- Startseite
- Fiori Berechtigungen
Fiori Berechtigungen: sicher, schlank und auditfest in SAP S/4HANA
Fiori Berechtigungen steuern, welche SAP Fiori Apps ein Benutzer im Fiori Launchpad sieht, starten darf und welche Daten er darin bearbeiten kann. Sie bestehen aus vier Ebenen: dem Zugang zum Launchpad, Katalogen und Spaces für die Sichtbarkeit, der Startberechtigung für OData Services und den fachlichen Berechtigungen im Backend.
Nextado plant, baut und prüft Fiori Berechtigungskonzepte für SAP S/4HANA, vom ersten Katalog bis zur SoD Prüfung. Auf dieser Seite erfahren Sie, wie Fiori Berechtigungen technisch funktionieren, wie Sie Fehler schnell finden und wie wir Sie dabei unterstützen.
Fiori Berechtigungen in 60 Sekunden
- Eine Fiori App braucht vier Berechtigungsebenen: Launchpad Zugang, Business Katalog (plus Space für die Anzeige), Startberechtigung für den OData Service und fachliche Backend Berechtigungen.
- Die Startberechtigung prüft SAP mit
S_SERVICEbei OData V2 und mitS_START(ObjekttypG4BA) bei OData V4. - Kataloge legen fest, welche Apps ein Benutzer starten darf. Spaces und Pages legen fest, wo die Apps im Launchpad erscheinen.
- Spaces und Pages gibt es ab SAP S/4HANA 2020. Der Gruppenmodus gilt seit SAP S/4HANA 2021 offiziell als veraltet.
- Das zentrale Werkzeug bleibt die
PFCG. Dazu kommenSU24, der Launchpad Content Manager/UI2/FLPCM_CUSTund der Launchpad App Manager/UI2/FLPAM. - Die häufigste Fehlerursache ist eine fehlende Abstimmung zwischen Frontend Rolle (Katalog, Space, Service) und Backend Rolle (fachliche Objekte).
Was sind Fiori Berechtigungen?
Fiori Berechtigungen sind die technische Umsetzung des rollenbasierten Prinzips von SAP Fiori. Anders als in der SAP GUI genügt dafür nicht eine Transaktion in einer Rolle. Eine Fiori App besteht aus einer Oberfläche im Browser, einem OData Service, der die Daten liefert, und der Geschäftslogik im Backend. Jede dieser Schichten wird separat geprüft.
Gut geplante Fiori Berechtigungen sorgen dafür, dass Benutzer schnell arbeiten können, sensible Daten geschützt bleiben und Prüfer bei Audits nachvollziehen können, wer was darf.
SAP GUI vs. SAP Fiori: Was ändert sich bei den Berechtigungen?
Die fachlichen Berechtigungsobjekte bleiben gleich. Was sich ändert, ist der Weg dorthin: In Fiori kommen Kataloge, Spaces und OData Services als zusätzliche Ebenen dazu. Für immer mehr Unternehmen ist das Alltag: Laut DSAG Investitionsreport 2025 setzen bereits 42 % der befragten Unternehmen SAP S/4HANA on premises ein und 33 % in der Private Cloud.
| Kriterium | SAP GUI | SAP Fiori |
|---|---|---|
| Oberfläche | Installierter Desktop Client | Browser, Tablet und Smartphone |
| Einstieg | Transaktionscode | Kachel im SAP Fiori Launchpad |
| Startberechtigung | S_TCODE | S_SERVICE (OData V2) oder S_START (OData V4) |
| Sichtbarkeit | Rollenmenü | Business Katalog plus Space und Page |
| Fachliche Berechtigungen | Berechtigungsobjekte im Backend | Dieselben Objekte, bei CDS basierten Apps zusätzlich CDS Zugriffskontrolle (DCL) |
| Klassische Transaktionen | Direkt | Als Kachel über SAP GUI for HTML, weiterhin mit S_TCODE |
Die vier Ebenen der Fiori Berechtigungen
Damit ein Benutzer eine Fiori App öffnen und nutzen kann, müssen alle vier Ebenen zusammenpassen. Fehlt eine davon, bleibt die Kachel unsichtbar oder die App zeigt beim Start einen Fehler.
- EBENE 1Launchpad Zugang: Launchpad Services und Basisrolle
- EBENE 2Sichtbarkeit: Business Katalog, Space und Page in der PFCG Rolle
- EBENE 3Startberechtigung: S_SERVICE (OData V2) oder S_START (OData V4)
- EBENE 4Daten: fachliche Berechtigungsobjekte und CDS Zugriffskontrolle
Launchpad Zugang
Der Benutzer braucht Zugriff auf das SAP Fiori Launchpad und dessen technische Services. SAP liefert dafür Vorlagen wie SAP_FLP_USER für Endanwender und SAP_FLP_ADMIN für Administratoren. Diese Standardrollen sollten Sie kopieren und nicht direkt produktiven Benutzern zuweisen.
Sichtbarkeit über Katalog und Space
Der Business Katalog im Rollenmenü der PFCG erlaubt den Start der enthaltenen Apps. Der Space mit seinen Pages bestimmt, wo die Kachel auf der Startseite erscheint. Wichtig: Ein Katalog berechtigt alle darin enthaltenen Apps, auch solche, die nur über den App Finder erreichbar sind.
Startberechtigung für OData
Jede Fiori App lädt ihre Daten über einen OData Service. Bei OData V2 prüft SAP das Objekt S_SERVICE, dessen Feld SRV_NAME einen Hashwert enthält. Bei OData V4 prüft SAP S_START mit AUTHPGMID R3TR, Objekttyp G4BA und dem Namen der Servicegruppe. Beide Werte entstehen automatisch, wenn der Service über das Rollenmenü in die PFCG Rolle kommt.
Fachliche Berechtigungen
Im Backend gelten dieselben Berechtigungsobjekte wie bei der vergleichbaren Transaktion, zum Beispiel M_BEST_BSA für Bestellungen. Bei Apps auf Basis von CDS Views und dem RAP Modell kommt die CDS Zugriffskontrolle (DCL) hinzu. Sie filtert, welche Datensätze ein Benutzer tatsächlich sieht.
Kataloge, Spaces und Pages: Was steuert was?
Technischer Katalog und Business Katalog
Ein technischer Katalog (Kennung _TC_) ist die Ablage aller Kacheln und Target Mappings eines Anwendungsbereichs. Er sollte Benutzern nicht direkt zugewiesen werden. Ein Business Katalog (Kennung _BC_) ist eine Teilmenge davon für eine konkrete Jobrolle und wird über die PFCG Rolle zugewiesen.
Verändern Sie die von SAP gelieferten Kataloge nicht. Legen Sie eigene Business Kataloge an, die per Referenz auf die technischen Kataloge zeigen. So übernehmen Ihre Kataloge Änderungen aus SAP Updates automatisch. SAP beschreibt dieses Vorgehen auch in der Schulung „Creating SAP Fiori Business Catalogs“ auf SAP Learning.
Spaces und Pages statt Gruppen
Spaces und Pages sind das aktuelle Layoutkonzept des SAP Fiori Launchpads. Ein Space wird in der PFCG über den Menüeintrag „Launchpad Space“ einer Rolle zugeordnet. Er enthält eine oder mehrere Pages, die in Abschnitte mit Kacheln und Links gegliedert sind. Pages selbst werden nie direkt einer Rolle zugeordnet, sondern immer über ihren Space.
Spaces und Pages sind ab SAP S/4HANA 2020 verfügbar. Seit SAP S/4HANA 2021 gilt der alte Gruppenmodus offiziell als veraltet, neue Funktionen entwickelt SAP nur noch für Spaces (siehe SAP Community: Migrating from Groups to Spaces and Pages). Gepflegt werden sie mit den Apps Manage Launchpad Spaces und Manage Launchpad Pages.
SAP_..._SP_, die Sie als Kopiervorlage für eigene Spaces nutzen.Übersicht: Fiori Objekte, Werkzeuge und Berechtigungsobjekte
Diese Tabelle zeigt, mit welchem Werkzeug Sie welches Fiori Objekt pflegen und welches Berechtigungsobjekt dabei eine Rolle spielt.
| Fiori Objekt | Werkzeug oder Transaktion | Berechtigungsobjekt / Zweck |
|---|---|---|
| PFCG Rolle | PFCG | Bündelt Katalog, Space, Services und Berechtigungen |
| Business Katalog | Launchpad Content Manager /UI2/FLPCM_CUST (Mandant), /UI2/FLPCM_CONF (systemweit) | Erlaubt den Start der enthaltenen Apps |
| Kacheln und Target Mappings | Launchpad App Manager /UI2/FLPAM | Verknüpft Kachel und App; der Launchpad Designer /UI2/FLPD_CUST gilt als veraltet |
| Spaces und Pages | Apps Manage Launchpad Spaces und Manage Launchpad Pages | Layout der Startseite, Zuordnung über die PFCG |
| Vorschlagswerte | SU24 | Anwendungstyp IWSG (Frontend, Start), IWSV (Backend, fachlich), G4BA (OData V4) |
| OData V2 Service | /IWFND/MAINT_SERVICE | S_SERVICE |
| OData V4 Servicegruppe | /IWFND/V4_ADMIN | S_START mit Objekttyp G4BA |
| Klassische App (SAP GUI for HTML) | PFCG im Backend | S_TCODE |
| CDS basierte App | CDS Zugriffskontrolle, Analyse mit SACM | DCL Regeln auf den CDS Views |
| Hub Verbindung | Trusted RFC | S_RFC und S_RFCACL |
| Massenaktivierung | STC01, Task List SAP_FIORI_CONTENT_ACTIVATION | Aktiviert Apps und Services zu SAP Business Rollen (SAP_BR_*) |
Embedded oder Hub: Wo liegen die Fiori Berechtigungen?
Embedded Deployment
Frontend und Backend laufen in einem System. Katalog, Space, Startberechtigung und fachliche Berechtigungen können in einer Rolle liegen. SAP empfiehlt dieses Modell heute wegen geringerer Kosten und einfacherer Upgrades.
Hub Deployment
Ein separater Frontend Server ist per Trusted RFC mit dem Backend verbunden. Sie brauchen zwei abgestimmte Rollen, identische Benutzernamen in beiden Systemen sowie S_RFC und S_RFCACL. In S_RFCACL sollten System ID und Mandant explizit stehen, nicht als Stern. Details beschreibt SAP im Kapitel Rollen für den SAP Fiori Front End Server.
So bauen Sie eine Fiori Rolle in SAP S/4HANA auf
- Apps ermitteln. Suchen Sie in der SAP Fiori Apps Reference Library die Apps zur Jobrolle. Dort finden Sie die zugehörigen Kataloge, OData Services und SAP Business Rollen.
- Inhalte aktivieren. Aktivieren Sie die Apps und OData Services, bei vielen Rollen per Rapid Activation in
STC01. Die Task List erzeugt ausSAP_BR_*Rollen Vorlagen mit Berechtigungsprofilen. - Business Katalog anlegen. Legen Sie im Launchpad Content Manager einen eigenen Business Katalog an, der per Referenz auf den technischen Katalog zeigt.
- Space und Page anlegen. Bauen Sie mit Manage Launchpad Spaces und Manage Launchpad Pages das Layout für die Jobrolle. Kopieren Sie dazu einen passenden SAP Standard Space, statt ihn direkt zu ändern.
In Manage Launchpad Spaces wählen Sie einen Space aus und pflegen dessen Pages. - PFCG Rolle pflegen. Nehmen Sie im Reiter Menü den Launchpad Katalog und den Launchpad Space auf. Die PFCG ergänzt Services und Startberechtigungen aus den
SU24Vorschlagswerten. - Backend Berechtigungen ergänzen. Pflegen Sie die fachlichen Berechtigungen mit konkreten Organisationswerten statt Sternen. Im Hub Szenario folgen
S_RFCundS_RFCACL. - Testen. Testen Sie mit einem Testbenutzer ohne weitere Rollen. Analysieren Sie Lücken mit
SU53undSTAUTHTRACE. - SoD prüfen. Prüfen Sie die Rolle auf kritische Berechtigungen und Funktionstrennung. SAP GRC Access Control bringt ab Version 12.0 SP03 eigene Regelsätze für Fiori mit. Wie nötig das ist, zeigt die SAPinsider Studie 2025: 28 % der Unternehmen nennen die Funktionstrennung als eine ihrer größten Herausforderungen.
Fiori Kachel wird nicht angezeigt? Ursachen und Lösungen
Die meisten Probleme mit Fiori Berechtigungen lassen sich mit wenigen Transaktionen eingrenzen. Gehen Sie von außen nach innen vor: erst Sichtbarkeit, dann Service, dann Daten.
| Symptom | Häufige Ursache | Prüfung |
|---|---|---|
| Kachel fehlt komplett | Katalog nicht in der Rolle oder Rolle nicht zugewiesen | /UI2/FLPCM_CUST → „Show usage in Roles“, dann SU01 |
| App im App Finder, aber nicht auf der Startseite | Kachel auf keiner Page oder Space fehlt in der Rolle | Manage Launchpad Spaces, Rollenmenü in PFCG |
| Kachel sichtbar, App startet nicht | Target Mapping fehlt oder ist fehlerhaft | /UI2/FLPAM, Katalog prüfen |
| Fehler 403 beim Laden | S_SERVICE oder S_START fehlt | SU53, /IWFND/ERROR_LOG |
| Fehler 404 oder 500 | OData Service oder ICF Knoten inaktiv | /IWFND/MAINT_SERVICE, SICF, /IWBEP/ERROR_LOG |
| App startet, Liste bleibt leer | CDS Zugriffskontrolle filtert die Daten | STAUTHTRACE (zeigt auch CDS Prüfungen), SACM |
| Änderung greift nicht | Veralteter Cache oder App Index | /IWFND/CACHE_CLEANUP, /UI5/APP_INDEX_CALCULATE, Browser Cache leeren |
| Nur ein Benutzer betroffen | Kachel selbst ausgeblendet | Benutzermenü → Startseite bearbeiten |
Lassen Sie Ihre Fiori Berechtigungen von Experten prüfen
Andre Tenbuß und das Nextado Team analysieren Ihre Kataloge, Spaces und Rollen und zeigen Ihnen im Erstgespräch konkret, wo Sie ansetzen sollten.
Die häufigsten Fehler bei Fiori Berechtigungen
- SAP Standardrollen wie
SAP_FLP_USERdirekt produktiv vergeben statt sie zu kopieren - Sterne in
S_SERVICE,S_STARToderS_RFCACL - Nur das Frontend oder nur das Backend berechtigen
- SAP Kataloge verändern und damit Referenzen für Updates zerstören
- Apps aus mehreren Katalogen in einer Gruppe oder Page mischen
- Neue Rollen weiter mit Gruppen statt mit Spaces und Pages bauen
- Fiori Apps im SoD Regelwerk vergessen
10 Punkte für auditfeste Fiori Berechtigungen
- Ein Business Katalog und ein Space pro Jobrolle
- Eigene Kataloge mit Referenz auf technische Kataloge
- Kopierte statt originaler SAP Standardrollen
- SU24 Vorschlagswerte für eigene Apps gepflegt
- Frontend und Backend Rollen abgestimmt
- Konkrete Organisationswerte statt Sterne
- CDS Zugriffskontrollen geprüft
- Fiori Regelsätze in SAP GRC aktiv
- Test mit isolierten Testbenutzern dokumentiert
- Regelmäßige Rezertifizierung der Rollen
So unterstützen wir Sie bei SAP Fiori Berechtigungen
Ob Neueinführung, Migration auf SAP S/4HANA oder Aufräumen gewachsener Rollen: Wir verbinden Fiori Technik, Berechtigungskonzept und Audit Anforderungen zu einem Ergebnis, das Ihr Team selbst weiterführen kann.
Analyse
Wir prüfen Kataloge, Spaces, Rollen und Services Ihrer Fiori Landschaft und zeigen Lücken, Überberechtigungen und SoD Risiken.
Konzept
Wir entwerfen ein Fiori Berechtigungskonzept mit Jobrollen, Business Katalogen, Spaces und Namenskonventionen, abgestimmt auf Ihre Prozesse.
Umsetzung
Wir bauen Rollen in der PFCG, pflegen Kataloge im Content Manager und App Manager und stimmen Frontend und Backend ab.
Optimierung
Wir pflegen SU24 Vorschlagswerte, ersetzen Sterne durch konkrete Werte und migrieren Gruppen auf Spaces und Pages.
Schulung und Coaching
Wir schulen Ihr Berechtigungsteam und begleiten es mit regelmäßigen Coachings, bis es Fiori Rollen selbstständig pflegt.
Validierung
Wir testen jede Rolle Ende zu Ende, dokumentieren die Ergebnisse auditfest und prüfen die Funktionstrennung.
Welche Referenzen und Erfahrungen haben wir auf diesem Gebiet?
Nextado hat SAP Fiori Autorisierungsframeworks erfolgreich für führende Organisationen in verschiedenen Branchen implementiert, darunter:
Globales Fertigungsunternehmen
50 %Reduzierung rollenbezogener Auditbefunde um 50 %.
Gesundheitsdienstleister
DatenschutzVerbesserte Einhaltung strenger Datenschutzbestimmungen.
Einzelhandelsunternehmen
5.000+Verbessertes Benutzererlebnis durch optimierten rollenbasierten Zugriff für über 5.000 Benutzer.
„Die Schulung mit Herrn Tenbuss und die anschließenden regelmäßigen Coachings haben uns sehr geholfen, uns mit dem Thema Fiori Berechtigungen vertraut zu machen. Wir konnten jederzeit mit Fragen auf Herrn Tenbuss zugehen und freuen uns auf weitere gemeinsame Projekte.“
Karsten S., IAM Team
Andre Tenbuß
Andre Tenbuß ist Mitgründer von Nextado und als Technical Director und Technologieberater auf technische SAP Security Themen spezialisiert. Seit über zehn Jahren sichert er SAP Systeme ab, von Berechtigungsarchitekturen über Systemhärtung bis zur Überwachung sicherheitsrelevanter Ereignisse.
Er engagiert sich in Arbeits und Themengruppen der DSAG und schult Berechtigungsteams in SAP Fiori Berechtigungen, damit sie Rollen, Kataloge und Spaces dauerhaft selbst sicher pflegen.
Termin mit Andre buchen Profil auf LinkedInHäufige Fragen zu Fiori Berechtigungen
Was bedeutet Fiori bei SAP?
SAP Fiori ist die Designsprache und Benutzeroberfläche von SAP, mit der SAP Anwendungen rollenbasiert, einfach und einheitlich im Browser auf Desktop, Tablet und Smartphone bedient werden. „Fiori“ ist italienisch und bedeutet „Blumen“. SAP hat Fiori 2013 mit den ersten 25 Apps eingeführt; heute ist es die Standardoberfläche von SAP S/4HANA.
Was ist das Fiori Konzept?
Das SAP Fiori Konzept beruht auf fünf Designprinzipien: rollenbasiert, adaptiv, einfach, kohärent und begeisternd. Statt hunderter Transaktionen erhält jeder Benutzer nur die Apps, die er für seine Aufgaben braucht, gebündelt im SAP Fiori Launchpad. Quelle: SAP Learning, Introducing SAP Fiori.
Was ist der Unterschied zwischen SAP und SAP Fiori?
SAP ist der Softwarehersteller und sein ERP System, etwa SAP S/4HANA; SAP Fiori ist die Benutzeroberfläche, über die man mit diesem System arbeitet. Fiori ist kein eigenes System: Die Apps laufen im Browser, beziehen ihre Daten über OData Services aus dem SAP Backend und werden über einen Frontend Server bereitgestellt, embedded oder als Hub.
Was kann SAP Fiori?
SAP Fiori bündelt alle Aufgaben eines Benutzers in einem personalisierbaren Launchpad. Mit transaktionalen Apps erfassen und genehmigen Benutzer Vorgänge, mit analytischen Apps werten sie Kennzahlen in Echtzeit aus, und über Object Pages finden sie Geschäftsobjekte per Suche. Dazu kommen Benachrichtigungen, Personalisierung und die Einbindung klassischer Transaktionen über SAP GUI for HTML. Welche Apps es gibt, zeigt die SAP Fiori Apps Reference Library.
Was ist der Unterschied zwischen UI5 und Fiori?
SAP Fiori ist die Designsprache, also das Regelwerk, wie SAP Anwendungen aussehen und sich bedienen lassen; SAPUI5 ist das JavaScript Framework (HTML5, JavaScript, XML, OData), mit dem Fiori Apps technisch gebaut werden. OpenUI5 ist die Open Source Variante. SAP Fiori Elements erzeugt Apps automatisch aus Vorlagen und CDS Annotationen.
Wie lange dauert die Einführung eines Fiori Berechtigungskonzepts?
Die Dauer hängt von der Zahl der Jobrollen, der Systemarchitektur (embedded oder Hub) und dem Zustand der bestehenden Rollen ab. Nach einer kompakten Analyse erhalten Sie von Nextado einen konkreten Zeit und Aufwandsplan für Ihr Projekt.
Weiterführende Themen
Fiori Berechtigungen prüfen lassen
Sprechen Sie mit Andre Tenbuß über Ihre Fiori Landschaft. Im Erstgespräch klären wir, wo Ihre größten Risiken liegen und wie Sie schnell zu einem sauberen, auditfesten Fiori Berechtigungskonzept kommen.