Identity Lifecycle · Joiner
IT-Onboarding: am ersten Tag arbeitsfähig
Der Laptop ist da, aber das Konto fehlt? Das Konto ist da, aber nicht die Rechte auf die Teamablage? Gutes Onboarding beginnt vor dem ersten Arbeitstag – mit einem Ablauf, der Personalabteilung, IT und Führungskraft verbindet und in Active Directory und Microsoft Entra ID technisch abgebildet ist.
Zeitplan
Vor, am und nach dem ersten Arbeitstag
Ein bewährter Zeitplan. Die Tage sind Beispiele – Microsoft verwendet in seinen Vorlagen für Lebenszyklus-Workflows ähnliche Standardwerte, die sich anpassen lassen.
Sobald der Vertrag unterschrieben ist
Die Personalabteilung meldet den Eintritt mit Startdatum, Abteilung und Führungskraft. Die Führungskraft nennt Zugänge, die über den Standard der Rolle hinausgehen.
Mehr als eine Woche vorher
Das Konto wird angelegt, aber noch nicht aktiviert. Abteilung, Position, Führungskraft und Eintrittsdatum werden gesetzt; Gruppen und Lizenzen sind vorbereitet. Das Konto muss stehen, bevor der Zugriffspass für die erste Anmeldung verschickt wird.
Sieben Tage vorher
Die Zugangsdaten für die erste Anmeldung gehen sicher an die Führungskraft. Microsoft sieht dafür in der Vorlage „Onboarding vor der Einstellung“ einen befristeten Zugriffspass vor, der sieben Tage vor dem Eintrittsdatum per E-Mail an die Führungskraft geht.
Erster Arbeitstag
Konto aktivieren, Willkommensnachricht senden, mehrstufige Anmeldung einrichten – die Microsoft-Vorlage „Onboarding neuer Mitarbeiter“ aktiviert das Konto am Eintrittstag. Die Standardrechte der Rolle stehen bereit.
Erste Woche
Weitere Teams und Gruppen nach Bedarf ergänzen, offene Punkte der Checkliste schließen, den Abschluss dokumentieren.
Varianten
Drei Ausbaustufen und ein Sonderfall
Welche Schritte von Hand passieren und welche automatisch, hängt von Ihren Lizenzen ab – und davon, wie früh die Personalabteilung meldet. Wählen Sie eine Variante: Gemeinsame Schritte bleiben stehen, was sich ändert, wird sichtbar.
Ein klarer Ablauf mit Checkliste und Gruppenmodell. Jeder Schritt ist Handarbeit – deshalb zählen Termine und Zuständigkeiten.
- Eintritt melden: Startdatum, Abteilung, Position, FührungskraftSobald der Vertrag unterschrieben ist – das BSI empfiehlt für die Einarbeitung eine Checkliste (ORP.2).
- Konto und Attribute entstehen aus dem Personalsystem
- Zugänge über den Rollenstandard hinaus begründen und freigeben
- Konto anlegen, noch deaktiviert; Attribute und Nutzungsstandort setzenOhne Nutzungsstandort lässt sich keine Lizenz zuweisen; bei Gruppenlizenzen gilt sonst der Standort des Mandanten.
- Gruppen und Lizenzen nach Checkliste zuweisenWechsel und Austritt brauchen später dieselbe Sorgfalt beim Entfernen.
- Gruppen per Regel, Lizenzen über die Gruppe
- Gerät vorbereiten und zuordnen
- Befristeten Zugriffspass erzeugen und an die Führungskraft senden
- Befristeten Zugriffspass von Hand ausstellen, Gültigkeit ab dem ersten TagBefristeter Zugriffspass, von Hand ausgestellt – Einzelheiten im Abschnitt zum Zugriffspass unten.
- Pass auf dem vereinbarten Weg an die Führungskraft – nicht per gewöhnlicher E-Mail
- Am ersten Tag: Konto aktivieren
- Am ersten Tag: Konto aktivieren, Gruppen ergänzen, Willkommens-E-Mail
- Erste Anmeldung mit dem Pass, Authenticator oder Passkey registrieren
- Nach einer Woche: weitere Gruppen und Teams
- Erste Woche: Zugänge nach Bedarf ergänzen, Checkliste schließen
- Dokumentieren: was, wann, auf wessen Freigabe
Funktioniert zuverlässig, solange die Checkliste gepflegt und eingehalten wird.
Alle Szenarien als Text
Ohne Zusatzlizenz – Ein klarer Ablauf mit Checkliste und Gruppenmodell. Jeder Schritt ist Handarbeit – deshalb zählen Termine und Zuständigkeiten.
- Eintritt melden: Startdatum, Abteilung, Position, Führungskraft: Sobald der Vertrag unterschrieben ist – das BSI empfiehlt für die Einarbeitung eine Checkliste (ORP.2).
- Zugänge über den Rollenstandard hinaus begründen und freigeben
- Konto anlegen, noch deaktiviert; Attribute und Nutzungsstandort setzen: Ohne Nutzungsstandort lässt sich keine Lizenz zuweisen; bei Gruppenlizenzen gilt sonst der Standort des Mandanten.
- Gruppen und Lizenzen nach Checkliste zuweisen: Wechsel und Austritt brauchen später dieselbe Sorgfalt beim Entfernen.
- Gerät vorbereiten und zuordnen
- Befristeten Zugriffspass von Hand ausstellen, Gültigkeit ab dem ersten Tag: Befristeter Zugriffspass, von Hand ausgestellt – Einzelheiten im Abschnitt zum Zugriffspass unten.
- Pass auf dem vereinbarten Weg an die Führungskraft – nicht per gewöhnlicher E-Mail
- Am ersten Tag: Konto aktivieren
- Erste Anmeldung mit dem Pass, Authenticator oder Passkey registrieren
- Erste Woche: Zugänge nach Bedarf ergänzen, Checkliste schließen
- Dokumentieren: was, wann, auf wessen Freigabe
Funktioniert zuverlässig, solange die Checkliste gepflegt und eingehalten wird.
Mit Microsoft Entra ID P1 – Das Personalsystem liefert Konto und Attribute, dynamische Gruppen und Gruppenlizenzen leiten daraus die Standardrechte ab. Ausnahmen bleiben Handarbeit.
- Eintritt melden: Startdatum, Abteilung, Position, Führungskraft: Im Personalsystem – die Meldung ist jetzt der Datensatz.
- Konto und Attribute entstehen aus dem Personalsystem: HR-gesteuerte Bereitstellung (Workday, SAP SuccessFactors) oder API-basiert, etwa aus einem CSV-Export.
- Zugänge über den Rollenstandard hinaus begründen und freigeben
- Gruppen per Regel, Lizenzen über die Gruppe
- Gerät vorbereiten und zuordnen
- Befristeten Zugriffspass von Hand ausstellen, Gültigkeit ab dem ersten Tag: Befristeter Zugriffspass, von Hand ausgestellt.
- Pass auf dem vereinbarten Weg an die Führungskraft – nicht per gewöhnlicher E-Mail
- Am ersten Tag: Konto aktivieren: Von Hand oder per Skript.
- Erste Anmeldung mit dem Pass, Authenticator oder Passkey registrieren
- Erste Woche: Zugänge nach Bedarf ergänzen, Checkliste schließen
- Dokumentieren: was, wann, auf wessen Freigabe
Standardrechte stimmen automatisch mit der Abteilung überein – auch später beim Wechsel.
Mit Lebenszyklus-Workflows – Zusätzlich übernehmen Workflows die Termine rund um das Eintrittsdatum. Die Tage entsprechen den Standardwerten der Microsoft-Vorlagen und lassen sich anpassen.
- Eintritt melden: Startdatum, Abteilung, Position, Führungskraft
- Konto und Attribute entstehen aus dem Personalsystem
- Zugänge über den Rollenstandard hinaus begründen und freigeben
- Gruppen per Regel, Lizenzen über die Gruppe
- Gerät vorbereiten und zuordnen
- Befristeten Zugriffspass erzeugen und an die Führungskraft senden: Vorlage „Onboarding vor der Einstellung“: sieben Tage vor dem Eintrittsdatum. Der Pass gilt ab dem Eintrittsdatum.
- Am ersten Tag: Konto aktivieren, Gruppen ergänzen, Willkommens-E-Mail: Vorlage „Onboarding für neu eingestellte Mitarbeiter“: am Eintrittsdatum.
- Erste Anmeldung mit dem Pass, Authenticator oder Passkey registrieren
- Nach einer Woche: weitere Gruppen und Teams: Vorlage „Nach dem Onboarding“: sieben Tage nach dem Eintritt.
- Dokumentieren: was, wann, auf wessen Freigabe: Der Workflow-Verlauf zeigt je Person, was wann gelaufen ist.
Termine laufen von selbst – vorausgesetzt, das Eintrittsdatum steht rechtzeitig im Konto.
Kurzfristiger Eintritt – Wie zuvor mit Workflows – aber der Eintritt wird erst drei Tage vor dem Start erfasst. Der Vorab-Workflow wäre vier Tage vorher fällig gewesen; bei der zeitbasierten Standardauslösung holt Microsoft eine verpasste Ausführung nur innerhalb von drei Tagen nach.
- Eintritt melden: Startdatum, Abteilung, Position, Führungskraft: Drei Tage vor dem Start.
- Konto und Attribute entstehen aus dem Personalsystem
- Zugänge über den Rollenstandard hinaus begründen und freigeben: Jetzt mit Frist: Was fehlt, fehlt am ersten Tag.
- Gruppen per Regel, Lizenzen über die Gruppe
- Gerät vorbereiten und zuordnen: Der Engpass bei kurzfristigen Eintritten.
- Befristeten Zugriffspass von Hand ausstellen, Gültigkeit ab dem ersten Tag: Statt des automatischen Passes: von Hand ausstellen oder den Workflow bedarfsgesteuert für diese Person ausführen.
- Pass auf dem vereinbarten Weg an die Führungskraft – nicht per gewöhnlicher E-Mail
- Am ersten Tag: Konto aktivieren, Gruppen ergänzen, Willkommens-E-Mail: Läuft wieder planmäßig, weil das Datum jetzt im Konto steht.
- Erste Anmeldung mit dem Pass, Authenticator oder Passkey registrieren
- Nach einer Woche: weitere Gruppen und Teams
- Dokumentieren: was, wann, auf wessen Freigabe: Festhalten, welcher Schritt von Hand nachgeholt wurde.
Automatik hilft, ersetzt aber keinen Plan für Ausnahmen. Ein Schritt muss bewusst von Hand erfolgen.
Erstzugang
Der befristete Zugriffspass: erste Anmeldung ohne Kennwortbrief
Mit einem befristeten Zugriffspass (Temporary Access Pass) meldet sich eine neue Person zum ersten Mal an und richtet dabei ihre eigentliche Anmeldemethode ein. Lebenszyklus-Workflows erzeugen ihn automatisch – den Pass selbst gibt es aber auch ohne sie. So funktioniert er nach Microsoft Learn, abgerufen am 2. November 2026.
Ein Code mit Ablaufzeit
Der Pass ist ein zeitlich begrenzter Code, einmal oder mehrfach nutzbar. Damit registriert die Person zum Beispiel Microsoft Authenticator oder einen Passkey, ohne vorher eine andere Methode zu brauchen. Ein Kennwort ersetzt er nicht. Pro Person gibt es höchstens einen gültigen Pass; ein neuer ersetzt den alten.
Von Hand ausstellen
Zuerst muss der Pass in der Richtlinie für Authentifizierungsmethoden eingeschaltet und die Person einbezogen sein (Rolle Authentifizierungsrichtlinienadministrator). Ausstellen kann ihn dann eine Person mit der Rolle Authentifizierungsadministrator: im Microsoft Entra Admin Center beim Benutzer unter „Authentifizierungsmethoden“. Eine Startzeit lässt sich festlegen, etwa der erste Arbeitstag. Den Code zeigt das Admin Center nur einmal an.
Wie lange er gilt
Ohne Anpassung gilt ein Pass eine Stunde; die Richtlinie erlaubt standardmäßig höchstens acht Stunden und lässt sich auf 10 Minuten bis 30 Tage einstellen. Einmalnutzung ist standardmäßig aus. Wer einen Einmal-Pass nutzt, muss die neue Methode innerhalb von 10 Minuten nach der Anmeldung registriert haben. Ein abgelaufener Pass funktioniert nicht mehr.
Automatisch mit Lebenszyklus-Workflows
Die Workflow-Aufgabe erzeugt den Pass und schickt ihn an die Führungskraft. Startzeit ist das Eintrittsdatum im Konto, die Gültigkeit stellt man in der Aufgabe ein – sie muss den ersten Tag abdecken. Voraussetzungen: eingetragene Führungskraft mit E-Mail-Adresse, eingeschaltete Richtlinie, und das neue Konto darf noch keine anderen Anmeldemethoden, Anmeldungen oder Rollen haben (Microsoft Learn).
Wo er nicht greift
Gästen aus anderen Organisationen (externe B2B-Gäste) lässt sich kein Pass ausstellen, internen Gastkonten mit Anmeldemethoden im eigenen Verzeichnis schon. Mit der NPS-Erweiterung und dem AD-FS-Adapter funktioniert er nicht. Sitzungen, die mit dem Pass begonnen wurden, können je nach Richtlinien für bedingten Zugriff länger dauern als der Pass selbst; eine Anmeldehäufigkeit begrenzt das.
Erster Tag
Das Windows-Gerät für den ersten Tag
Neue Windows-Geräte lassen sich direkt mit dem Konto in Microsoft Entra ID verbinden. Die Angaben folgen Microsoft Learn, abgerufen am 2. November 2026.
In Microsoft Entra ID einbinden
Ein Gerät, das in Microsoft Entra eingebunden ist (Microsoft Entra Join), gehört der Organisation; angemeldet wird mit dem Organisationskonto. Möglich ist das bei Windows 10 und 11, nicht bei Home-Editionen – im Windows-Setup selbst, als Massenregistrierung oder mit Windows Autopilot (Microsoft Learn).
Mit Windows Autopilot vorbereiten
Autopilot überführt die vorinstallierte Windows-Installation in einen betriebsbereiten Zustand: Das Gerät tritt automatisch Microsoft Entra ID bei, wird in der Geräteverwaltung wie Microsoft Intune registriert und bekommt Einstellungen und Apps. Die Person verbindet das Gerät nur mit einem Netzwerk und meldet sich an. Für die automatische Registrierung in der Geräteverwaltung nennt Microsoft ein Abonnement Microsoft Entra ID P1 oder P2 (Microsoft Learn).
Mit dem Zugriffspass einrichten
Beim Einbinden in Microsoft Entra ID kann sich die Person im Setup mit dem befristeten Zugriffspass anmelden – ohne Kennwort – und dabei Windows Hello for Business einrichten. Bei Einmal-Pässen braucht es einen zweiten Pass, wenn bis zu Windows Hello mehr als 10 Minuten vergehen; ein mehrfach nutzbarer Pass reicht für beides. Bei hybrid eingebundenen Geräten meldet sich die Person zuerst anders an, etwa mit Kennwort (Microsoft Learn).
Automatisierung
Was sich beim Onboarding automatisieren lässt
Ein großer Teil des Onboardings ist Routine und lässt sich mit Bordmitteln von Microsoft automatisieren. Welche Bausteine in Frage kommen, hängt davon ab, welche Lizenzen Ihr Mandant enthält:
- Dynamische Gruppen: Mitgliedschaft per Regel, etwa
user.department -eq "Sales". Wer die Regel erfüllt, wird automatisch Mitglied. Laut Microsoft ist dafür Microsoft Entra ID P1 für jedes Mitglied nötig. - Gruppenbasierte Lizenzierung: Die Lizenz hängt an der Gruppe statt an der Person. Einrichtung im Microsoft 365 Admin Center oder per Microsoft Graph PowerShell.
- HR-gesteuerte Bereitstellung: Konten entstehen aus dem Personalsystem in Active Directory oder Microsoft Entra ID – ab Microsoft Entra ID P1.
- Lebenszyklus-Workflows: zeitgesteuerte Aufgaben rund um das Eintrittsdatum, etwa Konto aktivieren, Gruppen und Teams zuweisen, Willkommens-E-Mail senden – mit Microsoft Entra ID Governance, der Microsoft Entra Suite oder Microsoft 365 E7.
Lizenzangaben nach Microsoft Learn, abgerufen am 2. November 2026 – maßgeblich ist Ihr Vertrag. Die Übersicht aller Bausteine mit Lizenzen steht unter HR-/IT-Übergaben automatisieren.
Grundsatz
Standardrechte kommen aus der Rolle, Sonderrechte aus einer Freigabe.
Der BSI-Baustein ORP.4 fordert, dass Berechtigungen, die über den Standard hinausgehen, nur nach zusätzlicher Begründung und Prüfung vergeben werden (ORP.4.A2). Ein klares Rollen- und Gruppenmodell macht das im Alltag einfach: Die Führungskraft entscheidet nur noch über Ausnahmen.
Leistung
Was wir beim Onboarding übernehmen
Auf Anfrage, einzeln oder zusammen beauftragbar – vom einmaligen Aufsetzen des Ablaufs über die Automatisierung bis zum laufenden Betrieb. Umfang und Vorgehen legen wir mit Ihnen fest.
Ablauf und Checkliste
Wer meldet was bis wann? Der BSI-Baustein ORP.2 empfiehlt für die Einarbeitung eine Checkliste und einen festen Ansprechpartner.
Rollen- und Gruppenmodell
Standardrechte je Abteilung und Funktion festlegen – als Grundlage für automatische Zuweisungen. Gemeint sind Gruppen und Rechte im Verzeichnis – die Struktur von SharePoint-Websites und Teams ist ein eigenes Thema.
Konten und Attribute
Einheitliche Pflege von Abteilung, Position, Führungskraft, Eintrittsdatum und Nutzungsstandort.
Lizenzen über Gruppen
Microsoft-365-Lizenzen an Gruppen statt an Personen hängen – nachvollziehbar und leicht zu ändern.
Automatisierung einrichten
Dynamische Gruppen, Lebenszyklus-Workflows oder Skripte – passend zu Ihren Lizenzen. Gemeint ist die Automatisierung von Konten, Gruppen und Lizenzen – nicht die von Geschäftsprozessen.
Geräte bereitstellen
Geräte für den ersten Tag vorbereiten und in Ihre Geräteverwaltung aufnehmen – abgestimmt auf Konto und Eintrittsdatum. Wie das bei Windows abläuft: Das Gerät für den ersten Tag.
Dokumentation
Was eingerichtet wurde und auf wessen Freigabe – für Ihr Team, Ihre Prüfer und Ihren Datenschutz.
Häufige Fragen zum Onboarding
Was passiert, wenn sich das Eintrittsdatum verschiebt?
Dann muss der Ablauf mitwandern. Bei zeitgesteuerten Workflows kommt es darauf an, dass das Datum im Konto aktuell ist: Microsoft weist darauf hin, dass die maßgeblichen Attribute vor der geplanten Ausführung gesetzt sein müssen.
Wie erhalten neue Mitarbeitende ihre ersten Zugangsdaten sicher?
Mit einem befristeten Zugriffspass – per Workflow erzeugt oder von Hand ausgestellt, Einzelheiten unter Der befristete Zugriffspass. Wie er übergeben wird, legen Sie fest; Zugangsdaten gehören nicht in eine gewöhnliche E-Mail an die private Adresse.
Warum braucht ein Konto einen Nutzungsstandort?
Microsoft verlangt ihn, bevor eine Lizenz zugewiesen werden kann, weil nicht alle Dienste überall verfügbar sind. Bei gruppenbasierter Lizenzierung übernimmt ein Konto ohne Angabe den Standort des Mandanten. Der Punkt gehört deshalb auf die Checkliste.
Können wir klein anfangen?
Ja. Ein klarer Ablauf mit Checkliste und Gruppenmodell bringt schon ohne Zusatzlizenz viel. Automatisierung kommt Schritt für Schritt dazu – siehe HR-/IT-Übergaben automatisieren.
Onboarding-Ablauf besprechen
Wie viele Eintritte haben Sie im Jahr, und wo hakt es heute? Wir sehen uns Ihren Ablauf an, schlagen die nächsten Schritte vor und setzen sie mit Ihnen um – bis zum Gerät am ersten Tag. Telefon 07131-618726-0.