Was SAP S/4HANA ist
SAP S/4HANA ist das ERP-System der SAP SE aus Walldorf. Es deckt Finanzwesen, Controlling, Einkauf, Vertrieb, Logistik und Produktion ab und läuft ausschließlich auf der SAP-eigenen Datenbank HANA. Es ist der Nachfolger von SAP ERP (ECC), dessen reguläre Wartung Ende 2027 endet.
S/4HANA gibt es in mehreren Ausprägungen: als On-Premise-Software, als Private Edition im Paket RISE with SAP, das SAP seit 2025 als SAP Cloud ERP Private vermarktet, und als mandantenfähige Public Edition. Bei der Private Edition betreibt SAP die Systeme, die Infrastruktur stellt SAP selbst oder ein Hyperscaler.
Wofür es eingesetzt wird
Mittelständische und große Unternehmen steuern mit S/4HANA ihre kaufmännischen und logistischen Kernprozesse. Viele ECC-Kunden stehen vor dem Wechsel, weil die Wartung von ECC ausläuft. Für große Bestände bietet SAP eine Übergangsoption bis 2033, unter weiteren Voraussetzungen bis 2035, gebunden an einen Cloud-Vertrag.
Für die Souveränität entscheidet vor allem die Wahl der Infrastruktur. SAP betreibt eigene Rechenzentren in Deutschland und bietet unter dem Dach SAP Sovereign Cloud und EU AI Cloud weitere Modelle an. Seit September 2026 ist STACKIT als europäischer Infrastrukturanbieter für RISE with SAP gelistet.
Prüfraster im Detail
Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als S/4HANA Cloud Private Edition über RISE with SAP mit Vertrag bei der SAP Deutschland SE & Co. KG; Fragen zu Selbstbetrieb und Quellcode sind für einen verwalteten Cloud-Dienst sinngemäß gelesen.
Rechtsraum eingeschränkt
| Prüffrage | Antwort | Begründung |
|---|---|---|
| 1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz? | ja | Hersteller ist die SAP SE mit Sitz in Walldorf (Registergericht Mannheim, HRB 719915). Vertragspartner für Cloud-Dienste in Deutschland ist laut den deutschen Cloud-AGB die SAP Deutschland SE & Co. KG. Beide haben ihren Sitz in Deutschland. |
| 1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)? | teilweise | SAP SE ist kein US-Unternehmen. Die Private Edition läuft aber je nach Kundenwahl auf Infrastruktur von Microsoft Azure, AWS oder Google Cloud; diese US-Anbieter unterliegen dem CLOUD Act, der eine Herausgabe von Daten in ihrem Besitz oder ihrer Kontrolle unabhängig vom Speicherort vorsieht. Bei Betrieb in SAP-eigenen Rechenzentren oder auf STACKIT entfällt dieser Infrastrukturbezug. SAP hat zudem eine US-Tochter (SAP National Security Services), die für ausgewählte Dienste als Unterauftragsverarbeiter dient; eine Aussage von SAP zum CLOUD Act für die Private Edition wurde nicht gefunden. |
| 1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert? | teilweise | Auslegung: Schutz gegen Zugriff durch Betreiber und Behörden. In der bewerteten Private Edition betreibt SAP die Systeme und erhält laut Supplement einen administrativen Benutzer; eine Schlüsselhaltung ausschließlich beim Kunden ist nicht dokumentiert. S/4HANA lässt sich jedoch als On-Premise-Software im eigenen Rechenzentrum betreiben, und SAP bietet mit 'Sovereign Cloud On-Site' einen SAP-Betrieb im Rechenzentrum des Kunden an. |
| 1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten? | ja | SAP SE ist im Handelsregister Mannheim (HRB 719915) eingetragen, Sitz Walldorf, und börsennotiert; der Großteil der Aktien liegt im Streubesitz, größere Anteile halten u. a. BlackRock, Hasso Plattner und die Dietmar Hopp Stiftung (Sekundärquelle boerse.de). Ein Kontrollwechsel in den letzten 24 Monaten ist nicht bekannt; Vertragspartner ist die Konzerngesellschaft SAP Deutschland SE & Co. KG. |
Datenhoheit nicht erfüllt
| Prüffrage | Antwort | Begründung |
|---|---|---|
| 2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar? | teilweise | SAP betreibt die Private Edition in eigenen Rechenzentren (u. a. in Deutschland) oder in Hyperscaler-Regionen, die im C5-Bericht gelistet sind. Der Auftragsverarbeitungsvertrag erlaubt die Verarbeitung auch außerhalb des Kundenlandes, soweit das Datenschutzrecht es zulässt; nur mit der Option „EU Access“ liegen die Rechenzentren der Produktivumgebungen in EWR und Schweiz, Backups sind dort nicht ausdrücklich genannt. Die konkrete Standortfestlegung steht im Bestellschein und in Unterlagen, die nur auf Anfrage erhältlich sind. |
| 2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich? | teilweise | Auslegung: Betrieb im eigenen RZ oder bei frei gewähltem Dienstleister. Für die Private Edition wählt der Kunde zwischen SAP-Rechenzentren und gelisteten Hyperscalern (Azure, AWS, Google Cloud, Alibaba Cloud, seit September 2026 STACKIT), in Sonderfällen auch das eigene Rechenzentrum; SAP bleibt Betreiber. Freie Wahl eines Betreibers besteht nur bei On-Premise-Lizenzen, für die SAP neue Innovationen laut eigener Aussage nicht mehr bereitstellt. |
| 2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert? | Eine öffentliche Dokumentation, welche Nutzungs-, Diagnose- oder Telemetriedaten SAP aus Private-Edition-Systemen erhebt und ob sie sich abschalten lassen, wurde nicht gefunden. Das Supplement verweist auf Service-Beschreibungen, die nur auf Anfrage erhältlich sind. | |
| 2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss? | teilweise | Auslegung: Die SAP AI Terms (v5-2024) regeln KI-Funktionen in Cloud-Diensten, enthalten aber keinen Ausschluss des Trainings mit Kundendaten. SAP erklärt in einer Schulungsunterlage, dass die Nutzung von KI nicht automatisch Training bedeutet und Kunden über optionale Trainingsfunktionen entscheiden; externe Modellanbieter trainieren nicht mit Kundendaten. Eine vertragliche Zusage für SAPs eigene Modelle wurde nicht gefunden. |
Quellcode & Lizenz nicht erfüllt
| Prüffrage | Antwort | Begründung |
|---|---|---|
| 3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar? | nein | S/4HANA ist proprietäre Software. Laut Supplement darf die Cloud-Service-Software nur als Teil des abonnierten Dienstes genutzt werden; ein Quellcode unter OSI-Lizenz ist nicht verfügbar. |
| 3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich? | nein | Der Betrieb setzt proprietäre SAP-Komponenten voraus; in der Private Edition ist SAP HANA die Datenbank, beim Transition-Angebot ausdrücklich die einzig unterstützte. |
| 3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich? | nein | Die Cloud-Service-Software darf nur im Rahmen des Abonnements genutzt werden; vor Vertragsende stellt SAP auf Anfrage einen letzten Export der Kundendaten bereit, danach werden die Daten gelöscht. Ein Weiterbetrieb des Systems ohne Vertrag ist nicht vorgesehen. Auslegung: Ob unbefristete On-Premise-Lizenzen nach Wartungsende weiter genutzt werden dürfen, ist nicht Gegenstand dieser Bewertung. |
Betrieb & Nachweise eingeschränkt
| Prüffrage | Antwort | Begründung |
|---|---|---|
| 4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat? | ja | Für SAP Enterprise Cloud Services, zu denen die Private Edition und deren Nachfolgepaket SAP Cloud ERP Private zählen, liegt ein BSI-C5-Typ-2-Bericht für den Prüfzeitraum 01.04.2025 bis 31.03.2026 vor; für die Public Edition gibt es einen eigenen C5-Bericht. Die Berichte sind nur mit Geheimhaltungsvereinbarung erhältlich. |
| 4.2 Öffentlicher Prozess für Sicherheitslücken? | ja | SAP betreibt ein Product Security Response Team mit Meldeformularen für Forscher und Lieferanten und veröffentlicht monatlich zum Security Patch Day Sicherheitshinweise mit CVE-Nummern und CVSS-Werten. |
| 4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht? | ja | Vertragspartner ist die SAP Deutschland SE & Co. KG; die deutschen Cloud-AGB sehen ausschließlich deutsches Recht und Karlsruhe als Gerichtsstand vor. Die geprüfte AGB-Fassung stammt von 2021; ob die aktuelle Fassung abweicht, wurde nicht geprüft. |
| 4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt? | teilweise | Laut SAP-Auftragsverarbeitungsvertrag für Cloud-Dienste veröffentlicht SAP die Liste der Unterauftragsverarbeiter auf My Trust Center oder stellt sie auf Anfrage bereit und informiert vorab über neue Unterauftragsverarbeiter. My Trust Center ist ein Kundenportal; eine öffentlich abrufbare Liste mit Standorten wurde nicht gefunden. Laut SAP-Wissensartikel gibt es dafür eine eigene SAP Note zur Vorabbenachrichtigung. |
| 4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall? | nein | Laut Auftragsverarbeitungsvertrag dürfen SAP und Unterauftragsverarbeiter die Rechenzentren aus der Ferne betreuen; personenbezogene Daten können laut SAP für Betrieb, Wartung und Support auch außerhalb von EU und EWR verarbeitet werden. Nur die Option „EU Access“ beschränkt Unterauftragsverarbeiter auf EWR und Schweiz, ausgenommen supportbezogene Kommunikation. Eine Freigabe des Kunden je Supportzugriff ist in den öffentlichen Vertragsunterlagen nicht vorgesehen. |
Exit & Interoperabilität eingeschränkt
| Prüffrage | Antwort | Begründung |
|---|---|---|
| 5.1 Export in offenen, dokumentierten Formaten? | teilweise | Laut Cloud-AGB können Kundendaten in einem 'Standardformat' exportiert werden, ohne dass das Format benannt ist. S/4HANA stellt OData- und SOAP-Schnittstellen bereit. Ein vollständiger Systemexport in offenen, dokumentierten Formaten ist nicht beschrieben. |
| 5.2 Offene Standards für Anmeldung und Schnittstellen? | ja | S/4HANA kann als SAML-2.0-Dienstanbieter an externe Identitätsanbieter wie Microsoft Entra ID angebunden werden; für Integrationen stehen OData-V2/V4- und SOAP-Dienste bereit. Die Belege stammen aus Sekundärquellen, weil der SAP Business Accelerator Hub nicht abrufbar war. |
| 5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters? | teilweise | Vor Vertragsende können Kunden Self-Service-Exportwerkzeuge nutzen; das Supplement sieht zusätzlich einen letzten Export durch SAP auf Anfrage vor, dessen Brauchbarkeit der Kunde binnen zwei Wochen prüfen muss. Gebühren für den Export sind nicht genannt, ein Zeitfenster nach Vertragsende ebenfalls nicht. |
Was wir nicht klären konnten
Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.
- Ob die US-Tochter SAP National Security Services oder ein US-Hyperscaler zur Herausgabe von Daten einer Private Edition in Deutschland verpflichtet werden könnte. Eine Aussage von SAP dazu wurde nicht gefunden.
- Wie Verschlüsselung und Schlüsselverwaltung in der Private Edition geregelt sind.
- Welche Telemetrie- und Diagnosedaten SAP erhebt. Die Service-Beschreibungen gibt es nur auf Anfrage.
- Ob die Private Edition auf SAP Cloud Infrastructure in Deutschland oder als Sovereign Cloud On-Site verfügbar ist.
- Ob die geprüfte AGB-Fassung von 2021 noch aktuell ist und welche Kosten ein Export verursacht.
- Ob der technische Start von RISE with SAP auf STACKIT im November 2026 erfolgt ist.
- Ob die Liste der Unterauftragsverarbeiter für RISE with SAP Private Edition Standorte enthält, weil sie nur im Kundenportal My Trust Center steht.
- Ob SAP für die Private Edition eine Option „EU Access“ anbietet, die Betrieb und Support auf Personal in der EU beschränkt, weil dazu keine öffentliche Vertragsunterlage gefunden wurde.
- Ob es eine aktuellere Fassung des SAP-DPA für Cloud-Dienste (Deutschland) als v8-2021 gibt, weil nur diese öffentlich abrufbar war.
- Ob die Option „EU Access“ für die RISE-Private-Edition derzeit buchbar ist und Backups einschließt, weil das aktuelle Supplement (v10-2024) sie nicht erwähnt und eine ältere Fassung (v9-2022) sie für Bundled Cloud Services ausschließt.
- Ob der Bestellschein den Rechenzentrumsstandort einschließlich Backup-Standort vertraglich festlegt, weil die referenzierten Unterlagen nur auf Anfrage erhältlich sind.
Fragen vor einer Entscheidung
- Auf welcher Infrastruktur soll die Private Edition laufen: SAP-Rechenzentrum, STACKIT oder ein US-Hyperscaler, und was bedeutet die Wahl für die Herausgabepflichten nach US-Recht?
- Ist die Option EU Access vereinbart, und wie sind Support- und Diagnosedaten darin geregelt?
- Welche Fristen gelten für Ihr heutiges ECC-System, und wollen Sie die Übergangsoption mit ihren Bedingungen nutzen?
- Wie lange dauert ein vollständiger Export aller Daten vor Vertragsende, in welchem Format kommt er, und wer prüft ihn binnen der vorgesehenen zwei Wochen?
- Welche Funktionen benötigen Sie, die SAP nur noch in der Cloud anbietet?
Ähnliche Software im Index
Gleiche Kategorie oder vergleichbarer Einsatzzweck. Keine Empfehlung und keine Rangfolge.
Noch nicht geprüft: Microsoft Dynamics 365 Finance & Supply Chain · Oracle Fusion Cloud ERP · Infor CloudSuite · proALPHA ERP · Odoo
Verwandte Begriffe im Glossar
Geprüft nach den 19 Fragen des Software-Index (Methodik v1.2). Hersteller zahlen nichts und sehen Ergebnisse nicht vorab. Methodik · Fehler gefunden? Hinweis senden
Verlauf: November 2026 – Eintrag angelegt. November 2026 – Methodik-Ergänzung v1.1: vier Fragen hinzugekommen; Betrieb & Nachweise dadurch erfüllt → eingeschränkt. Die bisherigen 15 Antworten sind unverändert übernommen. November 2026 – Methodik-Ergänzung v1.2: Fragen 2.1 und 4.5 neu gefasst (keine Doppelzählung von Support- und Diagnosedaten); Antworten zu diesen Fragen nicht mit früheren Prüfungen vergleichbar.
Zitieren: TechNavigator Software-Index, SAP S/4HANA, Prüfung TNS-0015-2026-11c, Methodik v1.2
Quellen (22) anzeigen
- SAP SE: Legal Disclosure (Impressum) SAP PartnerEdge
Legal Disclosure (Impressum) SAP PartnerEdge, November 2026 (Abruf; kein Stand angegeben) - SAP SE: General Terms and Conditions for SAP Cloud Services, Direct, Germany (English v1-2021)
General Terms and Conditions for SAP Cloud Services, Direct, Germany (English v1-2021), 2021 - SAP SE (Trust Center): SAP Enterprise Cloud Services C5 Audit Report 2026
SAP Enterprise Cloud Services C5 Audit Report 2026, 2026 (Prüfzeitraum 01.04.2025 bis 31.03.2026) - SAP Learning: Describing RISE with SAP
Describing RISE with SAP, November 2026 (Abruf; kein Stand angegeben) - Legal Information Institute, Cornell Law School: 18 U.S. Code § 2713 – Required preservation and disclosure of communications and records (CLOUD Act)
18 U.S. Code § 2713 – Required preservation and disclosure of communications and records (CLOUD Act), März 2018 (Gesetzesstand) - SAP SE: Data Privacy and Transfer Impact Assessment (FAQ)
Data Privacy and Transfer Impact Assessment (FAQ), 2025 - STACKIT: RISE with SAP on STACKIT
RISE with SAP on STACKIT, November 2026 (Abruf; kein Stand angegeben) - SAP SE: RISE with SAP S/4HANA Cloud, private edition Supplement (English v10-2024)
RISE with SAP S/4HANA Cloud, private edition Supplement (English v10-2024), 2024 - SAP SE (Pressemitteilung, veröffentlicht über finanzen.net): SAP Expands Full-Stack Sovereign Cloud Capabilities with On-Site Deployment Model
SAP Expands Full-Stack Sovereign Cloud Capabilities with On-Site Deployment Model, September 2025 - Schwarz Digits: Schwarz Digits launches RISE with SAP on STACKIT at competitive market prices
Schwarz Digits launches RISE with SAP on STACKIT at competitive market prices, September 2026 - Constellation Research: SAP user group DSAG rips S/4HANA innovation plans, maintenance increases
SAP user group DSAG rips S/4HANA innovation plans, maintenance increases, August 2023 (Sekundärquelle) - SAP News Center (Stefan Steinle): Navigating Your RISE with SAP Journey: Updates for SAP ERP, Private Edition, Transition Option
Navigating Your RISE with SAP Journey: Updates for SAP ERP, Private Edition, Transition Option, August 2025 (Update Oktober 2026) - SAP SE (Trust Center): SAP Enterprise Management C5 Audit Report 2026
SAP Enterprise Management C5 Audit Report 2026, 2026 (Prüfzeitraum 01.04.2025 bis 31.03.2026) - SAP SE (Trust Center): Security Issue Management
Security Issue Management, November 2026 (Abruf; kein Stand angegeben) - SAP Support Portal: SAP Security Patch Day – December 2024
SAP Security Patch Day – December 2024, Dezember 2024 - Payhawk Help Center: Enabling API services on SAP S/4HANA Cloud Private Edition
Enabling API services on SAP S/4HANA Cloud Private Edition, November 2026 (Abruf; kein Stand angegeben) (Sekundärquelle) - SAP Community (Blog eines Mitglieds, ohne Autorenangabe im Abruf): S/4HANA SAML SSO with Azure AD
S/4HANA SAML SSO with Azure AD, ohne Datum (Abruf November 2026) (Sekundärquelle) - boerse.de: Unternehmensprofil SAP-Aktie (Aktionärsstruktur)
Unternehmensprofil SAP-Aktie (Aktionärsstruktur), November 2026 (Abruf) - SAP Learning: Does AI Train on My Data?
Does AI Train on My Data?, November 2026 (Abruf) - SAP SE: SAP AI Terms (English v5-2024)
SAP AI Terms (English v5-2024), 2024 - SAP SE: Data Processing Agreement for SAP Cloud Services (English v8-2021)
Data Processing Agreement for SAP Cloud Services (English v8-2021), 2021 - SAP Support Portal: SAP Knowledge Base Article 2796649 (Subprocessor-Benachrichtigung)
SAP Knowledge Base Article 2796649 (Subprocessor-Benachrichtigung), November 2026 (Abruf)