Warum der erste Arbeitstag in vielen Betrieben mit Warten beginnt
Der neue Mitarbeiter sitzt pünktlich um neun Uhr an seinem Platz, doch die Technik streikt. Das Notebook kommt erst nächste Woche, das Benutzerkonto wird gerade erst angelegt und die Authenticator-App scheitert am privaten Smartphone. Zudem kennt die Branchensoftware die Person noch nicht, weshalb sie zunächst mit dem Konto eines Kollegen arbeitet. Arbeitsvertrag, Begrüßung und Einarbeitungsplan der Abteilung sind meist geregelt, die IT-Seite ist es nicht.
In der IT-Offboarding-Checkliste ging es um den letzten Arbeitstag, hier geht es um den ersten. Beide Listen sind dieselbe Liste in zwei Richtungen. Die Zugangsliste vom Eintritt ist nämlich die Offboarding-Liste von morgen.
In kleinen und mittelständischen Unternehmen ohne eigene IT-Abteilung erfährt die IT vom Eintritt oft erst am Vortag. Deshalb fehlt häufig der nötige Vorlauf für die Hardware-Bestellung und die Kontenanlage. Der Ablauf hat deshalb drei Phasen: zwei Wochen vorher, der erste Tag und die ersten Wochen.
Zwei Wochen vorher: melden, bestellen, Rollenprofil festlegen
Zunächst meldet die Personalabteilung oder die Geschäftsführung den Eintritt mit Datum, Rolle und Vorgesetztem. Dabei wird oft ein Vorbild-Kollege genannt, damit der Neue die gleichen Rechte wie eine bestehende Person bekommt. Anschließend entscheidet die Führungskraft über die spezifischen Freigaben und die benötigte Branchensoftware. Die IT bestellt daraufhin die Hardware, legt die Konten an und dokumentiert jeden Schritt.
Die Empfehlung von netzwerkfähig lautet: zwei Wochen Vorlauf. Denn Notebooks, Smartphones und SIM-Karten haben oft Lieferzeiten. Zudem soll das Konto in Ruhe vorbereitet werden, damit am ersten Tag nichts schiefgeht.
Um Zeit zu sparen, nutzen kleine und mittlere Unternehmen einen Standard-Arbeitsplatz. Dieses festgelegte Paket enthält zum Beispiel ein Notebook, ein Dock, einen Monitor, ein Headset, ein Smartphone mit SIM und einen Transponder. Dadurch wird die Bestellung zu einem Prozess und nicht zu einer Einzelentscheidung.
Statt Einzelrechte zu vergeben, setzt ihr auf ein Rollenprofil. Die Rechte hängen an Gruppen wie Vertrieb, Buchhaltung oder Werkstatt. Diese Gruppe bringt automatisch die passende Lizenz, Teams-Kanäle, Freigaben und Richtlinien mit. Wer dieses Profil einmal baut, legt den nächsten Mitarbeiter in wenigen Minuten an.
Darüber hinaus müsst ihr die Smartphone-Regel vorher klären. Ihr entscheidet euch entweder für ein Firmenhandy mit Verwaltung oder ein privates Gerät, das nur mit App-Schutz für Firmen-Apps genutzt wird. Eine ungeregelte Nutzung ist aus Sicherheitsgründen nicht zulässig.
Eine Woche vorher: Konto, Lizenz, Postfach und alle Zugänge anlegen
Zuerst wird das Benutzerkonto in Microsoft 365 angelegt. Ihr hinterlegt Vorname, Nachname, Anzeigename und den Benutzernamen mit der Firmendomain. Das Kennwort wird automatisch erzeugt, wobei die Option zur Änderung bei der ersten Anmeldung aktiv bleibt. Bevor ihr eine Lizenz zuweist, müsst ihr den Nutzungsstandort setzen, denn ohne Standort gibt es keine Lizenz.
Die Lizenz erfolgt über die Gruppe, wodurch automatisch das Postfach mit Exchange Online entsteht. Danach richtet ihr die Verteiler und freigegebenen Postfächer ein. Dabei erhält der Nachfolger Zugriff auf das freigegebene Postfach des Vorgängers aus dem Offboarding, statt einer einfachen Weiterleitung. Zudem fügt ihr die Person zu den Teams-Kanälen und SharePoint-Freigaben hinzu.
Neben Microsoft 365 gibt es weitere wichtige Zugänge. Dazu gehören zum Beispiel:
- Branchensoftware wie DATEV, ERP, CRM oder Warenwirtschaft
- Passwortmanager-Konto und VPN-Benutzer
- Telefonie-Nebenstelle und Druckerzugänge
Jeder angelegte Zugang kommt sofort in die persönliche Zugangsliste. Denn genau diese Liste braucht ihr später beim Austritt wieder. Die Anmeldung bleibt bis zum ersten Tag blockiert und Kennwörter werden niemals per Mail verschickt.
Das Notebook wird beim Händler für Windows Autopilot registriert und die Intune-Profile werden geprüft. Dadurch darf das Gerät ungeöffnet an den Arbeitsplatz geliefert werden. In der Praxis bedeutet das, dass die Hardware bereitsteht, ohne dass die IT sie vorher manuell konfigurieren muss.
Der erste Tag: Anmeldung, Authenticator-App und Gerät in einer Stunde
Die IT übergibt dem neuen Mitarbeiter persönlich einen Temporary Access Pass. Das ist ein zeitlich begrenzter Code aus dem Entra Admin Center, der standardmäßig eine Stunde gültig ist. Gleichzeitig hebt die IT die Anmeldesperre des Kontos auf. Der Mitarbeiter startet das Notebook, verbindet es mit dem Netz und meldet sich an.
Durch Autopilot wird aus dem vorinstallierten Windows des Herstellers automatisch das Firmengerät. Das System führt den Entra-Join durch, wendet Intune-Richtlinien an und installiert Apps. Alles geschieht ohne ein eigenes Image und ohne dass ein Administrator am Platz stehen muss.
Mit dem Pass registriert der Nutzer nun die Authenticator-App. Bei einem einmalig nutzbaren Pass muss dies innerhalb von zehn Minuten nach der Anmeldung passieren. Die Multi-Faktor-Authentifizierung (MFA) ist ab der ersten Anmeldung Pflicht. Das liegt daran, dass die 14-Tage-Frist der Sicherheitsstandards seit Juli 2024 entfallen ist.
Anschließend setzt der Mitarbeiter sein eigenes Kennwort. Danach testen IT und Nutzer gemeinsam den Passwortmanager, die Branchensoftware, das Telefon und die Drucker. Auch die Postfächer und Freigaben werden kurz geprüft.
Die Einweisung dauert etwa 30 Minuten. Ihr erklärt, wo die Dateien liegen und wie man eine Störung meldet. Zudem vermittelt ihr die Phishing-Grundregel und untersagt private Konten für Firmenzwecke sowie das Teilen von Kennwörtern. Zum Abschluss wird ein Übergabeprotokoll mit Seriennummern unterschrieben, welches als Inventarliste für den Austritt dient.
Konto, Lizenz, Gerät: was in Microsoft 365 zusammenhängt
Die Reihenfolge Nutzungsstandort, Gruppe mit Lizenz, Postfach ist technisch vorgegeben. Wenn ein Mitarbeiter die Abteilung wechselt, nutzt ihr die gruppenbasierte Lizenzierung. Dabei nehmt ihr die Person zuerst in die neue Gruppe auf und prüft die Lizenz, bevor ihr sie aus der alten Gruppe entfernt. Andernfalls wäre der Nutzer kurzzeitig ohne Lizenz.
Für Autopilot und die automatische Intune-Registrierung benötigt ihr Microsoft Entra ID P1. Dieses Paket ist in Microsoft 365 Business Premium für kleine und mittlere Unternehmen bis 300 Nutzer enthalten. Ohne P1 greifen die kostenlosen Sicherheitsstandards, welche MFA für alle fordern und alte Protokolle wie IMAP oder POP blockieren.
Falls ihr ein Notebook eines ausgeschiedenen Mitarbeiters weiterverwendet, hilft ein Autopilot Reset. Dieser bereitet das vorhandene Gerät schnell für den Nachfolger auf. Ein neues Gerät ist dafür nicht nötig.
Die folgende Übersicht zeigt die technischen Bausteine im Detail.
| Was | Regel | Was das für euch heißt |
|---|---|---|
| Benutzerkonto anlegen | Name, Benutzername mit Firmendomain, Nutzungsstandort vor der Lizenz | Ohne Standort lässt sich keine Lizenz zuweisen. Kennwort automatisch erzeugen lassen, Änderung bei der ersten Anmeldung bleibt eingeschaltet. |
| Lizenz über eine Gruppe | Lizenz hängt an einer Sicherheits- oder Microsoft-365-Gruppe | Die Gruppe ist das Rollenprofil: Lizenz, Teams, Freigaben und Richtlinien kommen mit der Mitgliedschaft. Beim Wechsel erst in die neue Gruppe, dann aus der alten. |
| Temporary Access Pass | Standard 1 Stunde, einstellbar 10 Minuten bis 30 Tage, einmalig oder mehrfach nutzbar | Die erste Anmeldung läuft ohne Kennwort per Mail. Bei einem einmaligen Pass muss die Registrierung der Authenticator-App innerhalb von 10 Minuten abgeschlossen sein. |
| MFA-Registrierung | Sicherheitsstandards: Pflicht ab der ersten Anmeldung, die 14-Tage-Frist gibt es seit Juli 2024 nicht mehr | Die Authenticator-App wird am ersten Tag eingerichtet. Die Frage Firmenhandy oder privates Smartphone klärt ihr vorher. |
| Windows Autopilot | Das Notebook meldet sich beim ersten Start selbst in Entra ID und Intune an, der Nutzer braucht nur Netz und Anmeldedaten | Das Notebook kann ungeöffnet an den Arbeitsplatz. Die automatische Intune-Registrierung braucht Entra ID P1, das in Microsoft 365 Business Premium enthalten ist. |
| Bedingter Zugriff | Mindestens Entra ID P1 | Business Premium (bis 300 Nutzer) bringt die Lizenz mit. Ohne P1 bleiben die kostenlosen Sicherheitsstandards: MFA für alle, alte Anmeldeprotokolle gesperrt. |
Diese Struktur stellt sicher, dass jeder Nutzer genau die Werkzeuge erhält, die seine Rolle erfordert.
Zugänge außerhalb von Microsoft 365: dieselbe Liste wie beim Austritt
Die Liste aus dem Offboarding gilt hier spiegelbildlich. Ihr müsst Zugänge für VPN, Firewall, Fernwartung und WLAN einrichten. Ebenso gehören der Passwortmanager, Branchensoftware sowie Buchhaltungs- und CRM-Dienste im Browser dazu. Auch Online-Banking-Freigaben, Social-Media-Konten, Domain-Zugänge und Kundenportale müssen auf die Liste.
Alle Zugänge laufen über das Firmenkonto und möglichst über die Anmeldung mit Microsoft 365. Private Konten kommen für Firmenzwecke nicht in Frage. Bei Social-Media-Kanälen oder Portalen nutzt ihr Rollen statt geteilter Kennwörter. Das WLAN wird mit einer persönlichen Anmeldung statt einem gemeinsamen Passwort konfiguriert.
Geteilte Kennwörter dürfen ausschließlich im Passwortmanager gespeichert werden. Jeder Zugang muss in der Liste stehen, bevor die Nutzung beginnt. In der Praxis vergessen viele Betriebe jedoch die Dienste, bei denen sich Mitarbeiter später selbst mit der Firmenadresse anmelden.
Deshalb gehört die Regel "neuer Dienst nur über die IT" fest in die Einweisung. Nur so bleibt die Zugangsliste vollständig und ihr behaltet die Kontrolle über eure Daten.
Drei mögliche Szenarien aus dem Rheinland
Die folgenden Beispiele sind keine echten Kunden, sondern mögliche Szenarien, wie es in der Praxis im Rheinland läuft.
1. Der Handwerksbetrieb (15 Mitarbeiter, Langenfeld): Die Nachfolgerin der Büroleiterin fängt an. Weil der Betrieb beim Austritt die Zugangsliste angelegt hat, bekommt sie am ersten Tag das freigegebene Postfach ihrer Vorgängerin, die Rolle auf der Facebook-Seite und den Zugang zum Domain-Anbieter über den Passwortmanager; das Online-Banking-Verfahren läuft über ihr Firmen-Smartphone, nicht über ein privates Gerät.
2. Die Steuerkanzlei (20 Arbeitsplätze, Köln): Ein neuer Mitarbeiter soll am Montag anfangen, die IT erfährt es am Freitag. Das Notebook ist nicht da, das Konto wird am Montagmorgen angelegt, DATEV kennt ihn nicht. Mit der Zwei-Wochen-Regel und dem Rollenprofil 'Sachbearbeitung' bestellt die Kanzlei beim nächsten Eintritt rechtzeitig und legt das Konto eine Woche vorher an; am ersten Tag bleibt nur der Temporary Access Pass und die Einweisung.
3. Der Produktionsbetrieb (45 Mitarbeiter, Hagen): Ein neuer Vertriebsmitarbeiter bekommt ein Notebook direkt vom Händler. Weil es für Autopilot registriert ist, startet er es am ersten Tag selbst, meldet sich mit dem Temporary Access Pass an, Intune installiert CRM-Client und Richtlinien, die Authenticator-App läuft auf dem Firmen-Smartphone; der externe IT-Administrator war nur für die Übergabe des Passes und die Einweisung im Haus.
Die IT-Onboarding-Checkliste im Überblick
Die folgende Tabelle zeigt die drei Phasen, die anfallenden Aufgaben und die Zuständigkeiten in der Reihenfolge, wie netzwerkfähig sie im Betrieb abarbeitet.
| Wann | Aufgabe | Wer |
|---|---|---|
| 2 Wochen vorher | Eintritt mit Datum, Rolle, Vorgesetztem und einem Vorbild-Kollegen für die Rechte melden | Personal / Führungskraft |
| 2 Wochen vorher | Hardware nach dem Standard-Arbeitsplatz bestellen: Notebook, Dock, Monitor, Headset, Smartphone mit SIM, Transponder | IT |
| 2 Wochen vorher | Rollenprofil festlegen: Gruppen, Teams, Freigaben, Branchensoftware, Postfächer, Telefon | Führungskraft / IT |
| 1 Woche vorher | Benutzerkonto anlegen: Name, Firmendomain, Nutzungsstandort, Lizenz über die Gruppe; Anmeldung bis Tag eins blockiert | IT |
| 1 Woche vorher | Postfach, Verteiler, freigegebene Postfächer (auch das des Vorgängers), Teams und Freigaben zuordnen | IT |
| 1 Woche vorher | Branchensoftware, Passwortmanager, VPN, Telefonie, Drucker: Konten anlegen und jeden Zugang in die Zugangsliste eintragen | IT |
| 1 Woche vorher | Notebook für Autopilot registrieren, Intune-Profile prüfen, Smartphone-Regel klären (Firmenhandy oder privates Gerät mit App-Schutz) | IT |
| Tag eins | Temporary Access Pass persönlich übergeben, Anmeldung freischalten | IT |
| Tag eins | Notebook starten: Autopilot, Apps, Windows Hello; Authenticator-App registrieren; Kennwort setzen | Mitarbeiter mit IT |
| Tag eins | Passwortmanager, Branchensoftware, Telefon und Drucker testen; Zugriff auf Postfächer und Freigaben prüfen | IT |
| Tag eins | Einweisung 30 Minuten: Ablage, Störung melden, Phishing-Grundregel, keine privaten Konten für Firmenzwecke; Übergabeprotokoll mit Seriennummern unterschreiben | IT / Führungskraft |
| Erste Woche | Fehlende Rechte nachtragen, nur über das Rollenprofil, nicht einzeln am Konto | IT |
| Erste Woche | Abgelaufenen Temporary Access Pass löschen, Inventarliste und Zugangsliste vervollständigen | IT |
| Nach 4 Wochen | Rechte prüfen: zu viel oder zu wenig; Anmeldeprotokolle ansehen; Protokoll ablegen | IT / Führungskraft |
Diese Liste gehört neben die Offboarding-Liste in euer Wiki oder in den Ordner der Geschäftsführung. Jeder Eintritt wird damit systematisch abgehakt. Der ausgefüllte Bogen wird abgelegt, sodass die Zugangsliste der Person vom ersten Tag an vollständig ist.
Nach den ersten Wochen: nachjustieren, dokumentieren, kontrollieren
In der ersten Woche prüft ihr, ob alle Rechte passen. Fehlende Berechtigungen tragt ihr nur über das Rollenprofil nach und nicht einzeln am Konto. Zudem löscht ihr den abgelaufenen Temporary Access Pass und vervollständigt die Inventar- und Zugangsliste.
Nach vier Wochen folgt eine Kontrolle der Rechte, um zu sehen, ob der Nutzer zu viel oder zu wenig Zugriff hat. Ihr seht euch die Anmeldeprotokolle an und legt das Protokoll final ab. Damit ist der Onboarding-Prozess sauber abgeschlossen.
Als externer IT-Administrator in Köln übernimmt netzwerkfähig das On- und Offboarding der Benutzer als festen Ablauf für Betriebe in Köln, Langenfeld und dem Rheinland. Den Standard-Arbeitsplatz mit Notebook, Dock und Intune richtet netzwerkfähig als moderne IT-Arbeitsplätze ein. Wer wissen will, wo der eigene Betrieb steht, macht den kostenlosen IT-Betreuungs-Check. Ein verwandter Artikel ist die IT-Offboarding-Checkliste.
Ein Eintritt ist planbar. Der erste Tag läuft nur rund, wenn das Konto vor dem Mitarbeiter da ist.
