionen auf Amazon * oder auch auf doktorerp.de "Für dich gelesen: SAP S/4HANA Migration Cockpit – Datenmigration mit LTMC und LTMOM von Andreas Unkelbach".

Auch wenn der direkte Kontakt der FICO Infotage dieses Jahr etwas schwieriger sein wird macht die bisher bekannte Agenda tatsächlich Lust auf die Veranstaltung und daher mag ich an dieser Stelle auch noch einmal darauf hinweisen, dass Convista Consulting und Espresso Tutorials noch bis zum 30. Juni 2020 ein Early Bird Ticket für 49 statt 99 Euro Teilnahmegebühr anbieten. Die einzelnen Vorträge können direkt live  aber teilweise auch m Nachgang alle freigegebenen Vorträge noch einmal eingesehen werden.

Mittlerweile ist auch die Agenda auf der Veranstaltungsseite online gestellt worden. Hier können auch direkt Tickets bestellt werden.

Für das Rechnungswesen (Finanzwesen und Controlling) die sich mit einem Wechsel von ERP nach S/4HANA frühzeitig beschäftigen wollen (oder auch schon gewechselt sind) dürften (wie auch für mich) folgende Vorträge besonders interessant sein.

Montag 16. November 2020: (1. Tag)

• Universal Allocation 2009 - Janet Salmon (SAP Deutschland SE & Co. KG)
• Neuerungen S/4HANA Finance 2009 - Janet Salmon (SAP Deutschland SE & Co. KG)
• Delta Customizing Finance - Karlheinz Weber (Buchautor)
• Embedded Analytics - Michael Kroschwitz (Buchautor)
• Erfahrungsbericht: S/4HANA im Controlling - Martin Munzel (Espresso Tutorials)

Diese dürften einen guten Überblick über die Neuerungen im Controlling und Finanzwesen mit S/4 HANA bieten und besonders Universal Allocation als Zusammenlegung der Verrechnung per Kostenumlage und Kostenverteilung ist mit Release 2009 eine spannende Entwicklung.

Wobei auch die anderen Vorträge sicherlich interessant sind gerade in Hinblick auf künftige Entwicklungen der SAP SE.

• Strategie S/4HANA Finance für Release 2009 - Dr. Christoph Ernst (SAP Deutschland SE & Co. KG)
• Accrual Management unter 2009 - Michael Rohrbach (ConVista Consulting AG)
• Advanced Financial Closing - Moritz Back & Dorothee Schulze (SAP Deutschland SE & Co. KG)

Dienstag, 17. November 2020 (2. Tag)

Gerade am zweitean Tag sind auch einige Themen angesprohen, mit denen ich mich ebenfalls im letzten Jahr intensiver auseinandergesetzt habe. Dazu gehört sicherlich das Thema "Datenmigration nach S/4HANA" aber auch weitere Themen die damit im Zusammenhang stehen wie die Einführung der Geschäftspartner oder auch noch einmal die unversiele Verrechnung sind hier spannend.

• Erfahrungsbericht: SAP zu SAP Migration mit SAP Migration Cockpit - Petra Heming & Torsten Weber (ConVista Consulting AG)
• Erfahrungsbericht: S/4HANA Geschäftspartner-Migration - Christian Knecht (ConVista Consulting AG)
• Das neue Log der Allokationen: Nie konnten Sie besser verteilen! - Andreas Nunnemann (SAP Deutschland SE & Co. KG)

Hier hoffe ich aber bis November durch ein eigenes Projekt auch schon etwas tiefer im SAP S/4HANA Thema drin zu sein.

SAP Analytic Cloud ist gerade für das Berichtswesen eine spannende Erweiterung und wird einige Anregungen haben, auch wenn ich mir noch immer nicht sicher bin, ob eine Cloudlösung im Bereich der öffentlichen Verwaltung angenommen werden würde.

Aber ein weiterer Vorteil der Infotage ist eben auch der Kontakt zu anderen Branchen beinhaltet, wie auch bei den verbleibenden angekündigten Themen des zweiten Tages zu sehen ist:

• HORSCH Erfahrungsbericht SAP SAC - Jochen Stiebe (ConVista Consulting AG)
• Transferpreise in S/4HANA - Frank Lowitzsch (Buchautor)
• Data Warehouse Cloud - Klaus Peter Sauer (SAP Deutschland SE & Co. KG)
• APM: Advanced Payment Management - Claus Wild (Buchautor)
• Kundenbericht: Zentrale Zahlungsplattform auf Basis von SAP S/4HANA und SAP MBC - Jochen Stiebe (ConVista Consulting AG)

Mittwoch, 18. November 2020

Normalerweise sind die FICO Forum Infotage an zwei Tagen und viele Veranstaltungen sind dabei auf drei parallele Slots verteilt. Bei der Onlineveranstatlung ist dann erstmalig ein dritter Tag dabei, so dass es möglich ist, sofern keine Nachschau betrieben werden soll, alle Vorträge am Stück zu betrachten. Wie genau diese Veranstaltung aufgebaut sein wird, macht mich durchaus neugierig.

So finden sich am dritten Tag auch einige Themen zum Berichtswesen, auf die ich neugierig bin und die auch für die Kolleg:innen aus der Finanzbuchhaltung interessant sein können.

• Erfahrungsbericht: Group Reporting - Werner Pütz (ConVista Consulting AG)
• Das Ledger-Konzept in S/4HANA - Michael Rohrbach (ConVista Consulting AG)
• Möglichkeiten und Unterstützung von SAP Tax Compliance - Heinrich Drinhausen (Flick Gocke Schaumburg)

Ansonsten sind auch die verbleibenden Themen auf der Agenda zum Blick über den Hochschultellerrand sicherlich spannend.

• Multi Tenant Edition - Maximilian Köbler (SAP Deutschland SE & Co. KG)
• SAP Analytics Cloud bei Refratechnik - Gladies Merheb & Marianne Hennies (Refratechnik Holding GmbH)
• Realtime Cash-, Liquidity & Treasury Management mit SAP S/4HANA - Jochen Stiebe (ConVista Consulting AG)

Fazit

Gerade durch die Möglichkeit sich die Vorträge auch später noch einmal anzusehen, werde ich mich hier im Juni anmelden und freue mich schon auf diese Form der Weiterbildung zu S/4 und auch die einzelnen Themen aus Controlling und Finanzbuchhaltung dürften auch für das Hochschulcontrolling und Hochschulberichtswesen wichtig sein.

Auch wenn das eigene SAP System noch ERP ist kann ein Blick in Richtung S/4 auch in Hinblick auf die Planung zur Migration oder für die Zukunft schon im Vorfeld für Poweruser und Keyuser spannend sein.

Ein Rückblick auf die bisherigen FICO Forum Infotage dürfte hier auch einem guten Überblick geben, warum ich diese sehr schätze.

Während ich letztes Jahr nur die Agenda veröffentlichte (die Zusammenfassung 2019 sollte vielleicht noch irgendwann erstellt werden, aber 2019 war aus verschiedenen Gründen etwas anstrengender) bieten doch die übrigen Berichte einen guten Überblick.

• Rückblick FI CO Forum Infotage 2016 in Köln und Zürich
  Hier war ich auch selbst mit einem Vortrag zum Thema "SAP ERP Controlling-Tipps - Aus der Praxis für die Praxis" vertreten :-)
• Rückblick FI CO Forum Infotage 2017 in Köln
• Rückblick FI CO Forum Infotage 2018 in Köln

Ich bleibe hier auf jeden Fall neugierig und freue mich schon auf das Ergebnis und zu teilendes Wissen.
 

Im Rahmen der Pflege von SAP Berechtigungen (Stichwort "Berechtigungen zur Ausführung von SAP Query (Transaktion SQ00 oder eigene Z/Y Transaktion) und Einbindung im Berechtigungskonzept und Berichtswesen" und "SAP Query: Berechtigung (organisatorisch und technisch)" fragte mich eine Kollegin wo im SAP System zu Berechtigungsobjekten und Berechtigungsfeldwerten eine Dokumentation zu den zu pflegenden Berechtigungen zu finden sind, was gerade bei neuen Berechtigungsvergaben oder auch bei der Einrichtung von "SAP Query als kundeneigene Transaktion mit Berechtigungen für Tabellenberechtigungsgruppe, Tabellen und Reporttransaktion vergeben" abseits vom zu pflegenden Berechtigungskonzept der Einrichtung auch für ein besseres Verständnis zum SAP Berechtigungswesen hilfreich ist.

Benutzerverwaltung (Transaktion SU01)

Hier musste ich dann ebenfalls einen Moment suchen an welcher Stelle für SAP Keyuser und nicht nur für die SAP Basis im SAP System eine Berechtigung aufrufbar ist und mag dieses gerne zum Anlass nehmen um hier im Artikel ein paar Grundlagen zur "Anatomie" der SAP Berechtigungen schreiben.

Für den Zugang zum SAP System ist als erstes eine SAP Benutzerkennung (User) erforderlich. Über die Benutzerpflege Transaktion SU01 (bzw. SU01D) können hier neben (Initial)passwort und Personendaten auch Rollen (aus denen Profile abgeleitet werden) zugeordnet werden.

Exkurs Besondernheit bei Berechtigungen für FIORI Apps unter S/4HANA

Bei den Rollen gibt es eine Besonderheit wenn das entsprechende SAP System auf S/4HANA beruht. Während unter SAP ERP nur Rollen mit Berechtigungen für das GUI System relevant waren sind für die Anwendungen unter FIORI entsprechende Businessrollen erforderlich. Hier sind neben den Rollen in den Berechitgungsobjekte und Berechtigungswerte eingetragen werden auch sogenannte Business Rolen.

Beim Aufruf der FIORI Oberfläche stheen unterschiedliche Rollen (Fiori-Gruppen) mit sachlich zusammenhängenden FIORI Kacheln zusammen. Als Beispiel sind hier die Befhelsgruppe Stammdaten in der dann die FIORI Kachel "Kostenstelle verwalten" zu finden ist.

Damit diese FIORI Apps/Kacheln und Gruppen angezeigt werden muss eine entsprechende Berechtigungen aufgrund einer Gruppen und Katalogzuordnung erfolgen. Diese werden über spezifische Gruppen zugeordnet, die neben den normalen Berechtigungen (wie Kostenstellen anlegen, ändern, anzeigen) auch noch Zugriff auf die passenden FIORI Apps zuweisen.

In der Referenzbibliothek für SAP-Fiori-Apps unter https://fioriappslibrary.hana.ondemand.com/ kann nach den einzelnen Apps unter "All Apps" gesucht werden" Über den Punkt IMPLEMENTATION INFORMATION sind im Abschnitt Business Role(s) auch Musterrollen für FIORI Kataloge die diese Aktivität enthalten mit aufgeführt.

 

Grundlagen SAP Berechtigungen inklusive Fiori - Online Training

Zum Thema SAP Berechtigungen und SAP S/4HANA kann ich für SAP-Administratoren, ABAP-Entwickler sowie Personen, die sich aktuell oder zukünftig mit SAP-Berechtigungen beschäftigen, den SAP Onlinekurs von Tobias Harmes als Blended-Learning von Espresso Tutorials empfehlen.

Der Onlinekurs umfasst dabei folgende Themen.

• Einführung in den Kurs
• Warum sind SAP-Berechtigungen eigentlich wichtig?
• Wie funktionieren SAP-Berechtigungen technisch?
• Entwicklung und Pflege von Rollen
• SAP-Fiori-Berechtigungen/Kachel-Berechtigungen in S/4HANA
• Entwicklung von Berechtigungsprüfungen

Persönlich empfinde ich den Kurs als sehr gelungen auch da hier praxisorientiert beim neuen Aufbau von Berechtigungen unter SAP S/4HANA weiter geholfen werden kann.

Berechtigungsrollen (Transaktion PFCG)

In der Rollenpflege (Transaktion PFCG) wird nicht nur das Rollenmenü einer Einzelrolle gepflegt, sondern im Reiter Berechtigungen können auch die Berechtigungsobjekte und Berechtigungsfeldwerte gepflegt werden.

Diese Einzelrollen können auch in Sammelrollen zusammengefasst werden. Auf die Besonderheiten im Umgang damit bin ich kürzlcih erst im Artikel "SAP Berechtigungen Massenpflege Einzelrollenzuordnungen in Sammelrollen per Funktionsbaustein (FuBa) oder Transaktionscode" eingegangen möchte hier aber für einen Berechtigungsüberblick lieber auf die Rollen und Zuordnung von Berechtigungsobjektfeldwerten in derRollenpflege mit der PFCG eingehen.

Hierbei werden die Berechtigungen entweder aus dem Rollenmenü abgeleitet (durch die Berechtigungsvorschlagswerte (Transaktion SU24) oder können im Expertenmodus auch manuell bearbeitet werden. Dabei sind die einzelnen Berechtigungsobjekte in Objektklassen aufgeteilt. So ist in der Objektklasse AAAB (Anwendungsübergreifende Berechtigungsobjekte) das Berechtigungsobjekt S_TCODE (Transaktionscode-Prüfung bei Transaktionsstart) mit dem Berechtigungsfeldwert TCD (Transaktionscode) zu finden.

Per Standard sind hier die Transaktionen aus dem Rollenmenü als abgeleitete Berechigungswerte zu finden. Über die Werthilfe (F4) können teilweise die verfügbaren Funktionen Felder zu diesen Feld aufgerufen werden.

Nebenbei wenn die Vorschlagswerte aus der SU24 noch offene Felder haben und hier Einträge erfolgt sind, erscheint ein GEPFLEGT neben dem berechitgungsobjekt und bei manuell hinzgefügten Berechtigungsobjekten ein MANUELL.

Hier ist es durchaus auch möglich ein Berechigungsobjekt über die Schaltfläche MANUELL mehrfach in die Rolle einzutragen.

Nachdem alle Berechitgungen gepflegt sind muss die Rolle gesichert und generiert werden sowie ein Benutzerabgleich ausgeführt werden. Dieses soll aber nun kein Thema hier im Artikel sein. Dieses kann auch mit der Transaktion PFUD erfolgen (siehe Kommentare zum Beitrag "SAP BC: Benutzerpuffer leeren" :-)

Dokumentationen zum Berechtigungsobjekt

Neben der teilweise vorhandenen Onlinehilfe zu einzelnen Berechtigungsobjekten stellt scih die Frage wie die Dokuemtation zum Berechitgungsobjekt aufgerufen werden kann.

Hier gibt es u.a. zwei Möglichkeiten um die Dokumenation aufzrufen.

SUIM - Benutzerinformationssystem - Berechitgungsobjekte

Diess ist entweder im SAP Menü unter

• Werkzeuge
• Administration
• Benutzerpflege
• Infosystem

oder direkt über die Transaktion SUIM (Benutzerinformationssystem)
und von dort unter

• Berechtigungsobjekte
• nach Objektname, -text

möglich.

In beiden Fällen wird die Transaktion S_BCE_68001410 gestartet. HIer kann dann nach einen berechitgungsobjekt über Berechtigungsobjekt, Berechtigungsobjekttext, Objektklasse und weitere Optionen gesucht werden.

In einer ALV Liste erscheinen dann die relevanten Berechitgungsobjekte und über das I in der Spalte Doku kann die Dokumentation zum Berechitgungsobjekt aufgerufen werden in der dann wesentlich ausführlciehre Informationen zum jeweiligen Berechitgungsobjekt sowie die definierten Felder angezeigt werden.
 

Pflege der Berechtigungsobjekte (Transaktion SU21)

Alternativ kann auch die Pflege der Berechtigungsobjekte über die Transaktion SU21 (Report RSU21_NEW) aufgerufen werden. Auf der linken Seite können die einzelnen Klassen und Objekte ausgewählt werden um sich dann zum Berechtigungsobjekt die vorhandenen Berechtigungsfelder und Kurzbeschreibungen sowie über die Schaltfläche "Dokumentation zum Objekt anzeigen" auch die Doku zum Objekt aufgerufen werden kann.

Neben vorhandenen Berechtigungsobjekten können hier auch eigene Berechtigungsobjekte angelegt weren und auch vorhandene Berechtigungsfelder wie Aktivität (ACTVT) ausgefwählt werden. Zu den einzelnen Feldern kann dann, wie bei ACTVT, die zulässigen Optionen die am Feld hinterlegt sind festgelegt werden. So kann für ein eigenes Berechtigungsobjekt mit dem Berechtigungsfeld ACTVT die Aktivität 01 Hinzufügen oder Ersetzen, 02 Ändern und 03 Anzeigen ausgewählt werden und würde dann als Auswahl im Berechtigungsfeld in der Rollenpflege zur Verfügung stellen.

Über die Schaltfläche Feldpflege könenne auch eigenentwickelte Berechtigungsfelder erstellt werden denen entweder ein bestimmtes Datenelement zugeordent wird oder auch Suchhilfen oder Prüftabellen hinterlegt werden. Auf RZ10.de ist hier im Artikel "Erstellen von Berechtigungsobjekten mit der SAP Transaktion SU21" das Thema ausführlicher inklusive Videoaufzeichnung beschrieben worden.

Berechtigungsprüfung

Bei fehlenden Berechtigungen hilft neben der bekannten SU53 zur näheren Analyse von Berechtigungsobjekten auch die SAP Basis mit einen Berechtigungstrace weiter.  Im Artikel "SAP Basis Basic oder dank SU53 oder ST01 Trace fehlende Berechtigungen finden" ist darauf näher eingegangen worden.

Fazit

Auch wenn Keyuer (Fachbereichsuser/Anwendungsbetreuung) nicht auch eigene Berechtigungsobjekte entwickeln müssen und hier eine Zusammenarbeit mit der SAP Basis imemr vom Vorteil ist sind es doch oft auch Fachfragen wie "Welche User haben die Berechtigung zur Auswertung einer bestimmten Kostenstelle oder Innenauftrag?" die durch Kenntnisse im Berechtigungswesen beantwortet werden können.

Zusammen mit der SAP Basis kann dann auch die Massenpflege von Berechtigungsfledwerten (PFCGMASSVAL) oder der Massendownload von Berechtigungsrollen (PFCG_MASS_DOWNLOAD) gemeinsam angegangen werden.

Weiterbildung im Bereich Berechtigungswesen

Neben SAP Buchempfehlungen zu SAP Berechtigungen kann ich auch die Bücher von Espresso Tutorials wie "SAP-Berechtigungen für Anwender und Einsteiger" von Andreas Prieß * oder auch das Videotutorial "SAP Berechtigungen Grundlagen - Techniken und Best Practices für mehr Sicherheit im SAP" von Tobias Harmes empfehlen.

Beide sind, neben anderen Medien, auch in der Espresso Tutorials Flatrate enthalten, die ich auch ausführlicher unter SAP Know How vorgestellt habe.

Auf das Thema Weiterbildung im SAP Umfeld werde ich auch bei nächster Gelegenheit noch etwas ausführlicher eingehen.

Als kleiner Vorgriff mag ich hier einige SAP Blogs zum Thema SAP Basis verweisen oder auch der VideoPodcast "RZ10 LIVE SAP BASIS UND SECURITY"  von rz10.de greift Themen im Bereich Berechtigungen immer wieder auf und ist hier lehrreich :-).

Neben der Massenpflege von Berechtigungsfeldwerten über die Transaktion PFCGMASSVAL (siehe Artikel "Kontenberechtigung bspw. für Personalkosten auf Kostenarten, Sachkonten und Finanzpositionen oder Belagart mit Berechtigungsgruppen sowie Massenänderungen von Berechtigungsfeldwerten mit PFCGMASSVAL" oder auch "Nach der Massenpflege von Berechtigungsobjekten (PFCGMASSVAL) folgt der Massendownload von Rollen (PFCG_MASS_DOWNLOAD)") sind auch Sammelrollen immer wieder ein spannendes Thema.

In der Transaktion PFCG könenn Sammelrollen durch den Button "Sammelrolle" anlegen angelegt werden. In einer Sammelrolle werden nun nicht einzelne Menüs und Berechtigungen vergeben sondern einzelne Rollen zusammengefasst. Nun kann diese Sammelrolle (bspw. Kreditorenbuchhaltung) einer Person zugeordnet werden und alle dieser Sammelrolle zugeordneten Einzelrollen werden der entsprechenden Person zugewiesen. Gerade für die Benutzerpflege erleichtert dies oftmals eine Menge Arbeit und auch für das Berechtigungskonzept können Sammelrollen mehr die Funktion der einzelnen Personen abbilden, als dieses Einzelrollen können.

Ausgangslage:
Eine spannende Mailanfrage ist nun Ausgangslage für diesen Blogartikel. Hier wurde die Frage gestellt, wie ohne ABAP Kenntnisse Berechtigungsrollen massenhaft geändert werden können. Die Transaktion PFCGMASSVAL ist bereits bekannt, aber es soll aus einer Liste von Sammelrollen bestimmte Einzelrollen entfernt werden. In der PFCG ist hier aber keine Möglichkeit gefunden worden.

Verwendungsnachweis von Einzelrollen in Sammelrollen

Für einzelne Rollen kann in der Transaktion PFCG über die Schaltfläche "Verwendungsnachweis" (Viereck mit Pfeilen) festgestellt werden in welcher Sammelrolle eine Rolle verwendet wird. Hier ist dann eine Liste mit allen Sammelrollen, in der die Einzelrolle verwendet wird aufgeführt.

Sollen mehrere Rollen ausgewertet werden bietet sich hier auch das bewährte Benutzerinformationssystem (Transaktion SUIM) an.

Hier kann über

• Benutzerinformationssystem
• Rollen
• Rollen nach komplexen Selektionskriterien
• nach Rollennamen

oder alternativ die Transaktion S_BCE_68001418 nach Einzelrollen oder Sammelrollen gesucht werden. Aus der Liste mit Einzelrollen kann über die Schaltfläche "Enthalten in Sammelrollen" oder die Tastenkombination STRG + UMSCH + F2 die Nutzung der Einzelrolle in Sammelrollen aufgerufen werden.

Alternativ kann hier aber auch die Tabelle AGR_AGRS ausgewertet werden. Das Tabellenfeld CHILD_AGR "In Sammelrolle enthaltene Einzelrolle" dient dabei als Selektionsfeld für die Einzelrollen und im Feld AGR_NAME ist dann die entsprechende Sammelrolle ersichtlich.

Hier verweise ich auch sehr gerne auf den Übersichtsartikel "Standardtabellen der Benutzer- und Berechtigungsverwaltung" von RZ10.de :-).

Massenpflege von Einzelrollenzuordnungen in Sammelrollen

Nachdem nun die Einzelrollen und Sammelrollen identifiziert sind stellt sich die Frage, wie die Einzelrollen aus den Sammelrollen entfernt werden können. Hier bietet sich leider die Transaktion PFCGMASSVAL nicht an. Alternativ könnte der Funktionsbaustein PRGN_RFC_DEL_AGRS_IN_COLL_AGR im Rahmen eines ABAP Report dazu verwendet werden, um Einzelrollen aus Sammelrollen zu entfernen.

Seitens der SAP gibt es aber auch eine Transaktion zur Massenpflege von Einzelrollenzuordnungen in Sammelrollen, die hier diesen Programmieraufwand abnimmt und auch einige weitere Funktionen anbietet.

Über den Transaktionscode PFCGMASSCOLLASSIGN  kann der Report "PFCG_MASS_COLL_ASSIGN" gestartet werden. Dieses Programm ist für die "Massenpflege von Sammelrollen".

Sollte diese Transaktion bei Ihnen nicht vorhanden sein finden Sie im SAP Hinweis 2789668  nähere Informationen. Hier finden Sie auch die Korrekturanleitung bzw. auch den Hinweis in welchem Support Package (740) dieser enthalten sein sollte.

In der Standardselektion können einzelne Sammelrollen gewählt werden und es können unterschiedliche Ausführungen selektiert werden:

• Simulation
• Ausführung mit vorhergehender Simulation
• Direkte Ausführung

Im Abschnitt Hinzufügen oder Löschen von Zuordnungen von Einzelrollen kann über Änderung zwischen

• A Hinzufügen
• D Löschen

auch mehrere Einzelrollen hinzugefügt oder entfernt werden.

Über den Abschnitt Optionen ist dann sowohl ein

• Profilabgleich für Benutzer (PFUD)

als auch

• Langtext ergänzen (mit Schalftläche Text)

für die Dokumentation innerhalb der Rolle möglich.

Im Abschnitt "Rollentransport" sind auch Einstellungen zum Transport vonnn Berechtigungen als mandantenabhängige Customizing-Objekte, sofern in der SCC4 aktiviert vorhanden, sofern die SCC4 Einstellungen aktiv sind.

Fazit

Die Themen SAP Basis und Berechtigungen sind auch immer wieder im gleichnamigen Podcast  "RZ10 LIVE SAP BASIS UND SECURITY" ein Thema und auch für Keyuser bspw. aus Controlling oder Rechnungswesen interessant und lehrreich. Da mein erster Kontakt mit SAP auch im Bereich Berechtigungswesenswesen war, bin ich auch immer noch sehr froh hier gemeinsam mit unserer SAP Basis im Thema bleiben zu können und freue mich immer wieder intensiver mit solchen Fragestellungen mich beschäftigen zu können.

Inhaltlich macht die Arbeit im Bereich SAP Basis und Berechtigungen auch dann noch Freude, wenn der eigene Schwerpunkt mittlerweile mehr im Bereich Controlling und Berichtswesen liegt.