Konzeptkarte

Secure-by-Default für die SAP-Analytics-Umsetzung (das S in GSTACK)

Stand 6. Oktober 2026

Redaktion: Cédric Mary, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist Secure-by-Default für die SAP-Analytics-Umsetzung (das S in GSTACK)?

Secure-by-Default ist eine Musterbibliothek, kein Prinzip — jede Voreinstellung (RLS aktiv, öffentliches Teilen deaktiviert, wasserzeichenversehene Exporte, TLS auf jedem RFC) ist mit einem benannten Override-Pfad und einem Gate gepaart, das Abweichungen beim Schreiben abfängt.

Die Musterbibliothek

Jedes Muster ist ein Einzeiler-Standard, den ein Berater bei jedem Datasphere-/BDC-/SAC-/BW/4HANA-Engagement anwendet, plus das Gate, das den Override abfängt.

Datasphere

Datasphere
Muster	Standard	Override erfordert
Row-Level Security	AN für jede Fact View	Freigabe + Begründung in `model.security filter off reason`
Consumption-Rolle	nur Lesezugriff (keine Bearbeitung der Produktions-View)	explizite Freigabe durch den Architekten
Öffentliches Teilen	AUS	erneute Datenklassifizierungsprüfung
PII in föderierten Quellen	Data-Mask-Schicht erforderlich	InfoSec-Prüfung
Audit-Log bei View-Lesezugriff	AN	keine — nie ausschaltbar

Business Data Cloud (BDC)

Business Data Cloud (BDC)
Muster	Standard	Override erfordert
Iceberg-Schreibvorgänge	gestaged mit Provenienz-Metadaten (Tabelle + Commit)	Architekten-Freigabe + Audit-Log-Eintrag nach dem Schreiben
Joule Enterprise Agent	Leitplanken: Daten-Scope = Session-Rolle des Aufrufers	InfoSec-Prüfung für erweiterten Scope
Mandantenübergreifender Join	VERWEIGERN	mandantenspezifische explizite Freigabe + erneute Datenklassifizierungsprüfung
Lakehouse-Objektspeicher-ACL	minimale Rechtevergabe, principal-bewusst	Freigabe durch das Plattform-Team

SAP Analytics Cloud (SAC)

SAP Analytics Cloud (SAC)
Muster	Standard	Override erfordert
Story-Arbeitsbereich	privat bis zur Prüfung	Freigabe zur Story-Veröffentlichung
Eingebetteter Export	mit Wasserzeichen versehen	Freigabe gemäß Export-Richtlinie
Öffentlicher Link	AUS	Freigabe des Data Owners + Ablaufkennzeichnung
Live-Connection-Rollen	minimale Rechtevergabe, auf den Datensatz begrenzt	Freigabe durch den Architekten
Drill-Through zu föderierter Quelle	RLS bei jedem Hop verifiziert	erneuter Test bei jeder Modelländerung

Warum es zählt

Row-Level Security ist für jede Datasphere-Fact-View standardmäßig AN; das Abschalten erfordert eine Freigabe und eine im Sicherheitsfilter-Feld des Modells protokollierte Begründung — keine stille Entscheidung.
SAC-Story-Arbeitsbereiche sind standardmäßig privat bis zur Prüfung, eingebettete Exporte standardmäßig mit Wasserzeichen versehen — sowohl Veröffentlichung als auch Export erfordern für einen Override eine explizite Freigabe.
Der Gate-Vertrag fängt Overrides beim Schreiben ab, über Pre-Commit-Hooks für code-definierte Kontrollen und Postbuild-Audits — nicht erst beim Audit, Monate später.

Kernpunkte

Standard = sicherer Pfad. Override = explizite Kosten + Freigabe.
Die Musterbibliothek deckt Datasphere · BDC · SAC · BW/4HANA ab — vier Produkte, ~20 Standardmuster.
Jedes Muster trägt ein Gate: Pre-Commit / Postbuild / Live-Origin-Probe.
Das Audit-Ledger erfasst Overrides, nicht Heldentaten. Spur der Zustimmung ≠ Spur der Vermutungen.
Ordnet sich dem kanonischen Skill `security-best-practices` zu. Vierteljährlich aktualisieren.
Zwei neue agentische Standardeinstellungen gehören in die Bibliothek: engste Tool-Berechtigung standardmäßig (nicht die breiteste verfügbare), und ein Standard-Checkpoint für jeden schreibfähigen Agenten, bis ein adversarialer Test für genau diese Fähigkeit bestanden wurde.
Eine Fähigkeitserweiterung, die die Form eines bestehenden gegateten Musters wiederverwendet (z. B. ein weiterer „gegateter Schreib-Scope“), braucht dennoch ihren eigenen adversarialen Test, wenn ihr Schadensradius abweicht — die Form des Musters ohne seine Testabdeckung wiederzuverwenden ist getarnter Scope-Creep.
Override-Historie und Rhythmus adversarialer Tests im AI Governance Assistant des SAP AI Agent Hub erfassen statt in einer parallelen Tabelle, die nur das Beraterteam lesen kann.

Begriffe auf dieser Seite

Entscheidungsarchitektur: Die Struktur der dem Nutzer präsentierten Optionen, so gestaltet, dass der sichere Pfad der Standard ist. Geprägt von Thaler/Sunstein.
Pre-Commit-Hook: Audit-Gate, das lokal vor der Landung eines Commits läuft — fängt Overrides beim Schreiben ab, nicht erst beim Audit.
Postbuild-Audit: Audit-Gate, das nach dem Build läuft, sobald ein Artefakt entstanden ist — fängt Overrides auf Inhaltsebene ab, etwa öffentliche SAC-Story-Links.
RLS: Row-Level Security — schränkt ein, welche Zeilen ein Nutzer in einer Abfrage sieht, typischerweise basierend auf Nutzerattributen (Land, Rolle, Arbeitgeber).
Engste Tool-Berechtigung: Das Secure-by-Default-Muster für agentische KI: Die Standard-Tool-/Scope-Berechtigung eines Agenten ist das Minimum, das seine erklärte Aufgabe erfordert, wobei jede breitere Berechtigung als expliziter, freigabepflichtiger Override behandelt wird.
Flag „adversarialer Test bestanden“: Ein erfasstes, datiertes Ergebnis, das bestätigt, dass eine bestimmte Agentenfähigkeit vor der Aktivierung auf Manipulation (Prompt-Injection, richtlinienwidrige Aktion) getestet wurde — das Artefakt, das ein Pre-Commit-Hook vor einer Tool-Berechtigungserweiterung prüfen kann.
Scope-Creep (agentisch): Die Erweiterung der Fähigkeit eines Agenten durch Wiederverwendung der Form eines bestehenden gegateten Musters, ohne den adversarialen Test für den tatsächlichen Schadensradius der neuen Fähigkeit erneut auszuführen — sieht nach Wiederverwendung aus, wirkt wie eine ungegatete Erweiterung.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →

Offene SAP-Projekte

Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.