Von Onboarding bis Offboarding: Wie automatisierte Berechtigungsprozesse IT-Abteilungen entlasten

Die Zahl digitaler Konten wächst in vielen Unternehmen schneller als die Möglichkeit der IT-Abteilung, diese sauber zu verwalten. Neue Mitarbeitende müssen am ersten Tag ihrer Tätigkeit sofort Zugriff auf E-Mail, Fachanwendungen und Cloud-Dienste haben. Wer die Abteilung wechselt, benötigt andere Zugriffsrechte, und wer das Unternehmen verlässt, muss spätestens am letzten Tag aus allen Systemen entfernt worden sein. Ansonsten kommen manuelle Prozesse schnell an ihre Grenzen – die Folge sind verzögerte Provisionierungen, überprivilegierte Nutzer und verwaiste Konten mit erheblichen Sicherheitsrisiken.

Joiner-Mover-Leaver-Prozess als Rückgrat der Berechtigungsverwaltung

Der klassische Aufbau einer Identitätsverwaltung folgt dem JML-Prozess: Joiner, Mover, Leaver. Jede dieser Phasen erzeugt einen bestimmten Berechtigungsbedarf, der zwingend in einem definierten Prozess abgebildet werden muss. Damit dieser Prozess auch auditierbar bleibt, setzen viele Organisationen auf standardisierte Verfahren für Access Management und Access Governance. Diese fügen Vergabe, Kontrolle und Rezertifizierung von Berechtigungen in einem gemeinsamen Rahmen zusammen. Beim Joiner werden Konten in Active Directory, Microsoft Entra ID, in ERP- und Fachanwendungen angelegt, Rollen gemäß Abteilung, Standort und Funktion vergeben. In der Phase des Mover, des internen Wechsels, passierte die größte Zahl der Fehler. Alte Rechte werden nur selten zurückgegeben, neue kommen dazu. Über Jahre entstehen damit Berechtigungsprofile, die weit über das operativ Notwendige hinausgehen. Der Leaver muss schließlich prüfen, ob Konten gesperrt, Zugriffstoken widerrufen und Endgeräte gesperrt werden.

Zwei Verfahren strukturieren die Berechtigungsvergabe. Role-Based Access Control (RBAC) mit starren Rollen ist einfach zu betreiben. Bei Attribute-Based Access Control (ABAC) können zusätzliche Merkmale, etwa Projekt, Standort oder Zeitraum hinzugefügt werden. In der Praxis werden beide Verfahren gemischt.

Automatisierung als Antwort auf steigende Komplexität

Eine automatisierte Berechtigungsverwaltung setzt in der Regel an der Schnittstelle zum HR-System an. Wird hier ein neuer Datensatz im Personalsystem angelegt, so wird ein Workflow gestartet, der die Erstellung des Benutzerkontos und die Zuweisung der passenden Rollen anstößt. Am Austritt läuft es dann umgekehrt ab, zuverlässig und terminiert. Typische Messgrößen für die Wirksamkeit sind die mittlere Provisionierungsdauer (Time to Access), der Anteil verwaister Konten am Gesamtbestand, die Anzahl offener Rezertifizierungen und die Quote der Ausnahmegenehmigungen. Studien zur IT-Sicherheit zeigen regelmäßig, dass verwaiste und überprivilegierte Konten zu den häufigsten Angriffszielen gehören. Der Verizon Data Breach Investigations Report weist seit Jahren den Missbrauch privilegierter Zugriffe als einen der Hauptfaktoren für interne Sicherheitsvorfälle nach.

Neben der Sicherheit ist die Entlastung der IT ein wichtiges Argument. Manuelle Berechtigungsanfragen binden Ressourcen im First- und Second-Level-Support. Wird die Vergabe über definierte Rollen und Self-Service-Anträge mit Genehmigungsworkflows abgebildet, sinkt die Ticketzahl messbar. Fachbereiche erhalten notwendige Zugriffe schneller, ohne dass jeder Prozess einzeln durch die IT muss.

Regulatorische Anforderungen, Prüfkriterien

Die Anforderungen an eine nachvollziehbare Berechtigungsvergabe sind in den vergangenen Jahren stark gestiegen. Die NIS2-Richtlinie verpflichtet ein breites Spektrum an Unternehmen zu strukturierten Sicherheitsmaßnahmen, darunter Zugriffskontrolle und Identitätsverwaltung. Mit DORA werden seit Januar 2025 vergleichbare Anforderungen an den Finanzsektor gestellt. Auch die DSGVO verlangt eine dokumentierte Rechteverwaltung, insbesondere bei personenbezogenen Daten. 

Prüfkriterien in Audits nach ISO/IEC 27001 oder im Rahmen eines IT-Grundschutz-Zertifikats des BSI umfassen typischerweise:

• dokumentierte Rollenkonzepte und Berechtigungsmatrizen
• regelmäßige Rezertifizierungen durch Fachvorgesetzte, oft alle sechs oder zwölf Monate
• Trennung kritischer Funktionen gemäß der Segregation of Duties
• vollständige Protokollierung von Vergabe, Änderung und Entzug von Rechten
• Nachweis des Least-Privilege-Prinzipes

Wer diese Punkte manuell bewerkstelligen will, stößt ab einer dreistelligen Zahl von Mitarbeitenden an eine praktische Grenze. Ohne Werkzeugunterstützung wird die Dokumentation lückenhaft und die Rezertifizierung zur Formsache.

Praktische Schritte zur Automatisierung

Den Einstieg in ein solches Projekt wird kaum jemand als sofortige neue vollständige Einführung schaffen. Bewährt hat sich ein schrittweiser Weg, der den laufenden Betrieb nicht überfordert. Zuerst sollte eine Bestandsaufnahme aller Systeme, Konten und Berechtigungen erfolgen. Verwaiste Konten werden identifiziert, kritische Rechte gesondert markiert. Daraus ergibt sich ein Rollenmodell, das die tatsächlichen Tätigkeiten der Organisation abbildet. Die Anbindung an ein HR-System liefert die verlässlichen Daten für alle weiteren Automatismen.

Im nächsten Schritt werden Workflows für Antrag, Genehmigung und Widerruf formuliert. Genehmigende Personen müssen fachlich verantwortliche Mitarbeitende sein, nicht die IT. Die Rezertifizierung wird ein regelmäßiger Prozess, unterstützt durch Fristen und Eskalationsstufen. Reporting-Dashboards machen Fortschritt und offene Punkte sichtbar.

Wer diese Schritte konsequent geht, senkt Risiken, verkürzt Provisionierungszeiten und schafft belastbare Nachweise gegenüber Prüfern. Der Weg vom Onboarding bis zum Offboarding wird ein belastbarer, wiederholbarer Prozess statt tägliche Last der IT.