Identity Lifecycle · Mover
Rollenwechsel: neue Rechte geben, alte Rechte nehmen
Wer in eine andere Abteilung wechselt, bekommt neue Gruppen, neue Teams, neue Ablagen. Was dabei fehlen kann, ist das Gegenstück: der Entzug von Rechten, die niemand mehr braucht. So wachsen Berechtigungen über die Jahre still an – wir sorgen dafür, dass der Wechsel in beide Richtungen funktioniert.
Das Problem
Wer dreimal die Abteilung wechselt, sollte nicht die Rechte von drei Abteilungen haben.
Hintergrund
Rechteanhäufung ist ein bekanntes Risiko
Das BSI beschreibt im IT-Grundschutz-Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“, dass Mitarbeitende nach einer Versetzung ihre alten Berechtigungen oft behalten und dadurch mit der Zeit umfangreiche Gesamtberechtigungen ansammeln.
Die Gegenmaßnahme ist eine Basis-Anforderung: Bei personellen Veränderungen müssen die nicht mehr benötigten Benutzerkennungen und Berechtigungen entfernt werden (ORP.4.A2). Zugriffe richten sich nach dem tatsächlichen Bedarf – Prinzip der geringsten Berechtigungen und Erforderlichkeitsprinzip.
In der Praxis scheitert das selten am Willen, sondern am Ablauf: Niemand meldet den Wechsel an die IT, oder es ist unklar, welche Rechte zur alten Rolle gehörten.
Simulation
Wie Rechte beim Wechsel wachsen – und wie nicht
Eine Person wechselt einmal oder mehrfach die Abteilung. Vergleichen Sie Handpflege ohne Entzug, Handpflege mit Entzug und Gruppen mit Regeln. Alle Befunde werden aus dem Modell berechnet.
Vom Vertrieb in die Buchhaltung.
1Personalsystem
- Status
- beschäftigt
- Abteilung
- Vertrieb
2Konto im Verzeichnis
aktiv – Anmeldung möglich
- Status
- beschäftigt
- Abteilung
- Vertrieb
3Gruppen
- Alle MitarbeitendenRegel: Status = beschäftigt
- VertriebRegel: Abteilung = Vertrieb
- BuchhaltungRegel: Abteilung = Buchhaltung
- EinkaufRegel: Abteilung = Einkauf
- Angebote freigebenSonderrecht auf Antrag
4Zugriffe und Lizenzen
- Microsoft-365-LizenzLizenz
- Kundendaten (CRM)
- Finanzbuchhaltung
- Lieferantenverträge
- Angebotsfreigabe
Vereinfachtes Lernmodell mit einer Beispielperson und Beispielgruppen – keine Nachbildung von Microsoft Entra ID, keine Live-Daten. Annahmen: Beim Eintritt wird das Konto immer angelegt; die prüfende Führungskraft kennt den tatsächlichen Bedarf. Zeitliche Abläufe wie Synchronisationsintervalle sind nicht abgebildet.
Szenarien und Ergebnisse als Text
Ein Wechsel – Vom Vertrieb in die Buchhaltung.
- Personalabteilung: Eintritt im Vertrieb
- Personalabteilung: Wechsel in die Buchhaltung
- Handpflege ohne Entzug: Rechte ohne Bedarf.
- Handpflege mit Entzug: entspricht dem Soll.
- Gruppen mit Regeln: entspricht dem Soll.
- Regeln und Überprüfung: entspricht dem Soll.
Handpflege funktioniert – wenn der Entzug ein fester Schritt ist. Gruppen mit Regeln erledigen beides automatisch.
Zwei Wechsel – Vertrieb, dann Buchhaltung, dann Einkauf: so sieht Rechteanhäufung nach einigen Jahren aus.
- Personalabteilung: Eintritt im Vertrieb
- Personalabteilung: Wechsel in die Buchhaltung
- Personalabteilung: Wechsel in den Einkauf
- Handpflege ohne Entzug: Rechte ohne Bedarf.
- Handpflege mit Entzug: entspricht dem Soll.
- Gruppen mit Regeln: entspricht dem Soll.
- Regeln und Überprüfung: entspricht dem Soll.
Ohne Entzug trägt die Person die Rechte aller drei Abteilungen. Niemand hat das entschieden – es ist einfach passiert.
Wechsel mit Sonderrecht – Im Vertrieb erhält die Person auf Antrag das Recht, Angebote freizugeben. Dann wechselt sie in die Buchhaltung.
- Personalabteilung: Eintritt im Vertrieb
- Führungskraft: Sonderrecht „Angebote freigeben“
- Personalabteilung: Wechsel in die Buchhaltung
- Führungskraft: Bedarf für die Freigabe endet
- Führungskraft: Zugriffsüberprüfung
- Handpflege ohne Entzug: Rechte ohne Bedarf.
- Handpflege mit Entzug: Rechte ohne Bedarf.
- Gruppen mit Regeln: Rechte ohne Bedarf.
- Regeln und Überprüfung: entspricht dem Soll.
Weder Entzug noch Regelgruppen erfassen ein Sonderrecht auf Antrag. Dafür braucht es eine Überprüfung – oder ein Zugriffspaket mit Ablaufdatum.
Ablauf
So läuft ein Rollenwechsel geregelt ab
Wechsel melden
Die Personalabteilung meldet neue Abteilung, Position, Führungskraft und Stichtag.
Attribute ändern
Abteilung, Position und Führungskraft werden im Konto aktualisiert – an der führenden Stelle, bei synchronisierten Konten im Active Directory.
Neue Rechte zuerst
Gruppen, Teams und Lizenzen der neuen Rolle werden hinzugefügt, bevor alte entfernt werden.
Übergangszeit
Rechte der alten Rolle bleiben befristet bestehen, damit Aufgaben übergeben werden können.
Altrechte entziehen
Nach Ablauf der Frist werden alte Gruppen und Sonderrechte entfernt; die bisherige Führungskraft bestätigt.
Dokumentieren
Wechsel, Freigaben und entfernte Rechte werden festgehalten.
Technik
Attribute als Auslöser: wie der Wechsel technisch funktioniert
Dynamische Gruppen reagieren auf geänderte Attribute: Laut Microsoft Learn werden Benutzer automatisch hinzugefügt, wenn sie eine Gruppenregel erfüllen, und entfernt, wenn sie sie nicht mehr erfüllen. Ändert sich die Abteilung, ändern sich die Gruppen mit. Microsoft weist ausdrücklich darauf hin, vorher zu prüfen, wer die verwendeten Attribute ändern darf – auch im lokalen Active Directory.
Lebenszyklus-Workflows bringen eigene Vorlagen für den Wechsel mit. Die Vorlage „Änderung des Stellenprofils“ startet bei einer Attributänderung, benachrichtigt die Führungskraft, entfernt die Person aus ausgewählten Gruppen und Teams und plant das Entfernen von Zugriffspaketen – standardmäßig nach 15 Tagen (Vorlagen bei Microsoft Learn).
Lizenzgruppen brauchen die richtige Reihenfolge: Microsoft empfiehlt, die Person zuerst der neuen lizenzierten Gruppe hinzuzufügen, die Lizenz zu prüfen und erst dann aus der alten Gruppe zu entfernen. Sonst kann der Zugriff auf Dienste kurzzeitig wegfallen.
Welche Lizenz welchen Baustein freischaltet, fasst HR-/IT-Übergaben automatisieren zusammen.
Prüfliste
Was Gruppenregeln beim Wechsel nicht erfassen
Dynamische Gruppen und Lebenszyklus-Workflows ändern Mitgliedschaften. Manche Rechte hängen aber an keiner Mitgliedschaft, die eine Regel steuert. Sie bleiben beim Wechsel bestehen, bis jemand sie bewusst entfernt. Diese fünf Stellen gehören deshalb auf die Prüfliste jedes Wechsels.
Besitz von Teams und Gruppen
Auch bei Teams mit dynamischer Mitgliedschaft legen Regeln nur fest, wer Mitglied ist – nicht, wer Besitzer ist. Die Besitzerrolle im Team der alten Abteilung ändert sich durch den Wechsel also nicht; sie muss übergeben werden. Bis Teams eine geänderte Mitgliedschaft zeigt, können laut Microsoft bis zu zwei Stunden vergehen (Microsoft Learn).
Administratorrollen
Gruppen, über die Rollen in Microsoft Entra ID vergeben werden, können keine dynamischen Gruppen sein: Ihre Mitglieder werden immer direkt zugewiesen, verschachtelte Gruppen sind nicht möglich. Microsoft begründet das damit, dass automatisch befüllte Gruppen ungewollt Konten in eine Rolle bringen könnten (Microsoft Learn). Eine Administratorrolle aus der alten Funktion endet beim Wechsel deshalb nie von selbst. Mit Privileged Identity Management lassen sich Rollen stattdessen so vergeben, dass sie nur befristet aktiviert werden (Microsoft Entra ID P2).
Rechte auf freigegebene Postfächer
Vollzugriff und „Senden als“ auf ein freigegebenes Postfach werden in Exchange erteilt. Soll das Postfach in Outlook automatisch erscheinen, muss die Berechtigung laut Microsoft direkt der Person erteilt werden – über eine Sicherheitsgruppe funktioniert das nicht (Microsoft Learn). Solche direkt erteilten Rechte ändert keine Gruppenregel: Der Zugriff auf das Postfach der alten Abteilung bleibt, bis er entfernt wird.
Fachanwendungen
Ist eine Anwendung über die automatische Bereitstellung von Microsoft Entra angebunden, deaktiviert der Dienst das Konto in der Anwendung, sobald die Person nicht mehr im Bereich ist – etwa weil sie die zugewiesene Gruppe verlässt. Mitglieder verschachtelter Gruppen liest der Dienst dabei nicht (Microsoft Learn). Anwendungen ohne diese Anbindung führen eigene Konten und Rollen; dort muss der Wechsel von Hand nachgezogen werden.
Freigaben und direkt vergebene Rechte
Ein Link für bestimmte Personen gilt für die Personen, die beim Teilen genannt wurden (Microsoft Learn) – unabhängig davon, in welcher Abteilung sie heute arbeiten. Dasselbe gilt für Rechte, die direkt auf Ordner oder Websites vergeben wurden. Sie finden sich nur über eine Bestandsaufnahme oder regelmäßige Zugriffsüberprüfungen; wie Freigaben in SharePoint zusammenwirken, zeigt SharePoint Online.
Leistung
Was wir beim Rollenwechsel übernehmen
Welche Bausteine sinnvoll sind, hängt von Ihrer Umgebung und Ihren Lizenzen ab. Die Bausteine beauftragen Sie auf Anfrage einzeln oder zusammen; Umfang und Vorgehen legen wir mit Ihnen fest.
Rollen- und Gruppenmodell
Festlegen, welche Rechte zu welcher Rolle gehören – sonst weiß beim Wechsel niemand, was entfernt werden darf. Grundlage ist ein Berechtigungs- und Zugriffskonzept. Gemeint sind Gruppen und Rechte im Verzeichnis – die Struktur von SharePoint-Websites und Teams ist ein eigenes Thema – ENTDECKE/atlas spielt einen Abteilungswechsel an einem Beispiel durch.
Wechselablauf mit Übergangsfrist
Meldung, Freigaben und Fristen so regeln, dass Übergaben möglich sind und Altrechte trotzdem enden.
Gewachsene Rechte aufräumen
Direkt vergebene Rechte und verwaiste Mitgliedschaften finden und mit den Verantwortlichen klären. Auf Wunsch als eigenes Bereinigungsprojekt.
Wechsel automatisieren
Dynamische Gruppen, Lebenszyklus-Workflows oder Skripte einrichten, die auf Attributänderungen reagieren. Gemeint ist die Automatisierung von Konten, Gruppen und Lizenzen – nicht die von Geschäftsprozessen.
Bestätigung durch Führungskräfte
Alte und neue Führungskraft bestätigen den Wechsel – regelmäßig auch über Zugriffsüberprüfungen, die wir einrichten und deren Prüfrunden wir begleiten.
Häufige Fragen zum Rollenwechsel
Warum nicht sofort alle alten Rechte entfernen?
Weil Aufgaben übergeben werden müssen. Deshalb ist eine befristete Übergangszeit sinnvoll – entscheidend ist, dass sie endet. Microsoft sieht in seinen Mover-Vorlagen für Zugriffspakete standardmäßig 15 Tage vor; die passende Frist legen Sie fest.
Was passiert mit Rechten, die direkt an eine Person vergeben wurden?
Automatische Regeln greifen nur bei Gruppen. Direkt vergebene Rechte, etwa auf einzelne Ordner oder Websites, müssen gefunden und geprüft werden. Dafür eignen sich regelmäßige Zugriffsüberprüfungen oder eine einmalige Bestandsaufnahme.
Und bei befristeten Projekten?
Projektzugriffe lassen sich als Zugriffspaket mit Ablaufdatum vergeben: Nach Ende der Laufzeit läuft der Zugriff aus, wenn ihn niemand verlängert. Das setzt laut Microsoft mindestens Microsoft Entra ID P2 voraus, einige Funktionen Microsoft Entra ID Governance.
Wir haben keine Governance-Lizenz. Geht das trotzdem?
Ja. Mit einem klaren Gruppenmodell, dynamischen Gruppen (Microsoft Entra ID P1) oder Skripten und einer festen Rückmeldung der Führungskraft lässt sich der Wechsel gut regeln.
Rollenwechsel sauber regeln
Sie vermuten gewachsene Rechte in Ihrer Umgebung? Wir klären mit Ihnen, wie Wechsel künftig ablaufen und was heute aufgeräumt werden sollte. Telefon 07131-618726-0.