Konzeptkarte

GSTACK — Governance-Disziplin für SAP-Analytics-Berater

Stand 27. September 2026

Redaktion: Cédric Mary, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist GSTACK?

GSTACK benennt drei Governance-Disziplinen, die ein Berater in jedes Projekt mitbringt — Threat-First-Architektur, eine Control-Ownership-Map mit benannter Person und Bus-Factor-Kennzeichnung sowie Secure-by-Default-Muster je SAP-Schicht.

Die drei Disziplinen

GSTACK ist kein Produkt, kein Tool, keine Zertifizierung. Es ist eine Methodik-Abkürzung, die drei Governance-Disziplinen benennt, die ein SAP-Analytics-Berater in jedes Engagement mitbringt:

1. Threat-First-Architektur (T)

Bevor auch nur eine Zeile modellbauenden Codes geschrieben wird, kartiert der Berater:

Was schiefgehen kann — den Angriffsbaum auf den Datenfluss (Datasphere-Replikation → SAC-Story → eingebetteter Export). Was kontrolliert ein Angreifer? Wo liegen Vertrauensgrenzen?
Was bereits schiefgeht — die Vorfallhistorie bei diesem Kunden. Vergangene Datenlecks, Feststellungen der Aufsichtsbehörde, interne Audit-Berichte.
Schadensradius — der Worst Case, wenn der BW/4HANA-Extraktor kompromittiert ist, wenn SAC-Sharing falsch gescopt ist, wenn die Datasphere Intelligent-Lookup-View über Row-Level-Security-Lücken PII preisgibt.

Der kanonische Analytics-Legends-Skill ist security-threat-model.

2. Control-Ownership-Map (O)

Für jede identifizierte Kontrolle (RLS-Policy, Verschlüsselung im Ruhezustand, Log-Aufbewahrung, wer eine Story veröffentlichen darf, wer Zugriff auf ein Modell erneut gewähren darf) hält der Berater fest:

Owner — Name + Rolle + E-Mail (KEIN Team-Alias; ein Mensch, der ans Telefon geht)
Runbook — Confluence-/Notion-/Wiki-Link mit den operativen Schritten
Bus-Faktor — Kennzeichnung, wenn der Owner N=1 ist
Recovery Time Objective (RTO) — wie lange bis zur Wiederherstellung, wenn der Owner nicht erreichbar ist

Der kanonische Analytics-Legends-Skill ist security-ownership-map.

3. Secure-by-Default-Implementierung (S)

Der Berater wendet konkrete Muster an, statt jedes Mal von Grund auf neu zu argumentieren:

Datasphere: standardmäßig Row-Level-Security AN; standardmäßig Consumption-Only-Rollen; standardmäßig keine öffentlichen Links
BDC: standardmäßig gestufte Iceberg-Writes mit Provenance-Metadaten; standardmäßig Joule-Guardrails für Enterprise-Agenten
SAC: standardmäßig privater Story-Workspace bis zur Prüfung; standardmäßig kein eingebetteter Export ohne Wasserzeichen
BW/4HANA: standardmäßig TLS für jeden RFC; standardmäßig Audit-Log bei jedem InfoProvider-Lesezugriff

Warum es zählt

Jede Kontrolle (RLS-Policy, Verschlüsselung, Log-Aufbewahrung, Veröffentlichungsrechte) braucht einen benannten Owner — keinen Team-Alias — plus ein Runbook, eine Bus-Factor-Kennzeichnung und ein Recovery Time Objective.
Threat-First-Architektur kartiert, was schiefgehen kann, was bereits schiefgegangen ist (Vorfallhistorie, Feststellungen der Aufsichtsbehörde), und den Worst-Case-Schadensradius, bevor auch nur eine Zeile modellbauenden Codes geschrieben wird.
Secure-by-Default-Muster ersetzen das jedesmalige Argumentieren von Grund auf durch konkrete Standardeinstellungen je Plattform — Datasphere, BDC, SAC, BW/4HANA.

Kernpunkte

GSTACK = Threat-First-Architektur × Control Ownership × Secure-by-Default — drei Disziplinen, angewendet als eine Linse.
Bildet auf drei kanonische Skills ab: security-threat-model, security-ownership-map, security-best-practices.
Jedes Finding wird mit der Attribution [domain · <skill> · <severity>] ausgeliefert — der Audit-Trail-Contract.
Immer aktiv: Pre-Deploy + Post-Deploy + Threat-Gespräche + Ownership-Fragen + Compliance-Reviews + Governance-Commits.
Die Standing Order des Betreibers ist die Governance-Charta der Plattform — bei jedem Session-Start zu lesen.
Die Erweiterung von GSTACK auf Joule-Agenten fügt neue Bedrohungsbaum-Blätter hinzu (Prompt-Injection, Tool-Scope-Creep, Service-Account-Vererbung), die ein vor-agentisches Bedrohungsmodell standardmäßig übersieht.
Den Ownership-Map-Eintrag jedes Agenten gegen seinen SAP-AI-Agent-Hub-Datensatz registrieren statt gegen eine separate Tabelle — das Register von Hand zu duplizieren lässt beide innerhalb eines Quartals auseinanderdriften.
Jede Fähigkeitserweiterung eines bestehenden Agenten (z. B. ein neuer Schreibpfad) ist ein neuer GSTACK-Zyklus im Kleinen — Wirkungsradius neu bewerten, adversarial erneut testen, Hub-Klassifizierung aktualisieren, bevor der Schalter umgelegt wird, nicht danach.

Begriffe auf dieser Seite

Bedrohungsbaum: Hierarchische Zerlegung der Ziele eines Angreifers gegen eine SAP-Analytics-Oberfläche (z. B. Datasphere → SAC → Embed).
Bus-Faktor: Anzahl der Personen, die verschwinden müssten, bevor eine Kontrolle unbetreut bleibt. Bus-Faktor 1 = Single Point of Failure.
Schadensradius: Menge der Nutzer/Daten/Dienste, die betroffen sind, wenn eine gegebene Vertrauensgrenze verletzt wird. Kleiner = besser.
RTO: Recovery Time Objective — maximal akzeptable Ausfallzeit, wenn ein Kontroll-Owner nicht verfügbar ist.
Secure-by-default: Implementierungsmuster, bei denen die sichere Wahl der Weg des geringsten Widerstands ist (z. B. RLS standardmäßig AN, öffentliches Teilen standardmäßig AUS).
Entscheidungsinhaber: Die verantwortliche Person, die den Kompromiss akzeptiert und die nächste Maßnahme finanziert.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →

Offene SAP-Projekte

Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.