Tim Lipphardt
Head of Consulting
Alle Blogartikel
Identity Lifecycle Management: So bringst du Ordnung in den Joiner Mover Leaver Prozess
Lifecycle Management ist das Rückgrat jeder IAM Strategie
Vom ersten Arbeitstag bis zum Offboarding: Wer Identitäten nicht aktiv über ihren gesamten Lebenszyklus hinweg steuert, riskiert Sicherheitslücken, Compliance Probleme und unnötige Kosten.
Der Mover Prozess ist die größte Schwachstelle
Onboarding und Offboarding bekommen viel Aufmerksamkeit. Das eigentliche Risiko entsteht dazwischen: bei Abteilungswechseln, Rollenwechseln und Projektänderungen, die niemand sauber nachzieht.
Automatisierung ist kein Nice to have
Manuelle Prozesse mit Tickets und Excel Listen skalieren nicht. Wer Identity Lifecycle Management ernst nimmt, braucht die Integration von HR Systemen und automatisierte Workflows.
Das Problem
Warum Identity Lifecycle Management mehr als nur Onboarding ist
Stell dir folgenden Montagmorgen vor: Neue Kollegin, erster Arbeitstag, voller Tatendrang. Aber der Laptop hat keinen Zugang zum Projektlaufwerk, die Collaboration Tools sind gesperrt, und das Ticketsystem kennt sie gar nicht. Willkommen im Unternehmen.
Und auf der anderen Seite des Flurs sitzt jemand, der vor drei Monaten die Abteilung gewechselt hat und immer noch Zugriff auf die vertraulichen HR Daten seiner alten Rolle hat. Nicht aus böser Absicht, es hat einfach niemand daran gedacht, die alten Berechtigungen zu entziehen.
Beide Szenarien sind Alltag in Unternehmen, die kein funktionierendes Identity Lifecycle Management haben. Und genau da liegt das Problem: Viele Organisationen denken bei IAM vor allem an Authentifizierung, also an Login, Passwörter und MFA. Das ist wichtig, keine Frage.
Aber die eigentliche Komplexität steckt im Lifecycle. Also in der Frage: Wer bekommt wann welche Berechtigungen, wie lange, und wer sorgt dafür, dass sie auch wieder entzogen werden?
Identity Lifecycle Management beschreibt genau diesen Prozess. Es umfasst die komplette Verwaltung digitaler Identitäten von der Erstellung über Änderungen bis hin zur Deaktivierung. Und das betrifft nicht nur Mitarbeitende, sondern auch Externe, Partner, Dienstleister und zunehmend auch technische Identitäten wie Service Accounts oder API Keys.
Der Joiner Mover Leaver Prozess
Der Joiner Mover Leaver Prozess einfach erklärt
Der Lebenszyklus einer Identität lässt sich in drei Phasen unterteilen, die in der Fachsprache als Joiner Mover Leaver Prozess bekannt sind.
Joiner: Der erste Tag entscheidet
Ein neuer Mitarbeitender wird im HR System angelegt. Name, Abteilung, Rolle, Startdatum. Und ab diesem Moment sollte eigentlich alles Weitere automatisch passieren: Das IAM System erstellt die digitale Identität, weist die passenden Berechtigungen zu und sorgt dafür, dass am ersten Tag alle nötigen Zugänge bereitstehen.
In der Realität sieht das oft anders aus. Ohne Automatisierung schickt HR eine Mail an die IT, die IT erstellt manuell Accounts in verschiedenen Systemen, und irgendwer vergisst den Zugang zum Projektmanagement Tool. Das Ergebnis: Produktivitätsverlust ab Tag eins.
Gutes Lifecycle Management bedeutet, dass das HR System als Single Source of Truth fungiert und den gesamten Onboarding Prozess automatisch anstößt. Je nach Rolle und Abteilung bekommt der neue Mitarbeitende genau die Zugänge, die er braucht. Nicht mehr, nicht weniger.
Mover: Das unterschätzte Risiko
Jetzt wird es spannend, denn hier passieren die meisten Fehler. Jemand wechselt vom Vertrieb ins Produktmanagement. Neue Berechtigungen werden dazugebucht, weil die neue Rolle sie erfordert. Aber die alten Berechtigungen? Bleiben einfach liegen. Niemand entzieht den Zugriff auf das CRM, die Vertriebsdatenbank oder die internen Sales Reports.
Dieses Phänomen heißt Privilege Creep und ist eines der hartnäckigsten Probleme im Identity Management. Über Monate und Jahre sammeln sich Berechtigungen an, die längst nicht mehr zur aktuellen Rolle passen. Das Resultat ist ein massiv vergrößerter Angriffsvektor, der bei jedem Audit auffällt und im schlimmsten Fall zum Einfallstor für Angreifer wird.
Das Tückische am Mover Prozess: Er passiert viel häufiger als Onboarding oder Offboarding. Mitarbeitende wechseln Projekte, übernehmen neue Aufgaben, bekommen temporäre Sonderzugänge für eine Deadline. Jede dieser Veränderungen müsste eigentlich eine saubere Rezertifizierung auslösen. In der Praxis geschieht das viel zu selten.
Leaver: Schnell handeln, sauber aufräumen
Wenn jemand das Unternehmen verlässt, müssen alle Zugänge sofort deaktiviert werden. Wirklich alle. Nicht nur der Active Directory Account, sondern auch aktive SSO Sessions, OAuth Tokens, VPN Zugänge, Cloud Subscriptions und Mobile Device Profile.
In vielen Organisationen dauert es Tage oder sogar Wochen, bis alle Zugänge tatsächlich gesperrt sind. Besonders kritisch wird es bei kurzfristigen Kündigungen oder wenn Mitarbeitende im Streit gehen. In dieser Zeitspanne können sensible Daten abfließen oder Systeme manipuliert werden.
Noch ein Problem, das gerne übersehen wird: verwaiste Accounts. Das sind Konten, die niemandem mehr zugeordnet werden können, weil der Leaver Prozess nicht sauber durchgelaufen ist. Diese Accounts existieren still und leise in der Systemlandschaft und sind ein gefundenes Fressen für Angreifer.
Die Konsequenzen
Was passiert, wenn Identity Lifecycle Management nicht funktioniert
Nehmen wir ein Beispiel: Nehmen wir ein mittelständisches Unternehmen mit 2.000 Mitarbeitenden. Wenn pro Jahr rund 5 bis 10 Prozent intern die Rolle wechseln, entstehen bereits 100 bis 200 Mover Events. Dazu kommen Eintritte und Austritte, bei denen Berechtigungen ebenfalls angepasst oder entzogen werden müssen.
Ohne automatisiertes Lifecycle Management muss die IT jedes Mal manuell in mehreren Systemen Berechtigungen anpassen. Das bindet Ressourcen, ist fehleranfällig und dauert oft viel zu lang.
Und dann sind da noch die Audits. Wenn ein Prüfer fragt, warum ein ehemaliger Mitarbeitender drei Monate nach seinem Ausscheiden noch Zugriff auf vertrauliche Kundendaten hatte, wird es schnell unangenehm. DSGVO, ISO 27001 oder branchenspezifische Regularien wie NIS2 und DORA verlangen nachweisbare Kontrolle über Zugriffsrechte. Ohne sauberes Lifecycle Management wird jeder Audit zum Stresstest.
Best Practices
Wie gutes Identity Lifecycle Management in der Praxis aussieht
Die gute Nachricht: Du musst nicht alles auf einmal umbauen. Identity Lifecycle Management lässt sich schrittweise aufsetzen, und jeder Schritt bringt sofort spürbaren Mehrwert.
Unterstützung gefällig?
Du willst wissen, wie du Identity Lifecycle Management in deinem Unternehmen aufsetzen oder verbessern kannst? Wir bei amiconsult kennen die Lösungen, Anbieter und Stolpersteine aus der Praxis und unterstützen dich dabei, eine Lösung zu entwickeln, die wirklich zu deinem Unternehmen passt.
Fazit
Lifecycle Management ist kein Kürprogramm
Identity Lifecycle Management klingt vielleicht nicht so aufregend wie Zero Trust oder Agentic AI. Aber es ist das Fundament, auf dem alles andere aufbaut. Ohne saubere Joiner Mover Leaver Prozesse nützt dir die beste Authentifizierungslösung wenig, wenn Berechtigungen trotzdem unkontrolliert wachsen.
Die Unternehmen, die hier investieren, merken den Unterschied schnell: weniger manuelle Arbeit für die IT, kürzere Onboarding Zeiten, saubere Audits und vor allem deutlich weniger Angriffsfläche.
Und mit Blick auf die Zukunft wird Lifecycle Management noch wichtiger. KI Agenten, Service Accounts und Machine Identities brauchen genauso einen sauberen Lebenszyklus wie menschliche Nutzer. Wer diese Basis jetzt schafft, ist auf alles vorbereitet, was kommt.
Du willst wissen, wie du Identity Lifecycle Management in deinem Unternehmen aufsetzen oder verbessern kannst? Wir bei amiconsult kennen die Lösungen, Anbieter und Stolpersteine aus der Praxis und unterstützen dich dabei, eine Lösung zu entwickeln, die wirklich zu deinem Unternehmen passt. → Sprich uns an
