Benutzerkonten-Lebenszyklus: Onboarding, Offboarding und Berechtigungen

Kurz: Neue Mitarbeitende brauchen schnell passende Konten und Rechte, ausscheidende müssen sofort alles verlieren; ein klarer Ablauf mit Checkliste verhindert Sicherheitslücken und Chaos.

Genauer: Der Lebenszyklus eines Kontos (Joiner – Mover – Leaver) ist ein Kernprozess des Identity & Access Management (IAM). Fehler hier führen zu verwaisten Konten, Rechteansammlung und Datenlecks.

Im Detail

Joiner (Eintritt/Onboarding)

• Vor Tag 1: Hardware vorbereiten (Imaging), Konto anlegen (Active Directory/Entra ID/Google), E-Mail, Gruppen/Rollen nach Stellenprofil (RBAC), Software, Telefon, Zutritt.
• Erstpasswort sicher übergeben (Einmalpasswort, Änderung bei erster Anmeldung, MFA einrichten).
• Schulung: Datenschutz, IT-Sicherheit, Richtlinien (Unterschrift).
• Prinzip der geringsten Rechte: nur das Nötige.
• Checkliste + Ticket, wer was erledigt; Dokumentation.

Mover (Wechsel)

Bei Abteilungs-/Rollenwechsel: alte Rechte entziehen, neue vergeben (nicht nur addieren: sonst Rechteansammlung/Privilege Creep), Postfächer/Gruppen anpassen, Vertretungen regeln, regelmäßig Berechtigungen rezertifizieren (Vorgesetzte bestätigen jährlich).

Leaver (Austritt/Offboarding)

• Zeitpunkt festlegen (Austrittsdatum, ggf. sofort bei Kündigung unter Spannung).
• Konto deaktivieren (nicht sofort löschen: Daten/Postfach sichern), Passwörter/Zugänge ändern, MFA/Token/Sicherheitsschlüssel entziehen, VPN, Cloud-Dienste, SaaS, Git, Server-SSH-Schlüssel.
• Geräte zurücknehmen, Daten übertragen, Weiterleitung/Abwesenheit für E-Mail, Zutrittskarten/Schlüssel.
• Gemeinsame Zugangsdaten (Wiki, Social Media, Shop) wechseln.
• Löschfristen (DSGVO), Aufbewahrungspflichten.
• Dienstkonten und API-Schlüssel, die die Person erstellt hat, prüfen.

Werkzeuge und Prüfung

• Verzeichnisdienste: Active Directory, Entra ID, LDAP, SSO/SAML/OIDC, SCIM (automatische Bereitstellung), HR-Systeme als Quelle.
• Automatisierung (PowerShell, Joiner-Workflows), Self-Service-Passwort-Reset.
• Protokolle für Nachvollziehbarkeit (Audit).
• Stichproben: Lässt sich ein ausgeschiedener Account noch anmelden? Liste verwaister Konten.
• Kleine Teams/Vereine: gleiche Disziplin: Liste, wer welchen Zugang hat (Server, Domain, Shop, Social Media), Passwortmanager mit Teilen.
• Prüfung (IHK): Schritte nennen, Rollenkonzept (RBAC) erklären, Risiken begründen.

Siehe auch: Benutzer, Gruppen und Dateirechte, Prinzip der geringsten Rechte, Gruppenrichtlinien und Active Directory