Zahlreiche Unternehmen verwalten mit SAP Identity Management (IdM) Benutzerzugriffe in heterogenen Systemlandschaften sicher und effizient. Allerdings nicht mehr lange, denn die Wartung für SAP IdM endet 2027. Da es kein Nachfolgeprodukt für SAP IdM 8 geben wird, stehen Unternehmen vor der Aufgabe, sich im Bereich Identity Management neu aufzustellen.
Nachdem es in den vergangenen Jahren unklar war, wie es bei SAP mit dem Identity Management weitergeht, steht mittlerweile die strategische Ausrichtung und macht deutlich: IdM außerhalb der SAP-Landschaft ist nicht länger im Fokus, dafür gibt es genügend Alternativen am Markt. SAP betont, dass SAP-Systeme weiterhin über die internen Tools SAP Identity Access Governance (IAG), SAP Identity Provisioning Service (IPS), SAP Identity Authentication Service (IAS) und SAP Identity Directory Service (IDS) bedient werden können. Allerdings stellen diese unter der Bezeichnung SAP Cloud Identity zusammengefassten Anwendungen keinen Ersatz für das bisherige Identity & Access Management dar und können nicht als zentrales Identity-Management-System fungieren.
Einfach ausgedrückt: SAP stellt eine Schnittstelle bzw. ein API-Framework zur Verfügung, um ein Identity & Access Management in die SAP-Welt hinein und wieder hinaus zu gewährleisten. Das Tool dafür ist nicht mehr von SAP selbst erhältlich, stattdessen verweist SAP auf andere etablierte IAM-Anbieter am Markt.
Neu ist seit den DSAG-Technologietagen 2024, dass sich SAP auf eine strategische Zusammenarbeit mit Microsoft eingelassen hat. Mit Microsoft Entra und SAP Cloud Identity soll es strategisch möglich sein, ein SAP IdM-System abzulösen, so die aktuelle Ausrichtung. Für SAP IdM-Kunden ist das eine gute Nachricht, haben sie doch ohnehin Microsoft im Einsatz. Es wird aber auch Kunden geben, die aufgrund fehlender Zeit unter hohem Migrationsdruck stehen. Gerade das Management jedes SAP IdM-Kunden wird die Microsoft-Option näher beleuchten wollen, schließlich handelt es sich um erhebliche Investitionen. Mit unserem Migration Audit for SAP IdM unterstützen wie dabei, die offenen Fragen zu beantworten.
Wenngleich bis 2027 noch etwas Zeit ist, sollten Unternehmen frühzeitig die Weichen stellen und die Aufgaben, die sich aus dem Wechsel von SAP IdM zu einer anderen Identity-Management-Lösung ergeben, konsequent angehen. Das wichtigste Ziel dabei ist, den durchgängigen Betrieb im Unternehmen zu sichern und die geschäftlichen Abläufe nicht zu gefährden. Darüber hinaus gilt es, Wege zu finden, um die in SAP IdM getätigten Investitionen zu schützen und möglicherweise in das neue Identity-Management-System zu überführen – beispielsweise Workflows oder individuell gestaltete UI5-Oberflächen. Eine weitere Aufgabe besteht darin, den wirtschaftlich besten Zeitpunkt zu finden, um SAP IdM hinter sich zu lassen und den Weg in Richtung eines neuen Systems für das Identity Management einzuschlagen.
Das Wartungsende von SAP IdM verursacht zwangsläufig gewisse Aufwände. Gleichzeitig bringt es aber auch Chancen mit sich, die Unternehmen zu ihrem Vorteil nutzen können. Der Wechsel von SAP Identity Management zu einer alternativen IdM-Lösung ist ein passender Zeitpunkt, um die fachlichen Anforderungen zu evaluieren, die eigene IAM-Organisation zu optimieren, eine saubere Datenbasis zu schaffen und ohne Altlasten im neuen System durchzustarten. Dazu gehören unter anderem eine funktionale Entschlackung des Systems, verbunden mit dem Verzicht auf Entwicklungen, die nicht mehr benötigt werden, sowie das Neudenken und die Optimierung von System und Prozessen. Unternehmen sollten sich die Frage stellen, welches Betriebsmodell für sie in den kommenden fünf bis zehn Jahren das richtige sein wird: Bleibt es weiterhin bei einem hybriden Ansatz oder soll es eine Software-as-a-Service-Lösung (SaaS) werden? Wo ist das Thema Identity Access Management aufgehängt: im Betrieb oder als Komponente der Cyber Security? Eine neue Software hat immer das Potenzial, Effizienz und Produktivität zu steigern sowie die Organisation auf eine neue Ebene zu heben.
Um die Migration des SAP IdM-Systems bestmöglich vorzubereiten, empfiehlt sich eine gründliche Bestandsaufnahme in vier Schritten. IBsolution hat dafür das Migration Audit for SAP IdM entwickelt. Aus zeitlicher Perspektive sollten für diese Vorbereitungsphase mindestens sechs Monate eingeplant werden.
Zunächst geht es darum, die Auswirkungen des Wartungsendes von SAP IdM auf die Geschäftsprozesse gewissenhaft zu ermitteln. Ebenso ist die Frage relevant, ob Sicherheitsstandards künftig weiterhin eingehalten werden können. Auch die Realisierung von Compliance-Vorgaben und die Bewertung von Sicherheitsrisiken sind wichtige Bestandteile dieser Phase.
Die Gegenüberstellung der Stärken und Schwächen des SAP IdM-Systems gehört in die Analysephase. Weiterhin ist die zukünftige Ausrichtung der Organisation und der Systemlandschaft zu klären. Hierzu zählt auch die Evaluation der Prozesse, um ein vollständiges Bild des Ist-Zustands zu erhalten.
Der nächste Schritt beschäftigt sich mit der Planung der Migration zum neuen Identity-Management-System. Hierfür sind der Zeit- und der Kostenrahmen sowie die Ressourcenanforderungen zu klären. Ebenso muss ermittelt werden, welcher Schulungsbedarf bei den Mitarbeitern mit Blick auf das neue Tool besteht.
Je nach Größe des SAP IdM-Systems kann es sinnvoll sein, auf einen Big-Bang-Go-Live zu verzichten und das System in definierte Segmente zu unterteilen, die nacheinander live genommen werden. In diesem Fall kommt es zu einem Parallelbetrieb des alten und des neuen Systems. Um eine hohe Usability zu gewährleisten, lohnt es sich zu prüfen, ob eine Weiternutzung der bisherigen Web-Dynpro- oder UI5-Oberflächen möglich ist.
Die Entscheidung für das neue IdM-Tool sollte den finalen Schritt bei der Migrationsvorbereitung darstellen. Im Rahmen einer umfangreichen Marktanalyse werden die Anbieter und ihre Softwarelösungen anhand von Faktoren wie Lizenzkosten, Deployment-Strategie, Funktionalitäten und Roadmap verglichen. Idealerweise lassen sich Demoszenarien kreieren und Hand-on-Sessions durchführen, um ein Gefühl dafür zu bekommen, wie sich die Tools bedienen lassen. Unternehmen sollten auch rechtzeitig Performance-Tests durchführen, um später ein böses Erwachen zu verhindern, und Referenzgespräche mit anderen Unternehmen führen, um von deren Erfahrungen zu profitieren.
Sind die Vorbereitungen abgeschlossen und hat sich das Unternehmen auf einen Nachfolger für SAP IdM festgelegt, kann die eigentliche Migration starten. Hierbei hat sich ein Best-Practice-Vorgehen mit unterschiedlichen Phasen bewährt, die nacheinander durchlaufen werden.
Nach erfolgter Budgetierung beginnt die Pilotphase, in der es wichtig ist, sich auf Basisfunktionen zu konzentrieren und lediglich eine begrenzte Anwendergruppe zu berücksichtigen. Weitere Aspekte in der Pilotphase sind die Durchführung von ersten Datenmigrationen und der frühzeitige Blick auf die Performance.
Es gilt, die Organisation mit regelmäßiger Kommunikation und entsprechenden Schulungen mitzunehmen und für das neue IdM-System zu begeistern. Mit einem Organizational Change Management (OCM) lassen sich alle beteiligten Stakeholder frühzeitig abholen. Der Fokus liegt weiterhin auf einem kleinen Scope mit den definierten Basissystemen und einer begrenzten Anwendergruppe.
In dieser Phase geht es bereits um die konkrete Umsetzung von spezifischen Anforderungen. Die Datenmigration wird erweitert und es erfolgt die Integration zusätzlicher Systeme.
In der Testphase wird das neue IdM-System auf Herz und Nieren geprüft. Es stehen die typischen Tests auf der Agenda: Entwicklertests, Integrationstests, Performance-Tests und User Acceptance Tests (UAT).
Im Parallelbetrieb werden die alte und die neue Software gleichzeitig betrieben. Es kommt zu einer Aufteilung und allmählichen Übernahme der einzelnen Funktionen. Mit dem Parallelbetrieb startet auch der Support und die Betriebsunterstützung für beide Systemlinien.
Nun erfolgt die Übernahme zusätzlicher Funktionalitäten und die Anbindung weiterer Systeme an das neue Identity Management schrittweise in mehreren Wellen, bis die Migration schließlich vollständig abgeschlossen ist. Bei durchschnittlich großen Systemen ist als Dauer für die Migration von rund 18 Monaten auszugehen.
Sich auf ein Tool als Nachfolger für SAP Identity Management festzulegen, fällt nicht leicht. Aktuell sind insgesamt rund 130 entsprechende Software-Produkte verfügbar. Die einzelnen Lösungen voneinander abzugrenzen und das ideale Tool zu identifizieren, erweist sich als zunehmend schwierig, da sie sich im Funktionsumfang immer weiter annähern. Vor allem fünf große Anbieter haben sich am Markt als sinnvolle Nachfolger für SAP IdM etabliert: Microsoft Entra (SAP-Epfehlung), One Identity, Omada, SailPoint und Microfocus.
Um die bestmögliche Wahl zu treffen, können sich Unternehmen an folgenden Leitfragen orientieren:
Handelt es sich um eine Cloud-Lösung oder um ein On-Premise-Tool?
Welche Funktionalitäten gibt es out-of-the-box und welche müssen selbst entwickelt werden?
Gibt es Customizing-Möglichkeiten oder muss ich einen vorgegebenen Standard nutzen?
Benötige ich eine reine IAM-Lösung, die Konnektoren zu anderen Funktionssystemen bereitstellt, oder eine Plattform-Lösung, die sämtliche Disziplinen abdeckt?
Ist die Lösung SAP-zertifiziert? Lassen sich damit hybride Systemlandschaften abbilden?
Lassen sich Updates ohne umfangreiche Konfigurationen durchführen?
Wie ist die Usability des Produkts? Gibt es eine Möglichkeit, die bisher genutzten Oberflächen zu übernehmen?
Ist der Anbieter am Markt etabliert und verfügt das Produkt über eine valide Roadmap?
Aufgrund des nahenden Wartungsendes muss sich jedes Unternehmen, das SAP Identity Management im Einsatz hat, unweigerlich mit der Ablösung von SAP IdM beschäftigen. Idealerweise sollte die Migration ein halbes Jahr abgeschlossen sein, bevor die Wartung für SAP IdM am 31. Dezember 2027 eingestellt wird. Zwar gibt es die Möglichkeit, einer einmalig kostenpflichtigen Extended Maintenance bis 2030 zuzustimmen; diese Option ist für viele Unternehmen aber lediglich ein Notfallplan.
Für die Vorbereitung und die eigentliche Migration sind mindestens 36 Monate zu veranschlagen. Unternehmen sollten die verbleibende Zeit also nutzen, um den Wechsel zu einem alternativen IdM-Produkt gewissenhaft vorzubereiten und durchzuführen. IBsolution steht als erfahrener und kompetenter Partner für die Konzeption und die Durchführung der SAP IdM-Ablösung bereit – unabhängig davon, ob sich Unternehmen für eine Migration oder eine Greenfield-Neuimplementierung entscheiden.