Wartungszertifikat in SAP HCM: So entfällt die Erneuerung alle drei Monate

Der Termin für die HR Support Packages steht, die Queue ist definiert – und SPAM meldet: „Es wurde kein gültiges Wartungszertifikat für das System gefunden.“ Das Wartungszertifikat ist nach drei Monaten wieder abgelaufen, und der Solution Manager, der es früher automatisch verteilt hat, ist längst abgeschaltet oder steht kurz davor. Seit Kurzem gibt es einen Weg ohne Zertifikatsverteilung: SPAM prüft die Wartungsberechtigung online über den SAP Host Agent. Wir haben das in unserem Entwicklungssystem eingerichtet. Dieser Beitrag erklärt, wo das Dilemma liegt, welche Voraussetzungen gelten und welche zwei Stolpersteine in keiner Anleitung stehen.

Das Dilemma: drei Monate Laufzeit, ein Werkzeug mit Ablaufdatum

Ein Wartungszertifikat weist gegenüber den Einspielwerkzeugen nach, dass für das System ein gültiger Wartungsvertrag besteht. Es gilt drei Monate. Ohne gültiges Zertifikat spielen SPAM, SAINT und der Software Update Manager keine Support Packages ein.

Für die meisten Module ist das eine Randnotiz. Für SAP HCM nicht: Gesetzliche Änderungen kommen über HR Support Packages, und viele HCM-Kunden spielen sie monatlich ein. Ein Zertifikat, das alle drei Monate abläuft, steht damit regelmäßig genau dann im Weg, wenn die Abrechnung auf das Einspielen wartet.

Bisher gab es zwei Wege. Der bequeme: Der SAP Solution Manager fordert das Zertifikat bei SAP an, und im verwalteten System holt eine Aufgabe in der Transaktion SDCCN es ab und installiert es. Der mühsame: Jemand lädt das Zertifikat alle drei Monate im SAP Support Portal herunter und spielt es in der Lizenzverwaltung (Transaktion SLICENSE) von Hand ein.

Warum das heikel ist: Die automatische Verteilung ist an den Solution Manager gebunden, so steht es im SAP-Wissensartikel 3549714. Die Mainstream-Wartung für den Solution Manager 7.2 endet laut SAP Ende 2027. Wer ihn abschaltet oder nie einen hatte, landet beim Handbetrieb – und bei einem Bild wie diesem aus unserem System:

Die neue Lösung: SPAM fragt online nach

SAP beschreibt das neue Verfahren in einem Blogbeitrag vom Oktober 2026 und in der Dokumentation zum SAP Host Agent. Die Vorabverteilung von Zertifikaten entfällt. Stattdessen fragt das Einspielwerkzeug bei Bedarf selbst nach, und zwar auf diesem Weg: SAP-System, lokaler SAP Host Agent, ein Host Agent mit der Rolle „Support Backbone Proxy“, SAP Support Backbone.

Im Quelltext unseres Systems (SPAM-Version 94) ist die Reihenfolge gut zu sehen: SPAM prüft zuerst das lokale Zertifikat in der Lizenzverwaltung. Nur wenn dort nichts Gültiges liegt, läuft die Online-Prüfung. Ein positives Ergebnis merkt sich das System 90 Tage lang und fragt in dieser Zeit nicht erneut an.

Die Voraussetzungen

• SPAM/SAINT ab Version 91, ausgeliefert mit dem SL Toolset 1.0 SPS 45. Gesehen haben wir die nötigen Objekte auf Basis 7.50 (SPAM 94) und auf Basis 7.01 (SPAM 96).
• SAP Host Agent 7.22 ab Patch-Level 67 auf allen beteiligten Hosts. Ab diesem Stand gibt es auch die Weboberfläche des Host Agents, über die alles eingerichtet wird.
• Eine Host-Agent-Föderation, in der ein Mitglied als Support Backbone Proxy arbeitet. Nur dieser Host braucht eine ausgehende HTTPS-Verbindung zu SAP.
• Ein S-User für die Anmeldung bei SAP. Bei uns hat der technische Kommunikationsuser funktioniert, der auch für den Hinweis-Download in der SNOTE eingetragen ist.
• Das Kennwort des Betriebssystembenutzers sapadm. Nur mit ihm gelingt die Anmeldung an der Weboberfläche.

Wichtig für die Praxis: Der Host Agent ist fast immer schon da. Er kommt mit der SAP-Installation, und auch der Software Update Manager arbeitet über ihn. Den Stand zeigt die Datei hostagent.mf im Programmverzeichnis des Host Agents – genau diese Datei wertet SPAM für seine Versionsprüfung aus.

Unser Weg in vier Schritten

Unser Testsystem ist ein ECC-System auf Windows mit einem einzigen Host, Host Agent 7.22 Patch-Level 70 und SPAM 94. Das lokale Wartungszertifikat war seit Monaten abgelaufen.

1. Weboberfläche des Host Agents öffnen

Die Oberfläche läuft auf dem Server unter https://<hostname>:1129/WebUI/. Die Anmeldung gelingt mit sapadm, nicht mit dem Benutzer <sid>adm. Der Browser warnt vor dem selbstsignierten Zertifikat des Host Agents; das ist an dieser Stelle zu erwarten.

2. SAP-Verbindung pflegen

Unter „Configuration“ und „SAP Connectivity“ tragen Sie den S-User mit Kennwort ein. Das Feld „Account“ ist nur ein frei wählbarer Anzeigename. Alternativ lässt sich dort ein Clientzertifikat importieren; das haben wir nicht getestet.

3. Föderation anlegen – auch bei nur einem Host

Das ist der erste Stolperstein. Die Dokumentation beschreibt die Föderation als Netzwerk aus mindestens zwei Host Agents. Wer nur einen Host hat, überspringt den Schritt deshalb leicht. Das Ergebnis ist eine Fehlermeldung, die wir weiter unten zeigen.

Die Lösung: Unter „Federation Network“ über das Plus-Symbol den eigenen Hostnamen als Peer eintragen und den Assistenten mit dem sapadm-Kennwort durchlaufen. Er erkennt den lokalen Host:

Danach steht oben „Federation Lead“. Die Liste der Peers bleibt leer, weil sie nur andere Hosts zeigt:

4. Testen

SAP liefert dafür den Report RSSPAM_TEST_ONLINE_MAINT_CHECK mit, auszuführen in der SE38. Er hat kein Selektionsbild und meldet das Ergebnis in einem Dialogfenster. Im Erfolgsfall ist es die Meldung TN_PROCESS 361:

Zwei Fehlermeldungen und was sie bedeuten

Bis zu diesem Bild haben wir zwei Fehler gesehen. Beide erscheinen im SAP-System als Meldung TN_PROCESS 359, „Die Online-Wartungszertifikatsprüfung ist fehlgeschlagen“. Der Unterschied steht nur im Langtext.

1. „Webservice Aufruf endete mit: Not Found“

Der Host Agent gehört zu keiner Föderation. Er nimmt die Anfrage an, findet aber keinen Backbone-Proxy, auch nicht sich selbst. In seinem Protokoll sapstartsrv.log steht dazu „No SAPHostAgent proxy configuration found“. Abhilfe ist Schritt 3. Zu SAP wird in diesem Zustand gar keine Verbindung aufgebaut; S-User und Netzwerk sind also noch nicht geprüft.

2. „Webservice Aufruf endete mit: Internal Server Error“

Das ist der zweite Stolperstein, denn die Meldung klingt nach einem Serverproblem. Tatsächlich hat SAP die Anmeldung abgelehnt. Den Klartext „Authentication to SAP Support Backbone failed“ schreibt der Host Agent nur in sein Protokoll sapsbproxy.log, und auch dort erst bei erhöhter Trace-Stufe. Bei uns scheiterte zuerst der persönliche S-User, danach der technische User mit einem unsicheren Kennwort. Funktioniert hat der technische Kommunikationsuser mit einem neu gesetzten Kennwort.

Wichtig für die Praxis: Jeder Testlauf mit falschem Kennwort ist ein Fehlversuch bei SAP. Wird der technische User gesperrt, fällt auch der Hinweis-Download aus. Setzen Sie das Kennwort im Zweifel neu und ziehen Sie es in den RFC-Destinationen der SNOTE nach, bevor Sie weitertesten.

Die Gegenprobe in SPAM

Der Testreport ruft die Online-Prüfung direkt auf. Interessanter ist, was SPAM selbst tut. In unserem System war das lokale Zertifikat weiterhin abgelaufen, in SPAM hatten wir nichts eingestellt. Beim Aufruf der Transaktion stand trotzdem in der Statuszeile:

SPAM nutzt die Online-Prüfung also von sich aus. Meldet die Transaktion beim Start ein gültiges Wartungszertifikat, steht dem Einspielen nichts mehr im Weg.

Was Sie jetzt prüfen sollten

Erstens: den Stand von SPAM. Die Version steht in der Titelzeile der Transaktion. Unter 91 ist zuerst ein SPAM/SAINT-Update fällig.

Zweitens: den Stand des Host Agents. Öffnen Sie die Datei hostagent.mf auf dem Server. Steht dort ein Patch-Level unter 67, braucht der Host Agent ein Upgrade. Auf lange nicht gepflegten Systemen ist das der wahrscheinlichste Engpass.

Drittens: das Kennwort von sapadm. Kam der Host Agent mit der SAP-Installation, kennt es oft niemand mehr. Ohne dieses Kennwort gibt es keinen Zugang zur Weboberfläche.

Viertens: den technischen Kommunikationsuser. Klären Sie, wer das Kennwort kennt und wo es überall eingetragen ist. Sie brauchen es an einer weiteren Stelle.

Fünftens: den Netzwerkweg. Der Host mit der Proxy-Rolle muss SAP per HTTPS erreichen, direkt oder über einen HTTP-Proxy.

Fazit

Die Online-Prüfung löst das Dilemma dort, wo es entsteht: Das Wartungszertifikat muss nicht mehr alle drei Monate ins System gebracht werden, und der Solution Manager wird dafür nicht mehr gebraucht. Die Einrichtung ist überschaubar – wenn man weiß, dass ein einzelner Host seine eigene Föderation braucht und dass „Internal Server Error“ ein Anmeldefehler ist.

In Landschaften mit mehreren Hosts empfiehlt SAP, die Rollen Föderationsleiter und Proxy auf getrennte Hosts zu legen. Dass Korrekturen im HCM-Umfeld oft kurzfristig per Hinweis und Support Package kommen, zeigen unsere Beiträge zu drei Fehlerarten beim Löschlauf und zu neuen SAP-Hinweisen zur Datenvernichtung.

Aus über hundert DSGVO-Projekten im SAP-HCM-Umfeld nehmen wir bei hoelterhoff.consulting vor allem eines mit: Fachliche Korrekturen helfen nur, wenn das System sie auch einspielen kann – und das sollte nicht alle drei Monate an einem Zertifikat hängen.

Solche Erfahrungsberichte aus dem eigenen System schicken wir einmal im Monat per Newsletter.