Der häufigste Befund in jedem Berechtigungs-Audit ist banal — und gefährlich: Konten von Menschen, die das Unternehmen längst verlassen haben, sind noch aktiv. Manchmal seit Monaten, manchmal seit Jahren. Diese verwaisten Konten entstehen nicht aus Nachlässigkeit einzelner Personen, sondern aus einem fehlenden oder kaputten Prozess. Genau diesen Prozess beschreibt das Kürzel JML: Joiner, Mover, Leaver — der vollständige Lebenszyklus einer Identität vom Eintritt über jeden Wechsel bis zum Austritt.
Ein sauber eingerichteter JML-Prozess ist das Rückgrat jedes funktionierenden Identity & Access Managements. Er sorgt dafür, dass neue Mitarbeiter am ersten Tag arbeitsfähig sind, dass Berechtigungen bei Wechseln tatsächlich angepasst werden — und dass beim Austritt zuverlässig alle Zugriffe erlöschen. Dieser How-To-Beitrag zeigt die drei Phasen im Detail, erklärt, wie Sie sie automatisieren, welche Risiken bei Lücken entstehen, und liefert am Ende eine konkrete Praxis-Checkliste für Ihren eigenen JML-Prozess.
Warum JML-Prozesse so oft scheitern
Bevor wir in die einzelnen Phasen einsteigen, lohnt der Blick auf die typische Ausgangslage. In vielen mittelständischen Unternehmen läuft die Rechtevergabe informell: Die Führungskraft schreibt eine Mail an die IT, die IT klickt die Rechte zusammen, fertig. Das funktioniert beim Eintritt halbwegs — weil jemand sich beschwert, wenn ein neuer Mitarbeiter nicht arbeiten kann. Beim Austritt funktioniert es fast nie, weil sich niemand beschwert, wenn ein Konto zu lange aktiv bleibt. Der Schmerz fehlt, also fehlt der Anreiz.
Das ist der Kern des Problems: Joiner-Prozesse sind selbstkorrigierend, Leaver-Prozesse nicht. Wer JML ernst nimmt, muss deshalb genau dort die meiste Sorgfalt investieren, wo der natürliche Druck fehlt. Ein guter Prozess macht das richtige Verhalten zum Standard und das Vergessen unmöglich. Wie JML in das größere Bild des Berechtigungsmanagements passt, beschreibt unser Leitfaden zu IAM im Mittelstand.
Merksatz
Joiner-Fehler fallen sofort auf, weil sich jemand beschwert. Leaver-Fehler fallen erst im Audit auf — oder beim Sicherheitsvorfall. Investieren Sie Ihre Sorgfalt dort, wo der natürliche Druck fehlt.
Phase 1: Joiner — der Eintritt
Der Joiner-Prozess beginnt, sobald feststeht, dass eine neue Person dem Unternehmen beitritt — idealerweise schon vor dem ersten Arbeitstag. Das Ziel: Die Person ist am Tag eins vollständig arbeitsfähig, mit genau den Rechten, die ihre Rolle erfordert, und keinen darüber hinaus.
Ein sauberer Joiner-Prozess umfasst mehrere Schritte:
- Identität anlegen: Das Benutzerkonto wird erstellt, idealerweise mit standardisierten Namenskonventionen und eindeutigen Attributen (Abteilung, Standort, Vorgesetzter, Kostenstelle).
- Basis-Berechtigungen vergeben: Über die Rolle erhält die Person automatisch ihre Grundausstattung — E-Mail, Kollaborationswerkzeuge, abteilungsspezifische Anwendungen.
- Hardware und Zugänge bereitstellen: Geräte, physische Zutritte und gegebenenfalls weitere Systeme werden vorbereitet.
- MFA einrichten: Multi-Faktor-Authentifizierung wird von Anfang an erzwungen, nicht nachträglich.
Der entscheidende Hebel ist hier das rollenbasierte Provisioning. Statt für jeden Neuzugang individuell zu überlegen, welche Rechte er braucht, leiten Sie die Berechtigungen aus der Rolle ab. Ein neuer Vertriebsmitarbeiter bekommt automatisch das Vertriebs-Paket, eine neue Buchhalterin das Finanz-Paket. Das beschleunigt nicht nur den Prozess, sondern macht ihn auch reproduzierbar und auditierbar.
Phase 2: Mover — der Wechsel
Der Mover-Prozess ist die am häufigsten unterschätzte und zugleich tückischste der drei Phasen. Er greift, wenn eine Person innerhalb des Unternehmens ihre Rolle wechselt — die Abteilung, die Position, den Aufgabenbereich. Das Problem: Beim Wechsel kommen neue Rechte hinzu, aber die alten werden fast nie entzogen.
Genau hier entsteht der „Privilege Creep" — der schleichende Rechte-Zuwachs. Ein Mitarbeiter, der in fünf Jahren dreimal die Abteilung gewechselt hat, trägt am Ende die Berechtigungen aus allen vier Rollen mit sich herum. Nach außen ein normaler Sachbearbeiter, in Wahrheit ein Konto mit weitreichenden, niemandem mehr bewussten Zugriffen — ein ideales Ziel für Angreifer.
Ein sauberer Mover-Prozess folgt deshalb einem einfachen, aber konsequenten Prinzip: Beim Wechsel werden die alten Rechte vollständig entzogen und die neuen frisch nach der neuen Rolle vergeben. Nicht „dazu", sondern „statt". Praktisch heißt das:
- Alte Rolle entfernen: Alle Berechtigungen der bisherigen Rolle werden entzogen.
- Neue Rolle zuweisen: Die Berechtigungen der neuen Rolle werden vergeben.
- Sonderrechte prüfen: Individuelle Zusatzrechte (die nicht aus einer Rolle stammen) werden bewusst überprüft — behalten oder entfernen?
- Vorgesetzten-Genehmigung: Der neue Vorgesetzte bestätigt, dass die Ausstattung passt.
Der Mover ist auch der beste Moment, um Altlasten zu bereinigen. Jeder Rollenwechsel ist eine natürliche Gelegenheit, die Berechtigungen einer Person auf den aktuellen Bedarf zurückzusetzen.
Praxis-Tipp
Behandeln Sie einen Mover technisch wie einen Leaver gefolgt von einem Joiner: alte Rechte komplett weg, neue sauber nach Rolle vergeben. So verhindern Sie den Privilege Creep an der Wurzel.
Phase 3: Leaver — der Austritt
Der Leaver-Prozess ist der sicherheitskritischste — und der am häufigsten vernachlässigte. Verlässt eine Person das Unternehmen, müssen alle Zugriffe zuverlässig und zeitnah erlöschen. Was simpel klingt, scheitert in der Praxis an drei Dingen: an fehlender Information (die IT erfährt zu spät vom Austritt), an Unvollständigkeit (einige Systeme werden vergessen) und an Sonderfällen (Cloud-Dienste, externe Plattformen, geteilte Konten).
Ein belastbarer Leaver-Prozess umfasst:
- Sofortige Deaktivierung: Das primäre Konto wird zum vereinbarten Zeitpunkt deaktiviert — bei Konflikt-Austritten sofort, sonst zum letzten Arbeitstag.
- Vollständiger Rechteentzug: Alle Berechtigungen, Gruppenmitgliedschaften und Anwendungszugriffe werden entfernt — nicht nur das AD-Konto, sondern auch verbundene Cloud- und Drittsysteme.
- MFA- und Geräte-Bereinigung: Registrierte Authentifizierungsmethoden und Geräte werden entfernt, Sessions invalidiert.
- Datenübergabe: Postfach, Dateien und laufende Vorgänge werden geregelt an Nachfolger oder Vorgesetzte übergeben.
- Geplante Löschung: Nach einer definierten Aufbewahrungsfrist wird das Konto endgültig gelöscht — nicht dauerhaft als „deaktiviert" liegengelassen.
Ein besonders heikler Sonderfall sind privilegierte Konten und geteilte Zugänge. Wenn ein ausscheidender Administrator das Passwort eines geteilten Service-Kontos kannte, muss dieses Passwort geändert werden — die reine Deaktivierung seines persönlichen Kontos reicht nicht.
Das Risiko verwaister Konten
Verwaiste Konten sind keine Bagatelle, sondern eine der gefährlichsten Schwachstellen überhaupt. Sie sind besonders attraktiv für Angreifer, weil sie kaum überwacht werden: Niemand bemerkt verdächtige Aktivitäten auf einem Konto, das eigentlich gar nicht mehr genutzt werden sollte. Ein verwaistes Konto mit bekanntem Passwort ist ein offener Hintereingang.
Hinzu kommt die Compliance-Dimension. Sowohl die ISO/IEC 27001:2022 als auch die seit Dezember 2025 in Deutschland in Kraft getretene NIS2-Umsetzung verlangen kontrollierte Zugriffsverwaltung. Verwaiste Konten sind ein klassisches und schwerwiegendes Audit-Finding — sie zeigen, dass der Leaver-Prozess nicht funktioniert. Die regelmäßige Berechtigungsrezertifizierung ist das wirksamste Mittel, um solche Konten aufzudecken, bevor es ein Auditor — oder ein Angreifer — tut.
Automatisierung: HR als Auslöser
Der Schlüssel zu zuverlässigen JML-Prozessen ist Automatisierung. Solange Eintritte, Wechsel und Austritte per E-Mail oder Zuruf an die IT gemeldet werden, sind Lücken unvermeidlich — Menschen vergessen, sind im Urlaub, übersehen Systeme. Die Lösung: Personalereignisse aus dem HR-System lösen automatisch die passenden IT-Aktionen aus.
Das Prinzip heißt „HR as a Source of Truth". Das HR-System ist die maßgebliche Quelle für den Status jeder Person — eingestellt, gewechselt, ausgeschieden. Eine Provisioning-Lösung (etwa in Verbindung mit Microsoft Entra ID) liest diese Informationen aus und setzt sie automatisch um:
- Ein neuer Eintrag im HR-System legt automatisch das Konto an und vergibt die Rollen-Berechtigungen (Joiner).
- Eine Änderung der Abteilung im HR-System löst den Rollenwechsel aus (Mover).
- Ein Austrittsdatum im HR-System deaktiviert das Konto automatisch zum Stichtag (Leaver).
Diese Kopplung beseitigt die größte Schwachstelle — den menschlichen Übermittlungsfehler. Das Austrittsdatum, das die Personalabteilung ohnehin pflegt, wird zum verlässlichen Auslöser der Konto-Deaktivierung. Niemand muss mehr daran denken.
Wichtig: Automatisierung ersetzt nicht das Konzept. Erst muss klar sein, welche Rolle welche Rechte bekommt und wie Genehmigungen laufen — dann automatisiert man diesen sauberen Prozess. Wer Chaos automatisiert, bekommt schnelleres Chaos.
Rollen und Genehmigungen
JML-Prozesse funktionieren nur auf der Basis eines durchdachten Rollenmodells. Werden Berechtigungen individuell pro Person zusammengeklickt, lässt sich nichts automatisieren und nichts nachvollziehen. Mit Rollen dagegen wird die Rechtevergabe zur ableitbaren Größe: Rolle plus Abteilung ergibt die Berechtigungen.
Für die Fälle, die über die Standard-Rolle hinausgehen, braucht es klare Genehmigungsprozesse. Wer darf zusätzliche Rechte anfordern, wer genehmigt sie, und wie wird die Genehmigung dokumentiert? Ein guter Genehmigungsworkflow erfüllt drei Anforderungen: Er ist nachvollziehbar (jede Vergabe hat einen dokumentierten Genehmiger), er trennt Anforderung und Genehmigung (das Vier-Augen-Prinzip), und er ist schnell genug, um nicht umgangen zu werden. Ein zu umständlicher Prozess wird durch informelle Abkürzungen ausgehebelt — und dann ist die ganze Systematik dahin.
Praxis-Checkliste für Ihren JML-Prozess
Nutzen Sie diese Checkliste, um Ihren eigenen JML-Prozess zu prüfen oder aufzubauen:
Joiner
- Rollenbasiertes Provisioning statt individueller Rechtevergabe
- Konto und Basis-Rechte vor dem ersten Arbeitstag bereit
- MFA von Anfang an erzwungen
- Klare Verantwortlichkeit: Wer löst den Joiner aus?
Mover
- Alte Rolle wird vollständig entzogen, nicht nur ergänzt
- Sonderrechte werden beim Wechsel aktiv überprüft
- Vorgesetzten-Bestätigung der neuen Ausstattung
- Wechsel wird wie „Leaver + Joiner" behandelt
Leaver
- Austrittsdatum aus HR löst Deaktivierung automatisch aus
- Alle Systeme erfasst — auch Cloud- und Drittdienste
- Geteilte/Service-Konto-Passwörter werden geändert
- Datenübergabe geregelt, Löschfrist definiert
Übergreifend
- HR-System als verlässliche Datenquelle angebunden
- Rollenmodell als Basis vorhanden
- Genehmigungsworkflow für Sonderrechte dokumentiert
- Regelmäßige Rezertifizierung deckt Lücken auf
Wie welabs Sie bei JML-Prozessen unterstützt
welabs hilft mittelständischen Unternehmen, JML-Prozesse aus dem informellen Zuruf in einen verlässlichen, automatisierten Ablauf zu überführen. Im Rahmen unseres Identity & Access Managements bieten wir:
- JML-Prozess-Design: klare Definition der drei Phasen mit Verantwortlichkeiten, Rollen und Genehmigungen.
- HR-Integration & Provisioning: Anbindung Ihres HR-Systems als Auslöser, automatisiertes Provisioning über Microsoft Entra ID.
- Rollenmodell als Fundament: Entwicklung eines tragfähigen RBAC-Modells, auf dem die Automatisierung aufsetzt.
- Aufdeckung verwaister Konten: strukturierte Bestandsaufnahme und Bereinigung bestehender Altlasten.
- Governance & Rezertifizierung: wiederkehrende Kontrollen, die dauerhaft sauber halten, was einmal aufgeräumt wurde.
Als Strategic Security Advisor (SSA) begleiten wir Sie pragmatisch und auf Augenhöhe. Sie wissen nicht, wie viele verwaiste Konten in Ihren Systemen schlummern? Ein kostenloser Security-Check im Erstgespräch verschafft Ihnen Klarheit.
Fazit
JML-Prozesse sind das unscheinbare Rückgrat eines funktionierenden Berechtigungsmanagements. Sie entscheiden darüber, ob neue Mitarbeiter produktiv starten, ob Rechte beim Wechsel wirklich angepasst werden — und ob beim Austritt keine offenen Hintertüren zurückbleiben. Der kritischste Punkt ist fast immer der Leaver-Prozess, weil hier der natürliche Korrekturdruck fehlt. Genau deshalb lohnt sich Automatisierung: HR-getriggerte Abläufe machen das Vergessen unmöglich.
Der Weg dorthin führt über ein sauberes Rollenmodell, klare Genehmigungen und die Kopplung an das HR-System als verlässliche Datenquelle. Wer diese Grundlagen schafft, beseitigt nicht nur ein häufiges Audit-Finding, sondern schließt eine der gefährlichsten Schwachstellen überhaupt — verwaiste Konten, die niemand mehr im Blick hat.