gesponsertAutomatisiertes Joiner-Mover-Leaver-Management Wie Sie den Identity-Lebenszyklus sicher im Griff behalten

Gesponsert von

ManageEngine, a Division of Zoho Corporation | c/o MicroNova AG

Jedes Unternehmen kennt das Problem: Ein neuer Mitarbeiter startet, wartet aber tagelang auf seine Zugriffsrechte. Ein anderer wechselt intern die Abteilung – doch seine alten Berechtigungen bleiben still und unbemerkt bestehen. Und wenn jemand das Unternehmen verlässt, dauert es oft zu lange, bis alle Konten wirklich deaktiviert sind. Diese scheinbar kleinen Versäumnisse im Joiner-Mover-Leaver-Prozess (JML) sind längst zu einem ernsthaften Sicherheitsrisiko geworden.

Menschliche Fehler als unterschätztes Einfallstor

Laut dem Verizon Data Breach Investigations Report 2022 stehen hinter 82 Prozent aller Datenschutzverletzungen menschliche Handlungen. Dabei geht es nicht nur um Phishing oder schwache Passwörter – ein erheblicher Anteil ist auf fehlerhafte oder verzögerte Verwaltung von Benutzerkonten und Zugriffsrechten zurückzuführen.

In Unternehmen mit mehr als 200 Mitarbeitern dauert das manuelle Onboarding eines neuen Mitarbeiters im Schnitt sechs Stunden – das Offboarding sogar sieben Stunden. Gleichzeitig zeigen Studien, dass mindestens jeder dritte ehemalige Mitarbeiter nach seinem Austritt noch immer Zugang zu Unternehmenssystemen oder -daten besitzt. Die Folge: „Zombie-Konten“, die von Angreifern gezielt ausgenutzt werden können.

Kurz: Wer JML-Prozesse manuell verwaltet, handelt fahrlässig – nicht nur in Bezug auf Effizienz, sondern vor allem in Sachen Sicherheit und regulatorische Compliance.

Was steckt hinter dem JML-Lebenszyklus?

User Life Cycle Management (ULM) umfasst drei klar definierte Phasen, die zusammen den gesamten digitalen Lebenszyklus eines Mitarbeiters abbilden:

• Joiners (Onboarding): Sobald ein neuer Mitarbeiter eingestellt wird, müssen Identitäten angelegt und rollenbasierte Zugriffsrechte vergeben werden – ohne Verzögerung, ohne Fehler.

• Movers (Transfers): Bei internen Rollenwechseln, Abteilungsversetzungen oder Beförderungen müssen Berechtigungen exakt angepasst werden. Alte Rechte müssen entzogen, neue müssen gewährt werden.

• Leavers (Offboarding): Beim Austritt eines Mitarbeiters müssen alle Konten – Active Directory, Microsoft 365, SaaS-Applikationen – unverzüglich deaktiviert, Lizenzen entzogen und Gruppenmitgliedschaften entfernt werden.

Klingt strukturiert. Doch in der Praxis scheitert dieser Prozess häufig an fehlender Automatisierung, unzureichender HR-IT-Koordination und dem zunehmend komplexen Mix aus Cloud- und On-Premises-Systemen.

Entitlement Creep als stille Bedrohung

Eine besonders tückische Folge manueller JML-Verwaltung ist das sogenannte Entitlement Creep – zu Deutsch: schleichende Rechteausweitung. Mitarbeiter sammeln über Monate und Jahre Zugriffsrechte an, die ursprünglich für temporäre Aufgaben oder frühere Rollen gewährt wurden, aber nie wieder entzogen werden.

Dieses schleichende Anwachsen von Berechtigungen widerspricht dem Prinzip der minimalen Rechtevergabe (Least Privilege) – einer Grundanforderung in Frameworks wie NIS2, ISO 27001 und DORA. Ohne automatisierte Zugriffsüberprüfungen ist Entitlement Creep in mittelgroßen bis großen Organisationen nahezu unvermeidlich.

Automatisierung als strategische Antwort

Die Lösung liegt in der vollständigen Automatisierung des JML-Prozesses – ausgelöst durch Ereignisse im HR-System und umgesetzt direkt in der IT-Infrastruktur. Wird ein neuer Mitarbeiter im HCM-System (z.B. Workday, BambooHR oder UltiPro) erfasst, synchronisiert sich die Identitätsverwaltung automatisch: Konten in Active Directory, Microsoft 365 und Google Workspace werden auf Basis vordefinierter Vorlagen erstellt, Gruppenmitgliedschaften werden zugewiesen und Zugriffsrechte auf Ordnerebene werden nach OU und Rolle vergeben.

Lösungen wie ADManager Plus von ManageEngine ermöglichen genau diese tiefe Integration zwischen HR und IT. Über API-Anbindungen oder CSV-Imports lassen sich Personaländerungen nahtlos in automatisierte AD-Aktionen übersetzen – inklusive anpassbarer Namensformate für die massenhafte Benutzererstellung, was Duplikate zuverlässig verhindert.

Bei Rollenwechseln greifen vordefinierte User Modification Templates, die Gruppenmitgliedschaften und Ordnerberechtigungen automatisch aktualisieren. Sicherheitskritische Aktionen durchlaufen dabei einen mehrstufigen Genehmigungs-Workflow – Anforderung, Prüfung, Freigabe und Ausführung werden voneinander getrennt, um Fehler und Missbrauch zu minimieren.

Offboarding: Der kritischste Moment im Lebenszyklus

Der Austritt eines Mitarbeiters ist aus Sicherheitsperspektive die sensibelste Phase im gesamten JML-Prozess. Jede Stunde, in der ein gekündigtes Konto aktiv bleibt, ist ein offenes Einfallstor. Automatisiertes Offboarding löst dieses Problem konsequent: Sobald das HR-System einen Mitarbeiter als „Resigned“ markiert, wird die Deprovisioning-Kette automatisch gestartet.

Konkret bedeutet das: Alle Gruppenmitgliedschaften werden entfernt, das AD-Konto wird deaktiviert und in eine dedizierte OU für ausgeschiedene Mitarbeiter verschoben, Microsoft-365-Lizenzen werden entzogen und Postfächer deaktiviert. Ein integrierter Workflow stellt sicher, dass kein Konto versehentlich vollständig gelöscht wird, bevor alle Schritte geprüft wurden – ein wichtiger Schutz gegen operative Fehler.

Compliance durch lückenlose Audit-Trails

Neben der Sicherheit ist Compliance ein entscheidender Treiber für automatisiertes JML-Management. Regulatorische Anforderungen aus DSGVO, SOX, HIPAA, PCI DSS und GLBA verlangen nachweisbare Kontrolle darüber, wer wann auf welche Ressourcen zugreifen konnte – und wer diese Rechte vergeben oder entzogen hat.

ADManager Plus generiert für jeden Lebenszyklus-Event – Onboarding, Rollenwechsel, Offboarding – vollständige Audit-Reports. Diese dokumentieren nicht nur die Aktionen selbst, sondern auch, welches Modul (Automatisierung oder manuelle AD-Verwaltung) verwendet wurde und welcher Techniker welche Änderung vorgenommen hat. Damit wird der Helpdesk-Betrieb vollständig nachvollziehbar und revisionssicher.

ManageEngine ADManager Plus – automatisierter JML-Lebenszyklus auf einen Blick

ManageEngine ADManager Plus ist Bestandteil der AD360-Plattform und bietet eine zentrale Lösung für das automatisierte User Life Cycle Management in Active Directory, Microsoft 365 und Google Workspace. Von der HCM-Integration über rollenbasierte Zugriffssteuerung bis hin zu Access Certification Campaigns und revisionssicheren Audit-Reports – ADManager Plus schließt die Lücke zwischen HR-Systemen und IT-Infrastruktur.

Unternehmen, die NIS2-konform aufgestellt sein müssen oder schlicht die Effizienz und Sicherheit ihrer Benutzerverwaltung verbessern wollen, finden in ADManager Plus eine bewährte Plattform – Made for Enterprise, integrierbar in bestehende IAM-Landschaften.

(ID:50935794)