SAP Cloud, Datenschutz und Schweizer Anforderungen: Was Unternehmen beachten sollten

Learn about how AI operates inside SAP S/4HANA, from clean core and data quality to embedded use cases, real-time decisions, and secure, transparent execution.

Für Schweizer Unternehmen ist die Verlagerung von SAP-Systemen in die Cloud längst nicht mehr nur eine technische Entscheidung. Mit der Cloud-Architektur verändern sich auch Fragen zu Datenresidenz, Datenschutz, Security, Zugriffsrechten und Verantwortlichkeiten. Besonders bei SAP S/4HANA Cloud, RISE with SAP und integrierten Services wie SAP BTP sollten diese Aspekte frühzeitig bewertet werden.

SAP Cloud kann für Schweizer Unternehmen eine geeignete Betriebsform sein. Das Schweizer Datenschutzgesetz schreibt jedoch nicht pauschal vor, dass sämtliche SAP-Daten in der Schweiz gespeichert werden müssen. Entscheidend sind unter anderem die Art der Daten, ihre Verarbeitung und Übermittlung, Zugriffs- und Supportmodelle sowie die vertraglichen und technischen Schutzmassnahmen.

Damit wird auch deutlich, warum SAP Data Residency nicht mit Datenschutzkonformität gleichgesetzt werden sollte. Der Standort eines Rechenzentrums ist ein wichtiges Kriterium, aber nur ein Teil der Gesamtbetrachtung. Unternehmen sollten ebenso prüfen, wo Daten verarbeitet werden, von welchen Ländern aus administrative oder Supportzugriffe erfolgen, wo Backups liegen und welche weiteren Cloud-Services oder Schnittstellen Daten erhalten.

Für CIOs, IT-Leiter und Verantwortliche für digitale Transformation stellt sich deshalb eine umfassendere Frage: Welche SAP-Cloud-Architektur erfüllt die geschäftlichen, technischen und regulatorischen Anforderungen des Unternehmens – und wie lassen sich diese Anforderungen bereits bei der Planung berücksichtigen?

Dieser Leitfaden zeigt, worauf Schweizer Unternehmen bei SAP Cloud, Datenschutz, Data Residency und Security achten sollten und welche Fragen vor einer Cloud- oder RISE-with-SAP-Entscheidung geklärt werden sollten.

Warum Datenschutz und Data Residency bei SAP Cloud in der Schweiz wichtig sind

Bei einer SAP-Cloud-Transformation geht es nicht nur darum, wo ein SAP-System technisch betrieben wird. Für Schweizer Unternehmen ist ebenso relevant, welche Daten verarbeitet werden, wer darauf zugreifen kann und über welche Länder oder Services die Daten fliessen.

Cloud-Daten sind mehr als Datenbankinhalte

Ein häufiger Fehler bei Cloud-Projekten ist, nur auf den primären Speicherort der SAP-Datenbank zu schauen. In der Praxis entstehen zusätzliche Datenflüsse beispielsweise durch:

• Backups und Disaster-Recovery-Umgebungen
• Monitoring und Logging
• Support- und Administrationszugriffe
• Schnittstellen zu SAP BTP oder Drittanwendungen
• Integrationsplattformen und APIs
• externe Dienstleister und Subprozessoren
• Test-, Entwicklungs- und Analyseumgebungen

Für die Beurteilung von SAP Data Residency sollte deshalb die gesamte Datenarchitektur betrachtet werden. Ein Schweizer Rechenzentrumsstandort kann eine wichtige Anforderung erfüllen, beantwortet aber nicht automatisch alle Fragen zu Datenschutz und Compliance.

Data Residency ist nicht dasselbe wie Datenschutz

Data Residency beschreibt grundsätzlich, in welcher geografischen Region Daten gespeichert oder verarbeitet werden. Datenschutz geht weiter: Das Unternehmen muss unter anderem beurteilen, welche Personendaten bearbeitet werden, zu welchem Zweck dies geschieht, wer dafür verantwortlich ist und ob Daten an Empfänger im Ausland gelangen.

Das ist besonders wichtig, weil Schweizer Unternehmen nicht automatisch verpflichtet sind, sämtliche SAP-Daten ausschliesslich in der Schweiz zu speichern. Entscheidend ist vielmehr, ob die jeweilige Verarbeitung und eine mögliche Auslandbekanntgabe nach den Anforderungen des Schweizer Datenschutzrechts zulässig und angemessen abgesichert sind.

Für eine SAP-Cloud-Entscheidung bedeutet das: Nicht nur den Standort des Rechenzentrums prüfen, sondern den gesamten Lebenszyklus der Daten.

Gerade bei geschäftskritischen SAP-Prozessen sollte diese Prüfung vor der Auswahl des Cloud-Modells und nicht erst während der Implementierung erfolgen. So lassen sich Datenschutz-, Security- und Architekturvorgaben von Beginn an in das SAP-Design integrieren.

Was bedeutet das Schweizer Datenschutzgesetz für SAP-Projekte?

Das Schweizer Datenschutzgesetz (DSG) gilt seit der Revision vom 1. September 2023 in seiner revidierten Form (revDSG). Für SAP-Projekte ist dabei entscheidend: Das Gesetz schreibt nicht generell vor, dass SAP-Systeme oder Personendaten in der Schweiz betrieben werden müssen. Unternehmen müssen vielmehr sicherstellen, dass die Bearbeitung von Personendaten rechtmässig erfolgt und angemessen geschützt ist.

Bei einer SAP-Cloud-Einführung betrifft das nicht nur die Software selbst, sondern auch die gewählte Betriebsform, Datenflüsse, Zugriffsmodelle und beteiligten Dienstleister.

revDSG und SAP Cloud

Zunächst sollte das Unternehmen klären, welche Daten im SAP-System überhaupt als Personendaten gelten. Dazu können beispielsweise Mitarbeiterdaten, Kunden- und Lieferanteninformationen oder personenbezogene Geschäftsdaten gehören.

Anschliessend sind unter anderem folgende Fragen zu beurteilen:

• Welche Personendaten werden verarbeitet?
• Zu welchem Zweck werden sie bearbeitet?
• Wer ist für die Bearbeitung verantwortlich?
• Welche SAP-Services und Drittanbieter erhalten Zugriff?
• In welchen Ländern werden Daten gespeichert oder verarbeitet?
• Welche technischen und organisatorischen Massnahmen schützen die Daten?

Bei besonders schützenswerten Personendaten oder Verarbeitungen mit erhöhtem Risiko kann zusätzlich eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein.

Auftragsbearbeitung durch Cloud- und SAP-Dienstleister

Bei Cloud-Modellen übernimmt ein externer Anbieter bestimmte Verarbeitungstätigkeiten. Aus Sicht des Schweizer Datenschutzrechts ist deshalb zu prüfen, ob eine Auftragsbearbeitung vorliegt und welche vertraglichen Regelungen dafür erforderlich sind.

Wichtig ist dabei die Verantwortlichkeit: Die Auslagerung der Verarbeitung bedeutet nicht automatisch, dass das Unternehmen seine datenschutzrechtliche Verantwortung an den Dienstleister abgibt.

Für SAP-Projekte sollte deshalb vor Vertragsabschluss unter anderem geprüft werden:

• Welche Leistungen übernimmt SAP beziehungsweise der Cloud-Anbieter?
• Welche weiteren Auftragsbearbeiter oder Subprozessoren sind beteiligt?
• Welche Daten dürfen verarbeitet werden?
• Welche Weisungs- und Kontrollmöglichkeiten bestehen?
• Wie werden Sicherheitsvorfälle behandelt?
• Welche Regelungen gelten für Löschung und Rückgabe von Daten?

Auslandbekanntgabe: Nicht jeder Auslandbezug ist verboten

Ein häufiger Irrtum lautet, dass Schweizer Unternehmen SAP-Daten grundsätzlich nicht ausserhalb der Schweiz speichern oder verarbeiten dürfen. Das ist so pauschal nicht richtig.

Bei einer Bekanntgabe von Personendaten ins Ausland muss vielmehr geprüft werden, ob die datenschutzrechtlichen Voraussetzungen erfüllt sind. Dabei spielen insbesondere das Datenschutzniveau des Empfängerstaates und geeignete Garantien eine Rolle.

Das bedeutet für internationale SAP-Landschaften: Ein globales Support-, Integrations- oder Hosting-Modell sollte nicht allein anhand des Standorts des Schweizer SAP-Systems bewertet werden. Auch internationale Zugriffe und Datenübermittlungen müssen in die Datenschutzprüfung einbezogen werden.

Technische und organisatorische Massnahmen

Das revDSG verlangt einen angemessenen Schutz der Personendaten. Im SAP-Umfeld betrifft dies beispielsweise:

• rollenbasierte Berechtigungen und Least-Privilege-Prinzipien
• starke Authentifizierung und Zugriffskontrollen
• Verschlüsselung
• Protokollierung und Monitoring
• Schutz von Schnittstellen und APIs
• Backup- und Wiederherstellungskonzepte
• Regelungen für privilegierte und externe Zugriffe
• Prozesse für Sicherheits- und Datenschutzvorfälle

Damit wird Datenschutz zu einem Bestandteil der SAP-Architektur und des Betriebsmodells – nicht zu einer rein juristischen Prüfung am Ende des Projekts.

Für Schweizer Unternehmen empfiehlt es sich daher, Datenschutzanforderungen bereits bei der Auswahl von SAP Cloud, RISE with SAP oder einer alternativen Hosting-Architektur festzulegen. So können rechtliche Anforderungen, Security und Geschäftsanforderungen gemeinsam bewertet werden.

Wo sollten SAP-Daten für Schweizer Unternehmen gehostet werden?

Die kurze Antwort lautet: Es gibt keinen einheitlich vorgeschriebenen Hosting-Standort für alle SAP-Daten. Für Schweizer Unternehmen hängt die geeignete Wahl von Datenkategorie, regulatorischen Anforderungen, Geschäftsrisiken und dem gewünschten Betriebsmodell ab.

Ein Hosting-Standort in der Schweiz kann insbesondere dann sinnvoll oder ausdrücklich gewünscht sein, wenn Unternehmen hohe Anforderungen an Datenresidenz, interne Governance oder die Kontrolle über besonders sensible Daten haben. Er ist jedoch nicht automatisch gleichbedeutend mit vollständiger Datenschutz- oder Compliance-Konformität.

Wann ist ein Schweizer Standort besonders relevant?

Ein Schweizer Rechenzentrumsstandort kann für Unternehmen wichtig sein, wenn:

• interne Richtlinien eine Speicherung bestimmter Daten in der Schweiz verlangen,
• Kunden oder Geschäftspartner entsprechende Anforderungen stellen,
• besonders sensible Geschäfts- oder Personendaten verarbeitet werden,
• regulatorische oder vertragliche Vorgaben die Datenresidenz einschränken,
• das Unternehmen internationale Datenflüsse möglichst reduzieren möchte.

Dabei sollte die Anforderung möglichst präzise formuliert werden. Statt pauschal „alle SAP-Daten müssen in der Schweiz bleiben“ kann beispielsweise festgelegt werden, welche Datenkategorien tatsächlich einer Schweizer Data Residency unterliegen.

Der Rechenzentrumsstandort ist nur ein Teil der Prüfung

Bei SAP Data Residency sollten Unternehmen mindestens fünf Bereiche betrachten:

1. Produktivsystem: Wo werden die primären SAP-Daten gespeichert?
2. Backups: Wo werden Sicherungskopien abgelegt?
3. Disaster Recovery: Wo befindet sich die Wiederherstellungsumgebung?
4. Administration und Support: Von welchen Ländern aus können privilegierte Zugriffe erfolgen?
5. Integrationen: Welche Daten verlassen das SAP-System über APIs, Schnittstellen oder angebundene Cloud-Services?

Gerade der letzte Punkt wird in Cloud-Projekten häufig unterschätzt. Ein SAP-System kann beispielsweise in der Schweiz betrieben werden, während eine verbundene Anwendung Daten in einer anderen Region verarbeitet.

Welche Hosting-Option passt?

Die richtige Entscheidung sollte deshalb nicht mit der Frage „Wo steht der Server?“ beginnen, sondern mit „Welche Daten müssen unter welchen Bedingungen wo verarbeitet werden?“

Erst daraus lässt sich ableiten, ob ein Schweizer Rechenzentrumsstandort erforderlich, sinnvoll oder gegenüber anderen Kriterien nachrangig ist.

SAP Data Residency: Was der Rechenzentrumsstandort tatsächlich bedeutet

SAP Data Residency bezeichnet vereinfacht gesagt die geografische Region, in der bestimmte Daten eines SAP-Services gespeichert oder verarbeitet werden. Für Schweizer Unternehmen ist diese Information wichtig, reicht für eine umfassende Datenschutz- und Compliance-Bewertung aber nicht aus.

Entscheidend ist deshalb, die Data Residency auf Service- und Datenebene zu betrachten und nicht nur auf Ebene des SAP-Produkts.

SAP-Service und Datenstandort unterscheiden

„SAP Cloud“ ist kein einzelnes Hosting-Szenario. Je nach Produkt, Vertrag, Cloud-Modell und gewählter Region können sich Datenstandorte und Betriebsbedingungen unterscheiden.

Bei der Prüfung sollten Unternehmen deshalb konkret dokumentieren:

• Welcher SAP-Service wird eingesetzt?
• In welcher Region wird der Service bereitgestellt?
• Welche Daten werden dort gespeichert?
• Wo befinden sich Backup- und Recovery-Daten?
• Welche weiteren Services verarbeiten diese Daten?
• Welche Regelungen gelten für Support- und Administrationszugriffe?

Für SAP S/4HANA Cloud, SAP BTP und RISE with SAP sollten diese Fragen jeweils separat beantwortet werden. Eine Aussage zum Datenstandort eines Services lässt sich nicht automatisch auf die gesamte SAP-Landschaft übertragen.

Primärdaten, Backups und Disaster Recovery

Die produktive Datenbank ist nur ein Teil der Betrachtung. Auch Backups und Disaster-Recovery-Umgebungen können relevante Datenkopien enthalten.

Bei einer Data-Residency-Prüfung sollte daher eine einfache Übersicht erstellt werden:

Produktivdaten → Backup → Disaster Recovery → Supportzugriff → angebundene Services

Für jede Station sollte der tatsächliche Standort beziehungsweise die zulässige Region sowie der Zweck der Verarbeitung dokumentiert werden.

Administrative und Supportzugriffe berücksichtigen

Auch wenn Daten physisch in der Schweiz gespeichert sind, können administrative Tätigkeiten oder Supportprozesse grenzüberschreitend organisiert sein. Deshalb sollte die Prüfung nicht bei der Frage nach dem Rechenzentrum enden.

Relevant sind beispielsweise:

• Wer besitzt privilegierte Zugriffsrechte?
• Von welchen Regionen aus kann Support erfolgen?
• Unter welchen Bedingungen werden Zugriffe freigegeben?
• Werden Zugriffe protokolliert?
• Welche externen Parteien können beteiligt sein?

Damit wird deutlich: Data Residency beschreibt den Datenstandort, nicht automatisch den gesamten Datenzugriff.

SAP BTP und verbundene Cloud-Services

Besondere Aufmerksamkeit verdient die Integrationsarchitektur. SAP BTP kann als Plattform für Integrationen, Erweiterungen, APIs und weitere Services dienen. Dadurch können Daten zwischen mehreren Cloud-Komponenten fliessen.

Für Schweizer Unternehmen empfiehlt sich deshalb eine Datenflussübersicht, die nicht nur das zentrale SAP-System zeigt, sondern auch BTP-Services, Drittanwendungen und externe Schnittstellen.

Das Ziel ist eine belastbare Antwort auf vier Fragen:

Welche Daten? Wohin? Zu welchem Zweck? Unter welchen Zugriffs- und Schutzbedingungen?

Erst wenn diese Fragen für die relevanten Services beantwortet sind, lässt sich beurteilen, ob die gewählte SAP-Cloud-Architektur die Anforderungen an Data Residency, Datenschutz und Governance erfüllt.

Welche Security-Anforderungen gelten für SAP Cloud?

Bei SAP Security Schweiz geht es nicht nur um den Schutz der Cloud-Infrastruktur. Eine sichere SAP-Landschaft entsteht aus dem Zusammenspiel von Identitäten, Berechtigungen, Schnittstellen, Daten, Monitoring und Betriebsprozessen.

Dabei gilt das Prinzip der Shared Responsibility: Cloud-Anbieter übernehmen bestimmte Sicherheitsaufgaben auf Infrastruktur- und Serviceebene, während das Unternehmen weiterhin für viele Aspekte der eigenen Konfiguration, Benutzerverwaltung, Berechtigungen und Datenverarbeitung verantwortlich bleibt.

Die wichtigsten Security-Bereiche

IAM und Berechtigungen sind zentrale Kontrollpunkte

Ein Cloud-Service kann technisch sehr gut abgesichert sein und trotzdem ein Risiko darstellen, wenn Benutzer oder technische Schnittstellen zu weitreichende Rechte besitzen.

Für SAP-Systeme sollte deshalb früh festgelegt werden:

• Welche Benutzer benötigen Zugriff auf welche Geschäftsprozesse?
• Welche administrativen Rollen existieren?
• Wie werden privilegierte Zugriffe kontrolliert?
• Wie werden Rollen bei Ein- und Austritten angepasst?
• Wie werden regelmässige Access Reviews durchgeführt?

Besonders wichtig ist die Trennung kritischer Aufgaben. Ein Benutzer sollte beispielsweise nicht ohne geeignete Kontrollen gleichzeitig Prozesse ausführen und deren sicherheitsrelevante Änderungen freigeben können.

Integration und API Security nicht vergessen

Moderne SAP-Landschaften bestehen selten aus einem isolierten ERP-System. SAP BTP, CRM-, HR-, Supply-Chain- oder externe Anwendungen können über APIs und Integrationsplattformen verbunden sein.

Jede Schnittstelle erweitert deshalb die Angriffsfläche und kann gleichzeitig einen zusätzlichen Datenfluss erzeugen.

Bei der Architekturplanung sollten Unternehmen unter anderem Authentifizierung, Autorisierung, API-Gateway-Kontrollen, Verschlüsselung und Monitoring berücksichtigen.

Security muss auch im Betrieb funktionieren

Die Sicherheitsarchitektur endet nicht mit dem Go-live. Rollen, Schnittstellen, Benutzer und Cloud-Services verändern sich laufend.

Ein belastbares SAP Cloud Security-Modell sollte deshalb regelmässige Kontrollen vorsehen: Zugriffsrechte überprüfen, Logs auswerten, Sicherheitsvorfälle behandeln, Backups testen und Änderungen kontrolliert durchführen.

Für Schweizer Unternehmen ist zudem sinnvoll, Security und Datenschutz gemeinsam zu betrachten. Ein sicherer Cloud-Betrieb und eine datenschutzkonforme Datenverarbeitung sind verwandte, aber nicht identische Anforderungen.

RISE with SAP und Schweizer Datenschutz: Was ist zu beachten?

RISE with SAP kann für Schweizer Unternehmen eine Möglichkeit sein, SAP-Landschaften in ein Cloud-Betriebsmodell zu überführen. Für die Bewertung aus Schweizer Datenschutzsicht gilt jedoch auch hier: Nicht der Name des Angebots entscheidet über die Eignung, sondern die konkrete Service-, Hosting- und Betriebsarchitektur.

RISE with SAP ist nicht gleichbedeutend mit einem einzigen Hosting-Szenario

Je nach gewählter Variante, Region und vertraglicher Ausgestaltung können sich Datenstandorte, Infrastruktur und Betriebsbedingungen unterscheiden. Deshalb sollte ein Unternehmen vor der Entscheidung konkret prüfen, welche RISE-with-SAP-Konfiguration vorgesehen ist.

Für die Schweiz ist insbesondere zu klären:

• In welcher Region werden die relevanten SAP-Daten verarbeitet?
• Wo werden Backups und Recovery-Daten gespeichert?
• Welche Cloud-Infrastruktur liegt dem Szenario zugrunde?
• Welche Support- und Administrationszugriffe sind vorgesehen?
• Welche weiteren SAP- oder Drittservices werden integriert?
• Welche vertraglichen Regelungen gelten für Datenschutz und Subprozessoren?

SAP führt die Schweiz beispielsweise als verfügbare Region in seiner Dokumentation zu bestimmten RISE-with-SAP-Angeboten. Die konkrete Verfügbarkeit und die Bedingungen sollten jedoch immer für den tatsächlich geplanten Service geprüft werden.

Datenresidenz und Zugriffe gemeinsam bewerten

Für Schweizer Unternehmen reicht es nicht aus, einen Schweizer Datenstandort zu bestätigen. Auch administrative Zugriffe, Supportprozesse und verbundene Services gehören zur Risikobewertung.

Eine praktische Prüfung kann deshalb entlang dieses Datenflusses erfolgen:

SAP-Daten → Speicherung → Backup/Recovery → Supportzugriff → Integration → weitere Verarbeitung

Für jeden Schritt sollte dokumentiert werden, welche Daten betroffen sind, wo die Verarbeitung stattfindet und welche Kontrollen gelten.

RISE with SAP vor dem Vertrag prüfen

Die wichtigsten Fragen sollten vor der Vertragsentscheidung beantwortet werden. Eine RISE-with-SAP-Bewertung kann dabei beispielsweise folgende Bereiche umfassen:

1. Daten: Welche Personendaten und geschäftskritischen Informationen werden verarbeitet?
2. Region: Welche Data Residency ist erforderlich und welche Region bietet der konkrete Service?
3. Security: Wie werden Identitäten, Berechtigungen, Verschlüsselung und Monitoring umgesetzt?
4. Zugriff: Wer kann administrativ oder zu Supportzwecken auf die Umgebung zugreifen?
5. Integration: Welche Daten fliessen zu BTP, Drittanwendungen oder anderen SAP-Services?
6. Vertrag: Welche Datenschutz-, Sicherheits- und Subprozessorenregelungen gelten?
7. Betrieb: Wie werden Incidents, Backups, Recovery und Änderungen gehandhabt?

Damit wird RISE with SAP und Schweizer Datenschutz zu einer Architektur- und Governance-Frage und nicht zu einer reinen Hosting-Entscheidung.

Für Unternehmen mit hohen Anforderungen an Datenresidenz oder Kontrolle lohnt sich insbesondere ein Vergleich mehrerer RISE-Szenarien, bevor eine langfristige Betriebsarchitektur festgelegt wird.

Public Cloud, Private Cloud oder Schweizer Hosting?

Für Schweizer Unternehmen gibt es keine universell beste SAP-Cloud-Option. Public Cloud, Private Cloud und Schweizer Hosting unterscheiden sich vor allem bei Standardisierung, Flexibilität, Kontrollmöglichkeiten, Datenresidenz und Betriebsmodell.

Die Entscheidung sollte deshalb aus den konkreten Geschäfts- und Compliance-Anforderungen abgeleitet werden.

Public Cloud: Standardisierung im Vordergrund

Ein Public-Cloud-Szenario kann attraktiv sein, wenn ein Unternehmen standardisierte SAP-Prozesse, schnelle Skalierung und einen möglichst stark standardisierten Cloud-Betrieb anstrebt.

Dabei sollten Schweizer Unternehmen vor Vertragsabschluss prüfen, in welchen Regionen der konkrete SAP-Service verfügbar ist und welche Regelungen für Datenverarbeitung, Support und verbundene Services gelten.

Private Cloud: Mehr Flexibilität, aber nicht automatisch mehr Sicherheit

Eine Private Cloud kann mehr Möglichkeiten für individuelle Anforderungen und komplexe SAP-Landschaften bieten. Das kann insbesondere bei bestehenden S/4HANA-Systemen, umfangreichen Integrationen oder spezifischen Geschäftsprozessen relevant sein.

Wichtig ist jedoch: Private Cloud bedeutet nicht automatisch höhere Security oder bessere Datenschutzkonformität. Auch hier müssen Datenstandorte, Zugriffe, Berechtigungen, Subprozessoren und technische Schutzmassnahmen konkret geprüft werden.

Schweizer Hosting: Wenn Data Residency eine zentrale Anforderung ist

Ein Hosting-Modell mit Betrieb in der Schweiz kann sinnvoll sein, wenn Schweizer Data Residency eine wichtige geschäftliche, vertragliche oder interne Anforderung darstellt.

Der Schweizer Standort sollte jedoch nicht isoliert betrachtet werden. Unternehmen sollten zusätzlich klären, wo Backups, Disaster-Recovery-Systeme und Supportprozesse angesiedelt sind und welche internationalen Datenflüsse bestehen.

Die richtige Entscheidung beginnt mit den Anforderungen

Statt mit der Frage „Public oder Private Cloud?“ zu starten, empfiehlt sich eine Anforderungsmatrix:

Datenklassifizierung → regulatorische Anforderungen → Data Residency → Security → Integrationen → Betriebsmodell → Kosten

Erst wenn diese Kriterien gewichtet sind, lässt sich objektiv beurteilen, welches SAP-Cloud-Modell zum Unternehmen passt.

Für viele Schweizer Unternehmen kann dabei auch eine hybride oder international verteilte Architektur sinnvoll sein. Entscheidend ist nicht, möglichst viele Daten in der Schweiz zu halten, sondern die richtige Architektur für die tatsächlichen Anforderungen zu wählen.

SAP Cloud Compliance in der Praxis: Checkliste für Schweizer Unternehmen

Eine belastbare SAP Cloud Compliance entsteht nicht durch eine einzelne Zertifizierung oder einen Schweizer Rechenzentrumsstandort. Sie ergibt sich aus dem Zusammenspiel von Datenschutz, Security, Datenresidenz, Verträgen und dem tatsächlichen Betriebsmodell.

Vor der Auswahl eines SAP-Cloud-Szenarios sollten Schweizer Unternehmen deshalb mindestens folgende Punkte prüfen.

Before You Sign: Die wichtigsten Fragen

1. Daten

• Welche Personendaten werden in SAP verarbeitet?
• Werden besonders schützenswerte Personendaten verarbeitet?
• Welche Daten sind geschäftskritisch oder vertraulich?
• Welche Daten müssen aufgrund interner oder vertraglicher Vorgaben in der Schweiz bleiben?

2. Datenschutz

• Wer ist Verantwortlicher und wer Auftragsbearbeiter?
• Welche Datenverarbeitungen finden durch SAP und weitere Dienstleister statt?
• Bestehen relevante Auslandbekanntgaben?
• Sind geeignete Garantien für internationale Datenübermittlungen vorhanden?
• Ist eine Datenschutz-Folgenabschätzung erforderlich?

3. Data Residency

• Wo liegen die produktiven SAP-Daten?
• Wo befinden sich Backups und Disaster-Recovery-Daten?
• Wo können Support- und Administrationszugriffe erfolgen?
• Welche Regionen werden von verbundenen SAP- und Drittservices genutzt?

4. Security

• Wie werden Identitäten und privilegierte Zugriffe geschützt?
• Sind Rollen und Berechtigungen nach dem Least-Privilege-Prinzip aufgebaut?
• Wie werden Daten verschlüsselt?
• Wie werden APIs und Integrationen abgesichert?
• Welche Monitoring-, Logging- und Incident-Response-Prozesse bestehen?

5. Anbieter und Vertrag

• Welche Subprozessoren sind beteiligt?
• Welche Sicherheits- und Datenschutzverpflichtungen sind vertraglich geregelt?
• Wie werden Sicherheitsvorfälle gemeldet?
• Welche Audit- und Kontrollmöglichkeiten bestehen?
• Was passiert mit den Daten bei Vertragsende?

6. Architektur und Betrieb

• Welche Systeme sind mit SAP verbunden?
• Welche Daten verlassen die SAP-Kernsysteme?
• Wie werden Änderungen und neue Integrationen kontrolliert?
• Sind Backup und Disaster Recovery ausreichend getestet?
• Wer trägt welche Verantwortung im laufenden Betrieb?

Anforderungen dokumentieren, bevor Lösungen verglichen werden

Die Checkliste sollte nicht erst während der Vertragsverhandlung entstehen. Besser ist es, die Anforderungen bereits vor der Auswahl des Cloud-Modells zu dokumentieren und anschliessend mehrere Szenarien dagegen zu bewerten.

Eine einfache Bewertungsmatrix kann beispielsweise so aufgebaut werden:

Anforderung → Muss-Kriterium → bevorzugte Region → zulässiger Datenfluss → erforderliche Security-Kontrolle → vertragliche Absicherung

So wird aus allgemeinen Anforderungen wie „DSG-konform“ oder „sicher“ eine überprüfbare Grundlage für die SAP-Architekturentscheidung.

Das ist besonders bei SAP S/4HANA Cloud, RISE with SAP und SAP BTP relevant, weil Datenflüsse und Verantwortlichkeiten über mehrere Services hinweg betrachtet werden müssen.

Der wichtigste Grundsatz: Compliance sollte als Bestandteil des SAP-Designs behandelt werden – nicht als Prüfung, die erst kurz vor dem Go-live beginnt.

Wie LeverX Schweizer Unternehmen bei SAP Cloud unterstützen kann

Die Wahl einer SAP-Cloud-Architektur für ein Schweizer Unternehmen erfordert mehr als die Auswahl eines Hosting-Modells. Datenschutz, Data Residency, Security, Integrationen und Geschäftsanforderungen müssen gemeinsam betrachtet werden.

LeverX kann Unternehmen dabei unterstützen, diese Anforderungen in eine umsetzbare SAP-Architektur und einen klaren Transformationsplan zu übersetzen.

Dabei kann die Unterstützung bereits vor der eigentlichen Migration beginnen:

• SAP Cloud Assessment: Analyse der bestehenden SAP-Landschaft, Datenflüsse, Integrationen und Anforderungen an Datenschutz und Data Residency
• Architekturberatung: Vergleich von Public Cloud, Private Cloud, RISE with SAP und weiteren Betriebsmodellen anhand konkreter Geschäfts- und IT-Anforderungen
• SAP S/4HANA Transformation: Planung und Umsetzung von Migrationen und Modernisierungsschritten
• SAP BTP und Integration: Gestaltung sicherer Integrationen zwischen SAP, Cloud-Services und Drittanwendungen
• Data Management: Strukturierung, Migration und Governance von SAP-Daten
• Security und Governance: Unterstützung bei Rollen, Berechtigungen, Zugriffsmodellen und Betriebsprozessen
• SAP Application Management Services: Unterstützung beim stabilen Betrieb und bei der Weiterentwicklung der SAP-Landschaft nach dem Go-live

Besonders bei internationalen SAP-Landschaften kann ein strukturierter Ansatz helfen, globale Standards mit den spezifischen Anforderungen des Schweizer Standorts zu verbinden.

Der erste Schritt muss dabei nicht die Entscheidung für ein bestimmtes Cloud-Modell sein. Sinnvoller ist es, zunächst Daten, Prozesse, Integrationen, regulatorische Anforderungen und Betriebsverantwortlichkeiten transparent zu machen. Auf dieser Grundlage lässt sich anschliessend beurteilen, welche SAP-Cloud-Architektur technisch, wirtschaftlich und organisatorisch zum Unternehmen passt.

SAP Cloud in der Schweiz fundiert planen

Wenn Sie SAP Cloud, RISE with SAP oder SAP S/4HANA Cloud für Ihr Schweizer Unternehmen prüfen, kann LeverX Sie von der ersten Bewertung bis zur Umsetzung und zum laufenden Betrieb begleiten.

Besprechen Sie Ihre SAP-Cloud-Anforderungen mit LeverX und entwickeln Sie eine Architektur, die zu Ihren Daten, Prozessen und langfristigen Geschäftszielen passt.