DSAG kritisiert neue SAP API Policy

SAP hat seine Vorgaben für den Umgang mit Schnittstellen präzisiert, um nach eigenen Angaben die stark steigende Nutzung von APIs durch Non-SAP-Systeme sowie neue Cloud- und KI-basierte Szenarien besser abzusichern. Damit sollen potenzielle Risiken für Performance, Stabilität und Sicherheit frühzeitig adressiert werden. Während SAP die neue API Policy mit legitimen Sicherheitsinteressen und der Gewährleistung technischer Stabilität begründet, sieht die Deutschsprachige SAP-Anwendergruppe (DSAG) erheblichen Klärungs-, Konkretisierungs- und Anpassungsbedarf.

Vertragliche Absicherung fehlt

Konkret legt SAP mit der neuen Policy fest, dass nur solche Schnittstellen als veröffentlichte APIs gelten, die im «SAP Business Accelerator Hub» oder in der jeweiligen Produktdokumentation ausgewiesen sind. «Für SAP-zu-Non-SAP-Szenarien bedeutet das: Sie werden nur noch dort belastbar unterstützt, wo SAP die zugrunde liegenden Schnittstellen ausdrücklich veröffentlicht und dokumentiert hat», erklärt Jens Hungershausen, DSAG-Vorstandsvorsitzender.

Nach Auffassung der DSAG sind der «SAP Business Accelerator Hub» sowie nicht näher definierte Produktdokumentationen bislang nicht eindeutig als Vertragsbestandteile ausgestaltet. Daraus ergibt sich aus Kundensicht die zwingende Anforderung nach klaren und verlässlichen Rahmenbedingungen. «Die DSAG fordert schon länger absolut belastbare Vertragsdokumente. SAP nimmt jedoch z. B. bei der SAP Business Data Cloud und nun auch bei der API Policy eine gegenläufige Position ein. Kunden haben bei der Interpretation der Unterlagen derzeit noch Fragen – aus DSAG-Sicht besteht hier Klärungsbedarf zur vertraglichen Einordnung, das ist so nicht hinnehmbar», so Michael Bloch, DSAG-Fachvorstand für Lizenzen, Vertragswesen & Support.

Auswirkungen auf bestehende Integrations- und Innovationsszenarien

Darüber hinaus verbindet SAP die API-Nutzung mit klaren technischen und organisatorischen Auflagen. Eingeschränkt werden Nutzungen für nicht dokumentierte Zwecke, für systematische oder grossflächige Datenextraktionen sowie für den Einsatz im Zusammenspiel mit (semi-)autonomen oder generativen KI-Systemen, sofern diese nicht ausdrücklich in von SAP vorgesehenen Architekturen oder Services stattfinden.

«Laut der DSAG vorliegenden Informationen sind bestehende Kundenintegrationen und autorisierte Partnerlösungen nicht betroffen. Das ist essenziell aus Kunden- und Partnersicht», meint Stefan Nogly, DSAG-Technologievorstand, und ergänzt: «Ein Schutz für bereits bestehende und von SAP geduldete Integrationen ist wichtig und sollte in der API Policy festgehalten werden.» In der Praxis wurden in der Vergangenheit auch Schnittstellen genutzt, die nicht offiziell dokumentiert oder freigegeben waren – gerade bei Zusatzlösungen von Partnern werden erfahrungsgemäss häufig undokumentierte Schnittstellen verwendet.

Mögliche Kommerzialisierung sorgt für Skepsis

Die DSAG weist darauf hin, dass potenzielle neue Preismodelle oder Nutzungsregelungen rund um APIs transparent und frühzeitig kommuniziert werden müssten, um Planungssicherheit für Kunden und Partner zu gewährleisten. «Laut SAP-Informationen soll es ein Fair-Use-Modell geben. Die konkrete Ausgestaltung ist derzeit noch unklar und sollte transparent in der API Policy dokumentiert werden», fordert Bloch.

KI-Projekte und Innovationsfähigkeit auf dem Spiel

Viele Anwenderunternehmen arbeiten bereits auf Basis der bisherigen Auslegung der API-Nutzung an Proof-of-Concepts und Pilotprojekten. Zwar soll die Policy – so das Verständnis der DSAG – zunächst vor allem für Neukunden und -verträge relevant sein und kurzfristig nicht zu technischen Einschränkungen bestehender Integrationen führen. Indes ist noch nicht abschliessend geklärt, wie SAP bei Vertragsverlängerungen oder -erweiterungen vorzugehen plant.

«Wir sehen aus Kundensicht erheblichen Klärungs- und Anpassungsbedarf – insbesondere, um bestehende geschäftskritische End-to-End-Prozesse nicht zu unterbrechen oder rechtlich angreifbar zu machen», sagt Nogly. «Entscheidend sind die langfristigen Auswirkungen auf Innovationsfähigkeit sowie mögliche neue Kosten- und Abhängigkeitsstrukturen. In einer Phase zunehmender heterogener Architekturen und intensiver KI-Experimente sind APIs ein zentraler Innovationsfaktor.»

Änderungen am API-Status, an Nutzungsrechten oder an unterstützten Szenarien dürften nicht einseitig und nicht rückwirkend erfolgen. Nur so liessen sich rechtliche Risiken, Betriebsunterbrechungen und nachträgliche Einschränkungen bestehender Integrations- und Innovationsszenarien vermeiden.

Mehr Transparenz und realistische Übergangsfristen gefordert

Kritisch bewertet die DSAG insbesondere die fehlende Transparenz: Weder ist eindeutig dokumentiert, welche APIs konkret betroffen sind, noch ist das Ausmass klar definiert. Für einige Partnerunternehmen könnte der Aufwand gross sein und das Wegbrechen von Geschäftsmodellen drohen. «Daher ist es essenziell, dass SAP den Kunden mehr Zeit für den Übergang gewährt», fordert Hungershausen.

Zusätzlich benötigen Kunden und Partner für die Umstellung auf von SAP unterstützte Schnittstellen konkrete technische sowie organisatorische Hilfestellungen. Aus DSAG-Sicht ist entscheidend, dass Kunden bei Einschränkungen bestehender Szenarien nicht mangels praktikabler Alternativen auf andere Lösungsanbieter ausweichen müssen. Die DSAG fordert daher klare Definitionen, eine vollständige Dokumentation der betroffenen APIs und verlässliche Planungssicherheit für Kunden und Partner sowie eine Abbildung in den Verträgen. «Vor dem Hintergrund eines sicheren und stabilen Betriebs ist auch für uns als Anwender wichtig, volle Transparenz über Nutzung, Verbräuche und Konsequenzen zu haben», sagt Nogly.

Aus Sicht der DSAG wirft die aktuelle Ausgestaltung der API Policy grundlegende Fragen auf. Der Umfang der Einschränkungen scheint über das notwendige technische Mass hinauszugehen. Um Innovationsfähigkeit und Planungssicherheit bei Kunden und Partnern langfristig zu sichern, müssen diese offenen Punkte schnellstmöglich in Zusammenarbeit zwischen SAP und DSAG geklärt werden.

Weitere Informationen: www.dsag-ev.ch