Die FUE-Lizenzfalle unter SAP S/4HANA: Warum unsaubere HR-Berechtigungen viel Geld kosten können
Das Thema „Authorization-Based Licensing“ und die Umstellung auf das Full Usage Equivalent (FUE)-Modell unter SAP S/4HANA brennt vielen Unternehmen unter den Nägeln. Was in der Theorie nach einer flexiblen Vereinfachung klingt, entpuppt sich in der Praxis oft als massives finanzielles Risiko – insbesondere im Bereich des SAP Human Capital Management (HCM / H4S4).
Wer die Umstellung auf S/4HANA vorbereitet, darf die Lizenzthematik nicht länger als reines Vertragsthema betrachten. Sie ist ab sofort ein technisches Berechtigungsthema. Damit ein ungenaues Rollen- und Berechtigungskonzept Ihnen nicht teuer zu stehen kommt, müssen die Spielregeln der neuen SAP-Welt genau verstanden werden.
Vom Named User zum Punkte-Pool: Das FUE-Lizenzmodell
In der klassischen SAP ECC-Welt war die Lizenzierung starr, aber überschaubar. Man kaufte dedizierte Benutzerlizenzen („Named User“) wie Professional, Limited Professional oder Employee. Diese wurden den Mitarbeitern fest zugewiesen.
Unter SAP S/4HANA – unabhängig davon, ob On-Premises oder im Zuge eines RISE with SAP-Cloud-Modells – bricht diese Struktur weg. An ihre Stelle tritt das Full Usage Equivalent (FUE). Ein FUE ist keine einzelne Lizenz mehr, sondern eine Art universelle Währung oder ein Punkte-Budget. Als Unternehmen erwerben Sie einen Pool an FUE-Punkten und können diesen flexibel auf vier verschiedene Nutzertypen aufteilen.
Die Krux liegt in den unterschiedlichen Gewichtungsfaktoren (Ratios), mit denen die Nutzertypen gegen das FUE-Budget gegengerechnet werden:
| Nutzertyp unter S/4HANA | FUE-Gewichtung | Äquivalent / Umrechnung |
|---|---|---|
| Developer User | 2,0 FUE | 1 Entwickler verbraucht 2,0 FUE-Punkte. |
| Advanced User | 1,0 FUE | 1 Power-User verbraucht 1,0 FUE-Punkt. |
| Core User | 0,20 FUE | 5 Core-User verbrauchen zusammen 1,0 FUE-Punkt. |
| Self-Service User | 0,033 FUE | 30 Self-Service-User teilen sich 1,0 FUE-Punkt. |
Der Vorteil: Ändern sich die Rollen und Anforderungen im Unternehmen, können die Punkte flexibel umverteilt werden.
Der Nachteil: Rutschen Mitarbeiter ungewollt in eine höhere Kategorie, ist das FUE-Budget in Rekordzeit aufgebraucht.
Das STAR-Framework: Potenzial schlägt Realität
Der fundamentale Systemwechsel betrifft jedoch nicht nur die mathematische Umrechnung, sondern die Art und Weise, wie die SAP die Einhaltung der Lizenzen misst. Willkommen beim Authorization-Based Licensing via STAR-Framework!
- Früher (ECC): Bei Systemvermessungen und Audits war häufig entscheidend, was ein User tatsächlich im System getan hat (Nutzungshistorie, ausgeführte Transaktionen).
- Heute (S/4HANA): Das STAR-Framework misst rigoros und rein digital, was ein User laut den ihm zugewiesenen Rollen theoretisch tun könnte.
Es spielt für den Lizenzprüfer keine Rolle mehr, ob ein Mitarbeiter eine Transaktion seit drei Jahren nicht angeklickt hat. Sobald das Berechtigungsobjekt in seinem Profil aktiv ist, schlägt das STAR-Framework erbarmungslos zu.
Ein klassisches Beispiel aus der Praxis ist die „Bequemlichkeit“ in der Basis-Administration. Wird einem Benutzer im Rahmen eines Projekts oder Supports schnell das Berechtigungsobjekt S_DEVELOP (für ABAP-Entwicklung) oder S_TRANSPRT (für Transportwesen) zugewiesen und danach nicht wieder entzogen, klassifiziert das System diesen User im nächsten Audit automatisch als Developer User (2,0 FUE) oder Advanced User (1,0 FUE). Ein fataler Fehler, der die Lizenzkosten für diesen einen Kopf im Handumdrehen vervielfacht.
Der Brennpunkt: SAP HCM und die ESS/MSS-Falle
Warum ist diese Lizenzsystematik ausgerechnet im SAP HCM- bzw. H4S4-Kontext wichtig?
Der Grund liegt im sogenannten Massen-Headcount. In klassischen ERP-Modulen wie Finanzen (FI) oder Einkauf (MM) arbeitet meist nur ein begrenzter Teil der Belegschaft (die klassischen Schreibtisch-Arbeitsplätze). Im HR-Bereich hingegen ist durch die flächendeckende Einführung von Employee Self-Services (ESS) und Manager Self-Services (MSS) oft jeder einzelne Mitarbeiter des Unternehmens ein registrierter SAP-User.
Vom Produktionsmitarbeiter im Schichtbetrieb über die Pflegekraft im Krankenhaus bis hin zur Geschäftsführung: Alle greifen auf das System zu, um Entgeltnachweise einzusehen, Urlaubsanträge einzureichen oder Arbeitszeiten zu erfassen.
Rein konzeptionell sind diese tausenden ESS-Mitarbeiter perfekte Self-Service User. Mit einer Gewichtung von 0,033 FUE pro Kopf belasten sie das Lizenzbudget kaum (30 Mitarbeiter teilen sich einen FUE-Punkt).
Das mathematische Desaster bei unsauberen HR-Rollen
Nehmen wir an, ein mittelständisches Unternehmen hat 3.000 gewerbliche Mitarbeiter, die ausschließlich ihre Gehaltsabrechnung digital via ESS abrufen.
- Soll-Zustand: 3.000 User × 0,033 FUE = 100 FUE-Punkte.
Schleicht sich nun bei der Konzeption der HR-Rollen ein Fehler ein – beispielsweise weil historische ECC-Rollen ungeprüft migriert wurden („Lift & Shift“) oder den ESS-Usern fälschlicherweise Zugriff auf klassische Pflege-Transaktionen (wie die PA20 oder PA30 statt reiner Fiori-Apps) gewährt wurde –, stuft das STAR-Framework diese User hoch.
Schon kleine, unsaubere Berechtigungsobjekte im HR-Umfeld (z. B. unvollständig eingeschränkte Objekte wie P_ORGIN oder allgemeine System-Berechtigungen) können dazu führen, dass das System den User als Core User oder sogar als Advanced User einstuft.
- Szenario Core-User-Einstufung: 3.000 User × 0,20 FUE = 600 FUE-Punkte.
- Szenario Advanced-User-Einstufung: 3.000 User × 1,0 FUE = 3.000 FUE-Punkte.
Ein einziger struktureller Fehler im HR-Rollenkonzept katapultiert den Lizenzbedarf in diesem Beispiel von 100 auf bis zu 3.000 FUE-Punkte! Da FUEs insbesondere in Cloud-Verträgen (wie RISE) als Mindestabnahme für die gesamte Vertragslaufzeit definiert werden und ein „Down-scaling“ während der Laufzeit nahezu unmöglich ist, spricht man hier schnell von vermeidbaren Mehrkosten im sechs- bis siebenstelligen Euro-Bereich.
Technische Analyse: SAP-Hinweis 3113382 als Rettungsanker
Um genau dieses finanzielle Fiasko zu verhindern, hat die SAP den SAP-Hinweis 3113382 bereitgestellt. Dieser Hinweis beinhaltet die „Berechtigungstabelle SAP S/4HANA Benutzersimulation / FUE-Projektion“ und liefert die technische Logik für den Report /SDF/HANA_BW_FUE.
Mithilfe dieses Tools können Unternehmen noch auf ihrem alten ECC-System eine exakte Simulation laufen lassen. Der Report analysiert den aktuellen Rollenkatalog und zeigt transparent auf, wie viele FUE-Punkte das Unternehmen nach einer S/4HANA-Migration auf Basis des aktuellen Berechtigungsstands verbrauchen würde.
Wichtig für die Praxis: Der Hinweis sollte im System zwingend auf dem neuesten Stand sein. Da die SAP das Mapping von Berechtigungsobjekten zu den FUE-Klassen kontinuierlich verfeinert und aktualisiert, liefert nur ein topaktueller Hinweis verlässliche Zahlen für die anstehende Vertragsverhandlung.
Best Practices: So schützen Sie Ihr SAP-Budget
Wer den Umstieg auf S/4HANA oder H4S4 plant, sollte folgende drei Schritte fest in seiner Roadmap verankern:
- Kein „Lift & Shift“ bei Rollen: Migrieren Sie niemals alte ECC-Rollen ungeprüft in das neue System. Nutzen Sie den S/4HANA-Umstieg für eine radikale Bereinigung historisch gewachsener Berechtigungsstrukturen.
- Konsequenter Fokus auf Fiori im HR: Um im HCM-Bereich sicherzustellen, dass ESS/MSS-Nutzer stabil in der günstigen „Self-Service“-Kategorie (0,033 FUE) verbleiben, sollten diese ausschließlich über standardisierte SAP Fiori-Apps zugreifen. Vermeiden Sie den direkten Zugriff auf klassische Backend-Transaktionen im SAP GUI.
- Regelmäßige Mock-Audits durchführen: Warten Sie nicht auf die offizielle Systemvermessung der SAP. Nutzen Sie den Report aus Hinweis 3113382 regelmäßig im Vorfeld, um Abweichungen, verwaiste Profile oder Fehlklassifizierungen frühzeitig zu erkennen und zu korrigieren.
Fazit
Das FUE-Lizenzmodell unter SAP S/4HANA bietet moderne Flexibilität, bestraft aber administrative Nachlässigkeit so hart wie nie zuvor. Besonders im HCM-Umfeld, wo die Nutzerzahlen naturgemäß extrem hoch sind, mutiert das Berechtigungskonzept zum direkten Kostentreiber. Nur wer seine Rollen und die dahinterliegenden Berechtigungsobjekte exakt kennt und pflegt, sichert sich eine wirtschaftlich erfolgreiche Migration. Rollenpflege ist kein lästiges IT-Projekt mehr – sie ist aktives Risikomanagement für das gesamte Unternehmen.
Sie sind an dem Thema interessiert oder haben eine Frage? Kommen Sie jederzeit auf uns zu!