Mitarbeiterzugänge verwalten: Was bei Eintritt und Austritt wichtig ist

Der Umgang mit Benutzerkonten entscheidet in vielen Unternehmen über Sicherheit, Effizienz und Nachvollziehbarkeit. Sobald neue Teammitglieder starten oder Beschäftigte das Unternehmen verlassen, müssen digitale Zugänge sauber eingerichtet, angepasst und wieder entzogen werden. Wer diesen Ablauf strukturiert steuert, schützt Daten, reduziert Supportaufwand und vermeidet unnötige Risiken.

Besonders relevant ist dabei nicht nur die technische Anlage oder Löschung eines Kontos. Entscheidend ist ein klarer Prozess, der von der Personalabteilung über die Fachabteilung bis zur IT reicht. Wir betrachten deshalb den gesamten Lebenszyklus eines Zugangs: von der Vorbereitung vor dem ersten Arbeitstag bis zur vollständigen Sperrung und Dokumentation beim Austritt.

Warum ein klarer Prozess unverzichtbar ist

In vielen Organisationen entstehen Schwachstellen dort, wo Zugriffe nebenbei vergeben oder später nicht konsequent überprüft werden. Ein neu angelegter Zugang ohne Rollenprüfung kann zu weitreichenden Berechtigungen führen. Ein nicht deaktiviertes Konto nach dem Austritt bleibt ein offenes Einfallstor. Beides ist vermeidbar, wenn Verantwortlichkeiten und Abläufe fest definiert sind.

Ein belastbarer Prozess bringt mehrere Vorteile mit sich:

• Es werden nur die Zugriffe erteilt, die für die Aufgabe erforderlich sind.
• Neue Mitarbeitende sind zum Start arbeitsfähig.
• Ausgeschiedene Personen behalten keine aktiven Konten.
• Prüfungen und Audits lassen sich einfacher dokumentieren.
• IT und Fachbereiche arbeiten mit weniger Rückfragen und Sonderfällen.

Die Grundlage: Rollen, Verantwortlichkeiten und Freigaben

Bevor Konten angelegt oder entfernt werden, muss feststehen, wer entscheidet und wer umsetzt. In vielen Unternehmen bewährt sich ein Dreiklang aus Personal, Fachbereich und IT. Die Personalabteilung meldet Eintritt oder Austritt, der Fachbereich bestätigt den tatsächlichen Bedarf, und die IT setzt die Zugriffe technisch um.

Wichtig ist, dass Rollen nicht personenbezogen, sondern funktionsbezogen definiert werden. Dann erhalten neue Beschäftigte keine Einzelentscheidungen für jeden Zugriff, sondern eine klare Standardausstattung. Sonderrechte lassen sich ergänzen, müssen aber separat freigegeben werden. So bleibt die Vergabe nachvollziehbar und der spätere Entzug einfacher.

Typische Zuständigkeiten im Ablauf

• Personal: Meldung von Eintritts- und Austrittsdaten, Übergabe relevanter Stammdaten.
• Fachbereich: Einschätzung des benötigten Zugriffsumfangs.
• IT oder Administration: Technische Anlage, Anpassung, Sperrung und Dokumentation.
• Vorgesetzte: Prüfung besonderer Berechtigungen und Rückgabe von Arbeitsmitteln.

Neue Zugänge sauber vorbereiten

Ein reibungsloser Start beginnt vor dem ersten Arbeitstag. Wir empfehlen, den Zugang nicht erst am Morgen des Arbeitsbeginns anzulegen. Wer frühzeitig vorbereitet, kann Testanmeldungen durchführen, Rechte prüfen und Systeme abstimmen, bevor produktiv gearbeitet wird.

Zu den Vorbereitungen zählen in der Regel Benutzername, E-Mail-Adresse, Gruppenmitgliedschaften, Freigaben für Fachanwendungen sowie der Zugriff auf Kommunikations- und Kollaborationswerkzeuge. Auch Postfächer, gemeinsame Laufwerke, Projektplattformen und Zeiterfassungssysteme sollten berücksichtigt werden. Je nach Unternehmen gehören auch CRM, ERP, DMS oder HR-Portale dazu.

Ein gutes Vorgehen sieht so aus:

1. Eintrittsdaten aus dem Personalprozess prüfen.
2. Standardrolle oder Rollenprofil auswählen.
3. Systeme und Berechtigungsgruppen zuordnen.
4. Besondere Rechte separat freigeben lassen.
5. Konto anlegen und Anmeldung testen.
6. Willkommensinformationen und Startunterlagen übergeben.

Welche Informationen vorliegen sollten

• vollständiger Name und gewünschter Anzeigename
• Startdatum und Arbeitsort
• Abteilung, Funktion und direkte Führungskraft
• benötigte Systeme und Fachanwendungen
• besonderer Schutzbedarf, etwa bei vertraulichen Daten

Rechte nach dem Prinzip der geringsten Berechtigung vergeben

Für die tägliche Praxis ist das Minimalprinzip zentral. Ein neues Konto sollte nur die Berechtigungen enthalten, die zwingend benötigt werden. Zusätzliche Zugriffe werden später ergänzt, wenn die Aufgabe dies erfordert. So sinkt die Wahrscheinlichkeit ungewollter Datenzugriffe erheblich.

Gerade bei Gruppenlaufwerken, CRM-Daten, Finanzsystemen oder Kundenakten ist Zurückhaltung sinnvoll. Häufig reichen Standardrollen aus, die den üblichen Arbeitsablauf abbilden. Abweichungen sollten nachvollziehbar dokumentiert werden. Das schützt nicht nur vor Sicherheitsrisiken, sondern erleichtert auch spätere Rezertifizierungen.

Typische Fehler bei der Einrichtung

• Zu viele Rechte werden direkt zu Beginn vergeben.
• Provisorische Zugänge bleiben dauerhaft aktiv.
• Geteilte Konten werden für Einzelpersonen weiterverwendet.
• Passwörter werden ohne sichere Übergabe weitergegeben.
• Berechtigungen bleiben ohne Prüfung über Abteilungsgrenzen hinweg bestehen.

Austritte frühzeitig planen und technisch absichern

Beim Austritt zählt Tempo, aber auch Genauigkeit. Ein Konto darf nicht länger aktiv bleiben als erforderlich. Gleichzeitig muss geprüft werden, ob über das Konto noch Arbeitsprozesse laufen, die gesichert oder übergeben werden müssen. Dazu gehören E-Mails, Termine, Dateien, Projektaufgaben, Zugriffe auf gemeinsame Ressourcen und eventuell externe Plattformen.

Die technische Sperrung sollte mit dem letzten Arbeitstag oder einem vertraglich definierten früheren Zeitpunkt abgestimmt werden. In manchen Fällen ist eine sofortige Deaktivierung nötig, etwa bei Konflikten, Sicherheitsvorfällen oder besonderen Schutzanforderungen. Die Entscheidung darüber gehört in einen klar geregelten Eskalationsweg.

Ein zuverlässiger Ablauf umfasst meist diese Schritte:

1. Austrittsdatum und letzte Zugriffszeit verifizieren.
2. Konten und App-Zugriffe inventarisieren.
3. Weitergabe von E-Mails, Dateien und Aufgaben organisieren.
4. Passwortzugänge sperren oder zurücksetzen.
5. Gruppen, Rollen und Lizenzen entfernen.
6. Restzugriffe auf Drittanbieter-Dienste prüfen.
7. Abschluss der Deaktivierung dokumentieren.

Mit E-Mail, Dateien und gemeinsamen Ressourcen umgehen

Der Zugang endet selten nur im Hauptsystem. In der Praxis hängen zahlreiche weitere Elemente daran. Deshalb sollten Postfächer, Kalender, Cloud-Speicher, Projektordner, Messenger, Ticket-Systeme und freigegebene Laufwerke in die Prüfung einbezogen werden. Andernfalls bleibt ein Teil der Arbeitsumgebung aktiv, obwohl der Benutzeraccount bereits gesperrt wurde.

Für die E-Mail-Kommunikation ist ein sauberes Konzept wichtig. Je nach Situation kann eine Abwesenheitsregel sinnvoll sein, die an einen Ansprechpartner verweist. In anderen Fällen genügt die Weitergabe des Postfachs an eine vertretungsberechtigte Person. Dabei sollten Datenschutz, interne Richtlinien und mögliche Betriebsratsvorgaben beachtet werden.

Auch bei Dateien braucht es eine klare Entscheidung: Verschieben wir Eigentum, geben wir Ordner frei oder archivieren wir Inhalte? Die Antwort hängt von der Art der Daten, dem Aufbewahrungsbedarf und den Zugriffsrechten der Nachfolge ab. Wer hier standardisierte Regeln nutzt, verhindert Suchaufwand und spätere Konflikte.

Dokumentation und Nachweisführung nicht unterschätzen

Jede Änderung an einem Zugang sollte nachvollziehbar dokumentiert werden. Das gilt für Neuanlagen ebenso wie für Änderungen an Rechten und für die Sperrung nach dem Austritt. Eine gute Dokumentation hilft bei internen Prüfungen, Sicherheitsanalysen und externen Audits.

Dokumentiert werden sollten mindestens der Zeitpunkt, die verantwortliche Person, die freigegebenen Systeme und besondere Abweichungen vom Standard. Sinnvoll ist auch eine Kennzeichnung, warum zusätzliche Rechte vergeben oder entzogen wurden. So lassen sich Entscheidungen später sauber nachvollziehen.

Besonders in regulierten Bereichen ist eine saubere Historie entscheidend. Dort müssen Unternehmen oft belegen, wer wann auf welches System zugreifen durfte. Ohne belastbare Protokolle wird dieser Nachweis aufwendig und fehleranfällig.

Technische und organisatorische Kontrollen sinnvoll kombinieren

Gute Zugangsverwaltung besteht nicht nur aus Softwarefunktionen. Erst die Verbindung aus organisatorischen Regeln und technischen Mechanismen schafft einen stabilen Prozess. Automatisierte Workflows, Genehmigungsschritte, Rollenvorlagen und regelmäßige Rezertifizierungen sind dafür besonders hilfreich.

Je nach Systemlandschaft bieten sich unterschiedliche Kontrollen an:

• automatische Kontoanlage aus dem HR-System
• rollenbasierte Berechtigungszuordnung
• zeitgesteuerte Deaktivierung bei Vertragsende
• Vier-Augen-Freigaben für sensible Rechte
• regelmäßige Überprüfung aktiver Berechtigungen
• Protokollierung von Änderungen und Sperren

Wer Schnittstellen zwischen Personalsoftware, Identitätsmanagement und Fachanwendungen nutzt, reduziert manuelle Arbeit und senkt Fehlerquoten. Wichtig bleibt jedoch, dass Automatismen nicht unkontrolliert laufen. Für Ausnahmen, Sonderrechte und kritische Systeme braucht es klare Freigabegrenzen.

Besondere Fälle sauber regeln

Nicht jeder Eintritt und nicht jeder Austritt folgt dem Standardschema. Bei Praktikanten, externen Dienstleistern, Zeitarbeitenden, Projektmitarbeitenden oder befristeten Kräften sind Laufzeiten und Rechte oft enger zu fassen. Hier empfiehlt sich eine automatische Ablaufregel, damit Konten nicht versehentlich über das Einsatzende hinaus aktiv bleiben.

Auch interne Wechsel verdienen Aufmerksamkeit. Wer die Abteilung wechselt, benötigt unter Umständen neue Zugriffe und verliert alte Rechte. Dieser Fall wird in der Praxis häufig übersehen, obwohl er sicherheitsrelevant ist. Der Wechsel sollte deshalb wie ein kleiner neuer Eintritt behandelt werden: benötigte Rollen vergeben, alte Zugriffe prüfen und nicht mehr passende Berechtigungen entfernen.

Zusätzlich sollten Sonderfälle wie Elternzeit, längere Krankheit oder unbezahlter Urlaub mitgedacht werden. In solchen Phasen kann eine temporäre Einschränkung sinnvoll sein, ohne das Konto vollständig zu löschen. Entscheidend ist, dass der Zustand dokumentiert und eine Rückkehr sauber vorbereitet wird.

Ein belastbarer Ablauf für den Alltag

Für die tägliche Umsetzung hat sich ein klarer Takt bewährt. Zuerst wird der Personalvorgang gemeldet, dann prüft der Fachbereich den Bedarf, anschließend setzt die IT die Rechte um und dokumentiert den Abschluss. Beim Austritt läuft der Prozess in umgekehrter Richtung: Bedarf erfassen, Zugriffe identifizieren, Inhalte übergeben, Konten sperren, Nachweis sichern.

Damit der Ablauf stabil bleibt, sollten Unternehmen feste Fristen definieren. Beispielsweise kann die Freigabe neuer Standardkonten innerhalb eines Werktags erfolgen, während kritische Sperrungen sofort ausgeführt werden. Ebenso sinnvoll ist ein einheitlicher Meldeweg für Änderungen, damit kein Zugriff an einer Mail, einem Telefonat oder einer Chatnachricht hängen bleibt.

Wo viele Systeme im Einsatz sind, hilft eine zentrale Übersicht aller Konten, Rollen und Lizenzen. So sehen Verantwortliche schneller, welche Zugänge einer Person zugeordnet sind und welche davon beim Austritt betroffen sein müssen. Diese Transparenz spart Zeit und verhindert Lücken im Ablauf.

Rechtevergabe an Systeme, Räume und physische Ressourcen abstimmen

Beim Onboarding und Offboarding reicht es nicht aus, nur einzelne Logins anzulegen oder zu sperren. In der Praxis greifen digitale Zugänge, räumliche Berechtigungen und betriebliche Ressourcen oft ineinander. Wer ein CRM nutzt, benötigt möglicherweise zusätzlich Zugriff auf Telefonie, Drucker, Projektlaufwerke, Besprechungsräume, Zutrittskarten oder Zeiterfassungsterminals. Genau an dieser Schnittstelle entstehen häufig Lücken, weil jede Ressource für sich verwaltet wird, aber der Gesamtprozess nicht sauber synchronisiert ist.

Wir sollten daher alle Zugangsebenen in einer gemeinsamen Logik betrachten. Dazu gehören Identitäten, Rollen, Berechtigungsgruppen, Hardware-Ausgabe, Zutrittsmedien und Freigaben durch Fachabteilungen. Entscheidend ist, dass jede Ressource einem Verantwortlichen zugeordnet ist, der die Vergabe prüft und den Entzug nach dem Austritt mit bestätigt. So vermeiden Sie Schattenzugänge, etwa ein aktives Gebäudebadge ohne gültigen IT-Account oder eine Weiterleitung im Mailpostfach, die nach Vertragsende unkontrolliert weiterläuft.

Hilfreich ist ein standardisiertes Berechtigungsmodell mit klaren Ressourcenklassen:

• zentrale Produktivsysteme wie ERP, CRM, Buchhaltung oder Ticketsysteme,
• kommunikative Dienste wie E-Mail, Chat, Telefonie und Videokonferenzen,
• Dokumentenbereiche wie Laufwerke, DMS, SharePoint-ähnliche Ablagen oder lokale Archive,
• physische Zugänge wie Gebäude, Etagen, Serverräume, Schränke oder Lagerbereiche,
• betriebliche Werkzeuge wie mobile Endgeräte, SIM-Karten, Signaturkarten oder VPN-Token.

Für jede Klasse sollten wir festlegen, ob die Zuweisung automatisch über die Rolle erfolgt oder manuell durch eine Freigabe ausgelöst wird. Je stärker die Standardisierung, desto leichter lassen sich Ein- und Austritte lückenlos abbilden.

Geräte, Identitäten und Authentifizierungsverfahren sauber trennen

In vielen Unternehmen werden Geräte und Zugänge gedanklich vermischt. Ein Notebook ist jedoch kein Zugang, sondern ein Träger für Zugänge. Ein Mitarbeitender kann mehrere Systeme über dasselbe Gerät nutzen, und ein Gerät kann von wechselnden Personen verwendet werden. Genau deshalb sollte die Verwaltung von Identität, Berechtigung und Endgerät getrennt dokumentiert werden. Nur dann ist nachvollziehbar, was beim Eintritt eingerichtet und beim Austritt entfernt werden muss.

Besonders wichtig ist der Umgang mit Authentifizierungsverfahren. Passwörter allein reichen in professionellen Umgebungen meist nicht mehr aus. Wir sollten deshalb berücksichtigen, welche Verfahren für welche Systeme genutzt werden: Einmalpasswörter, Hardware-Token, Authenticator-Apps, Zertifikate, biometrische Freigaben oder Smartcards. Beim Austritt muss nicht nur das Konto deaktiviert werden, sondern auch die zugehörige zweite oder dritte Authentifizierungsstufe. Andernfalls bleiben Zugänge unter Umständen über alternative Wege bestehen.

Auch gemeinsame oder funktionsbezogene Konten verdienen Aufmerksamkeit. Solche Konten sollten möglichst vermieden, mindestens aber streng protokolliert werden. Wo sie betriebsbedingt unvermeidbar sind, brauchen wir eine klare Regelung für Passwortwechsel, Zugriffsprotokolle und die sofortige Anpassung bei Rollenwechsel oder Kündigung. Ein gemeinsames Konto darf nie als Ersatz für eine fehlende Berechtigung einer einzelnen Person dienen.

So trennen wir die Ebenen im Tagesgeschäft

1. Identität der Person erfassen und eindeutig im HR- oder Stammdatensystem anlegen.
2. Benötigte Rollen und Gruppen anhand der Funktion festlegen.
3. Geräte, Token und physische Medien separat zuweisen und inventarisieren.
4. Authentifizierungsverfahren je System dokumentieren.
5. Für den Austritt eine Sperrreihenfolge definieren, die Konten, Geräte und Zutrittsmedien umfasst.

Fristen, Kontrollpunkte und Eskalationen verbindlich festlegen

Ein wirksamer Prozess braucht Zeitvorgaben. Ohne feste Fristen entsteht schnell ein uneinheitlicher Ablauf, bei dem manche Zugänge am ersten Arbeitstag bereitstehen und andere erst nach mehreren Rückfragen eingerichtet werden. Beim Austritt ist die Lage noch sensibler, weil ein zu spätes Deaktivieren unnötige Risiken erzeugt. Deshalb sollten wir für jede Phase klare Zeitfenster und Kontrollpunkte definieren.

Bewährt hat sich eine Fristenlogik entlang von Ereignissen. Die Meldung eines neuen Eintritts sollte unmittelbar nach der Vertragsfreigabe oder spätestens mit einem festgelegten Vorlauf an die zuständigen Stellen gehen. Für Austritte sollten Kündigung, befristetes Vertragsende, Aufhebungsvereinbarung oder interner Rollenwechsel als auslösende Ereignisse getrennt betrachtet werden. Jede dieser Situationen verlangt eine andere Abfolge, selbst wenn das Endergebnis ähnlich aussieht.

Eskalationen sind dann wichtig, wenn kritische Zugänge betroffen sind oder Rückmeldungen ausbleiben. Hier helfen definierte Ansprechpartner pro Bereich und ein klarer Eskalationsweg. Wenn etwa die IT ein Deaktivierungssignal vom Personalbereich erhält, aber eine Fachabteilung den Entzug eines Spezialzugangs nicht bestätigt, muss dies an eine übergeordnete Stelle gemeldet werden. So bleibt kein Zugangsbaustein offen, nur weil eine Freigabe aussteht.

Für den operativen Alltag ist eine einfache Priorisierung sinnvoll:

• sofortige Sperrung bei sicherheitskritischen oder rechtlich sensiblen Rollen,
• zeitnahe Deaktivierung regulärer Standardzugänge am letzten Arbeitstag,
• nachgelagerte Prüfung von Restbeständen wie Geräten, Karten oder Schlüsseln,
• abschließende Freigabe erst nach dokumentierter Vollständigkeit aller Rückgaben.

Diese Struktur macht Zugangsverwaltung berechenbar. Sie erleichtert außerdem die Abstimmung zwischen Personal, IT, Facility Management, Fachbereich und Führungskraft, weil jede Stelle weiß, wann sie handeln muss und welche Rückmeldung erwartet wird.

FAQ

Wer sollte den Zugang neuer Mitarbeitender freigeben?

Die Freigabe sollte bei einer klar benannten verantwortlichen Stelle liegen, etwa bei HR, der Geschäftsführung oder der IT, je nach interner Organisation. Wichtig ist, dass fachliche Bedarfe und technische Umsetzung getrennt geprüft werden, damit keine unkontrollierten Berechtigungen entstehen.

Wie früh sollten Zugänge vor dem ersten Arbeitstag bereitstehen?

Die Vorbereitung sollte so rechtzeitig abgeschlossen sein, dass am ersten Arbeitstag alle arbeitsrelevanten Systeme erreichbar sind. Zugleich dürfen Zugänge nicht unnötig früh aktiv sein, damit zwischen Erzeugung und tatsächlichem Eintritt keine Sicherheitslücke entsteht.

Welche Angaben braucht die IT für die Einrichtung von Zugängen?

Erforderlich sind in der Regel vollständige Personaldaten, Startdatum, Kostenstelle, Organisationseinheit, Führungskraft und die geplante Rolle. Zusätzlich sind Angaben zu Arbeitsort, Endgeräten, benötigten Anwendungen und Sonderberechtigungen hilfreich, damit die Einrichtung ohne Rückfragen erfolgen kann.

Wie lässt sich das Prinzip der geringsten Berechtigung im Alltag umsetzen?

Wir sollten nur die Zugriffe vergeben, die für die aktuelle Aufgabe zwingend nötig sind. Dafür arbeiten wir mit standardisierten Rollenprofilen, regelmäßigen Kontrollen und einem klaren Verfahren für Zusatzfreigaben, damit Ausnahmen nicht zur Regel werden.

Was gehört bei einem Austritt zuerst auf die Prioritätenliste?

Zu Beginn stehen die Entziehung von Systemzugängen, das Deaktivieren von Konten und die Rückgabe von Identitätsmitteln wie Token oder Karten. Danach prüfen wir gemeinsam, ob geteilte Postfächer, Dateifreigaben, Vertretungsregelungen und externe Zugänge angepasst werden müssen.

Wie vermeiden wir, dass alte Konten nach dem Austritt weiter aktiv bleiben?

Ein fester Offboarding-Prozess mit terminierter Deaktivierung und abschließender Kontrolle reduziert dieses Risiko erheblich. Zusätzlich helfen automatisierte Erinnerungen, eine Übergabeliste und ein Nachweis über die erfolgten Sperren, damit kein Konto übersehen wird.

Sollten Zugänge sofort am Austrittstag gesperrt werden?

Das hängt von der Rolle und vom Austrittsgrund ab, bei erhöhtem Schutzbedarf ist eine sofortige Sperrung sinnvoll. In vielen Fällen setzen wir die Deaktivierung auf den letzten Arbeitstag und stellen sicher, dass keine nachgelagerten Zugriffsrechte bestehen bleiben.

Wie gehen wir mit gemeinsamen Ressourcen wie Teams, Ordnern oder Postfächern um?

Gemeinsame Ressourcen brauchen eigene Zuständigkeiten und dürfen nicht automatisch beim Ausscheiden einer Person verloren gehen. Deshalb sollten wir Berechtigungen vorab auf Teamrollen, Stellvertretungen oder Funktionspostfächer umstellen und die Datenhoheit eindeutig festlegen.

Welche Dokumentation ist für Audits und interne Prüfungen sinnvoll?

Sinnvoll sind protokollierte Freigaben, ein Berechtigungsverzeichnis, die Historie von Änderungen und ein dokumentierter Nachweis über die Deaktivierung beim Austritt. Damit lässt sich jederzeit belegen, wer wann welche Zugriffe erhalten oder verloren hat.

Wie oft sollten Zugriffsrechte überprüft werden?

Wir empfehlen regelmäßige Rezertifizierungen, mindestens in einem festen Turnus und zusätzlich anlassbezogen bei Rollenwechseln, längerer Abwesenheit oder organisatorischen Umstrukturierungen. So bleiben Berechtigungen aktuell und überholte Zugriffe werden rechtzeitig entfernt.

Was tun wir bei externen Kräften, Praktikanten oder befristeten Beschäftigten?

Für solche Fälle sollten wir von Anfang an ein klar befristetes Berechtigungskonzept verwenden. Die Zugänge müssen automatisch oder termingesteuert auslaufen, und die verantwortliche Fachseite sollte vor Ablauf prüfen, ob eine Verlängerung überhaupt nötig ist.

Fazit

Sauber geregelte Zugänge schaffen Sicherheit, Transparenz und Geschwindigkeit im Personalprozess. Wer Zuständigkeiten, Rollen, Freigaben und Deaktivierungen strukturiert aufsetzt, reduziert Risiken im Eintritts- und Austrittsprozess deutlich. Entscheidend ist ein Ablauf, der im Alltag verlässlich funktioniert und sich ohne Reibungsverluste dokumentieren lässt.