Jedes Unternehmen kennt das Problem: Ein neuer Mitarbeiter startet, wartet aber tagelang auf seine Zugriffsrechte. Ein anderer wechselt intern die Abteilung \u2013 doch seine alten Berechtigungen bleiben still und unbemerkt bestehen. Und wenn jemand das Unternehmen verl\u00e4sst, dauert es oft zu lange, bis alle Konten wirklich deaktiviert sind. Diese scheinbar kleinen Vers\u00e4umnisse im Joiner-Mover-Leaver-Prozess (JML) sind l\u00e4ngst zu einem ernsthaften Sicherheitsrisiko geworden. Automatisiertes JML-Management ist daher nicht nur eine Frage der Effizienz, sondern der fundamentalen Sicherheit und Compliance.<\/p>\n
Laut dem Verizon Data Breach Investigations Report 2022 stehen hinter 82 Prozent aller Datenschutzverletzungen menschliche Handlungen. Dabei geht es nicht nur um Phishing oder schwache Passw\u00f6rter \u2013 ein erheblicher Anteil ist auf fehlerhafte oder verz\u00f6gerte Verwaltung von Benutzerkonten und Zugriffsrechten zur\u00fcckzuf\u00fchren. In Unternehmen mit mehr als 200 Mitarbeitern dauert das manuelle Onboarding eines neuen Mitarbeiters im Schnitt sechs Stunden \u2013 das Offboarding sogar sieben Stunden. Gleichzeitig zeigen Studien, dass mindestens jeder dritte ehemalige Mitarbeiter nach seinem Austritt noch immer Zugang zu Unternehmenssystemen oder -daten besitzt. Die Folge: Zombie-Konten, die von Angreifern gezielt ausgenutzt werden k\u00f6nnen. Wer JML-Prozesse manuell verwaltet, handelt fahrl\u00e4ssig \u2013 nicht nur in Bezug auf Effizienz, sondern vor allem in Sachen Sicherheit und regulatorische Compliance.<\/p>\n
User Life Cycle Management (ULM) umfasst drei klar definierte Phasen, die zusammen den gesamten digitalen Lebenszyklus eines Mitarbeiters abbilden:<\/p>\n
Klingt strukturiert. Doch in der Praxis scheitert dieser Prozess h\u00e4ufig an fehlender Automatisierung, unzureichender HR-IT-Koordination und dem zunehmend komplexen Mix aus Cloud- und On-Premises-Systemen.<\/p>\n
Eine besonders t\u00fcckische Folge manueller JML-Verwaltung ist das sogenannte Entitlement Creep \u2013 zu Deutsch: schleichende Rechteausweitung. Mitarbeiter sammeln \u00fcber Monate und Jahre Zugriffsrechte an, die urspr\u00fcnglich f\u00fcr tempor\u00e4re Aufgaben oder fr\u00fchere Rollen gew\u00e4hrt wurden, aber nie wieder entzogen werden. Dieses schleichende Anwachsen von Berechtigungen widerspricht dem Prinzip der minimalen Rechtevergabe (Least Privilege) \u2013 einer Grundanforderung in Frameworks wie NIS2, ISO 27001 und DORA. Ohne automatisierte Zugriffs\u00fcberpr\u00fcfungen ist Entitlement Creep in mittelgro\u00dfen bis gro\u00dfen Organisationen nahezu unvermeidlich.<\/p>\n
Die L\u00f6sung liegt in der vollst\u00e4ndigen Automatisierung des JML-Prozesses \u2013 ausgel\u00f6st durch Ereignisse im HR-System und umgesetzt direkt in der IT-Infrastruktur. Wird ein neuer Mitarbeiter im HCM-System (z.B. Workday, BambooHR oder UltiPro) erfasst, synchronisiert sich die Identit\u00e4tsverwaltung automatisch: Konten in Active Directory, Microsoft 365 und Google Workspace werden auf Basis vordefinierter Vorlagen erstellt, Gruppenmitgliedschaften werden zugewiesen und Zugriffsrechte auf Ordnerebene werden nach Organisationseinheit und Rolle vergeben.<\/p>\n
L\u00f6sungen wie ADManager Plus von ManageEngine erm\u00f6glichen genau diese tiefe Integration zwischen HR und IT. \u00dcber API-Anbindungen oder CSV-Imports lassen sich Personal\u00e4nderungen nahtlos in automatisierte AD-Aktionen \u00fcbersetzen \u2013 inklusive anpassbarer Namensformate f\u00fcr die massenhafte Benutzererstellung, was Duplikate zuverl\u00e4ssig verhindert. Bei Rollenwechseln greifen vordefinierte User Modification Templates, die Gruppenmitgliedschaften und Ordnerberechtigungen automatisch aktualisieren. Sicherheitskritische Aktionen durchlaufen dabei einen mehrstufigen Genehmigungs-Workflow \u2013 Anforderung, Pr\u00fcfung, Freigabe und Ausf\u00fchrung werden voneinander getrennt, um Fehler und Missbrauch zu minimieren.<\/p>\n
Der Austritt eines Mitarbeiters ist aus Sicherheitsperspektive die sensibelste Phase im gesamten JML-Prozess. Jede Stunde, in der ein gek\u00fcndigtes Konto aktiv bleibt, ist ein offenes Einfallstor. Automatisiertes Offboarding l\u00f6st dieses Problem konsequent: Sobald das HR-System einen Mitarbeiter als \u201eResigned\u201c markiert, wird die Deprovisioning-Kette automatisch gestartet. Konkret bedeutet das: Alle Gruppenmitgliedschaften werden entfernt, das AD-Konto wird deaktiviert und in eine dedizierte Organisationseinheit f\u00fcr ausgeschiedene Mitarbeiter verschoben, Microsoft-365-Lizenzen werden entzogen und Postf\u00e4cher deaktiviert. Ein integrierter Workflow stellt sicher, dass kein Konto versehentlich vollst\u00e4ndig gel\u00f6scht wird, bevor alle Schritte gepr\u00fcft wurden \u2013 ein wichtiger Schutz gegen operative Fehler.<\/p>\n
Neben der Sicherheit ist Compliance ein entscheidender Treiber f\u00fcr automatisiertes JML-Management. Regulatorische Anforderungen aus DSGVO, SOX, HIPAA, PCI DSS und GLBA verlangen nachweisbare Kontrolle dar\u00fcber, wer wann auf welche Ressourcen zugreifen konnte \u2013 und wer diese Rechte vergeben oder entzogen hat. ADManager Plus generiert f\u00fcr jeden Lebenszyklus-Event \u2013 Onboarding, Rollenwechsel, Offboarding \u2013 vollst\u00e4ndige Audit-Reports. Diese dokumentieren nicht nur die Aktionen selbst, sondern auch, welches Modul (Automatisierung oder manuelle AD-Verwaltung) verwendet wurde und welcher Techniker welche \u00c4nderung vorgenommen hat. Damit wird der Helpdesk-Betrieb vollst\u00e4ndig nachvollziehbar und revisionssicher.<\/p>\n
ManageEngine ADManager Plus ist Bestandteil der AD360-Plattform und bietet eine zentrale L\u00f6sung f\u00fcr das automatisierte User Life Cycle Management in Active Directory, Microsoft 365 und Google Workspace. Von der HCM-Integration \u00fcber rollenbasierte Zugriffssteuerung bis hin zu Access Certification Campaigns und revisionssicheren Audit-Reports \u2013 ADManager Plus schlie\u00dft die L\u00fccke zwischen HR-Systemen und IT-Infrastruktur. Unternehmen, die NIS2-konform aufgestellt sein m\u00fcssen oder schlicht die Effizienz und Sicherheit ihrer Benutzerverwaltung verbessern wollen, finden in ADManager Plus eine bew\u00e4hrte Plattform, die sich in bestehende IAM-Landschaften integrieren l\u00e4sst.<\/p>\n
Die Zukunft der Identit\u00e4tsverwaltung liegt in der durchg\u00e4ngigen Automatisierung. Wer den JML-Prozess nicht nur aus Effizienzgr\u00fcnden, sondern vor allem aus Sicherheits- und Compliance-Perspektive ernst nimmt, kommt an einer automatisierten L\u00f6sung nicht vorbei. Zombie-Konten sind vermeidbar \u2013 die Technologie daf\u00fcr ist verf\u00fcgbar.<\/p>\n","protected":false},"excerpt":{"rendered":"
Jedes Unternehmen kennt das Problem: Ein neuer Mitarbeiter startet, wartet aber tagelang auf seine Zugriffsrechte. Ein anderer wechselt intern die Abteilung \u2013 doch seine alten Berechtigungen bleiben still und unbemerkt bestehen. Und wenn jemand das Unternehmen verl\u00e4sst, dauert es oft zu lange, bis alle Konten wirklich deaktiviert sind. Diese scheinbar kleinen Vers\u00e4umnisse im Joiner-Mover-Leaver-Prozess (JML) […]<\/p>\n","protected":false},"author":5,"featured_media":53904,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50752.png","fifu_image_alt":"Automatisiertes JML-Management vermeidet Zombie-Konten","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50752","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50752.png","fifu_image_alt":"Automatisiertes JML-Management vermeidet Zombie-Konten","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50752","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50752"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50752\/revisions"}],"predecessor-version":[{"id":50757,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50752\/revisions\/50757"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53904"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50752"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50752"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50752"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}