Wer welches TCode ausgeführt hat..

Re: Wer welches TCode ausgeführt hat..

Hallo,

ich weise mal darauf hin, dass du die Benutzung eines solchen Reportings NUR in Absprache mit

• dem Datenschutzbeauftragten UND
• dem Betriebsrat UND
• der Geschäftsführung

durchführen darfst, weil du sonst gleich gegen ein ganzes Bündel von Gesetzen verstößt, u. a. das Bundesdatenschutzgesetz und das Betriebsverfassungsgesetz verstößt.

Und nun zur Lösung:

Security Audit Log (wenn es entsprechend konfiguriert ist).

Re: Wer welches TCode ausgeführt hat..

waltersen hat geschrieben:Ich denke mal, dass auch hierfür die von Ralf gemachten Ausführungen gelten.

Richtig, weil die Daten erstens

* zur Leistungskontrolle herangezogen werden können (Betriebsverfassungsgesetz)
* personenbezogene Daten enthalten (Bundesdatenschutzgesetz)
* Firmengeheimnisse enthalten können (div. Gesetze, u. a. Strafgesetzbuch).

Darum würde ich ein solches Reporting ablehnen, es sei denn, es kommt direkt von der Geschäftsleitung und wird vom Datenschutzbeauftragten UND dem Betriebsrat vor Produktivsetzung abgenommen.

Ansonsten bringt man sich in Teufels Küche! Gerade Betriebsräte verstehen in der Regel keinen Spaß, wenn es um solche Daten geht. Da ist eine fristlose Kündigung noch das kleinste Übel.

Sorry, wenn ich hier den Reichsbedenkenträger markiere, aber wenn man mit einer Anwältin verheiratet ist und Datenschutzberatung macht, dann gehen sofort die Alarmglocken an. Ich hatte kürzlich erst noch den Fall, wo ich vom Betriebsrat eines Kunden engagiert wurde und es RICHTIG böse Worte gab in einer Sitzung, in der ich dem Vorstand (in Form des Personalvorstandes) die Leviten lesen musste. Der saß mit hochrotem Kopf am Tisch, als ich ihm klarmachte, gegen welche Gesetze die verstoßen und dass sie persönlich für den Schaden haften, den sie anrichten.

Der Fall ist jetzt vor Gericht, der Betriebsrat hat geklagt. Das wird für das Unternehmen noch RICHTIG teuer.

Re: Wer welches TCode ausgeführt hat..

Hallo,

die von mir genannten Transaktionen sind Standard und somit in jedem SAP System vorhanden und auch benutzbar (eventuell mit Konfiguration).

Da sie wie gesagt bei Fehlersuche und Lastanalyse sinnvoll eingesetzt werden können, wäre mein Vorschlag, dies mittels Berechtigungskonzept (braucht man eh) umzusetzen.

Z.B. bekommen die Transaktionen nur Systemadmins und Lastlevel Supporter. Man kann auch gleich reinschreiben, dass sie nur für obige Zwecke zu benutzen sind.

Das Berechtigungskonzept stimmt man dann mit allen relevanten Stakeholdern (also Betriebsrat, Datenschutzbeauftragter, Revision, Fachbereiche...) ab.

Ralf oder andere haben sicherlich einen Erfahrungsschatz, wie man soetwas sinnvoll / unsinnvoll aufsetzt. Meiner Meinung nach sollte man sich schon die Zeit nehmen, ein gutes Berechtigungskonzept zu entwerfen, da einen sonst der Ärger an anderer Stelle einholt.

Das Konzept muss natürlich auch gelebt werden. SAP Berechtigungen sind kumulativ. Jemand der viele sinnvolle & abgestimmte Einzelrollen hat kann ggf. in Kombination "etwas mehr".

So, das waren meine 2 Cent zu diesem Thema. Die Frage wird gerne gestellt, man kommt also leicht zur Antwort. Anspruchsvoller ist eine vernünftige organisatorische Einbindung im Sinne von Datenschutz und Berechtigungswesen.