Onboarding in Microsoft 365 automatisieren: die 3 Wege
Mitarbeiter-Onboarding in Microsoft 365 & Entra ID automatisieren: was sich automatisieren lässt, die 3 Wege (manuell, selbst bauen, als Service) – und welcher für den Mittelstand passt.
- Beim Onboarding in Microsoft 365 lassen sich Benutzerkonto, Lizenzzuweisung, Gruppen und Berechtigungen, Teams-, SharePoint- und OneDrive-Zugänge sowie die Geräteeinrichtung automatisieren – ausgelöst durch ein einziges Ereignis wie das Eintrittsdatum aus dem HR-System.
- Es gibt drei Wege: manuell im Admin Center, selbst gebaut mit Power Automate, PowerShell oder Entra-ID-Lifecycle-Workflows, oder fertig als Service über einen IT-Dienstleister.
- Die Lifecycle-Workflows in Microsoft Entra ID decken die drei Phasen Joiner, Mover und Leaver ab und können bis zu sieben Tage vor dem Eintrittsdatum starten – sie setzen aber eine zusätzliche Lizenz für Microsoft Entra ID Governance oder die Entra Suite voraus.
- Selbst bauen ist mächtig, kostet aber Entwicklungs- und Wartungsaufwand und setzt internes Know-how voraus – im Mittelstand oft der Engpass, weil die Flows an einer einzelnen Person hängen.
- kjello automatisiert On- und Offboarding auf Basis von Microsoft 365 als fertigen Workflow für 29 € pro User und Monat – ohne dass Sie selbst Power-Automate-Flows bauen und pflegen müssen.
Ein neuer Mitarbeitender fängt an – und die IT arbeitet eine Liste von fünfzehn Handgriffen ab: Konto anlegen, Lizenz zuweisen, in die richtigen Gruppen aufnehmen, SharePoint-Berechtigungen setzen, Teams hinzufügen, Postfach einrichten, Gerät vorbereiten. Jeder Schritt manuell, jeder Schritt eine mögliche Fehlerquelle. Dabei lässt sich fast alles davon in Microsoft 365 automatisieren. Dieser Ratgeber zeigt, was geht, welche drei Wege es gibt – und welcher für den Mittelstand wirklich passt.
Was sich beim M365-Onboarding automatisieren lässt
Onboarding-Automatisierung in Microsoft 365 bedeutet: Ein einziges Ereignis – meist das Eintrittsdatum aus dem HR-System – stößt alle Bereitstellungsschritte an, die sonst ein Administrator einzeln klickt. Wie HR und IT dabei ineinandergreifen, entscheidet über den Rest:
- Benutzerkonto in Microsoft Entra ID anlegen, mit korrekten Stammdaten
- Microsoft-365-Lizenz automatisch zuweisen – passend zur Rolle
- Gruppen und Verteiler: Aufnahme in die richtigen Sicherheits- und Verteilergruppen
- Berechtigungen für SharePoint-Seiten, Teams-Kanäle und Fachanwendungen
- Postfach, OneDrive und Teams einrichten und mit Standardinhalten befüllen
- Gerät vorbereiten, das sich beim ersten Anmelden selbst konfiguriert
Der Effekt: Statt Stunden manueller Klickarbeit ist der neue Mitarbeitende am ersten Arbeitstag produktiv – und nichts wird vergessen. Was in eine gute Onboarding-Checkliste gehört, zeigt unser Ratgeber IT-Onboarding Checkliste.
Ein Punkt wird dabei oft übersehen: Die Automatisierung ist nur so gut wie die Daten, die sie auslösen. Wer keine saubere Rollenlogik hat – welche Position bekommt welche Lizenz, welche Gruppen, welche Ordner –, automatisiert Chaos. Der erste Schritt ist deshalb nie ein Flow, sondern eine Rollenmatrix.
Der Lebenszyklus dahinter: Joiner, Mover, Leaver
Microsoft beschreibt den Identitätslebenszyklus in drei Phasen. Laut Microsoft Learn zu den Lebenszyklus-Workflows unterscheidet Entra ID zwischen Joiner (Eintritt), Mover (Wechsel der Rolle oder Abteilung) und Leaver (Austritt). Ein Workflow besteht dort aus Aufgaben und einer Ausführungsbedingung – etwa: „sieben Tage vor dem Wert im Attribut employeeHireDate das Konto anlegen und die Führungskraft informieren”.
Die mittlere Phase fehlt im Mittelstand am häufigsten. Ein Wechsel aus dem Vertrieb in die Buchhaltung führt fast überall dazu, dass die neuen Rechte dazukommen – die alten aber bleiben. Wer On- und Offboarding automatisiert, sollte den Rollenwechsel deshalb von Anfang an mitdenken.
Die drei Wege zur Onboarding-Automatisierung
Weg 1: Manuell im Microsoft 365 Admin Center
Der Ausgangspunkt vieler Unternehmen: Ein Administrator legt jeden Benutzer von Hand im Admin Center an und arbeitet die Schritte einzeln ab. Das funktioniert, ist aber langsam, fehleranfällig und skaliert schlecht. Bei mehreren Eintritten im Monat wird es schnell zum Zeitfresser – und vergessene Berechtigungen oder falsch zugewiesene Lizenzen sind vorprogrammiert.
Eine Zwischenstufe, die wenig kostet und viel bringt: die gruppenbasierte Lizenzierung. Statt jedem Konto einzeln eine Lizenz zuzuweisen, hängt die Lizenz an einer Sicherheitsgruppe, und jedes neue Gruppenmitglied erbt sie automatisch. Microsoft beschreibt das Vorgehen in der Dokumentation zur gruppenbasierten Lizenzierung.
Die gruppenbasierte Lizenzierung unterstützt laut Microsoft keine verschachtelten Gruppen. Weisen Sie einer Gruppe eine Lizenz zu, die selbst wieder Gruppen enthält, bekommen nur die Mitglieder der ersten Ebene eine Lizenz – alle darunter bleiben ohne. Der Fehler fällt oft erst auf, wenn jemand am ersten Arbeitstag Outlook nicht starten kann.
Weg 2: Selbst automatisieren mit den Microsoft-Werkzeugen
Microsoft bietet mehrere Werkzeuge, um Onboarding-Workflows selbst zu bauen:
- Power Automate (Teil der Power Platform): Cloud-Flows verketten Aktionen ohne viel Code – etwa „neuer Eintrag in Microsoft Forms oder HR-System → Benutzer anlegen → Lizenz zuweisen → Teams-Nachricht an die Führungskraft”.
- PowerShell mit Microsoft Graph: skriptbasierte Automatisierung für alle, die maximale Kontrolle wollen. Über Graph laufen Konten, Gruppen, Lizenzen und Geräte in einer einzigen Schnittstelle zusammen. Mächtig, aber Sache von IT-Profis.
- Windows Autopilot: das Gerät konfiguriert sich beim ersten Einschalten selbst — es muss vorher niemand Hand anlegen. Die Voraussetzungen dafür schafft eine saubere Geräteverwaltung über Microsoft Intune beziehungsweise Managed Intune als Service.
- Lifecycle-Workflows in Microsoft Entra ID Governance: regelbasiertes On- und Offboarding direkt in Entra ID, etwa Konten X Tage vor dem Einstellungsdatum automatisch bereitstellen. Bis zu 100 Workflows lassen sich je Mandant anlegen.
Der Haken bei den Lifecycle-Workflows ist die Lizenz. Microsoft nennt in den Lizenzierungsgrundlagen zu Entra ID Governance als Voraussetzung eine Lizenz für Microsoft Entra ID Governance oder die Microsoft Entra Suite – zusätzlich zu einem Plan, der bereits Entra ID P1 oder P2 enthält. P1 steckt laut derselben Quelle in Microsoft 365 Business Premium und E3, P2 in E5. Für ein Unternehmen mit Business Premium heißt das: Die Funktion ist nicht „schon dabei”, sondern ein eigener Kostenblock pro Nutzer.
Etwas leichter wird der Einstieg durch Copilot. Laut Microsoft Learn zum Erstellen von Cloud-Flows mit Copilot beschreiben Sie in natürlicher Sprache, was passieren soll, und Copilot baut den Flow samt Verbindungen. Microsoft weist auf derselben Seite aber darauf hin, dass die Funktion auf Englisch optimiert ist – und sie ersetzt weder das Verständnis des zugrunde liegenden Prozesses noch die laufende Pflege der Workflows.
Der Haken beim Selbstbauen: Die Workflows sind einmalig aufwendig zu konfigurieren und müssen laufend gewartet werden. Ändert Microsoft ein Feature oder kommt eine neue Anforderung, müssen die Flows nachgezogen werden – sonst brechen sie unbemerkt. Das setzt internes Know-how voraus, das im Mittelstand oft der Engpass ist.
Weg 3: Onboarding als fertigen Service
Der dritte Weg: Ein IT-Dienstleister richtet die Automatisierung passend zu Ihrem Microsoft-365-Mandanten ein und betreibt sie – inklusive Wartung und Anpassung. Sie bekommen das Ergebnis (Onboarding auf Knopfdruck), ohne selbst zum Power-Automate-Entwickler zu werden. Genau das leistet die Onboarding- und Offboarding-Automatisierung von kjello.
So läuft ein automatisiertes Onboarding ab
Unabhängig vom gewählten Weg sieht die Reihenfolge in der Praxis fast immer gleich aus:
- Rollenmatrix festlegen. Welche Position bekommt welche Lizenz, welche Gruppen, welche Ordner- und Anwendungsrechte. Ohne diese Matrix automatisiert man Ausnahmen statt Regeln.
- Auslöser definieren. Meist das Eintrittsdatum aus dem HR-System oder ein Formular, das die Führungskraft ausfüllt. Ein Auslöser, nicht drei.
- Konto und Identität anlegen. Benutzer in Entra ID mit vollständigen Stammdaten, Vorgesetztem und Abteilung – die Attribute, an denen später alle Regeln hängen.
- Lizenz und Gruppen zuweisen. Über die Gruppenmitgliedschaft, nicht einzeln pro Konto. So bleibt die Zuweisung nachvollziehbar und beim Austritt wieder entziehbar.
- Gerät bereitstellen. Über Autopilot und Intune: Der Laptop geht direkt an den neuen Arbeitsplatz und konfiguriert sich beim ersten Anmelden selbst.
- Übergabe dokumentieren. Wer hat wann welchen Zugang bekommen – der Nachweis, den Sie bei einer Prüfung oder einem Sicherheitsvorfall brauchen.
Schritt sechs ist der, den selbst gebaute Flows am häufigsten auslassen. Dabei verlangt der Baustein ORP.4 „Identitäts- und Berechtigungsmanagement” aus dem IT-Grundschutz-Kompendium des BSI genau das. In Anforderung ORP.4.A3 heißt es wörtlich: „Es MUSS dokumentiert werden, welche Benutzendenkennungen, angelegte Benutzendengruppen und Rechteprofile zugelassen und angelegt wurden.” Diese Dokumentation muss zudem regelmäßig daraufhin geprüft werden, ob sie den tatsächlichen Stand der Rechtevergabe noch widerspiegelt. Eine Automatisierung, die jeden Schritt protokolliert, erledigt beides nebenbei.
Sie packen einen neuen Laptop aus, schalten ihn ein, und er konfiguriert sich selbst: Apps, Einstellungen, Sicherheitsrichtlinien. Das ist keine Zukunft, das geht heute.
Jens HagelGründer & Geschäftsführer
Welcher Weg für den Mittelstand passt
Die Entscheidung hängt weniger von der Technik als von den vorhandenen Ressourcen ab:
| Weg | Passt, wenn … | Nachteil |
|---|---|---|
| Manuell | sehr wenige Eintritte, kein Automatisierungsbedarf | zeitaufwendig, fehleranfällig |
| Selbst bauen | eigene, gut ausgestattete IT-Abteilung mit Power-Platform-Know-how | Bau- und Wartungsaufwand, Abhängigkeit vom internen Wissen, ggf. Zusatzlizenzen |
| Als Service | kein dediziertes IT-Team oder keine Kapazität für Flow-Pflege | Auswahl eines verlässlichen Dienstleisters nötig |
Für die meisten kleinen und mittleren Unternehmen ist Weg 3 der wirtschaftlichste: Ein Power-Automate-Spezialist im Haus ist selten, und die Wartung selbst gebauter Flows bindet genau das knappe Know-how, das anderswo gebraucht wird.
Der häufigste Einwand dagegen lautet: „Das können wir intern lösen.” Meistens stimmt das sogar – solange die eine Person da ist, die die Flows gebaut hat. Fällt sie aus, kündigt sie oder ist sie im Urlaub, steht der Prozess still, und niemand traut sich an die Logik heran. Genau dieses Klumpenrisiko ist der Grund, warum Automatisierung im Mittelstand so oft nach zwei Jahren wieder von Hand läuft.
Wenn jemand neu anfängt: Laptop da, E-Mail eingerichtet, Telefon läuft. Wenn jemand geht: Zugänge zu. Mehr wollen wir gar nicht.
Was die Automatisierung kostet
Beim Selbstbauen entstehen drei Kostenblöcke: die einmalige Konzeption und Umsetzung, die laufende Pflege – und je nach Werkzeug zusätzliche Lizenzen, etwa für Entra ID Governance.
Bei kjello ist die Automatisierung Teil der Flatrate: 29 € pro User und Monat für Core, optional +10 € pro User und Monat für Antivirus und EDR. Microsoft-365-Lizenzen kommen als Durchleitung hinzu, sofern gewünscht. Alle Zahlen und den vollen Leistungsumfang finden Sie auf der Seite zu den kjello-Preisen. Was ein Arbeitsplatz insgesamt kostet, rechnet der IT-Kosten-Rechner in zwei Minuten durch.
Der zweite Einwand – „zu teuer” – hält der Gegenrechnung selten stand. Rechnen Sie einen halben Arbeitstag Handarbeit pro Eintritt gegen, dazu die Zeit für Korrekturen bei falsch gesetzten Berechtigungen und die Lizenzen, die nach Austritten weiterlaufen, weil sie niemand freigegeben hat. Bei zehn Personalbewegungen im Jahr ist die Automatisierung meist schon durch die vergessenen Lizenzen bezahlt.
Offboarding nicht vergessen – das unterschätzte Sicherheitsrisiko
Onboarding-Automatisierung denkt man meist zuerst. Das größere Risiko liegt aber beim Austritt: Wird ein Konto beim Offboarding nicht zuverlässig deaktiviert, bleiben E-Mail, Daten und Lizenzen offen – ein Sicherheitsrisiko und unnötige Kosten. Automatisierte Offboarding-Workflows sperren Konten zum Stichtag, archivieren Daten regelkonform, entziehen Berechtigungen und geben die 365-Lizenzen wieder frei. Welche Schritte dabei DSGVO-konform zusammengehören, führt unsere Offboarding-Checkliste im Detail auf. So bleibt kein verwaistes Konto zurück, das später jemand ausnutzt.
Der Reiz der Automatisierung liegt hier in der Symmetrie: Was beim Eintritt aus einer Regel entsteht, lässt sich beim Austritt aus derselben Regel wieder entziehen. Wer Rechte dagegen einzeln von Hand vergibt, hat beim Offboarding keine Liste – sondern muss raten.
30 Minuten, kostenlos, ohne Vertriebsdruck: Wir schauen uns Ihren Microsoft-365-Mandanten an und sagen Ihnen, was sich automatisieren lässt.
Gespräch vereinbarenSo automatisiert kjello Ihr Onboarding
Statt selbst Power-Automate-Flows zu bauen und zu warten, bekommen Sie die Automatisierung fertig eingerichtet und laufend betreut – einschließlich der Anpassungen, wenn Microsoft an Entra ID, Intune oder Power Automate etwas ändert. Die Anbindung an den bestehenden Mandanten beschreibt die Seite zu Microsoft 365 im Betrieb, den vollen Funktionsumfang die Übersicht zu kjello im Detail.
So wird aus einem halben Tag Handarbeit pro Eintritt ein Vorgang von wenigen Minuten – transparent nachvollziehbar und ohne vergessene Schritte. kjello ist dabei bewusst auf Unternehmen mit 20 bis 250 Mitarbeitenden zugeschnitten. Wer eine eigene, große IT-Abteilung mit Power-Platform-Team hat, fährt mit selbst gebauten Lifecycle-Workflows besser – und wir sagen das offen.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was lässt sich beim Onboarding in Microsoft 365 automatisieren?
Welche Microsoft-Werkzeuge gibt es zur Onboarding-Automatisierung?
Lohnt sich der Aufwand, Onboarding selbst zu automatisieren?
Warum ist automatisiertes Offboarding ein Sicherheitsthema?
Welche Lizenz brauche ich für die Lifecycle-Workflows in Entra ID?
Wie lange dauert ein manuelles Onboarding in Microsoft 365?
Onboarding automatisieren mit kjello
Konten, Lizenzen, Gruppen und Geräte per Workflow statt Checkliste – kjello automatisiert On- und Offboarding auf Basis von Microsoft 365, fertig eingerichtet.
