Wie lassen sich Eintritt, interne Veränderung und Austritt eines Mitarbeiters in Microsoft Entra ID zuverlässig automatisieren? Der Prozess benötigt zuerst eine führende Datenquelle mit stabilen Attributen und Zeitpunkten. Darauf bauen Provisioning, Gruppen- und Lizenzzuweisung sowie Microsoft Entra Lifecycle Workflows auf. Jeder automatisierte Schritt muss einen Eigentümer, einen Status, ein Audit und einen manuellen Rückfallweg besitzen.
Microsoft beschreibt Lifecycle Workflows entlang des Joiner-Mover-Leaver-Modells. Die Funktion kann Aufgaben für Benutzer zu bestimmten Lebenszyklusereignissen ausführen. Sie ersetzt kein HR-System und korrigiert keine falschen Eintritts- oder Austrittsdaten. Automatisierung ist nur so zuverlässig wie die zugrunde liegenden Identitätsdaten.
Lifecycle Workflows setzt in der Regel Microsoft Entra ID Governance oder Entra Suite voraus. Wenn benutzerdefinierte Erweiterungen oder externe Zielsysteme eingebunden werden, entstehen zusätzliche Betriebsabhängigkeiten zu Connectoren, Berechtigungen, Monitoring und Fehlerbehandlung.
Joiner, Mover und Leaver definieren
Joiner
Eine Person tritt in den Zugriffsbereich der Organisation ein. Das kann ein Mitarbeiter, Praktikant, externer Auftragnehmer oder eine andere interne Identität sein.
Mover
Rolle, Abteilung, Standort, Führungskraft, Vertragsart oder Aufgabenbereich ändern sich. Alte Zugriffe müssen entzogen und neue kontrolliert hinzugefügt werden.
Leaver
Die Person verlässt den Zugriffsbereich. Anmeldung, Gruppen, Lizenzen, Geräte, Datenübergabe und spätere Löschung müssen koordiniert werden.
Ein Wiedereintritt oder Wechsel von extern zu intern kann Elemente mehrerer Phasen kombinieren.
Führende Datenquelle festlegen
Mögliche Quellen:
- HR-System,
- lokales Active Directory,
- Identity-Management-System,
- Microsoft Entra als primäre Quelle bei kleinen Umgebungen,
- kontrollierte SharePoint-/Power-App-Eingabe als Übergangslösung.
Pro Attribut muss geklärt sein, welches System führend ist. Wenn department im HR-System, Active Directory und Entra manuell geändert werden kann, entstehen widersprüchliche Werte.
Mindestattribute
Je nach Prozess:
- eindeutige Mitarbeiter- oder Personen-ID,
- Vor- und Nachname,
- primärer Anmeldename,
- Beschäftigungsstatus,
- Eintrittsdatum,
- Austrittsdatum,
- Abteilung,
- Rolle oder Jobtitel,
- Standort,
- Manager,
- Vertrags- oder Personentyp,
- Kostenstelle,
- Zielgruppenkennzeichen.
Freitext sollte vermieden werden, wenn Regeln darauf basieren.
Zeitpunkte und Vorlauf
Ein Joiner-Workflow kann vor dem Eintritt Aufgaben ausführen, wenn das relevante Datum in Entra vorhanden ist. Ein Leaver-Workflow kann sich auf Austrittsattribute stützen. Microsoft dokumentiert unterstützte Ausführungsbedingungen und Attribute; diese müssen zum aktuellen Funktionsumfang geprüft werden.
Planungsfragen:
- Wann liefert HR den Datensatz?
- Ab wann darf das Konto existieren?
- Wann darf Anmeldung möglich sein?
- Welche Zugriffe werden vor dem ersten Arbeitstag vorbereitet?
- In welcher Zeitzone wird das Ereignis bewertet?
- Was geschieht bei kurzfristiger Datumsänderung?
Joiner-Prozess
Ein möglicher technischer Ablauf:
- HR-Datensatz wird freigegeben.
- Identität wird in Quellsystem oder Entra erstellt.
- eindeutige IDs und Anmeldename werden gebildet.
- Basisattribute werden gesetzt.
- Gruppen und Lizenzen werden regelbasiert zugewiesen.
- Manager und Fachverantwortliche erhalten Aufgaben.
- Temporary Access Pass oder Erstregistrierung wird kontrolliert vorbereitet.
- Benutzer bestätigt Anmeldung und Authentifizierung.
- Workflow-Historie und Fehler werden geprüft.
Frühzeitige Bereitstellung ohne frühen Zugriff
Ein Konto kann vor dem Eintritt angelegt, aber bis zum vorgesehenen Zeitpunkt blockiert bleiben. Dadurch können Postfach, Gruppen oder Geräte vorbereitet werden, ohne dass die Person zu früh Zugriff erhält. Der konkrete Ablauf muss mit Lizenzierung und Anwendungen getestet werden.
Gruppen- und Lizenzzuweisung
Gruppen können Zugriffe, Teams, Anwendungen und Lizenzen vermitteln. Regeln sollten auf stabilen Attributen basieren und Konflikte vermeiden.
Beispiel:
- alle internen Mitarbeiter → Basissicherheitsgruppe,
- Abteilung Vertrieb → CRM-Zugriffsgruppe,
- Standort Wien → lokale Ressourcen,
- Rolle Führungskraft → zusätzliche Anwendung.
Fehlerbild: Lizenz wird direkt und über Gruppe zugewiesen
Direkte und gruppenbasierte Zuweisungen erschweren den Entzug. Dokumentieren Sie eine bevorzugte Zuweisungslogik und bereinigen Sie Ausnahmen.
Fehlerbild: Gruppenzuweisung schlägt fehl
Prüfen Sie:
- Attributwert,
- dynamische Regel,
- Verarbeitungslatenz,
- Lizenzverfügbarkeit,
- Konflikte bei Serviceplänen,
- Audit- und Provisioningprotokolle.
Mover-Prozess
Mover sind oft riskanter als Joiner, weil alte Rechte bestehen bleiben können. Ein Rollenwechsel muss deshalb neue Zugriffe hinzufügen und alte Zugriffe aktiv entfernen.
Der Prozess benötigt:
- alten und neuen Sollzustand,
- effektive Änderung zum richtigen Datum,
- Entzug rollenabhängiger Altzugriffe,
- Erhalt bewusst gemeinsamer Basiszugriffe,
- Übergabe laufender Aufgaben und Daten,
- Prüfung privilegierter Rollen,
- Bestätigung durch neuen Manager oder Ressourcenowner.
Berechtigungsakkumulation verhindern
„Add-only“-Automatisierung erzeugt mit jedem Wechsel mehr Rechte. Verwenden Sie Sollzustandslogik: Der aktuelle Benutzerbestand wird mit der Zielrolle verglichen, nicht nur ergänzt.
Ausnahme: Übergangsphase
Bei einer befristeten Übergabe können alte und neue Rechte parallel notwendig sein. Die Ausnahme erhält Enddatum, Owner und Review.
Leaver-Prozess
Ein kontrollierter Austritt kann folgende Schritte enthalten:
- Austrittsereignis aus führender Quelle.
- Anmeldung zum definierten Zeitpunkt blockieren.
- aktive Sitzungen und Refresh Tokens widerrufen.
- privilegierte Rollen und PIM-Berechtigungen entfernen.
- Gruppen- und App-Zuweisungen entziehen.
- Geräte- und Remotezugriff behandeln.
- Postfach, OneDrive und fachliche Daten gemäß Vorgabe übergeben.
- Lizenzen erst nach Prüfung abhängiger Dienste entfernen.
- Aufbewahrung, Legal Hold oder Löschfristen berücksichtigen.
- Konto nach definierter Frist löschen oder anonymisieren.
Microsoft 365 besitzt dienstspezifische Auswirkungen. Das sofortige Löschen des Benutzers ist selten der vollständige Offboardingprozess.
Lifecycle Workflows einsetzen
Microsoft Entra Lifecycle Workflows stellt Vorlagen, Aufgaben, Ausführungsbedingungen, Historie und Audit bereit. Beispiele unterstützter Aufgaben können Gruppenmitgliedschaften, Kontodeaktivierung oder Benachrichtigungen betreffen. Der aktuelle Aufgabenbestand wird von Microsoft dokumentiert.
Workflowdesign
- klare Zielgruppe und Bedingung,
- wenige, logisch geordnete Aufgaben,
- idempotente oder wiederholbare Schritte,
- Fehlerbenachrichtigung,
- Eigentümer,
- Pilotgruppe,
- Versions- und Änderungsdokumentation.
Workflow-Historie
Prüfen Sie Ausführungen nach Benutzer, Run und Task. Ein Workflow kann insgesamt laufen, während einzelne Aufgaben fehlschlagen. Fachlicher Abschluss darf deshalb nicht nur vom Triggerstatus abhängen.
Manuelle und benutzerdefinierte Aufgaben
Jede zusätzliche Logic App, jeder Webhook und jede App-Identität wird damit selbst zum Betriebsgegenstand. Credentials, Retry-Verhalten, Dead-Letter-Strategie, Monitoring und Kosten gehören deshalb in die Betriebsdokumentation, nicht allein ins Workflowdiagramm.
Nicht alle Prozesse lassen sich nativ vollständig abbilden. Lifecycle Workflows kann mit Logic Apps oder anderen Integrationen ergänzt werden, abhängig vom unterstützten Funktionsumfang. Externe Schritte benötigen eigene Authentifizierung, Fehlerbehandlung und Monitoring.
Ein manueller Task kann sinnvoller sein, wenn eine Entscheidung fachliche Prüfung benötigt, etwa Datenübergabe oder Hardwarekontrolle.
Typische Fehlerbilder
Eintrittsdatum fehlt oder ist falsch
Der Workflow startet nicht oder zum falschen Zeitpunkt. Lösung:
- HR-Datensatz korrigieren,
- Attributsynchronisierung prüfen,
- Workflow bei Bedarf kontrolliert erneut oder on-demand ausführen,
- Auswirkungen eines zu frühen Starts rückgängig machen.
Benutzer ist nicht im Workflow-Scope
Prüfen Sie Scope-Ausdruck, Attribute, Personentyp und Ausschlüsse. Verwenden Sie Testkonten mit realistischen Werten.
Einzelne Task schlägt fehl
Mögliche Ursachen:
- Gruppe nicht gefunden,
- fehlende Workflowberechtigung,
- Benutzer bereits Mitglied oder entfernt,
- Zielsystem nicht erreichbar,
- abhängiges Attribut fehlt.
Task-Historie und Audit liefern den Ausgangspunkt. Danach wird nur der fehlgeschlagene fachliche Schritt nachgeholt, nicht blind der gesamte Prozess wiederholt.
Austritt wird kurzfristig zurückgenommen
Der Rückfall hängt vom erreichten Zustand ab:
- Konto wieder aktivieren,
- Sitzungen neu aufbauen lassen,
- Gruppen und Rollen aus dokumentiertem Sollzustand wiederherstellen,
- Lizenzen erneut zuweisen,
- Datenübergabe stoppen,
- geplante Löschung abbrechen.
Ein vollständiges Snapshot aller effektiven Rechte vor Austritt erleichtert die Wiederherstellung.
Ehemaliger Mitarbeiter bleibt über Gastkonto aktiv
Interne und externe Identitäten derselben Person können getrennt existieren. Offboarding muss bekannte Gast- oder Partneridentitäten und externe Tenants berücksichtigen.
Tests
Joiner
- Eintritt in Zukunft,
- Eintritt heute,
- fehlender Manager,
- doppelte Mitarbeiter-ID,
- Lizenz nicht verfügbar,
- TAP und Erstregistrierung,
- Konto bleibt bis Start blockiert.
Mover
- Abteilungswechsel,
- Managerwechsel,
- privilegierte zu nicht privilegierter Rolle,
- Übergangsfrist,
- Entfernung alter Gruppen,
- Erhalt von Basisrechten.
Leaver
- geplanter Austritt,
- sofortiger Sicherheits-Austritt,
- Austritt zurückgenommen,
- Postfach-/OneDrive-Übergabe,
- Legal Hold oder Aufbewahrung,
- Lizenzentzug,
- endgültige Löschung.
Manuelle Rückfallliste
Für den Fall, dass Automatisierung ausfällt, muss ein autorisierter Betreiber die Schritte aus einer Checkliste ausführen können. Die Liste enthält:
- Benutzer-ID,
- Sollzeitpunkt,
- aktuelle und erwartete Gruppen,
- Rollen,
- Lizenzen,
- App-Zuweisungen,
- Datenübergabe,
- Authentifizierungs- und Sitzungsschritte,
- Abschlussbestätigung.
Nach Wiederherstellung der Automatisierung muss verhindert werden, dass bereits manuell erledigte Schritte doppelt ausgeführt werden.
Kennzahlen und Betrieb
- pünktlich bereitgestellte Joiner,
- fehlgeschlagene Workflowtasks,
- Mover mit alten Rechten,
- Leaver nach Sollzeitpunkt noch aktiv,
- direkte Lizenz- und Gruppenausnahmen,
- fehlende Manager-/Datumsattribute,
- manuelle Nacharbeiten,
- Zeit bis vollständigem Entzug privilegierter Rechte.
Für den fachlichen Offboarding- und Governance-Teil knüpft Access Reviews in Microsoft Entra ID an. Ein praxisnahes Prozessbeispiel mit Microsoft 365 zeigt Onboarding und Offboarding mit Power Automate, Entra und SharePoint.
So bleibt der Benutzerlebenszyklus auch bei Ausnahmen vollständig nachvollziehbar
Ein verlässlicher Joiner-Mover-Leaver-Prozess beginnt bei eindeutigem Dateneigentum. Lifecycle Workflows und gruppenbasierte Zuweisungen automatisieren wiederkehrende Schritte, während Historie, Audit, Sollzustandsvergleich und manuelle Rückfalllisten Ausnahmen beherrschbar machen. Besonders bei Rollenwechsel und Austritt muss der Prozess neue Rechte gezielt vergeben und alte Zugriffe nachweisbar entfernen.
Wenn Benutzerkonten, Gruppen und Lizenzen bei Ein- und Austritten manuell nachgezogen werden
Dann lässt sich ein Joiner-Mover-Leaver-Prozess mit verlässlichen Attributen, kontrollierten Workflows und klaren Ausnahmewegen aufbauen. Identitätslebenszyklus besprechen