Einzelrollen vs. Sammelrollen - Architekturentscheidung statt Detailfrage

Im SAP-Berechtigungswesen ist die Diskussion „Einzelrollen versus Sammelrollen“ keine technische Randnotiz, sondern eine grundlegende Architekturentscheidung mit langfristigen Auswirkungen auf Wartbarkeit, Transparenz, Auditfähigkeit und Betriebskosten. Deshalb gehen wir in diesem Beitrag darauf ein, welche Unterschiede es bei Einzelrollen und Sammelrollen gibt und was allgemein bei der Konzipierung zu beachten ist.

Technische Einordnung: Was ist Einzelrolle, was ist Sammelrolle?

Technisch betrachtet ist die Einzelrolle in der PFCG die vollständige Berechtigungseinheit. Sie enthält Berechtigungsobjekte mit konkreten Feldwerten, generiert ein Profil und kann direkt Benutzern zugewiesen werden. Die Sammelrolle hingegen enthält keine eigenen Berechtigungsdaten, sondern bündelt mehrere Einzelrollen logisch. Sie erzeugt selbst kein Profil und wirkt rein zusammenfassend.

Diese Definition erklärt jedoch nur die technische Mechanik, nicht die strategische Qualität eines Rollenkonzepts. Entscheidend ist nicht, ob eine Rolle formal eine Einzel- oder Sammelrolle ist, sondern wie die Berechtigungen geschnitten und strukturiert werden.

Arbeitsplatzspezifische Einzelrollen als bewährtes Modell

Ein in der Praxis vielfach bewährter Ansatz ist der Aufbau arbeitsplatzspezifischer Einzelrollen. Dabei wird ein kompletter fachlicher Verantwortungsbereich in einer Rolle abgebildet. Ein Debitorenbuchhalter erhält beispielsweise eine Einzelrolle, die sämtliche für seine Tätigkeit notwendigen Funktionen umfasst – von der Beleganzeige über Buchungen und Ausgleiche bis hin zu definierten Stammdatenänderungen, jeweils eingeschränkt auf relevante Organisationswerte wie Buchungskreis oder Vertriebsbereich.

Diese Rolle bildet nicht einzelne Transaktionen ab, sondern den tatsächlichen Arbeitsplatz. Dadurch bleibt die Anzahl der Rollen beherrschbar, die fachliche Zuordnung ist eindeutig, und Abstimmungen mit HR oder Fachbereichen werden deutlich einfacher. Gleichzeitig bleibt die technische Kontrolle erhalten, da der Rollenumfang sauber definiert und dokumentiert sind. Eine arbeitsplatzspezifische Einzelrolle entspricht einem Werkzeugkasten, der alle für die Arbeit notwendigen Werkzeuge enthält.

Einzelrollen-Konzepte als strategischer Ansatz – insbesondere im Greenfield

Einzelrollen-Konzepte sind jedoch nicht nur im arbeitsplatzbasierten Ansatz sinnvoll, sondern können – je nach Projektsituation – eine eigenständige strategische Architektur darstellen.

Gerade in Greenfield-Projekten ergibt ein strukturiertes Einzel- bzw. Taskrollen-Konzept häufig besonders viel Sinn. Der Grund ist einfach: Es existieren noch keine historischen Nutzungsdaten, auf die man sich beziehen kann.

• Es gibt keine belastbare Transaktionsanalyse

• Es fehlen Auswertungen darüber, welche Benutzer welche Berechtigungen wie häufig genutzt haben

• Es existieren keine gewachsenen Referenzrollen

Damit entfällt die Möglichkeit, Rollen „datengetrieben“ nach dem Minimalprinzip abzuleiten.

Ein sauber geschnittenes Einzelrollen- bzw. Taskrollen-Konzept kann hier einen klaren Vorteil bieten: Es ermöglicht den Aufbau von in sich SoD-konfliktfreien Rollen, die von Anfang an strukturiert und auditnah sind.

Anstatt über lange Projektphasen hinweg mit weitreichenden Berechtigungen wie SAP_ALL zu arbeiten, kann so bereits früh ein kontrolliertes und revisionsnahes Berechtigungsmodell etabliert werden. Dies führt zu einem deutlich stabileren Start in den Berechtigungsstream.

Vorteil eines vorgefertigten Einzelrollenkatalogs

Ein entscheidender Erfolgsfaktor eines Einzelrollenkonzepts ist die Qualität des Zuschnitts.

Ein gutes Einzelrollenmodell zeichnet sich dadurch aus, dass:

• nahezu jede Transaktion eindeutig einer Rolle zugeordnet ist

• Doppelzuweisungen weitgehend vermieden werden

• Transparenz und Nachvollziehbarkeit maximal erhöht werden

In der Praxis bedeutet das: Wird beispielsweise in der Transaktion SUIM nach einer bestimmten Transaktion gesucht, findet sich diese in der Regel nur in genau einer Rolle – in seltenen Ausnahmefällen maximal in zwei.

Ein bewusstes Beispiel für eine solche Ausnahme ist die Transaktion SU01:

• einmal in einer Rolle für die Benutzeradministration

• einmal in einer Helpdesk-Rolle, jedoch dort funktional eingeschränkt (z. B. nur Passwort-Reset)

Dieses Prinzip reduziert die Komplexität erheblich.

Die Auswirkungen sind deutlich:

• Die Berechtigungsverwaltung wird verschlankt

• Verantwortlichkeiten werden klarer

• Die Komplexität verlagert sich stärker in die Benutzerverwaltung

• Der operative Aufwand im Tagesgeschäft sinkt

Gleichzeitig wird die Benutzeradministration vereinfacht, da Rollen eindeutig interpretierbar bleiben.

Die Problematik extrem granularer Einzelrollen

Dem gegenüber steht das Konzept sehr kleiner, funktionsbezogener Einzelrollen. Hier wird jede Funktion separat modelliert. Theoretisch entsteht dadurch maximale Granularität. Praktisch führt dieser Ansatz jedoch häufig zu einer exponentiell wachsenden Rollenanzahl. In größeren Organisationen sind schnell mehrere tausend Rollen im Umlauf, die gepflegt, getestet, dokumentiert und transportiert werden müssen.

Diese Komplexität betrifft nicht nur die Administration, sondern auch Analyse und Wartung. Die Nachvollziehbarkeit effektiver Berechtigungen wird erschwert, insbesondere wenn Benutzer eine Vielzahl kleiner Rollen direkt oder indirekt zugewiesen bekommen. Der vermeintliche Vorteil der Präzision schlägt dann in strukturelle Unübersichtlichkeit um.

Fiori als zusätzlicher Komplexitätsfaktor

Mit der Einführung von SAP Fiori in SAP S/4HANA verschärft sich dieses Spannungsfeld weiter. Rollen sind hier nicht nur Träger von Berechtigungsobjekten, sondern auch von Fiori-Katalogen, OData-Services sowie Launchpad-Strukturen wie Spaces und Pages. Jede zusätzliche Rolle bringt potenziell eigenen Fiori-Content mit sich.

Werden Rollen extrem granular geschnitten, fragmentiert zwangsläufig auch die Fiori-Struktur. Das Launchpad verliert an Übersichtlichkeit, Kataloge vervielfachen sich, und die Pflege wird zunehmend aufwendig. Arbeitsplatzspezifische Einzelrollen harmonieren deutlich besser mit dem Fiori-Ansatz, da sie eine konsistente Bündelung von Funktionen erlauben und eine stabile Launchpad-Struktur ermöglichen.

Brownfield: Warum hier andere Ansätze sinnvoll sind

Während im Greenfield ein Einzelrollen-/Taskrollenansatz häufig Vorteile bietet, zeigt sich in Brownfield-Projekten oft ein anderes Bild. Hier existieren bereits gewachsene Rollenstrukturen, Nutzungsdaten und Transaktionshistorien

Diese können genutzt werden, um Rollen datenbasiert zu optimieren.

Ein bewährter Ansatz ist hier das Mutter-/Ableitungsrollenkonzept:

• Zentrale Mutterrollen definieren die fachliche Logik

• Ableitungen steuern organisatorische Ausprägungen

• Daraus entstehen arbeitsplatzspezifische Rollen

Im Gegensatz zu Sammelrollen, die viele kleine Taskrollen bündeln, entsteht so ein klar strukturiertes, wartbares Modell.

Zusätzlich können mithilfe von Transaktionsanalysen:

• tatsächliche Nutzungsmuster identifiziert werden

• Rollen nach dem Minimalprinzip optimiert werden

• sogar Lizenzkosten reduziert werden

Relativierung des Sammelrollenvorteils

Häufig wird argumentiert, Sammelrollen vereinfachten das User Lifecycle Management, da nur eine Rolle zugewiesen werden müsse. Dieser Vorteil besteht vor allem dann, wenn viele kleine Einzelrollen existieren. Werden jedoch arbeitsplatzspezifische Einzelrollen verwendet, reduziert sich dieser Effekt erheblich.

Technisch ist es unerheblich, ob einem Benutzer viele kleine Einzelrollen direkt zugewiesen werden oder diese in einer Sammelrolle gebündelt sind. Das Ergebnis bleibt identisch. Wird hingegen ein kompletter Arbeitsplatz in einer Einzelrolle abgebildet, ist eine zusätzliche Sammelrolle oft nicht zwingend erforderlich.

Ausprägung, SoD und Transparenz

Aus Ausprägungs- und SoD-Sicht ist die Qualität der Sammelrolle entscheidend. Konflikte entstehen auf Ebene konkreter Berechtigungsobjekte, die über die einzelnen Einzelrollen in die Sammelrolle übertragen werden. Dies kann dazu führen, dass SOD-Konflikte in Sammelrollen auftreten, obwohl die enthaltenen Einzelrollen für sich sauber aufgesetzt wurden. Die Funktionstrennung muss daher über alle in der Sammelrolle enthaltenen Einzelrollen hinweg gewährleistet sein. Eine methodisch sauber geschnittene arbeitsplatzspezifische Einzelrolle schafft Klarheit über Verantwortlichkeiten und reduziert implizite Berechtigungsanhäufung. Sammelrollen verändern an dieser technischen Grundlage nichts, sondern bündeln lediglich bestehende Strukturen.

In klassischen SAP ECC-Systemen war diese Diskussion häufig rein transaktionsgetrieben. Mit SAP S/4HANA und der stärkeren Integration von SAP Fiori ist die Verzahnung zwischen Backend-Berechtigungen, Services und Benutzeroberfläche hinzugekommen. Gerade hier zeigt sich, dass ein übermäßig fragmentiertes Rollenkonzept strukturelle Nachteile erzeugt.

Fazit: Methodik vor Dogmatik

Die Frage „Einzelrolle oder Sammelrolle?“ lässt sich nicht dogmatisch beantworten. Entscheidend ist die gewählte Schnittmethodik. Extrem granulare Einzelrollen erzeugen zwar maximale Differenzierung, führen jedoch häufig zu unnötiger Komplexität – insbesondere im Fiori-Umfeld. Arbeitsplatzspezifische Einzelrollen bieten in vielen realen Szenarien das bessere Gleichgewicht zwischen fachlicher Verständlichkeit, technischer Kontrolle und administrativer Beherrschbarkeit.

Sammelrollen können als organisatorische Klammer sinnvoll sein, insbesondere in sehr stabilen Konzernstrukturen oder bei globalen Templates. Sie ersetzen jedoch nicht die Notwendigkeit sauber konzipierter Einzelrollen. Letztlich entscheidet nicht die Anzahl der Rollen über die Qualität eines Berechtigungskonzepts, sondern die Konsistenz und Klarheit seiner Struktur.

Wie wir bei Go Next Consulting helfen können

Ein belastbares Berechtigungskonzept entsteht nicht zufällig – es ist das Ergebnis methodischer Architektur, technischer Tiefe und sauberer Ausprägung. Genau hier setzen wir bei Go Next Consulting an. Wir unterstützen unsere Kunden dabei, Einzelrollen strategisch sauber zu schneiden, bestehende Rollenkonzepte datenbasiert zu optimieren und gewachsene Sammelrollenstrukturen kritisch zu hinterfragen.

Ihr benötigt Unterstützung? Jetzt einen Termin für ein unverbindliches Erstgespräch vereinbaren!

Jetzt Termin vereinbaren