Neue Mitarbeitende sollen am ersten Tag arbeitsfähig sein, ausscheidende am letzten Tag keinen Zugriff mehr haben. Das klingt selbstverständlich, scheitert in der Praxis aber oft an späten Informationen, verteilten Zuständigkeiten und vielen manuellen Einzelschritten. Vergessene Konten ehemaliger Mitarbeitender sind ein bekanntes Sicherheitsrisiko, weil sie unbemerkt weiter genutzt werden können.
Fachlich ist auch vom Joiner-Mover-Leaver-Prozess die Rede, denn neben Eintritt und Austritt gehört der Wechsel innerhalb des Unternehmens dazu.
Wie funktionieren IT-Onboarding und -Offboarding?
Ausgangspunkt ist eine verlässliche Meldung der Personalabteilung: wer wann beginnt, wechselt oder geht, in welcher Abteilung und mit welcher Funktion. Häufig arbeiten Unternehmen mit Rollenprofilen, die festlegen, welche Konten, Gruppen, Anwendungen und Geräte eine Funktion standardmäßig erhält.
Beim Onboarding werden typischerweise ein Benutzerkonto, etwa in Microsoft Entra ID, ein Postfach, Lizenzen, Gruppenmitgliedschaften und ein vorkonfiguriertes Gerät bereitgestellt. Beim Offboarding wird das Konto gesperrt, aktive Sitzungen werden beendet, Berechtigungen entzogen und Geräte zurückgenommen. Dazu gehört auch, registrierte Mehrfaktor-Methoden und Mobilgeräte zu entfernen sowie Weiterleitungen und Abwesenheitsnotizen zu regeln. Postfach und Dateien werden nach festgelegten Regeln übergeben, aufbewahrt oder gelöscht.
Viele dieser Schritte lassen sich automatisieren, etwa über Workflows, die ein Eintrag im Personalsystem auslöst. Das ist ein typisches Einsatzfeld der Prozessautomatisierung.
Typische Beispiele
- Ein Vertriebsmitarbeiter beginnt am Montag, und Notebook, Konto, CRM-Zugang und Smartphone liegen bereit.
- Eine Projektleiterin wechselt die Abteilung; alte Berechtigungen werden entfernt, statt nur neue hinzuzufügen.
- Bei einer sofortigen Dienstfreistellung werden alle Zugänge kurzfristig gesperrt, einschließlich Cloud-Diensten und gemeinsam genutzter Zugangsdaten.
- Praktikantinnen, Praktikanten und externe Fachkräfte erhalten befristete Konten, die zum vereinbarten Datum automatisch ablaufen.
Worauf Unternehmen achten sollten
- Eine Checkliste je Rolle führen und für jeden Schritt eine verantwortliche Person benennen.
- Personalabteilung und IT verbindlich verknüpfen, damit Ein- und Austritte nicht zufällig bekannt werden.
- Bei internen Wechseln Rechte nach dem Prinzip Least Privilege neu zuschneiden.
- Gemeinsam genutzte Passwörter nach einem Austritt ändern, idealerweise zentral in einem Passwort-Manager verwaltet.
- Die Rückgabe von Geräten im IT-Asset-Management dokumentieren.