Onboarding-Checkliste: was ein neuer Arbeitsplatz braucht

Dann geht es schnell. Konto, Rechner, Postfach, Telefon, Drucker. Dazu kommt die Frage, auf welche Ordner der neue Kollege überhaupt darf.

Genau diese letzte Frage wirkt am längsten nach. Wer am ersten Tag zu viele Rechte bekommt, behält sie oft über Jahre.

Das Bundesamt für Sicherheit in der Informationstechnik regelt genau das. Kennungen und Berechtigungen „DÜRFEN NUR aufgrund des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung vergeben werden“.

Der Starttag ist der beste Zeitpunkt dafür. Deshalb fängt die Checkliste weiter unten nicht bei der Hardware an, sondern bei der Rolle.

Praktisch heißt das: Erst steht fest, was jemand tun soll. Danach steht fest, worauf er zugreifen darf.

Das BSI empfiehlt dafür Standard-Rechteprofile, „die den Funktionen und Aufgaben der Mitarbeitenden entsprechen“. Im kleinen Betrieb sind das Buchhaltung, Vertrieb, Werkstatt, Geschäftsführung. Wer stattdessen die Rechte des Vorgängers kopiert, übernimmt dessen Sonderfälle gleich mit.

Alles, was über die Rolle hinausgeht, darf nur „nach zusätzlicher Begründung und Prüfung“ vergeben werden. Ein Satz zum Warum gehört also dazu, und jemand muss ihn gelesen haben. Wie so eine Aufstellung aussieht, steht auf unserer Seite dazu, wer welche Ordner sehen darf.

Eine Anforderung gehört ebenfalls an den Anfang und nicht in die Technik. Aufgaben, die sich gegenseitig kontrollieren sollen, müssen über die Berechtigungen getrennt werden. Wer Rechnungen erfasst, gibt sie nicht selbst frei.

Was für die Konten gilt, die mehr dürfen als der Rest, steht auf Admin-Zugänge.

Dieselbe Aufstellung ist es, aus der beim Austritt die Liste der Zugänge wird. Wer sie beim Anlegen führt, muss am letzten Arbeitstag nicht suchen.

Ein eigenes Passwort braucht jedes Konto. Was inzwischen wegfällt, ist der Satz dahinter: und in neunzig Tagen ein neues.

Das BSI hat den zeitgesteuerten Wechsel abgeräumt. Systeme „SOLLTEN nur mit einem validen Grund zum Wechsel des Passworts auffordern“, reine zeitgesteuerte Wechsel „SOLLTEN vermieden werden“.

Und noch eine Stelle lohnt sich für den ersten Tag. Das Passwort „DARF NICHT zu kompliziert sein“, damit die Leute es mit vertretbarem Aufwand benutzen können. Ein Passwort, das keiner behalten kann, landet unter der Tastatur.

Was stattdessen schriftlich stehen sollte, haben wir als Passwort-Richtlinie mit den Quellen dazu zusammengestellt.

Auf dem Blatt zu dieser Seite steht deshalb kein Feld für ein Passwort. Ein ausgefülltes Onboarding-Blatt mit Zugangsdaten wäre eine Passwortliste im Ordner, und die ist das Gegenteil von dem, was hier steht.

Für die Betriebe, die wir betreuen, gibt es in der Regel Standardeinrichtungen oder Installationen. Woran sie hängen, ist die Abteilung: Buchhaltung, Personal, Technik, Außendienst, Vertrieb, Innendienst, Produktion.

Wer neu dazukommt, bekommt danach sein Profil, seine Zugangsberechtigungen, seine Software, seine Drucker und alles, was er sonst braucht. Hardware und Software sind dann genau darauf zugeschnitten.

Dorthin kommen wir auf zwei Wegen.

Der eine: Wir können das vorher miteinander festlegen, damit die Abläufe klar sind.

Der andere: Der Kunde stellt uns ein Ticket ins Ticketsystem ein. Ein Mitarbeiter fängt an, arbeitet in dieser oder jener Abteilung und braucht diese und jene Berechtigung.

Dazu, was er sonst noch braucht: ein neues Laptop oder einen festen Arbeitsplatz, Telefonie, ein Handy, den Kalender. Die Kollegen übernehmen das und bereiten alles so vor, dass es zum Starttag fertig ist.

Zum Teil hängt daran auch neue Hardware. Die ist dann entweder schon eingekauft und vorbereitet oder bereits verfügbar. Und manchmal muss sie zum Kunden rausgehen, weil die Leute im Außendienst oder im Homeoffice sitzen. Da gibt es verschiedene Situationen.

Arbeitsvertrag, Probezeit, Einarbeitungsplan: all das gehört zum Start eines neuen Mitarbeiters, aber nicht auf ein Blatt, das die Zugänge regelt.

Die Einweisung in den Datenschutz ist ebenfalls Sache des Betriebs. Wie sie bei Ihnen aussehen muss, klärt Ihr Datenschutzberater. Wir geben keine Rechtsberatung.

Was wir mitgeben, ist die technische Seite: wie die Anmeldung funktioniert, wo die Daten hingehören und an wen sich jemand wendet, wenn etwas nicht geht.

Diese Liste kann jeder Betrieb selbst führen. Der schwierige Teil daran ist nicht der einzelne Punkt, sondern dass die Aufstellung auch dann noch stimmt, wenn seit dem Anlegen zwei Leute gegangen und drei gekommen sind.

Wenn bei Ihnen heute niemand sagen kann, welche Konten es überhaupt gibt, fangen wir dort an. Was schriftlich vorliegen sollte, steht auf unserer Seite zur IT-Dokumentation. Und was wir im laufenden Betrieb übernehmen, steht auf Ihre externe IT-Abteilung.