Mit der neuen SAP API Policy gelten seit April 2026 klarere Regeln dafür, wie Anwendungen, Integrationen und KI-Systeme auf SAP-Schnittstellen zugreifen dürfen. Besonders Unternehmen mit individuellen Integrationen oder KI-Agenten sollten prüfen, ob ihre bestehende Architektur weiterhin den Vorgaben entspricht und Schnittstellen weiter genutzt werden können.
Das Wichtigste im Überblick
- Bestehende Integrationen: SAP erwartet keine Auswirkungen der Policy auf bestehende Integrationen, die veröffentlichte APIs für ihren dokumentierten Zweck verwenden.
- Veröffentlichte APIs: Als Published APIs gelten Schnittstellen, die im SAP Business Accelerator Hub oder in der jeweiligen Produktdokumentation ausgewiesen sind.
- KI-Agenten: Generative und (teil-)autonome KI-Systeme dürfen SAP-APIs nicht uneingeschränkt selbst auswählen und zu Aufrufketten kombinieren. Dafür müssen von SAP speziell vorgesehene Architekturen und Zugriffspfade genutzt werden.
- Handlungsbedarf: Unternehmen sollten ihre Schnittstellenlandschaft inventarisieren und mit Fokus auf KI- und Automatisierungsszenarien prüfen.
Wir entwickeln mit Ihnen eine zukunftsfähige Integrationslösung, die SAP-Cloud, On-Premise und Non-SAP-Systeme sauber verbindet – für stabile, wartbare und langfristig effiziente Schnittstellen. 
Was regelt die neue SAP API Policy?
SAP hat am 27. April 2026 eine neue API Policy für APIs, Erweiterungen und verwandten Datentransferschnittstellen in SAP-Lösungen veröffentlicht. Sie setzt Standards, welche Schnittstellen verwendet werden dürfen und welche technischen Grenzen dabei gelten. SAP begründet dies unter anderem mit steigender API-Nutzung sowie neuen Cloud-, Automatisierungs- und KI-Szenarien. Bei den Vorgaben unterscheidet SAP zwischen veröffentlichten und nicht veröffentlichten APIs.
Veröffentlichte APIs sind im SAP Business Accelerator Hub oder in der produktspezifischen Dokumentation aufgeführt. Sie dürfen für den jeweils dokumentierten Einsatzzweck verwendet werden, beispielsweise für Integrationen, Erweiterungen, Datenaustausch oder Events.
Nicht veröffentlichte, interne oder private APIs dürfen dagegen grundsätzlich nicht einfach durch Kunden- oder Drittanwendungen wie KI-Systeme angesprochen werden. Ausnahmen können sich aus der Dokumentation oder einer ausdrücklichen Freigabe durch SAP ergeben.
Gerade bei historisch gewachsenen SAP-Landschaften lohnt sich deshalb ein genauer Blick. Einen Überblick über typische Integrationsmöglichkeiten finden Sie auch in unserer SAP-Schnittstellen-Übersicht.
Müssen bestehende SAP-Schnittstellen jetzt ersetzt werden?
Nein, nicht pauschal. Solange bestehende Integrationen und Erweiterungen APIs gemäß ihrem dokumentierten Zweck einsetzen, erwartet SAP keine negativen Auswirkungen. SAP empfiehlt Unternehmen aber ausdrücklich, ihre Integrationen mit der jeweiligen Produktdokumentation und den aktuellen Vorgaben abzugleichen.
Das ist vor allem angeraten, wenn Ihre SAP-Landschaft über Jahre gewachsen ist. Prüfen Sie insbesondere,
- welche APIs und Schnittstellen aktuell produktiv verwendet werden,
- ob diese im Business Accelerator Hub oder in der Produktdokumentation veröffentlicht sind,
- für welchen Zweck die jeweilige Schnittstelle offiziell vorgesehen ist,
- welche Eigenentwicklungen oder kundenspezifischen ABAP-Schnittstellen vorhanden sind und
- ob Drittanbieter, Automatisierungsplattformen oder KI-Systeme auf SAP zugreifen.
SAP stellt klar, dass kundeneigene ABAP-Schnittstellen in Private-Cloud- und On-Premises-Szenarien weiterhin eine Rolle spielen können. Entscheidend bleibt jedoch die konkrete Architektur und insbesondere, dass solche Eigenentwicklungen nicht dazu eingesetzt werden, die API-Kontrollen zu umgehen. Bei Unklarheiten sollte die konkrete Nutzung mit SAP geklärt werden.
Was bedeutet die SAP API Policy für KI-Agenten?
Die wichtigsten Neuerungen betreffen moderne KI-Agenten. Sie arbeiten anders als klassische Integrationen. Statt einen vorher festgelegten API-Aufruf auszuführen, können sie selbst entscheiden, welche Funktion sie benötigen, mehrere APIs auswählen und daraus eigenständig eine Aktionskette erstellen. Die SAP API Policy beschränkt den API-Zugriff für generative bzw. (teil-)autonome KI-Systeme, wenn diese selbstständig API-Aufrufe planen, auswählen oder als Sequenz ausführen. Ausnahmen gelten für von SAP vorgesehene Architekturen, Services und ausdrücklich dafür vorgesehene Zugriffspfade.
Ziel von SAP ist es, den agentischen Zugriff stärker zu kontrollieren und einen sicheren Einsatz für Unternehmen zu ermöglichen. Integrationen sind nur ein Aspekt. Zu einer ausreichenden KI-Governance gehören auch ein angepasstes Berechtigungs- und Identitätsmanagement, nachvollziehbare Prozesse und Monitoring. Wenn Sie eigene Agenten entwickeln oder externe KI-Lösungen mit SAP verbinden möchten, sollten Sie frühzeitig ein Governance-Modell definieren. Wie das aussehen kann, zeigen wir ausführlicher in unserem Beitrag zur SAP KI-Governance.
Warum kritisiert die DSAG die SAP API Policy?
Die DSAG unterstützt das Ziel, sichere und stabile SAP-Systeme zu gewährleisten, sieht jedoch in Bezug auf die Policy Klärungs- und Konkretisierungsbedarf. Ein wesentlicher Kritikpunkt: Es sei unklar, welchen vertraglichen Status der SAP Business Accelerator Hub und die jeweiligen Produktdokumentationen haben – und damit, welche APIs als veröffentlicht gelten. Zudem fordert die DSAG Bestandsschutz für bestehende Integrationen, eine bessere Einordnung bestehender Verträge und längere Übergangsfristen.
Für Anwenderunternehmen geht es vor allem darum, Planungssicherheit zu gewinnen. Denn zahlreiche End-to-End-Prozesse und Partnerlösungen basieren auf Schnittstellen. Änderungen an deren Status können technische Anpassungen notwendig machen oder neue Architekturentscheidungen auslösen.
Was sollten SAP-Kunden jetzt tun?
Es empfiehlt sich, jetzt ein strukturiertes API-Inventar aufzubauen. Warten Sie nicht, bis die Nutzung einzelner APIs eingeschränkt wird oder technische Anpassungen erforderlich sind. Erfassen Sie stattdessen systematisch API, Zweck, verantwortliches Team, verwendete SAP-Systeme und den jeweiligen Veröffentlichungsstatus.
Trennen Sie dabei klassische Integrationen von KI-Szenarien: Ein fest programmierter Prozess, der immer dieselbe API aufruft, unterscheidet sich wesentlich von einem Agenten, der selbst entscheidet, welche SAP-Funktion er als Nächstes benötigt. Eine getrennte Dokumentation vereinfacht es, notwendige Maßnahmen abzuleiten, die sich je nach Einsatzszenario unterscheiden.
Fazit: Die SAP API Policy macht API-Governance zur Pflichtaufgabe
Die SAP API Policy macht bestehende Integrationen nicht pauschal unzulässig. Sie setzt jedoch deutlich engere Leitplanken dafür, welche Schnittstellen genutzt werden und wie autonome Systeme darauf zugreifen dürfen. Für Unternehmen ist deshalb jetzt der Zeitpunkt, Transparenz in ihre API-Landschaft zu bringen. Wer veröffentlichte Schnittstellen, Eigenentwicklungen und KI-Zugriffe sauber katalogisiert hat, schafft eine gute Grundlage, um zukünftige SAP-Integrationen richtig zu gestalten.
Sie möchten wissen, ob Ihre bestehende Schnittstellenlandschaft oder Ihre geplanten KI-Agenten zur neuen SAP API Policy passen? Sprechen Sie mit unseren SAP-Integrationsexperten. Gemeinsam prüfen wir Ihre Architektur und identifizieren konkreten Handlungsbedarf.
FAQ
Was ist die SAP API Policy?
Die SAP API Policy definiert Regeln für die Nutzung von APIs und verwandten Schnittstellen in SAP-Lösungen. Die aktuelle Version v4/2026a wurde im April 2026 veröffentlicht und berücksichtigt insbesondere die zunehmende Automatisierung sowie agentische KI-Szenarien.
Welche SAP APIs darf mein Unternehmen weiterhin nutzen?
Grundsätzlich sollten Sie veröffentlichte APIs für den jeweils dokumentierten Zweck nutzen. Als veröffentlicht gelten insbesondere APIs aus dem SAP Business Accelerator Hub sowie Schnittstellen, die in der jeweiligen Produktdokumentation entsprechend ausgewiesen sind.
Verbietet die SAP API Policy KI-Agenten?
Nein. Die Policy verbietet KI-Agenten nicht grundsätzlich. Sie beschränkt jedoch bestimmte Formen des agentischen API-Zugriffs, bei denen generative oder (teil-)autonome Systeme eigenständig SAP-API-Aufrufe planen, auswählen oder miteinander verketten. Dafür sind vorgesehene beziehungsweise von SAP unterstützte Architekturpfade relevant.
Müssen wir wegen der neuen Policy alle bestehenden SAP-Schnittstellen umbauen?
Nein. SAP geht davon aus, dass bestehende Integrationen, die veröffentlichte APIs für den dokumentierten Zweck verwenden, grundsätzlich weiter funktionieren können. Dennoch sollten Sie Ihre Integrationslandschaft überprüfen und insbesondere nicht veröffentlichte APIs sowie neue KI- und Automatisierungsszenarien identifizieren.
