Vom Onboarding-Ticket zum nachvollziehbaren Berechtigungsmanagement
Wie ich mit iTop, Customized Request Forms, eigenen Checklisten und n8n das Benutzer-Onboarding strukturiert und automatisiert habe – und mit Access Control künftig auch physische und logische Berechtigungen nachvollziehbar verwalten möchte.
Wie ich mit iTop, Customized Request Forms, eigenen Checklisten und n8n einen strukturierten Onboarding-Prozess umgesetzt habe – und warum daraus eine neue Erweiterung für Access Control entsteht.
Ein neuer Mitarbeiter – ein Ticket, viele Aufgaben
Ein neuer Mitarbeiter beginnt im Unternehmen. Was für die Personalabteilung zunächst ein organisatorischer Vorgang ist, bedeutet für die IT eine ganze Reihe unterschiedlicher Aufgaben.
Ein Notebook muss bereitgestellt, ein Benutzerkonto angelegt, Microsoft-365-Lizenzen zugewiesen und möglicherweise Zugriffe auf Nextcloud oder weitere Anwendungen eingerichtet werden.
Die einzelnen Aufgaben sind nicht besonders ungewöhnlich. Die eigentliche Herausforderung liegt vielmehr darin, sie vollständig, strukturiert und nachvollziehbar abzuarbeiten.
Wer benötigt welche Ausstattung? Welche Zugriffe wurden angefordert? Welche Aufgaben sind bereits erledigt? Und wie lässt sich später nachvollziehen, warum ein Mitarbeiter Zugriff auf ein bestimmtes System erhalten hat?
Für diesen Prozess nutze ich iTop als zentrale Plattform.
Dabei kombiniere ich den vorhandenen Servicekatalog mit der Erweiterung Customized Request Forms, meiner eigenen Checklisten-Erweiterung und n8n für die technische Automatisierung.
1. Der Servicekatalog als Einstieg
Der Onboarding-Prozess beginnt bei mir nicht mit einem allgemeinen Ticket, sondern mit einem definierten Service.
In iTop habe ich dafür folgende Struktur eingerichtet:
- Servicefamilie: Benutzer
- Service: Benutzer Onboarding
Über diesen Service wird die Anfrage zur Einrichtung eines neuen Mitarbeiters erfasst.
Damit besitzt das Ticket von Beginn an einen eindeutigen fachlichen Kontext. Es handelt sich nicht einfach um eine beliebige Supportanfrage, sondern um einen definierten Prozess mit bestimmten Anforderungen.
Der Servicekatalog bildet somit den Einstiegspunkt für alle weiteren Schritte.
2. Customized Request Forms: Anforderungen strukturiert erfassen
Ein gewöhnliches Ticketformular bietet für das Onboarding nur begrenzte Möglichkeiten.
Neben den allgemeinen Angaben zum neuen Mitarbeiter müssen unterschiedliche Leistungen angefordert werden können.
Dafür setze ich die Erweiterung Customized Request Forms ein.
Sie ermöglicht es, abhängig vom gewählten Service beziehungsweise der Service-Unterkategorie zusätzliche Formularfelder einzublenden.
In meinem Onboarding-Prozess nutze ich diese beispielsweise für:
- Benötigte Hardware und Arbeitsplatzausstattung
- Nextcloud-Benutzerkonto
- Microsoft-365-Lizenzen
- Weitere erforderliche Anwendungen und Zugriffe
Der Vorteil liegt darin, dass diese Informationen bereits bei der Antragstellung strukturiert erfasst werden.
Statt in einer allgemeinen Beschreibung festzuhalten, dass ein Mitarbeiter beispielsweise ein Notebook, Nextcloud und Microsoft 365 benötigt, werden die entsprechenden Leistungen gezielt ausgewählt.
Diese Angaben dienen anschließend als Grundlage für die weitere Verarbeitung.
3. Meine Checklisten-Erweiterung: Aus Formularangaben werden Aufgaben
Die strukturierten Formularangaben allein erledigen natürlich noch keine Arbeit.
Hier kommt meine eigene Checklisten-Erweiterung ins Spiel.
Anhand der ausgewählten Leistungen werden dem Onboarding-Ticket automatisch die passenden Checklisten zugeordnet.
Wird Hardware angefordert, werden die dafür vorgesehenen Aufgaben angehängt. Wird ein Nextcloud-Konto benötigt, kommen die entsprechenden Schritte für dessen Einrichtung hinzu.
Dadurch entsteht für jedes Onboarding eine individuelle Aufgabenliste, die sich am tatsächlichen Bedarf orientiert.
Nicht jeder Mitarbeiter benötigt dieselben Systeme oder dieselbe Ausstattung. Deshalb muss auch nicht jedes Onboarding nach einer vollständig identischen Checkliste abgearbeitet werden.
Für mich ist das ein wesentlicher Vorteil gegenüber einer einzigen statischen Aufgabenliste.
Gleichzeitig bleibt der Bearbeitungsstand zentral im Ticket sichtbar. Die einzelnen Aufgaben können abgearbeitet werden, ohne dass Informationen über verschiedene E-Mails, Notizen oder separate Dokumente verteilt werden müssen.
4. n8n: Technische Aufgaben automatisieren
Ein weiterer Bestandteil meiner Umsetzung ist n8n.
Nicht jede Aufgabe, die aus einem Onboarding entsteht, muss manuell ausgeführt werden.
Ein konkretes Beispiel ist die Anlage eines Nextcloud-Benutzerkontos.
Wenn im Onboarding-Formular ein Nextcloud-Account angefordert wird, kann n8n die erforderlichen Informationen übernehmen und die Benutzeranlage automatisiert durchführen.
Damit greifen mehrere Komponenten ineinander:
- Der benötigte Nextcloud-Zugang wird im Onboarding-Formular ausgewählt.
- Die Checklisten-Erweiterung ergänzt die entsprechenden Aufgaben.
- n8n übernimmt die technische Benutzeranlage.
- Der Bearbeitungsstand lässt sich im ursprünglichen Ticket nachvollziehen.
Die einzelnen Komponenten erfüllen dabei unterschiedliche Aufgaben.
iTop verwaltet die Serviceanfrage und die zugehörigen Informationen. Die Checklisten strukturieren die Arbeitsschritte. n8n verbindet die beteiligten Systeme und übernimmt geeignete technische Tätigkeiten.
Gerade diese Trennung gefällt mir an dem Ansatz.
Die eigentliche Automatisierung muss nicht vollständig innerhalb von iTop entwickelt werden. Gleichzeitig bleibt iTop die zentrale Anlaufstelle für den Prozess.
5. Ein abgeschlossenes Ticket beantwortet nicht alle Fragen
Mit diesem Aufbau lässt sich das Onboarding bereits deutlich strukturierter bearbeiten.
Doch bei der weiteren Betrachtung stellt sich eine zusätzliche Frage:
Was passiert mit den eingerichteten Benutzerkonten und Berechtigungen, nachdem das Ticket abgeschlossen wurde?
Das ursprüngliche Ticket dokumentiert, welche Leistungen angefordert und welche Aufgaben durchgeführt wurden.
Es ist jedoch nicht automatisch eine aktuelle Übersicht sämtlicher Berechtigungen eines Mitarbeiters.
Ein Mitarbeiter kann beispielsweise ein Konto im Active Directory besitzen, Mitglied verschiedener Gruppen sein, Nextcloud verwenden und auf unterschiedliche Fachanwendungen zugreifen.
Hinzu kommen möglicherweise physische Berechtigungen wie Schlüssel, Transponder oder Zutrittskarten.
Diese Zugriffe verändern sich während der Beschäftigung.
Ein Mitarbeiter wechselt die Abteilung, erhält zusätzliche Aufgaben oder benötigt bestimmte Anwendungen nicht mehr.
Damit reicht es langfristig nicht aus, nur die ursprüngliche Einrichtung zu dokumentieren.
Es muss auch nachvollziehbar sein, welche Berechtigungen aktuell bestehen.
6. Die nächste Erweiterung: Access Control für iTop
Aus diesen Überlegungen entsteht derzeit die Idee für eine weitere eigene iTop-Erweiterung: Access Control Management.
Ziel ist es, physische und logische Zugriffsberechtigungen in einem gemeinsamen Datenmodell abzubilden.
Dabei sollen sowohl direkte als auch indirekte Zugriffe berücksichtigt werden.
Logische Berechtigungen
Dazu gehören beispielsweise:
- Benutzerkonten in Active Directory und Microsoft Entra ID
- Mitgliedschaften in Gruppen
- Nextcloud-Konten und Freigaben
- VPN-Zugriffe
- Berechtigungen in ERP- und anderen Fachanwendungen
- Zugriffe auf Server, Netzlaufwerke und SharePoint
Interessant sind dabei insbesondere indirekte Berechtigungen.
Ein Mitarbeiter kann beispielsweise über seine Mitgliedschaft in einer AD-Gruppe Zugriff auf eine Anwendung erhalten. Diese Gruppe kann wiederum Mitglied einer weiteren Gruppe sein.
Die geplante Erweiterung soll solche Beziehungen nachvollziehbar darstellen können.
Damit wäre nicht nur erkennbar, dass ein Mitarbeiter Zugriff auf eine Anwendung besitzt, sondern auch, über welchen Berechtigungspfad dieser Zugriff zustande kommt.
Physische Berechtigungen
Das gleiche Prinzip lässt sich auf physische Zugriffe übertragen.
Beispielsweise auf:
- Gebäude und Gebäudebereiche
- Server- und Technikräume
- Produktionsanlagen
- Schlüssel und Schließberechtigungen
- Transponder und elektronische Zutrittssysteme
Hier sehe ich auch eine Verbindung zu meinen bereits vorhandenen iTop-Erweiterungen für Schlüssel und Transponder.
Statt diese Informationen unabhängig voneinander zu verwalten, könnte Access Control die übergreifenden Beziehungen zwischen Personen, Zugriffsmedien und geschützten Ressourcen herstellen.
7. Soll und Ist: Was wurde genehmigt, was ist tatsächlich eingerichtet?
Ein wichtiger Bestandteil der geplanten Erweiterung ist die Unterscheidung zwischen genehmigten und tatsächlich vorhandenen Berechtigungen.
Denn eine dokumentierte Berechtigung bedeutet nicht zwangsläufig, dass der entsprechende Zugriff im Zielsystem auch tatsächlich besteht.
Umgekehrt können in einem System Berechtigungen vorhanden sein, die ursprünglich nicht oder nicht mehr genehmigt sind.
Deshalb soll Access Control zwei Perspektiven miteinander verbinden:
Soll-Zustand: Welche Zugriffe sind für eine Person vorgesehen und genehmigt?
Ist-Zustand: Welche Berechtigungen sind in den angebundenen Systemen tatsächlich eingerichtet?
Über n8n könnten diese Informationen regelmäßig aus geeigneten Quellsystemen abgerufen und miteinander verglichen werden.
Abweichungen ließen sich anschließend in iTop sichtbar machen und gegebenenfalls als Ticket zur Bearbeitung weitergeben.
So würde aus der reinen Dokumentation eine Grundlage für die kontinuierliche Überprüfung von Berechtigungen.
8. Governance und regelmäßige Reviews
Die geplante Access-Control-Erweiterung soll außerdem mit meiner Governance-Erweiterung zusammenspielen.
Denn neben der technischen Frage, ob ein Zugriff existiert, gibt es immer auch eine organisatorische Verantwortung.
Wer entscheidet, ob ein Mitarbeiter eine bestimmte Anwendung benötigt? Wer ist für die Freigabe verantwortlich? Und wann muss überprüft werden, ob der Zugriff weiterhin erforderlich ist?
Für entsprechende Ressourcen und Berechtigungen lassen sich Verantwortliche und Review-Intervalle definieren.
Ein regelmäßiger Review könnte dann beispielsweise über ein Ticket angestoßen werden.
Die zuständige Person prüft, ob die bestehenden Zugriffe weiterhin benötigt werden. Das Ergebnis wird dokumentiert und gegebenenfalls eine Änderung oder Entfernung der Berechtigung veranlasst.
Damit ließen sich auch Anforderungen aus Informationssicherheit und Compliance besser unterstützen.
Wichtig bleibt allerdings, dass die Dokumentation allein noch keine technische Kontrolle ersetzt. Für einen verlässlichen Prozess müssen Genehmigungen, tatsächliche Systemzustände und Nachweise zusammenpassen.
9. Vom Onboarding bis zum Offboarding
Langfristig soll daraus ein zusammenhängender Benutzerlebenszyklus entstehen.
Beim Onboarding werden die erforderlichen Zugriffe angefordert, eingerichtet und dokumentiert.
Bei einem Abteilungs- oder Aufgabenwechsel können vorhandene Berechtigungen überprüft, erweitert oder entzogen werden.
Über regelmäßige Reviews lässt sich feststellen, ob die bestehenden Zugriffe weiterhin notwendig sind.
Und beim Offboarding kann anhand der dokumentierten Beziehungen ermittelt werden, welche Benutzerkonten, Gruppenmitgliedschaften und physischen Zugriffsmedien deaktiviert oder zurückgegeben werden müssen.
Das ursprüngliche Onboarding-Ticket wäre damit nicht länger nur ein abgeschlossener Vorgang, sondern der Ausgangspunkt einer fortlaufenden Dokumentation.
Fazit: Vorhandene Funktionen sinnvoll miteinander verbinden
Mein bisheriger Onboarding-Prozess zeigt für mich sehr gut, worin eine der Stärken von iTop liegt.
Der Servicekatalog stellt den Einstieg bereit. Customized Request Forms ermöglicht die strukturierte Erfassung der Anforderungen. Meine Checklisten-Erweiterung erzeugt daraus konkrete Aufgaben. n8n übernimmt geeignete technische Schritte.
Jede Komponente erfüllt ihre eigene Funktion. Erst durch die Verbindung entsteht daraus ein durchgängiger Prozess.
Mit der geplanten Access-Control-Erweiterung möchte ich diesen Ansatz weiterführen.
Das Ziel ist nicht, bestehende Verzeichnisdienste oder Zutrittssysteme zu ersetzen, sondern ihre Informationen miteinander zu verbinden und in iTop nachvollziehbar zu machen.
So könnte aus einem einfachen Onboarding-Ticket langfristig eine zentrale Übersicht darüber entstehen, wer auf welche Systeme, Informationen, Räume und Anlagen zugreifen darf.
Vorhandene Daten sinnvoll verknüpfen – Informationen gemeinsam nutzen.