Konto, Gerät, Schlüssel: Warum IT-Onboarding kein Zuruf am Montagmorgen sein darf

Warum ist Onboarding überhaupt ein IT-Thema?

Weil der erste Arbeitstag heute fast vollständig ein IT-Tag ist. Ohne Konto keine Mail, ohne Mail keine Einladung zur Einführungsrunde, ohne Gerät keine Arbeit. Und weil das in vielen Betrieben so läuft: Am Freitag ruft jemand an, dass am Montag zwei Auszubildende anfangen.

Das Ergebnis kennt jeder. Am ersten Tag gibt es ein Leih-Notebook, das Konto kommt am Mittwoch, die Rechte am Freitag „erstmal so wie beim Kollegen“. Genau diese Abkürzung ist der Anfang des Problems: Wer Rechte kopiert statt vergibt, sammelt über Jahre Zugriffe an, die niemand mehr begründen kann.

Ein sauberer Ablauf kostet beim ersten Mal einen halben Tag Nachdenken — und danach zehn Minuten pro Eintritt.

Was gehört in ein vollständiges IT-Onboarding?

Der Auslöser ist nicht der erste Arbeitstag, sondern die unterschriebene Vertragsbestätigung. Ab da läuft die Liste:

• Benutzerkonto und Lizenz: Konto anlegen, passende Microsoft-365-Lizenz zuweisen — nicht automatisch die größte.
• Mehr-Faktor-Anmeldung von Anfang an einrichten, nicht nachträglich (siehe MFA).
• Gerät vorbereiten: über Intune und Autopilot ausgerollt, damit es beim ersten Anmelden fertig ist — der Ablauf steht in Neue Geräte mit Intune & Autopilot.
• Rechte nach Rolle vergeben: Buchhaltung, Vertrieb, Werkstatt — als definiertes Paket, nie als Kopie eines Kollegen.
• Telefonie: Durchwahl, Endgerät oder Softclient, Eintrag im Telefonbuch.
• Zutritt: Schlüssel oder Transponder mit dokumentierter Ausgabe und definierten Zeiten.
• Ablagen und Verteiler: Team-Ordner, Postfächer, Verteilerlisten.
• Kurze Einweisung: Wie melde ich eine Störung, was ist Phishing, was gehört nicht in private Clouds.

Diese acht Punkte sind der ganze Prozess. Entscheidend ist nicht ihre Ausgefeiltheit, sondern dass sie aufgeschrieben sind und jemandem gehören.

Wo es fast immer klemmt: die Berechtigungen

„Mach ihm die gleichen Rechte wie der Frau Müller“ ist der häufigste Satz — und der teuerste. Frau Müller war vorher in der Buchhaltung, davor im Einkauf und hat seit einem Projekt 2023 noch Zugriff auf den Geschäftsführungsordner. All das wird mitkopiert und wandert von da an weiter.

Nach fünf Jahren dieser Praxis hat praktisch jeder Zugriff auf fast alles. Im Alltag fällt das nicht auf. Im Angriffsfall entscheidet es darüber, wie viel ein einzelnes übernommenes Konto anrichten kann — und ob die Verschlüsselung an einer Abteilung endet oder das ganze Haus erwischt.

Die Gegenmaßnahme ist unspektakulär: Rollen definieren statt Personen kopieren, und einmal jährlich durchsehen, wer worauf zugreifen darf. Ein Vormittag pro Jahr reicht für die meisten Mittelständler.

Das größere Risiko ist das Offboarding

Beim Eintritt beschwert sich jemand, wenn etwas fehlt. Beim Austritt beschwert sich niemand, wenn etwas bleibt. Deshalb ist das Offboarding die Stelle, an der es in nahezu jeder Bestandsaufnahme hängt, die wir machen.

Typische Funde: aktive Konten von Menschen, die seit zwei Jahren woanders arbeiten. Weiterlaufende Lizenzen, die monatlich abgebucht werden. Nicht zurückgegebene Transponder. Ein Mailpostfach, das „sicherheitshalber“ noch offen ist. Und regelmäßig: das Konto eines ausgeschiedenen Dienstleisters mit Administratorrechten.

Solche Konten sind bei Angreifern beliebt, weil sie niemandem auffallen — niemand bemerkt eine ungewöhnliche Anmeldung bei einem Konto, das ohnehin niemand mehr benutzt.

Der Ablauf zum Austritt gehört deshalb genauso festgeschrieben: Konto sperren (nicht sofort löschen, wegen der Daten), Lizenz abziehen, Postfach umleiten oder archivieren, Gerät einsammeln und zurücksetzen, Transponder sperren und Ausgabe abhaken, Weiterleitungen und Verteiler bereinigen, gemeinsame Passwörter wechseln. Zum Zutritt externer Personen haben wir das in Zutritt für externe Dienstleister vertieft.

Was kostet ein vergessenes Konto?

Zwei Rechnungen, die selten jemand aufmacht.

Die kleine: Eine ungenutzte Microsoft-365-Lizenz kostet einen zweistelligen Betrag pro Monat. Bei fünf vergessenen Konten über zwei Jahre ist das schnell ein vierstelliger Betrag — für nichts. Wie viel in Lizenzen generell liegen bleibt, steht in Microsoft-365-Lizenzen optimieren.

Die große: Ein aktives Konto ohne Besitzer ist ein Zugang ohne Aufsicht. Es hat noch Rechte, es hat kein Gerät, das Überwachung meldet, und es hat keinen Menschen, dem etwas seltsam vorkommt. Zugangsdaten aus alten Datenlecks tauchen Jahre später wieder auf — und werden systematisch durchprobiert.

Deshalb ist Offboarding keine Aufräumarbeit, sondern eine Sicherheitsmaßnahme.

Wie richten Sie den Prozess einmal sauber ein?

Vier Schritte, die zusammen einen Tag dauern:

• Signalweg klären: Wer meldet Eintritt und Austritt an wen — verbindlich und schriftlich? Ohne dieses Signal nützt die beste Checkliste nichts.
• Zwei Checklisten schreiben: eine für den Eintritt, eine für den Austritt. Eine Seite je Liste genügt.
• Rollen statt Personen: die fünf bis acht typischen Rollen im Betrieb definieren und die Rechte einmal sauber daran hängen.
• Einmal aufräumen: alle bestehenden Konten durchsehen und alles sperren, wozu es keinen Menschen mehr gibt. Erfahrungsgemäß ist das die längste halbe Stunde des Projekts.

Danach läuft es. Der Aufwand pro Ein- oder Austritt liegt bei wenigen Minuten — und niemand ruft mehr am Freitagnachmittag an.

Was sollten Sie als Nächstes tun?

Machen Sie eine Stichprobe, die zehn Minuten dauert: Lassen Sie sich eine Liste aller aktiven Benutzerkonten geben und streichen Sie jeden, den Sie persönlich kennen. Was übrig bleibt, ist Ihre Hausaufgabe.

Wenn Sie mehr als zwei Namen nicht zuordnen können, lohnt sich der Prozess sofort — nicht wegen der Lizenzkosten, sondern weil jedes dieser Konten ein offener Zugang zu Ihrem Netz ist. Wir bauen den Ablauf mit Ihnen einmal auf und hängen ihn an die Geräte- und Lizenzverwaltung, damit Ein- und Austritte danach ohne Nachfragen funktionieren.