Mitarbeiter-Onboarding: Am ersten Tag startklar

Lena

Bei uns fängt am Montag ein neuer Vertriebler an. Und ich wette, um neun fragt jemand, wo eigentlich sein Laptop ist.

Jonas

Das ist der häufigste Fehlstart beim Mitarbeiter-Onboarding, also der Aufnahme neuer Leute. Der Vertrag ist seit Wochen unterschrieben, aber die IT hat davon nichts erfahren.

Lena

Was kostet mich das, außer einem verlorenen Vormittag?

Jonas

Mehr als den Vormittag. Wer ohne Zugang dasitzt, bekommt Kennwörter zugerufen oder arbeitet am fremden Rechner.

Jonas

Genau so entstehen Lücken, die später niemand mehr findet. Und der erste Eindruck vom neuen Arbeitgeber ist ein Mensch, der wartet.

Lena

Ist das eine Pflicht oder eher eine Frage des Stils?

Jonas

Das Bundesamt für Sicherheit in der Informationstechnik sieht vor, dass Personal und Vorgesetzte neue Leute geregelt einarbeiten. Dazu sollen eine Checkliste und eine feste Ansprechperson gehören, ein sogenannter Pate.

Jonas

Pflicht ist dieser Grundschutz für die meisten Firmen nicht. Aber er beschreibt ziemlich genau, was im Alltag schiefgeht.

Lena

Und wer ist bei uns dafür zuständig? Personal, Führungskraft oder IT?

Jonas

Alle drei, aber nacheinander. Das Personal meldet, die Führungskraft sagt, was die Person braucht, und die IT richtet ein.

Lena

Was nehme ich aus dieser Folge mit?

Jonas

Drei typische Fälle: das Gerät, das nicht da ist, die Rechte, die einfach kopiert werden, und die erste Anmeldung. Am Ende stehen drei Regeln, damit der erste Tag um neun Uhr läuft.

Lena

Fangen wir mit dem Laptop an. Wie sieht der Fehler aus?

Jonas

Ein typischer Fall: Eine Firma mit vierzig Leuten stellt eine Einkäuferin ein. Der Vertrag ist Anfang des Monats unterschrieben, die IT erfährt es am Freitag vor dem Start.

Jonas

Ein neues Gerät ist so schnell nicht da. Also bekommt die Kollegin den alten Rechner aus dem Lager, angemeldet mit dem Konto ihres Vorgängers.

Lena

Das klingt erst mal pragmatisch. Was ist daran so schlimm?

Jonas

Sie arbeitet dann unter fremdem Namen, mit fremden Rechten und mit den Dateien eines anderen. Jede Mail und jede Buchung steht unter dem falschen Namen.

Jonas

Der IT-Grundschutz sagt dazu klar: Jede Kennung muss eindeutig einer Person zugeordnet sein. Ein geliehenes Konto ist also kein Notbehelf, sondern genau der Fehler.

Lena

Gut. Was ist der bessere Ablauf?

Jonas

Die Meldung an die IT geht raus, sobald der Vertrag unterschrieben ist, nicht in der Woche vor dem Start. Mit Name, Starttermin, Abteilung und dem Gerät, das die Person braucht.

Lena

Bei uns weiß ich das manchmal selbst erst drei Wochen vorher. Reicht das?

Jonas

Meist ja, wenn die Meldung dann auch sofort kommt. Selten ist die Lieferzeit das Problem, meistens hat einfach niemand Bescheid gesagt.

Lena

Und dann sitzt jemand von der IT einen ganzen Tag daran und richtet den Laptop ein?

Jonas

Das muss heute nicht mehr sein. Microsoft hat dafür ein Verfahren namens Autopilot, mit dem sich ein neuer Windows-Rechner beim ersten Einschalten selbst einrichtet.

Jonas

Das Gerät kann sogar direkt zur neuen Person geschickt werden. Sie packt aus, schaltet ein, verbindet sich mit dem Netz und meldet sich an.

Lena

Und den Rest holt sich der Rechner selbst?

Jonas

Genau. Laut Microsoft muss die Person nur das Netz verbinden und sich anmelden, Programme und Einstellungen kommen danach von allein.

Lena

Dafür muss aber vorher schon etwas vorbereitet sein.

Jonas

Richtig. Das Gerät muss in der Verwaltung der Firma eingetragen sein, und das Konto der Person muss existieren.

Lena

Was braucht die IT für das Konto von mir?

Jonas

Eine freie Lizenz, also das Nutzungsrecht für Microsoft 365. Microsoft nennt das ausdrücklich als ersten Schritt: Lizenzen kaufen, bevor man jemanden anlegt.

Jonas

Ist keine frei, kann die IT das Konto trotzdem anlegen und eine weitere dazukaufen. Diese Kaufentscheidung gehört aber vor den Starttag, nicht in den Montagmorgen.

Lena

Wer gibt das Geld für Gerät und Lizenz frei? Bei uns wartet so etwas gern auf meine Unterschrift.

Jonas

Genau deshalb steht es in der ersten Meldung. Die IT schlägt vor, die Geschäftsführung gibt einmal frei, und niemand wartet am Starttag auf eine Unterschrift.

Lena

Und der Rechner aus dem Lager? Den haben wir ja schon bezahlt.

Jonas

Den kann man nehmen, aber nur frisch zurückgesetzt. Microsoft beschreibt dafür einen eigenen Weg, der ein vorhandenes Gerät schnell für eine neue Person vorbereitet.

Jonas

Vorher prüft jemand, ob darauf noch Dateien des Vorgängers liegen, die nirgends sonst gespeichert sind. Das Konto des Vorgängers ist in jedem Fall tabu.

Lena

Zweiter Punkt, ich sage der IT meistens: Sie bekommt dieselben Rechte wie ihr Kollege. Ist das falsch?

Jonas

Es klingt praktisch, aber es kopiert die Geschichte des Kollegen mit. Der ist vielleicht seit zehn Jahren im Haus und hat Zugriff auf alte Projektordner und auf die Lohnliste, weil er mal ausgeholfen hat.

Lena

Und die Neue hätte das dann alles am ersten Tag.

Jonas

Genau. Der IT-Grundschutz sieht das Gegenteil vor: Rechte nur nach dem tatsächlichen Bedarf für die Aufgabe, das Prinzip der geringsten Rechte.

Jonas

Und wer mehr als den Standard will, bekommt es nur mit Begründung und nach einer Prüfung.

Lena

Wer entscheidet denn, was der Bedarf ist? Die IT kennt die Aufgaben doch gar nicht.

Jonas

Das entscheidet die Führungskraft: Sie sagt, welche Abteilung, welche Programme, welche Ordner, und die IT setzt es um.

Jonas

Am einfachsten geht das mit festen Rollen: ein Paket für den Einkauf, eines für den Vertrieb, eines für die Buchhaltung. Die neue Person bekommt ihr Paket, nicht die Geschichte ihres Vorgängers.

Lena

Das klingt nach viel Vorarbeit.

Jonas

Einmal, ja. Danach geht jeder Eintritt schneller, weil niemand mehr einzeln überlegt.

Jonas

Und der IT-Grundschutz sieht ohnehin vor, dass festgehalten wird, wer welche Rechte hat. Diese Liste wird regelmäßig geprüft, ob sie noch zu den Aufgaben passt.

Lena

Bei uns wollte neulich ein Neuer Administratorrechte, damit er selbst Programme installieren kann. Was spricht dagegen?

Jonas

Ein Administrator darf alles am Rechner, je nach Rolle sogar in der ganzen Firmenumgebung. Klickt er auf eine falsche Mail, darf das Schadprogramm ebenfalls alles.

Jonas

Microsoft empfiehlt, die höchste Verwaltungsrolle an weniger als fünf Personen zu vergeben. Ein neuer Mitarbeiter gehört nicht dazu, auch nicht für die erste Woche.

Lena

Und wenn er ein Programm wirklich braucht?

Jonas

Dann beantragt er es, die Führungskraft gibt frei, und die IT spielt es auf. So bleibt nachvollziehbar, was auf welchem Rechner läuft.

Lena

Und wenn die Neue nach einem Jahr in eine andere Abteilung wechselt?

Jonas

Dann bekommt sie das Paket der neuen Abteilung, und das alte wird entfernt. Der Grundschutz sieht vor, dass nicht mehr benötigte Rechte bei personellen Veränderungen verschwinden.

Lena

Was ist mit Aushilfen und Praktikanten? Die sind ja nur drei Monate da.

Jonas

Für sie gilt dasselbe, nur mit Enddatum. Das steht schon in der ersten Meldung, dann vergisst es beim Austritt niemand.

Jonas

Und auch sie bekommen ein eigenes Konto, kein geliehenes. Für Leihkräfte und externe Hilfe sieht der Grundschutz vor, dass sie bei längerem Einsatz wie die eigenen Leute eingewiesen werden.

Lena

Dritter Fall: Gerät da, Konto da, Rechte passen. Was kann jetzt noch schiefgehen?

Jonas

Die erste Anmeldung. Ein typischer Fall: Die IT schickt das Startkennwort per Mail an die private Adresse, oder es klebt auf einem Zettel am Bildschirm.

Lena

Das ist doch nur für einen Tag. Man muss es beim ersten Anmelden ohnehin ändern.

Jonas

Bei Microsoft ist das die Voreinstellung, ja. Aber bis dahin kann sich jeder, der die Mail oder den Zettel sieht, als die neue Person anmelden.

Jonas

Und der IT-Grundschutz ist da streng: Ein Kennwort darf nur der Person selbst bekannt sein.

Lena

Wie macht man es besser?

Jonas

Microsoft bietet dafür einen befristeten Zugangscode für die erste Anmeldung. Er gilt in der Grundeinstellung eine Stunde und lässt sich so einstellen, dass er nur einmal funktioniert.

Jonas

Den gibt die Führungskraft oder der Pate am ersten Morgen persönlich weiter. Damit richtet die neue Person ihre eigene Anmeldung ein, danach ist der Code wertlos.

Lena

Und wenn der Code abläuft, bevor sie fertig ist?

Jonas

Dann stellt die IT einen neuen aus. Microsoft beschreibt genau diesen Fall: Dauert die Einrichtung länger als zehn Minuten, braucht es bei einem Einmalcode einen zweiten.

Lena

Und dann kommt der zweite Faktor. Das ist die Bestätigung übers Handy?

Jonas

Genau, eine zweite Bestätigung neben dem Kennwort, meist über eine App auf dem Telefon. Und hier verpassen viele eine Änderung.

Jonas

Früher hatten neue Nutzer bei den Sicherheits-Grundeinstellungen von Microsoft vierzehn Tage Zeit dafür. Seit dem neunundzwanzigsten Juli zweitausendvierundzwanzig gibt es diese Schonfrist nicht mehr.

Lena

Das heißt, die Einrichtung muss am ersten Tag passieren.

Jonas

Ja, gleich bei der ersten Anmeldung. Wer dann kein Telefon dabeihat oder die App nicht installieren will, kommt nicht weiter.

Lena

Da habe ich sofort die nächste Frage: Kann ich verlangen, dass jemand dafür sein privates Handy nimmt?

Jonas

Das klären Sie mit Ihrer Personalabteilung, nicht mit der IT. Wer kein Diensthandy hat und das private nicht nutzen will, bekommt einen Sicherheitsschlüssel, ein kleines Gerät für den USB-Anschluss.

Jonas

Den Schlüssel muss die IT vorher freischalten, mit Microsofts einfachen Grundeinstellungen allein geht nur die App. Microsoft empfiehlt solche Schlüssel ohnehin für Konten mit weitreichenden Rechten, sie gelten als besonders sicher gegen gefälschte Anmeldeseiten.

Lena

Und was gehört außer der Technik noch in den ersten Tag?

Jonas

Die Verpflichtung auf den Datenschutz. Die Datenschutzaufsicht von Bund und Ländern schreibt, dass sie bei Aufnahme der Tätigkeit erfolgen muss, möglichst spätestens am ersten Arbeitstag.

Jonas

Zuständig ist die Unternehmensleitung oder jemand, den sie damit beauftragt. Empfohlen wird eine schriftliche oder elektronische Erklärung, die Sie aufbewahren.

Lena

Und wohin wendet sich die Neue, wenn ihr eine Mail komisch vorkommt?

Jonas

Das gehört in die erste Stunde: wo sie Probleme meldet, wer ihre Ansprechperson ist und welche Regeln im Haus gelten. Der IT-Grundschutz sieht ausdrücklich vor, dass neue Leute über bestehende Regeln und Abläufe informiert werden.

Lena

Was kostet mich das alles?

Jonas

Kaum Geld, vor allem die richtige Reihenfolge. Die Arbeit ist dieselbe, ob sie drei Wochen vorher passiert oder am Montag um neun.

Jonas

Nur sitzt im zweiten Fall jemand daneben und wartet. Und am Ende teilt er sich doch wieder ein Kennwort mit dem Kollegen.

Lena

Dann bitte zum Schluss die drei Regeln. Was lege ich morgen im Haus fest?

Jonas

Erstens: Sobald der Vertrag unterschrieben ist, meldet das Personal Name, Starttermin und Abteilung an Führungskraft und IT. Die Führungskraft sagt, welches Gerät, welche Programme und welche Ordner die Person braucht.

Jonas

Zweitens: Jede neue Person bekommt ein eigenes Konto, ein frisch eingerichtetes Gerät und Rechte nach ihrer Rolle, nicht nach dem Kollegen. Administratorrechte gehören nicht dazu.

Jonas

Drittens: Am ersten Morgen gibt der Pate den Zugangscode persönlich weiter. Zweiter Faktor, Datenschutzverpflichtung und die Frage, wo man Probleme meldet, sind vor dem Mittag erledigt.

Lena

Das ist machbar. Und wenn ich das nicht selbst nachhalten will?

Jonas

Wer mit kjello arbeitet, meldet die neue Person im Portal an. Dann werden Microsoft-Konto und Lizenz angelegt, und das Gerät wird beschafft und eingerichtet.