2.13 Praxisprojekt – Automatisiertes Onboarding und Offboarding
Beim Onboarding erhält ein neuer Mitarbeiter die benötigten Benutzerkonten, Geräte, Rollen und Zugriffsrechte.
Beim Offboarding werden diese Zugänge kontrolliert entzogen, Daten gesichert und Lizenzen freigegeben.
Beide Prozesse eignen sich gut für eine teilweise Automatisierung.
Onboarding richtet Zugänge ein. Offboarding entfernt oder überträgt sie kontrolliert.
Lernziele
Nach dieser Seite solltest du erklären können:
- wie ein automatisiertes Onboarding aufgebaut ist
- welche Schritte beim Offboarding notwendig sind
- welche Systeme beteiligt sein können
- welche Daten benötigt werden
- welche Schritte automatisiert werden dürfen
- wo Freigaben notwendig sind
- wie Fehler und Teilerfolge behandelt werden
- welche Sicherheitsregeln gelten
Beteiligte Systeme
Ein Onboarding- oder Offboarding-Prozess kann mehrere Systeme verbinden.
Beispiele:
| System | Aufgabe |
|---|---|
| Personalsystem | liefert Mitarbeiterdaten |
| n8n | steuert den Workflow |
| Google Workspace | E-Mail, Kalender und Benutzerkonto |
| Slack | interne Kommunikation |
| Projektmanagement-System | Aufgaben und Projekte |
| Ticketsystem | Hardware- und Supportaufgaben |
| Geräteverwaltung | Laptop und Smartphone |
| CRM-System | Zugriff für Vertrieb oder Kundenbetreuung |
| Dokumentation | Protokoll und Anleitungen |
Benötigte Eingangsdaten
Typische Onboarding-Daten:
{
"employeeId": "EMP-105",
"firstName": "Max",
"lastName": "Mustermann",
"email": "[email protected]",
"department": "IT",
"role": "IT Support",
"startDate": "2026-08-03",
"manager": "Teamleitung IT"
}
Wichtige Pflichtfelder:
- eindeutige Mitarbeiter-ID
- Vorname
- Nachname
- dienstliche E-Mail-Adresse
- Abteilung
- Rolle
- Startdatum
- zuständige Führungskraft
Onboarding-Ablauf
Ein möglicher automatisierter Ablauf:
Mitarbeiter freigegeben
|
v
Webhook an n8n
|
v
Daten validieren
|
v
doppelte Verarbeitung prüfen
|
v
Freigabe vorhanden?
/ \
nein ja
| |
v v
stoppen Konto anlegen
|
v
Gruppen zuweisen
|
v
Lizenzen vergeben
|
v
IT-Aufgabe erstellen
|
v
Slack informieren
|
v
Ergebnis protokollieren
Schritt 1: Trigger
Der Workflow startet beispielsweise durch:
- Webhook aus dem Personalsystem
- neue Zeile in einer Datenquelle
- freigegebenes Formular
- manuelle Ausführung
- festgelegten Zeitplan
Beispielereignis:
{
"eventId": "evt-20015",
"event": "employee.approved"
}
Die Event-ID verhindert eine doppelte Verarbeitung.
Schritt 2: Daten validieren
Vor der Verarbeitung werden geprüft:
- Pflichtfelder vorhanden
- E-Mail-Adresse gültig
- Startdatum plausibel
- Abteilung bekannt
- Rolle erlaubt
- Mitarbeiter-ID eindeutig
- keine unerlaubten Sonderzeichen
- keine unnötigen Daten enthalten
Fehlerhafte Daten dürfen nicht automatisch weiterverarbeitet werden.
Schritt 3: Vorhandene Konten prüfen
Vor dem Anlegen sollte geprüft werden, ob bereits ein Konto existiert.
Beispiel:
GET /[email protected]
Mögliche Ergebnisse:
| Ergebnis | Reaktion |
|---|---|
| kein Konto vorhanden | Benutzer anlegen |
| Konto vorhanden | Workflow stoppen oder prüfen |
| mehrere Treffer | manuelle Bearbeitung |
| API-Fehler | Fehlerpfad starten |
Dadurch werden doppelte Benutzerkonten vermieden.
Schritt 4: Benutzerkonto anlegen
Beispiel:
POST /users
{
"name": "Max Mustermann",
"email": "[email protected]",
"department": "IT",
"active": true
}
Mögliche Response:
Status: 201 Created
{
"id": 105,
"email": "[email protected]"
}
Die neue Benutzer-ID sollte gespeichert werden.
Schritt 5: Gruppen und Rollen zuweisen
Die Abteilung kann bestimmen, welche Gruppen benötigt werden.
Beispiel:
| Abteilung | Gruppen |
|---|---|
| IT | Mitarbeitende, IT-Support |
| Vertrieb | Mitarbeitende, CRM |
| Buchhaltung | Mitarbeitende, Finance |
| Projektmanagement | Mitarbeitende, Projekte |
Beispielablauf:
Abteilung prüfen
/ | \
IT Vertrieb Buchhaltung
| | |
v v v
IT-Gruppe CRM Finance
Berechtigungen müssen nach dem Least-Privilege-Prinzip vergeben werden.
Schritt 6: Lizenzen vergeben
Mögliche Lizenzen:
- Google Workspace
- Slack
- Projektmanagement-System
- CRM-System
- Office-Anwendungen
- VPN
- weitere Fachsoftware
Vor der Vergabe sollte geprüft werden:
- Wird die Lizenz wirklich benötigt?
- Welche Lizenzstufe ist erforderlich?
- Sind noch freie Lizenzen vorhanden?
- Ist die Lizenz kostenpflichtig?
- Muss eine Freigabe erfolgen?
Schritt 7: Hardware-Aufgabe erstellen
Eine Aufgabe kann automatisch im Ticketsystem angelegt werden.
Beispiel:
{
"title": "Laptop für Max Mustermann vorbereiten",
"department": "IT",
"startDate": "2026-08-03",
"priority": "normal"
}
Mögliche Teilaufgaben:
- Laptop auswählen
- Betriebssystem aktualisieren
- Software installieren
- Festplattenverschlüsselung prüfen
- Geräteeigentümer eintragen
- MFA vorbereiten
- Übergabe dokumentieren
Schritt 8: Benachrichtigung senden
Nach erfolgreicher Vorbereitung kann eine Nachricht gesendet werden.
Beispiel:
Onboarding für Max Mustermann wurde vorbereitet.
Konto: erstellt
Gruppen: zugewiesen
Hardware-Aufgabe: erstellt
Startdatum: 03.08.2026
Die Nachricht darf keine Passwörter, Tokens oder vertraulichen Personaldaten enthalten.
Schritt 9: Ergebnis protokollieren
Protokolliert werden sollten:
- Mitarbeiter-ID
- Zeitpunkt
- ausgeführte Schritte
- erstellte Konten
- zugewiesene Gruppen
- vergebene Lizenzen
- fehlgeschlagene Schritte
- zuständige Person
- Workflow-Ausführung
Beispiel:
| Schritt | Ergebnis |
|---|---|
| Benutzerkonto | erfolgreich |
| IT-Gruppe | erfolgreich |
| Slack-Zugang | erfolgreich |
| Hardware-Ticket | erfolgreich |
| MFA | noch offen |
Manuelle Freigaben
Nicht jeder Schritt sollte vollständig automatisch erfolgen.
Freigaben können sinnvoll sein bei:
- Administratorrechten
- Zugriff auf Finanzsysteme
- Zugriff auf sensible Kundendaten
- teuren Softwarelizenzen
- besonderen Sicherheitsrollen
- externen Benutzerkonten
- privilegierten VPN-Zugängen
Beispiel:
Rolle "Administrator" angefordert
|
v
Freigabe notwendig
/ \
nein ja
| |
v v
ablehnen zuweisen
Offboarding
Ein Offboarding beginnt, wenn ein Mitarbeiter das Unternehmen verlässt oder keinen Zugriff mehr benötigt.
Typische Eingangsdaten:
{
"employeeId": "EMP-105",
"email": "[email protected]",
"endDate": "2027-01-22",
"manager": "Teamleitung IT"
}
Offboarding-Ablauf
Austritt freigegeben
|
v
Identität prüfen
|
v
Zeitpunkt festlegen
|
v
aktive Sitzungen beenden
|
v
Benutzerkonto sperren
|
v
Tokens widerrufen
|
v
Gruppen entfernen
|
v
Daten übertragen
|
v
Lizenzen freigeben
|
v
Geräte zurückfordern
|
v
Vorgang dokumentieren
Konto deaktivieren statt sofort löschen
Benutzerkonten sollten häufig zuerst deaktiviert werden.
Vorteile:
- Daten bleiben erhalten
- E-Mails können übertragen werden
- Audit-Logs bleiben nachvollziehbar
- Konto kann bei Fehlern wieder aktiviert werden
- Abhängigkeiten können geprüft werden
Beispiel:
PATCH /users/105
{
"active": false
}
Eine endgültige Löschung kann später nach internen Regeln erfolgen.
Aktive Sitzungen beenden
Beim Offboarding sollten aktive Sitzungen beendet werden.
Dazu gehören:
- Browser-Sitzungen
- mobile Apps
- Desktop-Anwendungen
- VPN-Verbindungen
- gespeicherte Anmeldungen
- OAuth-Verbindungen
Nur das Passwort zu ändern reicht möglicherweise nicht aus.
Tokens und API-Zugänge widerrufen
Zu prüfen sind:
- API-Keys
- Bearer-Tokens
- Refresh Tokens
- persönliche Zugriffstokens
- SSH-Schlüssel
- VPN-Zertifikate
- App-Passwörter
Persönliche Tokens dürfen nach dem Austritt nicht aktiv bleiben.
Datenübertragung
Vor der Sperrung oder Löschung können Daten übertragen werden.
Beispiele:
- E-Mails an Führungskraft übertragen
- Dateien einem Team zuweisen
- Kalendertermine übergeben
- Projekte neu zuordnen
- offene Aufgaben übertragen
- persönliche Freigaben entfernen
Der Verantwortliche für die Datenübernahme muss festgelegt sein.
Lizenzen freigeben
Nach dem Offboarding können Lizenzen entfernt und erneut vergeben werden.
Beispiele:
- Google Workspace
- CRM
- Projektmanagement
- Office
- VPN
- Fachsoftware
Dadurch werden unnötige Kosten vermieden.
Geräte und Hardware
Zu prüfen sind:
- Laptop zurückgegeben
- Smartphone zurückgegeben
- Sicherheitsschlüssel zurückgegeben
- Zugangskarte deaktiviert
- lokale Daten gesichert
- Gerät zurückgesetzt
- Inventarsystem aktualisiert
Der Workflow kann dafür automatisch Aufgaben erstellen, die eigentliche Übergabe erfolgt jedoch manuell.
Zeitgesteuertes Offboarding
Ein Offboarding kann für einen bestimmten Zeitpunkt vorbereitet werden.
Beispiel:
Konto am letzten Arbeitstag um 18:00 Uhr deaktivieren.
Dabei müssen Zeitzone und Austrittszeitpunkt eindeutig sein.
Kritische Zugänge können auch sofort gesperrt werden, wenn:
- ein Sicherheitsvorfall besteht
- der Austritt kurzfristig erfolgt
- Missbrauch vermutet wird
- eine ausdrückliche Anweisung vorliegt
Teilerfolge behandeln
Beispiel:
| Schritt | Ergebnis |
|---|---|
| Konto deaktiviert | erfolgreich |
| Sitzungen beendet | erfolgreich |
| Slack-Zugang entfernt | fehlgeschlagen |
| Datenübertragung | noch offen |
| Lizenz entfernt | nicht ausgeführt |
Der Vorgang ist nicht vollständig abgeschlossen.
Der Workflow sollte:
- fehlgeschlagene Schritte markieren
- abhängige Aktionen prüfen
- IT benachrichtigen
- manuelle Aufgabe erstellen
- Teilerfolg dokumentieren
Fehlerbehandlung
Mögliche Fehler:
- Benutzer nicht gefunden
- mehrere Benutzer mit gleicher E-Mail
- fehlende Berechtigung
- API nicht erreichbar
- Konto bereits deaktiviert
- Datenübertragung nicht möglich
- zuständige Führungskraft fehlt
- Lizenzsystem antwortet nicht
Behandlung:
Fehler erkannt
|
v
sicherheitskritisch?
/ \
ja nein
| |
v v
sofort Retry oder
eskalieren Aufgabe erstellen
Rollback
Beim Onboarding kann ein Rollback sinnvoll sein.
Beispiel:
- Konto wurde angelegt.
- erforderliche Sicherheitsgruppe konnte nicht zugewiesen werden.
- Konto wird vorsorglich deaktiviert.
- IT erhält eine Fehlermeldung.
Beim Offboarding ist ein vollständiger Rollback häufig schwieriger.
Deshalb sollten kritische Schritte gut dokumentiert und möglichst reversibel sein.
Sicherheitsregeln
- Service Account verwenden
- nur notwendige Scopes vergeben
- keine Passwörter in Logs speichern
- Webhook authentifizieren
- Event-ID prüfen
- Eingabedaten validieren
- Administratorrechte nur nach Freigabe
- Test- und Produktivsysteme trennen
- sensible Daten minimieren
- alle wichtigen Änderungen protokollieren
Praxisablauf Onboarding
- Personalsystem sendet Webhook.
- Signatur und Event-ID werden geprüft.
- Pflichtfelder werden validiert.
- Vorhandenes Konto wird gesucht.
- Benutzerkonto wird angelegt.
- Gruppen werden anhand der Abteilung zugewiesen.
- notwendige Lizenzen werden vergeben.
- Hardware-Ticket wird erstellt.
- IT wird benachrichtigt.
- Ergebnis wird protokolliert.
- offene Schritte werden markiert.
Praxisablauf Offboarding
- Austritt wird freigegeben.
- Benutzerkonto wird eindeutig identifiziert.
- Zeitpunkt der Sperrung wird geprüft.
- Sitzungen und Tokens werden widerrufen.
- Konto wird deaktiviert.
- Gruppen und Rollen werden entfernt.
- Daten und Aufgaben werden übertragen.
- Lizenzen werden freigegeben.
- Geräteaufgabe wird erstellt.
- Abschluss wird dokumentiert.
- offene Punkte werden eskaliert.
Systematische Fehlersuche
Wenn ein Onboarding oder Offboarding fehlschlägt:
- Wurde der richtige Trigger ausgelöst?
- Ist die Event-ID eindeutig?
- Sind alle Pflichtfelder vorhanden?
- Ist der Benutzer eindeutig identifizierbar?
- Existiert bereits ein Konto?
- Sind die Credentials gültig?
- Besitzt der Service Account ausreichende Rechte?
- Welche Node ist fehlgeschlagen?
- Welcher Statuscode wurde zurückgegeben?
- Welche Schritte waren bereits erfolgreich?
- Besteht ein Sicherheitsrisiko?
- Ist ein Retry gefahrlos möglich?
- Muss das Konto vorsorglich deaktiviert werden?
- Welche manuelle Aufgabe muss erstellt werden?
Wichtige Begriffe
| Begriff | Bedeutung |
|---|---|
| Onboarding | technische Einrichtung eines Mitarbeiters |
| Offboarding | kontrollierter Entzug von Zugängen |
| Event-ID | eindeutige Kennung eines Ereignisses |
| Service Account | technischer Benutzer für Automatisierungen |
| Freigabe | bestätigte Erlaubnis für eine Aktion |
| Deaktivierung | Zugang sperren, Daten zunächst erhalten |
| Datenübertragung | Übergabe von Dateien, E-Mails oder Aufgaben |
| Teilerfolg | nur ein Teil des Prozesses war erfolgreich |
| Rollback | bereits ausgeführte Änderungen zurücknehmen |
| Inventarsystem | verwaltet Geräte und Eigentümer |
Gesamtmerksatz
Ein automatisiertes Onboarding legt Benutzerkonten, Gruppen, Lizenzen und Aufgaben nach festgelegten Regeln an. Beim Offboarding werden Sitzungen, Tokens, Rollen und Zugänge kontrolliert entfernt, Daten übertragen und Lizenzen freigegeben. Kritische Rechte benötigen Freigaben und jeder Schritt muss nachvollziehbar protokolliert werden.
Kontrollfragen
Was ist Onboarding?
Die technische Einrichtung eines neuen Mitarbeiters.
Was ist Offboarding?
Der kontrollierte Entzug von Konten, Rechten und Zugängen beim Austritt.
Warum sollte vor dem Anlegen eines Kontos gesucht werden?
Damit kein doppeltes Benutzerkonto entsteht.
Warum wird ein Konto häufig zunächst deaktiviert statt gelöscht?
Damit Daten, Protokolle und Abhängigkeiten erhalten bleiben.
Welche Schritte benötigen häufig eine manuelle Freigabe?
Administratorrechte, sensible Datenzugriffe und kostenintensive Lizenzen.
Warum müssen aktive Sitzungen beendet werden?
Weil ein Benutzer trotz Passwortänderung noch angemeldet sein könnte.
Was muss mit persönlichen API-Tokens geschehen?
Sie müssen widerrufen werden.
Was ist ein Teilerfolg?
Einige Schritte wurden erfolgreich ausgeführt, andere sind fehlgeschlagen.
Warum ist die Event-ID wichtig?
Sie verhindert eine doppelte Verarbeitung desselben Vorgangs.
Warum dürfen Passwörter nicht im Workflow-Log stehen?
Weil Logs sonst selbst zu einem Sicherheitsrisiko werden.
Quellen
- NIST – Least Privilege
- OWASP – Authorization Cheat Sheet
- OWASP – Secrets Management Cheat Sheet
- n8n-Dokumentation – Workflows
- n8n-Dokumentation – Error Handling