Identity Lifecycle Management
Vom ersten bis zum letzten Arbeitstag: Zugänge, die mit den Menschen mitgehen
Eintritt, Wechsel, Austritt – an jedem Übergang ändern sich Konten, Gruppen, Lizenzen und Zugriffsrechte. Wir verbinden Personalabteilung, IT, Führungskräfte und Datenschutz zu einem Ablauf, der in Active Directory und Microsoft Entra ID technisch umgesetzt und nachvollziehbar dokumentiert ist.
- Identität
- Personalabteilungmeldet Eintritt, Wechsel, Austritt
- ITsetzt Konten und Rechte um
- Führungskräftegeben Zugriffe frei
- Datenschutzbewertet Fristen und Zugriffe
Worum es geht
Zugriff soll genau so lange bestehen, wie er gebraucht wird – nicht länger.
Das BSI beschreibt im IT-Grundschutz-Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“ genau diese Gefahr: Ohne geregelten Prozess erfährt die IT nicht rechtzeitig von personellen Veränderungen. Konten ausgeschiedener Personen bleiben aktiv, und wer die Abteilung wechselt, sammelt mit der Zeit umfangreiche Gesamtberechtigungen an.
Das Modell
Joiner, Mover, Leaver: woran eine Änderung im Personalsystem hängt
Microsoft beschreibt den Lebenszyklus einer Identität in drei Übergängen: Eintritt (Joiner), Wechsel (Mover) und Austritt (Leaver). Jeder beginnt im Personalprozess und muss bis in jede Anwendung ankommen – mit Freigabe und Nachweis. Die Karte zeigt eine typische hybride Umgebung: Wählen Sie einen Baustein, um zu sehen, was er braucht und was von ihm abhängt. Gastkonten, Dienstkonten und Fachanwendungen mit eigener Anmeldung hängen bewusst nicht an dieser Kette – genau deshalb brauchen sie eigene Regeln.
Microsoft Entra ID und Microsoft 365 · Anmeldung
Entra-Konto
Das Konto, mit dem sich die Person bei Microsoft 365 anmeldet. Ist es deaktiviert, erhält die Person keine neuen Token mehr.
- Braucht
- Wird gebraucht von
Illustrative Beispielarchitektur. Vereinfachte hybride Umgebung nach Microsoft Learn (abgerufen am 2. November 2026): keine reale Kundenumgebung, keine Live-Daten. Nicht abgebildet sind u. a. Microsoft Entra Cloud Sync, HR-gesteuerte Bereitstellung direkt in die Cloud, Geräteverwaltung und Rollen mit erhöhten Rechten. Microsoft Entra ID, Microsoft 365, Teams und SharePoint sind Marken der Microsoft Corporation.
Beispielarchitektur als Text
- Personalmeldung (Personalprozess) – Der Auslöser: Eintrittsdatum, neue Abteilung oder letzter Arbeitstag im Personalsystem. Bleibt die Meldung aus oder kommt sie zu spät, erreicht keine der folgenden Stellen eine Änderung. Wird gebraucht von: AD-Benutzerkonto.
- AD-Benutzerkonto (Lokales Active Directory) – Das Konto im lokalen Active Directory mit Attributen wie Abteilung und Vorgesetzte. In hybriden Umgebungen ist es die Quelle für das Konto in Microsoft Entra ID. Braucht: Personalmeldung. Wird gebraucht von: Entra Connect Sync.
- Entra Connect Sync (Lokales Active Directory) – Überträgt Änderungen aus dem Active Directory nach Microsoft Entra ID – standardmäßig alle 30 Minuten. Eine Sperre im AD kommt erst mit dem nächsten Synchronisierungszyklus in der Cloud an. Braucht: AD-Benutzerkonto. Wird gebraucht von: Entra-Konto.
- Entra-Konto (Microsoft Entra ID und Microsoft 365) – Das Konto, mit dem sich die Person bei Microsoft 365 anmeldet. Ist es deaktiviert, erhält die Person keine neuen Token mehr. Braucht: Entra Connect Sync. Wird gebraucht von: Angemeldete Sitzungen, Dynamische Gruppen, Persönliche Dateien.
- Angemeldete Sitzungen (Microsoft Entra ID und Microsoft 365) – Bereits ausgestellte Zugriffstoken gelten laut Microsoft rund eine Stunde (zufällig 60 bis 90 Minuten); Sitzungen einzelner Anwendungen laufen nach deren eigenen Regeln weiter. Deshalb widerruft man beim Austritt zusätzlich die Sitzungen. Braucht: Entra-Konto.
- Dynamische Gruppen (Microsoft Entra ID und Microsoft 365) – Mitglied wird, wer zur Regel passt, etwa „Abteilung = Vertrieb“. Ändert sich das Attribut, ändert sich die Mitgliedschaft – manuelles Hinzufügen oder Entfernen ist bei dynamischen Gruppen nicht möglich. Braucht: Entra-Konto. Wird gebraucht von: Lizenzen über Gruppen, Microsoft 365.
- Direkt vergebene Rechte (Microsoft Entra ID und Microsoft 365) – Mitgliedschaften und Freigaben, die jemand von Hand vergeben hat. Sie hängen an keiner Regel und bleiben bei jedem Wechsel bestehen, bis jemand sie entfernt. Wird gebraucht von: Microsoft 365.
- Lizenzen über Gruppen (Microsoft Entra ID und Microsoft 365) – Mit gruppenbasierter Lizenzierung erhält jedes Gruppenmitglied die Lizenzen der Gruppe. Wer die Gruppe verlässt, gibt die Lizenz wieder frei. Braucht: Dynamische Gruppen. Wird gebraucht von: Microsoft 365, Persönliche Dateien.
- Microsoft 365 (Microsoft Entra ID und Microsoft 365) – Was die Person im Alltag öffnet. Der Zugriff ergibt sich aus Gruppen, Lizenzen und direkt vergebenen Rechten. Braucht: Dynamische Gruppen, Lizenzen über Gruppen, Direkt vergebene Rechte.
- Persönliche Dateien (Microsoft Entra ID und Microsoft 365) – Das OneDrive gehört zum Konto und braucht eine Lizenz. Erst wenn das Konto gelöscht wird, erhält die eingetragene Führungskraft Zugriff, standardmäßig für 30 Tage. Fehlt nur die Lizenz, wird das OneDrive nach 60 Tagen schreibgeschützt und nach 93 Tagen archiviert (Microsoft Learn). Die Fristen im Einzelnen stehen bei OneDrive for Business. Braucht: Entra-Konto, Lizenzen über Gruppen.
- Gastkonto (Microsoft Entra ID und Microsoft 365) – Externe Personen kommen per Einladung ins Verzeichnis, nicht über das Personalsystem. Ihr Ende regeln Sponsor, Ablaufdatum oder Überprüfung.
- Dienstkonto (Microsoft Entra ID und Microsoft 365) – Konten für Skripte und Anwendungen gehören keiner Person und haben keinen Austrittstermin. Microsoft empfiehlt einen benannten Besitzer, einen festgelegten Zweck, regelmäßige Überprüfung und möglichst verwaltete Identitäten oder Dienstprinzipale statt Benutzerkonten.
- Fachanwendung (Eigene Anmeldung) – Eine Anwendung mit eigener Benutzerverwaltung erfährt nichts vom Verzeichnis. Konten dort müssen über eine Bereitstellung angebunden oder im Ablauf eigens entfernt werden.
Typische Abläufe
- Joiner: Eintritt bis zum ersten Zugriff: Personalmeldung → AD-Benutzerkonto → Entra Connect Sync → Entra-Konto → Dynamische Gruppen → Lizenzen über Gruppen → Microsoft 365 – Die Personalmeldung legt das AD-Konto mit seinen Attributen an. Mit der nächsten Synchronisierung entsteht das Entra-Konto, die Attribute bestimmen die dynamischen Gruppen, die Gruppen bringen Lizenzen und Zugriff auf Teams, SharePoint und das Postfach. Zeitplan, Freigaben und Erstzugang im Einzelnen: IT-Onboarding.
- Mover: Wechsel bis zu den neuen Gruppen: Personalmeldung → AD-Benutzerkonto → Entra Connect Sync → Entra-Konto → Dynamische Gruppen → Microsoft 365 – Die neue Abteilung muss als Attribut im AD ankommen. Nach der Synchronisierung passt die dynamische Regel die Gruppen an: Die alte Gruppe fällt weg, die neue kommt hinzu. Direkt vergebene Rechte liegen nicht auf diesem Weg – sie bleiben, bis jemand sie entfernt.
- Leaver: Austritt bis zum Ende der Sitzungen: Personalmeldung → AD-Benutzerkonto → Entra Connect Sync → Entra-Konto → Angemeldete Sitzungen – Die Austrittsmeldung führt zur Sperre im AD. Erst nach der Synchronisierung ist das Entra-Konto deaktiviert – laufende Sitzungen enden mit Ablauf der Token oder wenn sie widerrufen werden.
- Leaver: Austritt bis zur Übergabe der Dateien: Personalmeldung → AD-Benutzerkonto → Entra Connect Sync → Entra-Konto → Persönliche Dateien – Erst das Löschen des Kontos startet die Bereinigung des OneDrive: Die Führungskraft erhält Zugriff und eine E-Mail, sieben Tage vor Ablauf der Frist eine Erinnerung. Eine Sperre oder ein Lizenzentzug allein löst das nicht aus (Microsoft Learn).
Technische Kette
Lücken in der technischen Kette: wo eine Änderung hängen bleibt
Vier typische Lücken zwischen Personalsystem und Anwendung – Synchronisierung, Konto, Sitzungen, Lizenz. Was mit den Rechten einer Person über Eintritt, Wechsel und Austritt geschieht, zeigt die Simulation darunter. „Fällt aus“ heißt hier: An dieser Stelle kommt die Änderung nicht an. Die Karte berechnet aus dem Modell oben, wo der alte Stand deshalb weiterlebt – und was davon gar nicht berührt wird, weil es an keiner Personalmeldung hängt.
Personalmeldung fällt aus. Betroffen: AD-Benutzerkonto, Entra Connect Sync, Entra-Konto, Angemeldete Sitzungen, Dynamische Gruppen, Persönliche Dateien, Lizenzen über Gruppen, Microsoft 365.
Die Person ist ausgeschieden, die IT erfährt es nicht. Alles, was an der Personalmeldung hängt, bleibt auf dem alten Stand.
Was Sie bemerken
- AD-Benutzerkonto Das AD-Konto bleibt aktiv, das Kennwort gültig.
- Entra-Konto Die Anmeldung bei Microsoft 365 funktioniert weiter – auch von privaten Geräten.
- Microsoft 365 Teams, SharePoint und Postfach bleiben erreichbar, die Lizenz bleibt belegt.
- Gastkonto – läuft weiter Hängt nicht an der Personalmeldung. Gäste brauchen eigene Regeln – siehe Gastkonten.
- Dienstkonto – läuft weiter Gehört keiner Person. Hat die ausgeschiedene Person ein Dienstkonto betreut, fehlt jetzt sein Besitzer – das zeigt erst eine Überprüfung.
- Fachanwendung – läuft weiter Das eigene Konto dort bestand ohnehin unabhängig vom Verzeichnis – und besteht weiter.
Analyse und Wiederherstellung
Vereinfachtes Beispiel auf Grundlage der Karte oben, nach Microsoft Learn (abgerufen am 2. November 2026). 30 Minuten Synchronisierung, rund eine Stunde Tokenlaufzeit (60 bis 90 Minuten) sowie 60 und 93 Tage für OneDrive-Konten ohne Lizenz sind Standardwerte und können abweichen. Keine Live-Daten, keine vollständige Fehlerdiagnose.
Alle Szenarien als Text
Austritt nicht gemeldet – Ursache: Personalmeldung; betroffen laut Beispielmodell: AD-Benutzerkonto, Entra Connect Sync, Entra-Konto, Angemeldete Sitzungen, Dynamische Gruppen, Persönliche Dateien, Lizenzen über Gruppen, Microsoft 365.
- Anmeldungen prüfen – In den Anmeldeprotokollen von Microsoft Entra ID sehen, ob und von wo das Konto nach dem letzten Arbeitstag noch genutzt wurde. Die Protokolle reichen je nach Lizenz nur 7 bzw. 30 Tage zurück.
- Meldeweg klären – Warum kam die Meldung nicht an – fehlende Schnittstelle, Urlaubsvertretung, Austritt per Aufhebungsvertrag? Der Fehler liegt im Ablauf, nicht in der Technik.
- Konto sperren – Im AD deaktivieren und das Kennwort zweimal zurücksetzen – laut Microsoft, um das Pass-the-Hash-Risiko zu verringern, gerade wenn die Replikation verzögert ist. Ist das Konto sicher nicht kompromittiert, genügt laut Microsoft ein einmaliges Zurücksetzen.
- Sitzungen widerrufen – In Microsoft Entra ID die Anmeldung blockieren und „Sitzungen widerrufen“ wählen. Danach erhält die Person keine neuen Token mehr.
- Meldeweg schließen – Austritte fest an das Personalsystem koppeln, etwa über eine HR-gesteuerte Bereitstellung oder einen festen Meldeweg mit Bestätigung.
AD gesperrt, Sync noch nicht gelaufen – Ursache: Entra Connect Sync; betroffen laut Beispielmodell: Entra-Konto, Angemeldete Sitzungen, Dynamische Gruppen, Persönliche Dateien, Lizenzen über Gruppen, Microsoft 365.
- Nächsten Lauf ansehen – Get-ADSyncScheduler zeigt das Intervall und den Zeitpunkt des nächsten Synchronisierungszyklus.
- Kontostatus in der Cloud prüfen – Im Microsoft Entra Admin Center nachsehen, ob „Konto aktiviert“ schon auf Nein steht und ob es nach der Sperre noch Anmeldungen gab.
- Sofort synchronisieren – Mit Start-ADSyncSyncCycle -PolicyType Delta einen Zyklus außerhalb des Zeitplans starten.
- Sitzungen widerrufen – Microsoft empfiehlt für hybride Umgebungen beides: im AD sperren und in Microsoft Entra ID die Anmeldung blockieren und die Sitzungen widerrufen. Anwendungen, die die fortlaufende Zugriffsevaluierung unterstützen, beenden Sitzungen dann nahezu sofort.
Abteilungswechsel ohne Entzug – Ursache: AD-Benutzerkonto; betroffen laut Beispielmodell: Entra Connect Sync, Entra-Konto, Angemeldete Sitzungen, Dynamische Gruppen, Persönliche Dateien, Lizenzen über Gruppen, Microsoft 365.
- Attribut vergleichen – Abteilung im AD mit dem Personalsystem abgleichen. Stimmt sie nicht, ist die Übergabe die Lücke.
- Direkte Rechte suchen – Mitgliedschaften und Freigaben auflisten, die nicht über eine Regel kommen. Sie überdauern jeden Wechsel.
- Attribut nachtragen – Abteilung im AD korrigieren. Nach der Synchronisierung passt die dynamische Gruppe die Mitgliedschaft an.
- Alte Rechte entziehen – Direkte Rechte aus der alten Rolle mit der früheren Führungskraft durchgehen und entfernen; dauerhaft hilft eine regelmäßige Zugriffsüberprüfung.
Austritt nur per Lizenzentzug – Ursache: Lizenzen über Gruppen; betroffen laut Beispielmodell: Microsoft 365, Persönliche Dateien.
- Nicht lizenzierte OneDrive-Konten auflisten – Im SharePoint Admin Center unter „Berichte“ → „OneDrive-Konten“ stehen die Konten ohne Lizenz mit Grund, Datum und Archivstatus (Microsoft Learn).
- Kontostatus prüfen – Ist die Person ausgeschieden, das Konto aber noch aktiv? Dann fehlen Sperre und Löschung im Austrittsablauf.
- Lizenz vorübergehend zurückgeben – Solange die Dateien noch nicht übergeben sind, die Lizenz wieder zuweisen. Ein bereits archiviertes OneDrive wird dadurch laut Microsoft innerhalb von 24 bis 48 Stunden ohne Reaktivierungsgebühr wieder aktiv.
- Austritt vollständig abschließen – Dateien übergeben, Konto sperren, Sitzungen widerrufen und das Konto löschen. Erst mit dem Löschen beginnt die geregelte Bereinigung des OneDrive.
Eine Person durchspielen
Lücken in den Rechten einer Person: was fehlt, wenn ein Prozessschritt fehlt
Hier geht es nicht um die Technik, sondern um Gruppen, Zugriffe und Lizenzen: Eine Person durchläuft Eintritt, Wechsel und Austritt. Schalten Sie einzelne Prozessschritte ab und sehen Sie, wie sich Konto, Gruppen, Zugriffe und Lizenzen von dem entfernen, was laut Personalabteilung richtig wäre. Alle Befunde werden aus dem Modell berechnet.
Ein neuer Mitarbeiter beginnt im Vertrieb.
Die Personalabteilung erfasst den Eintritt. Das Konto wird angelegt, die Gruppen ergeben sich aus Abteilung und Status.
1Personalsystem
- Status
- beschäftigt
- Abteilung
- Vertrieb
2Konto im Verzeichnis
aktiv – Anmeldung möglich
- Status
- beschäftigt
- Abteilung
- Vertrieb
3Gruppen
- Alle MitarbeitendenRegel: Status = beschäftigt
- VertriebRegel: Abteilung = Vertrieb
- BuchhaltungRegel: Abteilung = Buchhaltung
- Projekt MesseZuweisung auf Antrag
4Zugriffe und Lizenzen
- Microsoft-365-LizenzLizenz
- Intranet und E-Mail
- Kundendaten (CRM)
- Finanzbuchhaltung
- Projektordner Messe
Vereinfachtes Lernmodell mit einer Beispielperson und Beispielgruppen – keine Nachbildung von Microsoft Entra ID, keine Live-Daten. Annahmen: Beim Eintritt wird das Konto immer angelegt; die prüfende Führungskraft kennt den tatsächlichen Bedarf. Zeitliche Abläufe wie Synchronisationsintervalle sind nicht abgebildet.
Szenarien und Ergebnisse als Text
Eintritt – Ein neuer Mitarbeiter beginnt im Vertrieb.
- Personalabteilung: Eintritt im Vertrieb
- Ohne geregelten Prozess: entspricht dem Soll.
- Meldung und Sperre geregelt: entspricht dem Soll.
- Vollständig geregelt: entspricht dem Soll.
Der Eintritt fällt auch ohne geregelten Prozess auf – wer kein Konto hat, meldet sich. Die Lücken zeigen sich später.
Abteilungswechsel – Nach einiger Zeit wechselt die Person vom Vertrieb in die Buchhaltung.
- Personalabteilung: Eintritt im Vertrieb
- Personalabteilung: Wechsel in die Buchhaltung
- Ohne geregelten Prozess: Verzeichnis veraltet, Rechte ohne Bedarf, Zugriff fehlt.
- Meldung und Sperre geregelt: Rechte ohne Bedarf.
- Vollständig geregelt: entspricht dem Soll.
Mit „Meldung und Sperre geregelt“ kommt die neue Gruppe dazu, die alte bleibt: genau die Rechteanhäufung beim Wechsel.
Austritt – Die Person verlässt das Unternehmen.
- Personalabteilung: Eintritt im Vertrieb
- Personalabteilung: Austritt
- Ohne geregelten Prozess: Verzeichnis veraltet, Aktives Konto nach Austritt, Lizenz ohne Bedarf gebunden.
- Meldung und Sperre geregelt: Lizenz ohne Bedarf gebunden.
- Vollständig geregelt: entspricht dem Soll.
Ein deaktiviertes Konto sperrt die Anmeldung – die Lizenz hängt aber an der Gruppenmitgliedschaft und bleibt, bis die Gruppe verlassen wird.
Projekt, Wechsel, Austritt – Mehrere Jahre in einem Satz: Eintritt, ein befristetes Projekt, ein Wechsel, eine Zugriffsüberprüfung und schließlich der Austritt.
- Personalabteilung: Eintritt im Vertrieb
- Führungskraft: Zugang zum Messeprojekt
- Personalabteilung: Wechsel in die Buchhaltung
- Führungskraft: Messeprojekt beendet
- Führungskraft: Zugriffsüberprüfung
- Personalabteilung: Austritt
- Ohne geregelten Prozess: Verzeichnis veraltet, Aktives Konto nach Austritt, Lizenz ohne Bedarf gebunden.
- Meldung und Sperre geregelt: Lizenz ohne Bedarf gebunden.
- Vollständig geregelt: entspricht dem Soll.
Auch ein vollständig automatisierter Wechsel erfasst den Projektzugang nicht: Er hängt an keinem Attribut. Erst die Zugriffsüberprüfung räumt ihn auf.
Schnittstellen
Personalabteilung, IT, Führungskräfte, Datenschutz: wer was beiträgt
Identity Lifecycle Management ist keine reine IT-Aufgabe. Fehler entstehen leicht an den Übergaben: Die IT erfährt zu spät vom Austritt, eine Führungskraft weiß nicht, welche Rechte ihr Team hat, oder niemand hat festgelegt, was mit einem Postfach geschieht.
Deshalb klären wir zuerst, wer welchen Auslöser liefert, wer freigibt und wer welche Frist festlegt – und setzen das anschließend technisch um. Das BSI fordert im Baustein ORP.2 „Personal“ ebenfalls eine geregelte Einarbeitung und eine geregelte Verfahrensweise beim Weggang, bei der alle betroffenen Stellen wie die IT informiert werden.
Der Datenschutz ist von Anfang an beteiligt: Mitarbeiterdaten fließen vom Personalsystem in Verzeichnisdienste, Protokolle enthalten personenbezogene Daten. Die rechtliche Bewertung liegt bei Ihrer oder Ihrem Datenschutzbeauftragten; wo ein Betriebsrat besteht, ist er gegebenenfalls zu beteiligen.
Vertiefungen
Die Themen im Einzelnen
Jede Phase hat eigene Fragen und eigene technische Bausteine. Wir begleiten jede Phase – von der Beratung über Einrichtung und Automatisierung bis zum laufenden Betrieb, einzeln oder zusammen beauftragbar. Umfang und Vorgehen legen wir mit Ihnen fest.
IT-Onboarding
Vom HR-Eintrag bis zum arbeitsfähigen Konto am ersten Tag – mit Zeitplan und Lizenz-Einordnung.
Rollenwechsel
Neue Rechte geben, alte Rechte entziehen: wie Rechteanhäufung beim Abteilungswechsel vermieden wird.
IT-Offboarding
Zugriff zuverlässig beenden, Postfach und Dateien geordnet übergeben, Fristen mit Personalabteilung und Datenschutz.
Identity Governance
Zugriffsüberprüfungen, Zugriffspakete mit Ablaufdatum, geringste Rechte und Nachweis.
HR-/IT-Übergaben automatisieren
HR-gesteuerte Bereitstellung, Synchronisierung, dynamische Gruppen, gruppenbasierte Lizenzierung, Workflows und Skripte.
Gastkonten und externe Identitäten
Gäste haben keinen Austrittstermin: Einladung mit Sponsor, Ablaufdatum, Überprüfung und Löschung.
Benutzer und Berechtigungen im Betrieb
Die laufende Pflege von Konten und Gruppen im Rahmen der IT-Systembetreuung.
Zero Trust
Das Sicherheitsmodell dahinter: Jeder Zugriff wird geprüft – Identitäten mit passenden Rechten sind eine seiner Grundlagen.
Directory Sync und Hybrid Identity
Wenn Konten im lokalen Active Directory entstehen: wie sie nach Microsoft Entra ID synchronisiert werden – Connect Sync oder Cloud Sync.
Bezugspunkte
Woran sich ein geregelter Lebenszyklus orientiert
Der BSI-Baustein ORP.4 verlangt unter anderem, dass geregelt ist, wie Benutzerkennungen eingerichtet und gelöscht werden (ORP.4.A1), dass Berechtigungen nur nach tatsächlichem Bedarf vergeben und bei personellen Veränderungen entfernt werden (ORP.4.A2) und dass die Rechtevergabe dokumentiert und regelmäßig überprüft wird (ORP.4.A3).
Die Datenschutz-Grundverordnung nennt in Art. 5 die Grundsätze der Verarbeitung, in Art. 25 den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen und in Art. 32 die Sicherheit der Verarbeitung.
Der US-Katalog NIST SP 800-53 setzt denselben Schwerpunkt: Die Kontenverwaltung soll auf Austritts- und Versetzungsprozesse abgestimmt sein (AC-2 l), die Verantwortlichen werden bei Austritt oder Versetzung benachrichtigt (AC-2 h), und Konten werden regelmäßig überprüft (AC-2 j).
Wir setzen technische Maßnahmen um und dokumentieren sie. Ob sie im Einzelfall rechtlich ausreichen, bewertet Ihr Datenschutz. Wie wir technische Maßnahmen insgesamt einordnen, beschreibt der Bereich Technischer Datenschutz.
Häufige Fragen
Brauchen wir dafür ein eigenes Identity-Management-System?
Nicht unbedingt. Viele Schritte lassen sich mit Active Directory, Microsoft Entra ID und Microsoft 365 abbilden, die Sie bereits nutzen. Wie weit sich automatisieren lässt, hängt von Ihren Lizenzen ab – laut Microsoft brauchen dynamische Gruppen zum Beispiel Microsoft Entra ID P1, Lebenszyklus-Workflows Microsoft Entra ID Governance, die Microsoft Entra Suite oder Microsoft 365 E7.
Mit welchen Werkzeugen arbeiten Sie?
Mit den Bordmitteln von Microsoft – Active Directory, Microsoft Entra ID mit Gruppen und Lizenzen und, wo Ihre Lizenzen es umfassen, Lebenszyklus-Workflows – und mit geprüften, dokumentierten Skripten in Microsoft Graph PowerShell und den Active-Directory-Cmdlets, siehe HR-/IT-Übergaben automatisieren. Welche davon in Ihrer Umgebung passen, stimmen wir anhand Ihrer Lizenzen mit Ihnen ab. Dafür brauchen wir Zugang mit passenden Administratorrollen – so eingeschränkt wie möglich.
Funktioniert das auch ohne Schnittstelle zum Personalsystem?
Ja. Dann ist der Auslöser eine geregelte Meldung der Personalabteilung, etwa über ein Formular; die technischen Schritte bleiben gleich. Eine Anbindung des Personalsystems ist ein möglicher späterer Ausbauschritt.
Was ist mit Konten in Fachanwendungen?
Sie gehören in den Ablauf, auch wenn sie nicht automatisch angebunden sind. Wir halten fest, welche Anwendungen eigene Konten haben und wer sie beim Wechsel oder Austritt anpasst.
Übernehmen Sie die datenschutzrechtliche Bewertung?
Nein. Wir setzen technische Maßnahmen um und dokumentieren sie. Die rechtliche Bewertung – etwa von Aufbewahrungsfristen oder Zugriffen auf Postfächer – liegt bei Ihrer oder Ihrem Datenschutzbeauftragten bzw. Ihrer Rechtsberatung.
Was ist mit Gastkonten?
Gäste kommen per Einladung ins Verzeichnis, nicht über das Personalsystem – ein Austritt erreicht sie deshalb nie. Ihr Ende muss eigens geregelt sein: über Sponsoren, Zugriffspakete mit Ablaufdatum oder Überprüfungen nur für Gäste. Mehr dazu unter Gastkonten mit Anfang und Ende.
Und Dienstkonten für Skripte und Anwendungen?
Sie gehören keiner Person und haben keinen Austrittstermin. Microsoft empfiehlt, für jedes Dienstkonto Besitzer, Zweck, Berechtigungen und erwartete Lebensdauer zu dokumentieren, es regelmäßig durch den Besitzer überprüfen zu lassen und es vor dem Löschen zunächst zu deaktivieren. Wo möglich, ersetzen verwaltete Identitäten oder Dienstprinzipale ein Benutzerkonto, das als Dienstkonto dient. Wichtig für den Austritt: Betreut die ausscheidende Person ein Dienstkonto, braucht es einen neuen Besitzer.
Ihren Lebenszyklus-Ablauf besprechen
Erzählen Sie uns, wie Eintritte, Wechsel und Austritte bei Ihnen heute ablaufen – wir zeigen, was sich ordnen und automatisieren lässt, richten es ein und betreuen es auf Wunsch im laufenden Betrieb. Telefon 07131-618726-0.
Kontakt aufnehmenAnrufenBenutzer und Berechtigungen im Betrieb