SAP-Einführung im öffentlichen Sektor: Compliance und Risiken

Im öffentlichen Sektor muss Compliance ab dem ersten Design-Workshop in das SAP-System konfiguriert werden. Fondsbuchhaltung und Haushaltsprüfungen gehören in Public Sector Management (PSM). Die Funktionstrennung gehört in das Rollendesign. Beschaffungsschwellen und Ausschreibungsunterlagen gehören in den Workflow. Die Datenresidenz muss im Vertrag geklärt sein, bevor jemand unterschreibt. Dieser Leitfaden richtet sich an CFOs, CIOs und Programmleiter in Behörden und staatsnahen Unternehmen. Er behandelt die Kontrollen, die Prüfungsfeststellungen verhindern, die Bereitstellungsoptionen für 2026 und das Team, das Sie brauchen. Nutzen Sie die Kontrolltabelle und die Checkliste vor Vertragsabschluss weiter unten.

Behörden haben keinen Spielraum für Compliance-Verstöße, die erst bei der Prüfung auffallen. Ich arbeite seit über 10 Jahren an SAP-Projekten im öffentlichen Sektor, und die Lücke zwischen „Compliance dokumentiert“ und „Compliance im System durchgesetzt“ ist die teuerste, die sich nach dem Go-live noch schließen lässt.

Ich habe gesehen, was passiert, wenn Compliance von Anfang an eingebaut wird: Es spart Behörden Zeit, verhindert durchgefallene Prüfungen und macht Verantwortlichkeiten klar. Ich habe aber auch an Projekten gearbeitet, in denen Teams Compliance-Prüfungen übersprangen, weil sie dachten, sie könnten sie später erledigen. Monate danach zwangen Sicherheitslücken und Rechtsverstöße sie zum Rückbau, und es kostete Millionen.

Das am besten dokumentierte aktuelle Beispiel hat gar nichts mit SAP zu tun. Birmingham City Council hatte 2018 knapp 20 Millionen Pfund für die Ablösung durch Oracle Fusion budgetiert. Der externe Prüfer stellte in seinem Public Interest Report 2025 fest, dass das System samt der Arbeit zu seiner Behebung mindestens 90 Millionen Pfund mehr kosten würde als das ursprüngliche Budget. Die Wiederherstellung sollte sich bis 2026 hinziehen. Die Ursachen waren vorhersehbar. Die meisten ERP-Fehlschläge im öffentlichen Sektor sind es.

Berater, die Annahmen aus der Privatwirtschaft mitbringen, verursachen Probleme, die spät auftreten, wenn sie teuer zu beheben sind.

Die Beschaffung dauert länger. Die Lieferantenfreigabe umfasst regulatorische Prüfungen, die es in der kommerziellen Beschaffung nicht gibt. Ein Lieferant, der schnell freigegeben wurde, kann später eine Sicherheitsprüfung nicht bestehen, und das wird zum Projektproblem. Planen Sie die Beschaffung nach dem regulatorischen Zyklus, nicht nach dem kommerziellen.

Haushaltsstrukturen sind komplexer. Fondsbuchhaltung, Fördermittel und mehrjährige Verpflichtungen erfordern eine PSM-Konfiguration, die in einer Standardeinführung nicht enthalten ist. Steuer- und Einnahmenbehörden brauchen für bürgerbezogene Einnahmen zusätzlich Public Sector Collection and Disbursement (PSCD). Wird eines von beiden falsch umgesetzt, spiegeln die Finanzberichte die Realität erst bei der Prüfung wider.

Freigabezyklen sind gesetzlich festgelegt. Behördliche Freigaben lassen sich nicht so verschlanken wie kommerzielle Workflows. Planen Sie sie von Anfang an ein. Workflows, die diese gesetzlichen Anforderungen ignorieren, werden umgangen, und die Umgehungen zerstören den Prüfpfad.

Daten sind sensibler. Bürgerdaten, Steuerunterlagen und Mitarbeiterinformationen unterliegen Souveränitätspflichten. Wo Daten liegen, ist in den meisten Rechtsordnungen eine rechtliche Anforderung, keine technische Präferenz.

Compliance im Finanzbereich

Jeder häufige Fehler hat eine konkrete SAP-Kontrolle:

Risiko	So sieht es aus	SAP-Kontrolle
Nicht verfolgte Ausgaben der Abteilungen	Budgets werden überschritten, ohne dass es bis zum Monatsabschluss sichtbar ist	Fondsmanagement und Verfügbarkeitskontrolle im Haushalt in PSM
Fehlende Prüfpfade	Buchungen ohne vollständige Freigabehistorie	Konfiguration des Belegflusses und verpflichtende Freigabeschritte
Manuelle Überschreibung von Kontrollen	Anwender umgehen die Freigabe, um die Verarbeitung zu beschleunigen	Berechtigungskonzept und Durchsetzung der Funktionstrennung
Zahlung ohne Prüfung	Rechnungen werden vor Wareneingang oder Freigabe bezahlt	Drei-Wege-Abgleich, über MM und FI hinweg durchgesetzt
Falsche Steuereinrichtung	Steuerregeln für öffentliche Stellen fehlen im System	Einrichtung der Steuerzuständigkeiten und Konfiguration der Steuersätze
Lücken bei der Funktionstrennung	Eine Person legt eine Zahlung an und gibt sie frei	Prüfung des Rollendesigns und eine Funktionstrennungsmatrix

Die Funktionstrennung wird durchweg unterschätzt. Wenn eine Person einen Lieferanten anlegen, eine Bestellung erfassen, den Wareneingang buchen und die Zahlung freigeben kann, hat das System keine wirksame Kontrolle, wie viele Regeln auch auf dem Papier stehen.

1. 01Lieferant anlegenZuerst durch die regulatorischen Prüfungen freigegeben
2. 02Bestellung erfassenDie Verfügbarkeitskontrolle im Haushalt in PSM blockiert Überschreitungen
3. 03Ware empfangenIn MM gegen die Bestellung erfasst
4. 04Rechnung abgleichenDrei-Wege-Abgleich, über MM und FI hinweg durchgesetzt
5. 05Zahlung freigebenVerpflichtende Freigabe durch eine andere Person

Bezahlt, mit der vollständigen Freigabehistorie im Belegfluss

Compliance in der Beschaffung

Die öffentliche Beschaffung hat mehr Fehlerquellen, als die meisten Teams erwarten. Diese fünf tauchen immer wieder auf.

1. Lieferantenfreigabe überstürzt. Der Zeitplan war eng, also wurde ein Lieferant an einem Tag freigegeben. Später fiel derselbe Lieferant bei einer Sicherheitsanforderung durch, die von Anfang an im Vertrag stand. Die Lücke lag im Prozessdesign, nicht im System.
2. Vertragsänderungen nicht nachverfolgt. Jemand fügt eine Leistungsposition hinzu, und die Budgetverantwortlichen genehmigen sie schnell. Sechs Monate später kann niemand zeigen, wann sich der Umfang geändert hat oder wer es genehmigt hat. Die Prüfungsfeststellung folgt.
3. Ausgaben vor der Haushaltsfreigabe. Teams binden Mittel in der Erwartung, dass die Finanzierung eintrifft. Die Finanzabteilung lehnt die Rechnung ab, der Lieferant stoppt die Arbeit, und die Erklärungen beginnen.
4. Ausschreibungsunterlagen unvollständig. Prüfer wollen die lückenlose Spur der Angebotsbewertungen und Vergabeentscheidungen. Liegt sie in E-Mails statt in SAP, werden sie fragen, warum. Ich habe einmal eine Woche damit verbracht, fehlende Ausschreibungsnachweise zu rekonstruieren. Dafür sollte mitten in einer Einführung keine Zeit draufgehen.
5. Schwellenwerte umgangen. Anwender finden Wege um Freigabegrenzen herum, die eine Prüfung auslösen sollen. Jede Umgehung spart einen Tag und schafft ein echtes Compliance-Risiko.

Wie das bei einem staatlichen Beschaffungssystem aussieht, lesen Sie in meinen Notizen zu SAP Ariba im öffentlichen Sektor der VAE.

Datenresidenz und Datenschutz

Cloud-Anbieter hosten Daten in verschiedenen Regionen. Wenn das Hosting nicht vertraglich und technisch verifiziert wird, können Behördendaten das Land verlassen, ohne dass es jemand bemerkt, und die Rechtsabteilung erfährt es im ungünstigsten Moment. Die wiederkehrenden Lücken sind unklare Hosting-Standorte, nur teilweise oder falsch konfigurierte Verschlüsselung, aus Bequemlichkeit breit vergebener Administratorzugriff, abdriftende Aufbewahrungsregeln und Backups, die weniger streng geregelt sind als Livesysteme. Wer davon ausgeht, dass jemand anderes dafür zuständig ist, erzeugt so Souveränitätsprobleme. Benennen Sie einen Verantwortlichen, bilden Sie es im Design ab und testen Sie es vor dem Go-live.

In diesen Bereichen unterscheidet sich der Umfang im öffentlichen Sektor von einem kommerziellen Programm:

Herausforderung	Was erforderlich ist
Komplexe Haushaltsstrukturen	PSM für Fondsbuchhaltung, Fördermittel und mehrjährige Haushaltskontrolle
Steuer- und Einnahmenerhebung	PSCD für bürgerbezogene Forderungen, Erstattungen und Einzug
Beschaffungsregulierung	Workflows für feste Freigabeketten und nachvollziehbare Beschaffungsunterlagen
Anbindung von Altsystemen	Migration von Eigenentwicklungen und verlässliche Schnittstellen
Gewerkschafts- und Gehaltsregeln	Abrechnung, die Tarifvereinbarungen und gewerkschaftsspezifische Vergütung abbildet
Bürgernahe Dienste	Anbindung an die Fallbearbeitung und Datenschutzkontrollen für Bürgerdaten
Behördenübergreifende Prozesse	SAP Central Finance für gemeinsame Finanzstrukturen über Abteilungen hinweg
Prüfungsdokumentation	Archivierung, Freigabehistorie und Ausschreibungsunterlagen, die Prüfer abrufen können

Behördenprojekte scheitern selten an der Software. Sie scheitern, wenn der Umfang die Fähigkeit der Organisation übersteigt, Veränderung aufzunehmen, oder wenn Compliance-Anforderungen erst nach dem Go-live entdeckt werden.

Eine Phasenbildung senkt das Risiko bei jedem einzelnen Go-live. Zuerst Finanzen und Beschaffung, weil sie das größte Compliance-Gewicht tragen. Gehaltsabrechnung und Personal, sobald die Kernfinanzen stabil sind. Bürgernahe Dienste danach. Ein vollständiger Go-live funktioniert nur, wenn die Planung abgeschlossen ist, die Compliance-Anforderungen vor der Konfiguration dokumentiert wurden, das interne Team Kapazität hat und die Daten sauber sind. Diese Kombination ist in Behörden selten. Fehlt sie, ist der phasenweise Weg der sicherere. Mein Leitfaden zu Einführungsstrategien vergleicht die Muster ausführlicher.

Die Datenresidenz entscheidet über das Bereitstellungsmodell

Für Käufer im öffentlichen Sektor sind Rollout- und Migrationsstrategie der Bereitstellungsentscheidung nachgeordnet, und diese Entscheidung wird von der Datenresidenz bestimmt.

Müssen Bürgerdaten im Land bleiben und kann SAP ein verifiziertes Hosting im Land mit den richtigen Zulassungen nachweisen, ist RISE with SAP auf S/4HANA Cloud Private Edition die stärkste Option. Sie verlagert die Infrastruktur zu SAP, was Behörden mit kleinen internen Basis-Teams hilft. Lässt sich ein Hosting im Land nicht nachweisen, bleibt On-Premise oder ein souveräner Cloud-Partner trotz des Betriebsaufwands die sicherere Antwort.

Public Edition hat jetzt Funktionen für den öffentlichen Sektor

SAP liefert inzwischen Funktionen für den öffentlichen Sektor in S/4HANA Cloud Public Edition aus. Das PSM-Scope-Bundle umfasst Haushaltsmanagement, Fördermittel, Mittelvormerkungen und Verfügbarkeitskontrolle, und SAP hat es 2025 und 2026 Land für Land eingeführt. Für eine Behörde, die als Greenfield mit Standardprozessen startet, entfällt damit viel Fundamentarbeit. Die rechtsraumspezifische Gestaltung entfällt nicht: Kontenplan, Steuerstrukturen und Haushaltsregeln. Laut SAPs eigener Aussage liefert es lokale Rechnungslegungsstandards (Local GAAP) je Land und keinen eigenen IPSAS-Rechnungslegungsgrundsatz. Planen Sie die Abbildung von IPSAS daher als Teil des Designs ein.

Was RISE abdeckt und was nicht

Der häufigste RISE-Fehler im öffentlichen Sektor ist die Annahme, SAP fange alle Compliance-Probleme ab, weil es die Infrastruktur betreibt. SAP deckt die Infrastruktur-Compliance ab: Hosting, Verschlüsselung, Plattformverfügbarkeit. Nicht abgedeckt sind die Funktionstrennung, schlecht entworfene Schnittstellen oder Lücken in der Ausschreibungsdokumentation. Dafür bleiben die Behörde und ihr Partner zuständig.

Der Anpassungsdruck ist in Behörden oft hoch. Richten Sie in der Governance-Struktur ein Gremium für die Prüfung von Erweiterungen ein, damit jede Lücke eine dokumentierte Entscheidung bekommt: konfigurieren, über freigegebene APIs erweitern oder ablehnen.

US-Bundesbehörden: SAP NS2

Ich habe keine Programme für US-Bundesbehörden geleitet, dies ist daher ausschließlich Kommentierung auf Basis öffentlicher Quellen. Cloud-Workloads von US-Bundesbehörden und der Verteidigung laufen über SAP National Security Services (SAP NS2), SAPs eigene US-Tochtergesellschaft, die S/4HANA Cloud Private Edition mit rein US-amerikanischem Betrieb und Personal bereitstellt. 2025 erteilte die DISA eine vorläufige Autorisierung für S/4HANA Cloud Private Edition und SAP BTP auf FedRAMP+ Impact Level 5. Im Oktober 2025 trat SAP dem FM-QSMO-Marktplatz des US-Finanzministeriums bei, für das Finanzmanagement des Bundes. Partner in diesen Programmen brauchen passende Autorisierungen und sicherheitsüberprüftes Personal, was die Auswahl stark eingrenzt.

KI und Datensouveränität

KI-Funktionen, die auf cloudgehosteten Modellen oder gemeinsam genutzter Infrastruktur beruhen, können mit Regeln kollidieren, die verbieten, dass Bürgerdaten das Land verlassen oder auf gemeinsam genutzten Plattformen verarbeitet werden.

Die praktische Grenze: KI, die das Einführungsteam für Projektmaterial nutzt (Anforderungsentwürfe in SAP Cloud ALM, Besprechungszusammenfassungen in Copilot, Entscheidungsprotokolle in Confluence), ist in der Regel unproblematisch, solange keine Bürgerdaten hindurchlaufen. KI, die souveräne Bürgerdaten in Echtzeit verarbeitet, etwa die automatische Fallzuweisung oder prädiktive Analysen auf Steuerdaten, braucht vor dem Einsatz eine ausdrückliche Prüfung der Datenresidenz. Manche Funktionen sind in souveränen Konfigurationen gar nicht verfügbar. Die Demo des Anbieters weist nicht auf den Konflikt hin. Die rechtliche Prüfung Monate später schon.

Checkliste vor Vertragsabschluss für die Cloud im öffentlichen Sektor

Lassen Sie sich jeden dieser Punkte vor der Unterschrift schriftlich bestätigen:

1. Die Hosting-Region für Produktion, Nicht-Produktion und Disaster Recovery
2. Einschränkungen beim grenzüberschreitenden Datenrouting, auch beim Support-Zugriff
3. Verschlüsselung im Ruhezustand und bei der Übertragung, und wer die Schlüssel hält
4. Wo Backups gespeichert werden und wie sie geregelt sind
5. Welches Personal des Anbieters aus welchen Ländern auf das System zugreifen kann und wie der Zugriff protokolliert wird
6. Welche KI-Funktionen im Umfang enthalten sind, wo sie Daten verarbeiten und ob sie sich abschalten lassen
7. Bedingungen für Datenrückgabe und Löschung bei Vertragsende

Berater mit Erfahrung im öffentlichen Sektor. Fondsbuchhaltung, Fördermittel, öffentliche Beschaffung und Einnahmenerhebung sind eigene Fachgebiete. Berater mit ausschließlich kommerzieller SAP-Erfahrung wenden die falschen Designmuster an.

Finanzverantwortliche, die das öffentliche Rechnungswesen kennen. IPSAS, Fondsbuchhaltung und mehrjährige Haushalte sind nicht das übliche kommerzielle Finanzwesen (FI). Ihre Fachvertreter müssen den Unterschied kennen. Mein Leitfaden zu SAP FICO behandelt die kommerzielle Basis, die sie anpassen müssen.

Compliance und Recht von Tag eins an am Tisch. In den Design-Workshops, nicht erst am Ende hinzugezogen. Compliance-Entscheidungen im Blueprint sind günstiger als Compliance-Entscheidungen nach dem Go-live.

Benannte Datenverantwortliche. Je eine Person für Bürger-, Lieferanten-, Finanz- und Mitarbeiterdaten, mit Entscheidungsbefugnis und Verantwortung für die Qualität.

Im System durchgesetzte Compliance übersteht die Prüfung. In Richtlinien festgeschriebene und in der Praxis umgangene Compliance nicht.

Was unterscheidet die SAP-Einführung im öffentlichen Sektor von kommerziellem SAP?

Drei Dinge: die Rechnungslegungsstruktur, die Beschaffungsregeln und die Daten-Governance.

Das öffentliche Rechnungswesen verfolgt Einnahmen und Ausgaben gegen Fonds, Fördermittel und Haushaltsjahre, was PSM erfordert, bei Einnahmenbehörden zusätzlich PSCD. Die öffentliche Beschaffung folgt rechtlichen Rahmen, die Transparenz, wettbewerbliche Ausschreibung und feste Freigabeketten vorschreiben. Bürgerdaten, Steuerunterlagen und Mitarbeiterinformationen unterliegen Souveränitätsanforderungen, die bestimmen, wo und wie das System gehostet werden darf.

Was sind die häufigsten Compliance-Verstöße bei SAP im öffentlichen Sektor?

Vier verursachen die meisten Prüfungsfeststellungen: Lücken bei der Funktionstrennung, fehlende Prüfpfade, Verstöße gegen die Datenresidenz und Beschaffungsunterlagen, die in E-Mails statt im System liegen. Jedes davon ist ein Designproblem, das sich durch Konfiguration und Prozess verhindern lässt, und jedes ist nach dem Go-live deutlich teurer zu beheben.

Was ist SAP PSM und wann wird es gebraucht?

SAP Public Sector Management (PSM) deckt das staatliche Rechnungswesen ab, das das Standard-Finanzwesen (FI) nicht leistet: Fondsbuchhaltung, Grants Management, eine Verfügbarkeitskontrolle im Haushalt, die Ausgaben über das genehmigte Budget hinaus blockiert, und mehrjährige Verpflichtungen mit Übertragungsregeln.

Jede Behörde mit fondsbasierter Haushaltsführung, Fördermittelfinanzierung oder mehrjährigen Investitionsprogrammen braucht es. Einnahmen- und Steuerbehörden brauchen zusätzlich PSCD für Bürgerforderungen, Erstattungen und Einzug. Entwerfen Sie Kontenplan, Fondsstruktur und Haushaltsregeln nach den Rechnungslegungsstandards, die für Sie gelten.

Wie sollte die Datenresidenz bei einer SAP-Cloud-Bereitstellung im öffentlichen Sektor gehandhabt werden?

Prüfen und dokumentieren Sie sie, bevor der Vertrag unterschrieben wird. Der Vertrag sollte die Rechenzentrumsregionen benennen, das grenzüberschreitende Routing einschränken, Backups abdecken und festlegen, welches Personal des Anbieters von wo auf das System zugreifen darf.

Testen Sie es dann technisch: Bestätigen Sie die Hosting-Region, prüfen Sie die Verschlüsselung im Ruhezustand und bei der Übertragung und beschränken Sie den Administratorzugriff auf benannte Personen in der richtigen Rechtsordnung. Ein Residenzproblem nach dem Go-live zu entdecken, ist teuer und öffentlich.

Was ist RISE with SAP für den öffentlichen Sektor?

RISE with SAP ist SAPs Abonnementangebot, meist auf S/4HANA Cloud Private Edition, bei dem SAP Infrastruktur und technischen Betrieb übernimmt. Es passt zu Behörden, bei denen SAP ein verifiziertes Hosting im Land mit den richtigen Zulassungen nachweisen kann, und es hilft Behörden mit kleinen internen Basis-Teams.

Es macht SAP nicht verantwortlich für die Compliance von Anwendung oder Prozessen. Funktionstrennung, Workflows und Ausschreibungsunterlagen bleiben bei der Behörde und ihrem Partner. In den USA laufen Cloud-Workloads von Bundesbehörden und der Verteidigung stattdessen über SAP NS2.

Sollte eine SAP-Einführung im öffentlichen Sektor phasenweise oder auf einmal erfolgen?

Phasenweise, für die meisten Organisationen im öffentlichen Sektor. Die Veränderungskapazität ist begrenzt, Compliance-Anforderungen zeigen sich oft erst nach und nach, und ein Compliance-Verstoß nach einem vollständigen Go-live kostet mehr als einer, der in einer begrenzten ersten Phase auffällt.

Finanzen und Beschaffung gehen meist zuerst live, danach Gehaltsabrechnung und Personal, danach bürgernahe Dienste. Ein vollständiger Go-live kann funktionieren, wenn Planung, Daten, Teamkapazität und Compliance-Dokumentation vor der Konfiguration bereit sind. Das ist selten.

Wie sieht die Prüfungsvorbereitung nach dem Go-live bei SAP im öffentlichen Sektor aus?

In einem gut eingeführten System wird die Prüfungsvorbereitung zur Berichtserstellung. Freigabehistorien liegen im Belegfluss, Ausschreibungsunterlagen in den Beschaffungsbelegen und der Haushaltsverbrauch in PSM.

Das gilt nur, wenn die Daten ordentlich gepflegt wurden. Umgangene Workflows hinterlassen Lücken im Prüfpfad, und außerhalb des Systems geführte Ausschreibungsunterlagen lassen sich daraus nicht erzeugen. Prüfungsbereitschaft ist ebenso sehr Prozessdisziplin wie Konfiguration.