Mitarbeiterwechsel & IT: Friede, Freude, Eierkuchen?

Die Produktivitätsbremse Onboarding

Beim Onboarding-Prozess muss das IT-Team Mitarbeiterkonten wie beispielsweise für E-Mail, internes Netzwerk, Zeiterfassung oder Intranet bereitstellen und auf der richtigen Ebene Zugriff auf die Services und Anwendungen einräumen. Die Krux daran: Gerade in großen Unternehmen dauert es oft Tage oder gar Wochen, bis der Arbeitsplatz komplett eingerichtet ist. Laut einer Studie von Allied HR  entgehen Unternehmen durch die mangelhafte Ressourcenausstattung neuer oder bestehender Mitarbeiter eine Million US-Dollar pro Jahr. Limitierend wirkt hier, dass viele Unternehmen das Onboarding IT-seitig immer noch manuell abwickeln. Auf diese Weise bremsen verzögerte Bereitstellungen den Neuling.

Automatisierte Bereitstellungsprozesse, beispielsweise über Service-Kataloge, helfen an dieser Stelle. So können Routineaufgaben – wie etwa die Konfiguration von Druckern nach Standort, die Zuweisung von Zugriffsrechten nach Rolle sowie das Entfernen von Zugriffen bei Rollenwechsel – automatisiert erledigt werden. Hinzu kommen richtliniengesteuerte Workflows für Genehmigungen. Sie stellen sicher, dass nur die richtigen Personen Zugriff auf die jeweiligen Anwendungen erhalten. Einige Funktionen wie Passwort-Resets lassen sich auch als Self-Service-Leistungen bereitstellen, die Mitarbeitern mehr Eigenständigkeit ermöglichen und zugleich die IT entlasten.

IT-Security-Risiko Offboarding

Während es beim Thema Onboarding vor allem um die Produktivität und somit ein Plus für das Unternehmen geht, drohen bei nachlässigen Offboarding-Prozessen reelle Gefahren für die IT-Security und somit ernstzunehmende Datenverluste mit potenziell nachhaltigem Schaden für das Unternehmen. Der optimale Prozess hierfür wäre, dass die Personalabteilung die IT umgehend über den Austritt informiert und das IT-Team seine Pflicht rechtzeitig erfüllt. Das heißt, dass idealerweise unmittelbar nach der Kündigung des Mitarbeiters alle Zugriffsrechte entzogen oder zumindest auf das Nötigste limitiert werden. Denn nicht immer trennt man sich im Guten. So kann ein verärgerter Ex-Mitarbeiter unternehmenskritische Daten stehlen, vernichten oder weitergeben. Und unter Cyberkriminellen werden Unternehmenszugänge hoch gehandelt. Sie nutzen diese Identitäten etwa für Angriffe wie Social Engineering, den Diebstahl von Betriebsgeheimnissen oder für ausgeklügelte Phishing-Attacken. Offenbar handelt es sich hier um ein weit verbreitetes Problem: Eine Ivanti-Studie kommt zu dem Ergebnis, dass die Hälfte aller IT-Fachleute Personen kennt, die noch Zugang zu Anwendungen und Daten eines ehemaligen Arbeitgebers haben.

Zuverlässige Automatisierung ist Mangelware

In der Praxis verfügt kaum ein Unternehmen über eine zuverlässige und automatisierte Technologie, um die Zugriffsberechtigungen einer Person für alle Anwendungen, Datenbanken, SharePoint-Instanzen oder Kommunikationsdienste restlos und sofort zu beseitigen. Einige dieser Privilegien bleiben selbst Monate nach dem Austritt eines Mitarbeiters bestehen. IT-Sicherheitstools, die Verstöße erkennen und blockieren können, greifen in diesem Fall nicht. Schließlich erfolgt der Datenzugriff dann immer noch autorisiert. Deshalb ist es essenziell, ein einheitliches System für die Rechteverwaltung aufzusetzen und dieses mit anderen Systemen zu verzahnen – insbesondere mit solchen, die eine Beendigung von Zugriffsrechten anstoßen. Beispiele hierfür sind zentrale Identity & Access-Management-Systeme (IAM) ebenso wie HR-Anwendungen und Auftragsnehmer-Datenbanken. Erst dieses Level an Einheitlichkeit und Integration schafft die nötige Sicherheit, dass digitale Privilegien rechtzeitig und vollständig widerrufen werden.

Massenabfertigung als Risiko

Doch die gelebte Praxis sieht in vielen Unternehmen anders aus. Sei es aus Mangel an Automatisierung oder aus dem Bestreben, sich ein wenig Tipparbeit zu sparen: HR-Abteilungen sind versucht, Kündigungen „zu sammeln“ und gebündelt als Massenticket an die IT zu überweisen. Bulk-Tickets sind allerdings der beste Weg eine Flanke in die Sicherheitsbemühungen der IT-Teams zu reißen. Auf der einen Seite kolportiert ein solcher Prozess die Arbeitsabläufe des Service Managements. Immerhin zieht eine einzelne Kündigung Dutzende von Prozessschnitten auf Seiten der IT nach sich: Entzug des Zugriffs auf den zentralen Server, auf E-Mails, CRM-Ressourcen, Buchhaltungs- und Finanzsysteme und vieles mehr. Bulk-Tickets erhöhen die  Gefahr, dass einzelne Prozessschritte vergessen werden, was wiederum Fragen der Compliance aufwirft. Viele Unternehmen halten sich heutzutage an Standards wie PCI für den Umgang mit Kreditkartendaten, SSAE 16/18 für Finanzdienstleistungen, HIPAA/HITECH für das Gesundheitswesen, die DSGVO für Daten innerhalb der Europäischen Union oder SOC2. Diese Sicherheits-Frameworks erfordern die Fähigkeit, nachzuweisen, dass das Unternehmen bei allen Kündigungen einen transparenten Prozess verfolgt. Durch die Erstellung eines Massentickets ist es denkbar, dass Unternehmen ihre Auditfähigkeit verlieren. Und dort, wo bereits Automatisierungslösungen im Einsatz sind, erfordern sie manuelles Eingreifen der IT, was wiederum den Effizienzgewinn der HR auffrisst.

Fazit

Insgesamt lassen automatisierte On- und Offboarding-Prozesse das IT-Team effizienter arbeiten: Statt sich mit kleinteiligen manuellen Aufgaben zu befassen, kann das Service Desk mehr Zeit für komplexe Themen aufwenden und diese schneller lösen. Dies zahlt wiederum auf die Produktivität der Anwender ein. Ein automatisiertes und sicheres Endpoint Management steht und fällt allerdings mit der Aufklärung der Fachabteilungen. IT- und IT-Sicherheitsleiter sind gut beraten, sich mit ihren Kollegen aus anderen Fachabteilungen, beispielsweise der Personalabteilung auszutauschen um dort ein Gespür zu wecken, dass IT-Sicherheit eine Business-Aufgabe ist, die alle angeht.