Welche Compliance-Anforderungen muss man bei der S/4HANA-Migration beachten?

Posted by: AICON Solutions GmbH
17 Aug. 2026

Bei einer S/4HANA-Migration müssen Unternehmen eine Vielzahl von Compliance-Anforderungen beachten: von gesetzlichen Datenschutzvorgaben über die Anpassung von Berechtigungskonzepten bis hin zur Sicherstellung der Revisionssicherheit während der Datenmigration. Die Migration betrifft nicht nur technische Systeme, sondern greift tief in bestehende Governance-, Risk- und Compliance-Strukturen ein. Die folgenden Abschnitte beantworten die wichtigsten Fragen, die Sie vor und während Ihres Migrationsprojekts kennen sollten.

Welche gesetzlichen Vorgaben gelten während einer S/4HANA-Migration?

Während einer S/4HANA-Migration gelten alle gesetzlichen Vorgaben, die bereits für Ihr bestehendes SAP-System relevant sind, unverändert weiter. Dazu zählen insbesondere die Datenschutz-Grundverordnung (DSGVO), nationale Handels- und Steuergesetze sowie branchenspezifische Regulierungen. Die Migration selbst erzeugt dabei zusätzliche rechtliche Berührungspunkte, da personenbezogene und geschäftskritische Daten aktiv bewegt werden.

Konkret bedeutet das: Jede Datenübertragung von SAP ECC nach SAP S/4HANA muss dokumentiert sein. Personenbezogene Daten dürfen nur in dem Umfang migriert werden, der dem ursprünglichen Verarbeitungszweck entspricht. Veraltete oder nicht mehr benötigte Datensätze sollten vor der Migration bereinigt werden, um die DSGVO-Grundsätze der Datensparsamkeit einzuhalten.

Für Unternehmen in regulierten Branchen wie dem Bankenwesen, dem Gesundheitswesen oder dem öffentlichen Sektor kommen weitere Anforderungen hinzu. Aufsichtsbehörden erwarten, dass Systemwechsel keine Lücken in der Nachvollziehbarkeit von Transaktionen erzeugen. Entsprechende Nachweise müssen bereits während der Migrationsplanung vorbereitet werden, nicht erst nach dem Go-live.

Wie wirkt sich die Migration auf bestehende Berechtigungskonzepte aus?

Die Migration auf SAP S/4HANA macht eine vollständige Überprüfung und häufig auch eine Neugestaltung bestehender Berechtigungskonzepte notwendig. Viele Transaktionscodes und Berechtigungsobjekte aus SAP ECC existieren in S/4HANA nicht mehr oder wurden durch neue Fiori-basierte Rollen ersetzt. Eine einfache 1:1-Übernahme der alten Rollenstruktur ist in der Regel nicht möglich.

Besonders relevant ist dieser Aspekt aus Compliance-Sicht, weil veraltete oder zu weit gefasste Berechtigungen in der neuen Systemumgebung unbemerkt bestehen bleiben können. Das erhöht das Risiko von Zugriffsverletzungen und Funktionstrennungskonflikten (Segregation of Duties, SoD). Unternehmen sollten daher folgende Schritte einplanen:

Bestandsaufnahme aller bestehenden Rollen und Berechtigungen im Altsystem
Analyse von SoD-Konflikten auf Basis des neuen S/4HANA-Rollenmodells
Neudefinition von Rollen entlang der Fiori-App-Struktur und Geschäftsprozesse
Testläufe mit realen Nutzerprofilen vor dem produktiven Einsatz
Dokumentation aller Änderungen für interne und externe Prüfungen

Ein durchdachtes SAP-Berechtigungskonzept ist dabei nicht nur eine technische Aufgabe, sondern ein zentrales Element Ihrer Compliance-Strategie im neuen System.

Was ändert sich bei GRC-Prozessen nach dem Wechsel auf S/4HANA?

Nach dem Wechsel auf SAP S/4HANA müssen GRC-Prozesse an die neue Systemarchitektur angepasst werden. Bestehende GRC-Konfigurationen, insbesondere im Bereich Access Control, Risk Management und Process Control, sind nicht automatisch kompatibel mit S/4HANA und erfordern eine gezielte Überarbeitung. Gleichzeitig bietet der Wechsel die Chance, GRC-Strukturen zu modernisieren und effizienter zu gestalten.

Konkret betrifft das vor allem die Regelwerke für die Zugriffskontrolle: In S/4HANA wurden viele klassische Transaktionen durch neue Objekte ersetzt, was dazu führt, dass bestehende SoD-Regelwerke nicht mehr greifen. Risikobewertungen, die auf alten Transaktionscodes basieren, liefern im neuen System falsche oder unvollständige Ergebnisse.

Darüber hinaus verändert S/4HANA die Datenstruktur grundlegend, zum Beispiel durch die Zusammenführung von Debitoren- und Kreditorenbuchhaltung im Business-Partner-Modell. Diese strukturellen Änderungen wirken sich direkt auf Kontrollmechanismen aus, die bisher auf getrennten Datentöpfen basierten. GRC-Verantwortliche sollten daher frühzeitig prüfen, welche Kontrollen angepasst, neu definiert oder ersetzt werden müssen.

Wie bleibt die Revisionssicherheit während der Datenmigration gewährleistet?

Revisionssicherheit während der S/4HANA-Datenmigration bleibt gewährleistet, wenn alle Migrationsprozesse lückenlos dokumentiert, Datenveränderungen nachvollziehbar protokolliert und Ausgangsdaten im Altsystem eingefroren werden, bevor die Übertragung beginnt. Ohne diese Maßnahmen entstehen Lücken in der Prüfungskette, die bei internen und externen Audits zu Beanstandungen führen können.

Praktisch bedeutet das: Vor der Migration sollte ein klarer Datenschnitt definiert werden. Buchungen und Transaktionen, die nach diesem Stichtag im Altsystem erfolgen, dürfen nicht in das neue System übertragen werden, ohne dass dies transparent dokumentiert ist. Alle Migrationsobjekte, also Stammdaten, offene Posten, Saldenvorträge und historische Belege, müssen mit Herkunftsnachweis und Zeitstempel versehen sein.

Ergänzend empfiehlt sich ein strukturiertes Testkonzept, das die Vollständigkeit und Richtigkeit der migrierten Daten vor dem Go-live bestätigt. Differenzanalysen zwischen Quell- und Zielsystem sowie Abstimmprotokolle sind dabei unverzichtbare Nachweise für Revisoren. Die Einbindung der internen Revision bereits in der Migrationsplanung stärkt die Glaubwürdigkeit dieses Prozesses erheblich.

Wann sollte Compliance in den Migrationsprozess eingebunden werden?

Compliance sollte von Beginn an in den S/4HANA-Migrationsprozess eingebunden werden, idealerweise bereits in der Initiierungsphase, bevor technische Entscheidungen getroffen werden. Eine nachträgliche Compliance-Prüfung kurz vor dem Go-live führt regelmäßig zu kostspieligen Korrekturen und Verzögerungen. Je früher Compliance-Anforderungen bekannt sind, desto besser lassen sie sich in das Projektdesign integrieren.

In der Praxis empfiehlt sich folgende Einbindungsstruktur entlang der Migrationsphasen:

Vorprojektphase: Identifikation aller relevanten gesetzlichen und internen Anforderungen, Einbindung von Datenschutzbeauftragten und Compliance-Verantwortlichen in die Scope-Definition
Konzeptphase: Bewertung der Auswirkungen auf Berechtigungskonzepte, GRC-Prozesse und Datenschutz, Definition von Compliance-Akzeptanzkriterien
Realisierungsphase: Laufende Kontrolle der Umsetzung gegen die definierten Anforderungen, Dokumentation von Abweichungen und Entscheidungen
Testphase: Compliance-orientierte Testszenarien, Prüfung der Revisionssicherheit, Abnahme durch die interne Revision
Go-live und Nachbetrieb: Übergabe der Compliance-Dokumentation, Monitoring der neuen Kontrollen, Nachbesserungen auf Basis erster Praxiserfahrungen

Eine frühzeitige Einbindung zahlt sich auch strategisch aus: Sie verhindert, dass technische Entscheidungen getroffen werden, die später aus Compliance-Gründen wieder revidiert werden müssen. Das Projektmanagement sollte Compliance daher nicht als Prüfinstanz am Ende, sondern als integralen Bestandteil des gesamten Migrationsprojekts verstehen.

Wie AICON Sie bei Compliance in der S/4HANA-Migration unterstützt

Eine S/4HANA-Migration ist technisch anspruchsvoll und regulatorisch komplex. Wir bei AICON Solutions begleiten Unternehmen dabei, beide Dimensionen von Anfang an zusammenzudenken. Unser Leistungsangebot im Kontext von Compliance und Migration umfasst:

Analyse und Neugestaltung von Berechtigungskonzepten für SAP S/4HANA
Überprüfung und Anpassung von GRC-Konfigurationen, insbesondere im Bereich Access Control und SoD-Regelwerke
Beratung zur Datenschutz-Grundverordnung im Kontext von Datenmigration und Datenbereinigung
Unterstützung bei der Sicherstellung der Revisionssicherheit durch strukturierte Dokumentations- und Testkonzepte
Einbindung von Compliance-Anforderungen in die Projektplanung und das SAP-Consulting entlang aller Migrationsphasen

Unser Team verbindet langjährige SAP-Erfahrung mit fundiertem Wissen im Bereich Security und GRC, um sicherzustellen, dass Ihre Migration nicht nur technisch gelingt, sondern auch alle regulatorischen Anforderungen erfüllt. Sprechen Sie uns an: Wir analysieren gemeinsam mit Ihnen den Compliance-Bedarf Ihres Migrationsprojekts und entwickeln eine maßgeschneiderte Lösung. Nehmen Sie jetzt Kontakt auf und erfahren Sie, wie wir Ihr Vorhaben unterstützen können.