Brauchen wir wirklich ein Rollen-Modell, wenn wir nur 15 Mitarbeitende sind?

Ja. Auch bei kleinen Teams entstehen schnell Berechtigungs-Inseln, wenn jeder Eintritt einzeln konfiguriert wird. Ein Rollen-Modell mit 4 bis 6 Rollen genügt oft und ist in einem Nachmittag definierbar.

Wer löst den Eintritt aus, HR oder IT?

HR. IT setzt um. Der Eintrittstermin und die Rolle kommen aus HR, IT konfiguriert nach Rolle. Das Drehbuch zeigt, welche Person was wann tut.

Was passiert mit dem Postfach bei Austritt?

Das hängt von Rolle und Branche ab. Typisch: Mailweiterleitung an die Vorgesetzte für 30 bis 90 Tage, dann Archivierung mit definierter Aufbewahrungsfrist. Wir dokumentieren das pro Rolle.

Können wir das selbst pflegen?

Ja. Wir liefern eine Checkliste und das Rollen-Modell. Pflege liegt bei Ihnen, mit jährlichem Überprüfungs-Termin. Wer mag, übergibt die Pflege an unseren Betreuungsvertrag.

Was ist mit externen Dienstleistern und Online-Dienst-Konten?

Die gehören ins Austritts-Drehbuch. Wir prüfen bei der Prüfung, welche externen Programme genutzt werden und ergänzen die Liste. Vergessene Konten bei Online-Diensten sind die häufigste Quelle für Datenlecks.

Mitarbeiter-Eintritt und -Austritt absichern, ohne dass Konten und Geräte vergessen werden

Befund · 01

Benutzer bleiben aktiv, Geräte werden nicht sauber zurückgesetzt, Berechtigungen sind nicht dokumentiert. Wir bauen einen prüfbaren Prozess für Eintritt und Austritt.

Typische Anzeichen im Alltag

Konten ehemaliger Mitarbeitender sind noch aktiv
Mailweiterleitungen zeigen auf private Adressen
Berechtigungen werden beim Eintritt von Kolleg:innen kopiert
Niemand weiss, welches Gerät welche Person hat
Geräte werden nicht zurückgesetzt, sondern weitergegeben

Antwort · 02

Eintritt und Austritt sind die zwei Momente, in denen IT-Risiko entsteht oder gestoppt wird. Wer hier ohne Prozess arbeitet, erbt Altlasten in beide Richtungen.

In den meisten KMU laufen Eintritt und Austritt über Zuruf. Die Personalverantwortlichen sagen "neue Person kommt", die IT-Person legt ein Konto an, ein Gerät wird besorgt. Beim Austritt geht oft nur das Gerät zurück. Konten, Mailweiterleitungen, Berechtigungen und externe Zugänge bleiben offen.

Zielbild

Was nach 30 Tagen klar ist.

Nach 30 Tagen sollen Sie auf einer Seite zeigen können: Welche Rollen existieren, welche Rechte gehören dazu, wie ein Eintritt abläuft und wie ein Austritt nachweisbar abgeschlossen wird.

Tag 1Start

Tag 7Audit

Tag 14Befund

Tag 21Quick Wins

Tag 30Übergabe

Klarheit

Was sicher fertig ist8 Belege

Rollen-Modell mit Standard-Rechten pro Funktion

Eintritts-Checkliste mit Verantwortlichkeiten

Austritts-Drehbuch mit Fristen

Geräte-Lebensweg dokumentiert

Inventar offener Konten und Berechtigungen

Bereinigung kritischer Altlasten

Konzept zur nachvollziehbaren Protokollierung für Konten und Rechte

Schulung der HR- und IT-Verantwortlichen

Vorgehen·5 Phasen·So gehen wir Schritt für Schritt vor

Wie wir Eintritt und Austritt von Mitarbeitenden zu einem sauberen Prozess machen.

Fünf Phasen von der Konten-Aufnahme zum eingespielten Drehbuch. Die Reihenfolge ist nicht beliebig: Bestand vor Rollen, Rollen vor Eintritt, Eintritt vor Austritt.

Phase

Wir prüfen alle aktiven Konten, ordnen sie Personen zu und identifizieren Karteileichen. Parallel werden bestehende Rollen und ihre Rechte erfasst.

Sie bekommen: Konten-Inventar mit Zuordnung zu Personen, Liste verwaister Konten, aktuelle Übersicht über Rollen und Rechte, kritische Risiken priorisiert.

Wir liefern

Konten-Inventar mit Zuordnung zu Personen
Liste verwaister Konten
Aktuelle Übersicht über Rollen und Rechte
Kritische Risiken priorisiert

Sie liefern

Mitarbeitenden-Liste mit Funktion
Zugang zu Microsoft 365, Dateiablage und genutzten Online-Diensten
Bestehende HR-Prozess-Beschreibungen

Ausstieg hier möglich · Konten-Inventar bleibt bei Ihnen

Konten · Aufnahme● prüfen

6 Konten · Status

A[email protected]aktiv

B[email protected]aktiv

X[email protected]orphan

Rservice-account-01service

D[email protected]aktiv

3 aktiv · 2 verwaist · 1 servicecleaned

Phase

Statt jeden Eintritt einzeln einzurichten, definieren wir Rollen (z.B. Sachbearbeitung, Buchhaltung, Geschäftsleitung) mit Standard-Rechten. Eintritt heisst dann nur noch Rolle zuweisen.

Sie bekommen: Rollen-Definition pro Funktion, Standard-Berechtigungen je Rolle, Zuordnung von Lizenzen und Programmen, Eskalationsweg für Sonderrechte.

Wir liefern

Rollen-Definition pro Funktion
Standard-Berechtigungen je Rolle
Zuordnung von Lizenzen und Programmen
Eskalationsweg für Sonderrechte

Sie liefern

Funktionen aus Organigramm
Liste der genutzten Programme und Lizenzen
Entscheid zu Standard-Hardware

Rollen-Katalog freigegeben · Eintritts-Phase folgt

Rollen · Übersicht● zugeordnet

4 Rollen × 5 Berechtigungen

M365FileERPAdminVPNSachbBuchhGLIT

4 Rollen · Standard-Set

Phase

Wir bauen die Eintritts-Checkliste so, dass Personalabteilung, IT und Vorgesetzte ihre Schritte sehen. Geräte werden erfasst, ausgegeben und beim Austritt geordnet zurückgenommen.

Sie bekommen: Eintritts-Checkliste mit Verantwortlichkeiten, Prozess für den Geräte-Lebenszyklus, Standard-Einrichtung für Notebook und Handy, Übergabe-Protokoll für Geräte.

Wir liefern

Eintritts-Checkliste mit Verantwortlichkeiten
Prozess für den Geräte-Lebenszyklus
Standard-Einrichtung für Notebook und Handy
Übergabe-Protokoll für Geräte

Sie liefern

Auslöser von der Personalabteilung (Eintrittstermin)
Beschaffungs-Verantwortliche
Lager- oder Logistik-Lösung

Eintritt läuft nach Drehbuch · Austritts-Phase folgt

Eintritt · 3 Spuren● übergeben

Personal · IT · Vorgesetzte

Personal

Eintritt

Vertrag

Konto

Notebook

MFA

Lead

Tools

Tag 1

7/7 Steps · Tag 1 ready

Phase

Austritt ist heikler als Eintritt. Wir definieren Fristen, Reihenfolge und Verantwortlichkeiten: wann wird der Zugang gesperrt, wer übernimmt die Mailbox, wie wird das Gerät zurückgesetzt.

Sie bekommen: Austritts-Drehbuch mit Fristen, Prozess für Mailbox-Übergabe und Archivierung, Anleitung zum Zurücksetzen und sicheren Löschen der Geräte, geordnete Abfolge zum Abbau von Konten und Rechten.

Wir liefern

Austritts-Drehbuch mit Fristen
Prozess für Mailbox-Übergabe und Archivierung
Anleitung zum Zurücksetzen und sicheren Löschen der Geräte
Geordnete Abfolge zum Abbau von Konten und Rechten

Sie liefern

Auslöser von der Personalabteilung (Austrittstermin)
Entscheid zu Mailbox-Aufbewahrung
Entscheid zu Datenübergabe

Drehbuch in Kraft · Schulungs-Phase folgt

Austritt · Abriegelung● ablauf

D-7 → D+30 · Fristen

D−7HR · Austrittsbestätigungplan

D−1Lead · Übergabe-Gesprächbrief

D 0IT · Zugang sperrenlock

D+1IT · Mailbox → Stellvert.fwd

D+30IT · Konto + Gerät · Wipedone

Audit-Trail ok12 events

Phase

Der beste Prozess hilft nichts, wenn ihn niemand kennt. Die Verantwortlichen aus Personal und IT werden eingearbeitet, das Drehbuch dokumentiert.

Sie bekommen: Schulung der Verantwortlichen aus Personal und IT, Dokumentation als interner Standard, Konzept für eine lückenlose Nachvollziehbarkeit, Empfehlung für regelmässige Überprüfungen.

Wir liefern

Schulung der Verantwortlichen aus Personal und IT
Dokumentation als interner Standard
Konzept für lückenlose Nachvollziehbarkeit
Empfehlung für regelmässige Überprüfungen

Sie liefern

Verantwortliche für den Personal-Prozess
Endabnahme der Dokumentation

Wartungsvertrag oder Eigenbetrieb

Doku · Nachweis● aktiv

hr-it-runbook.md3 Module

Rollen-Modellv1

Ein-/Austrittv1

Überprüfung2 / J

08:02 hr · m.weber · onboarded · role: sachb
✓ audit · 12 events · sealed
✓ schulung · hr + it · done
! review · q2 · scheduled

Lieferumfang · Mitwirkung · Wirkung

Wer was liefert. Und was dabei besser wird.

Drei klare Spalten: was SYSINFRA übernimmt, was Sie liefern müssen, was an Risiko nachweisbar runtergeht. Damit niemand am Tag 1 überrascht wird.

Phase · Lieferumfang

Was SYSINFRA übernimmt

Konten- und Rechte-Prüfung

Rollen-Modell-Definition

Eintritts-Checkliste und Standard-Einrichtung

Austritts-Drehbuch mit Fristen

Geräte-Lebensweg-Prozess

Konzept für Postfach-Übergabe und Archivierung

Schulung HR und IT-Verantwortliche

Konzept zur nachvollziehbaren Protokollierung

8 Liefer-Items→ verantwortet

Phase · Mitwirkung

Was Sie liefern müssen

Mitarbeitenden-Liste mit Funktion

Zugang zu Microsoft 365, Dateispeicher und Online-Diensten

HR-Prozess-Auslöser (Eintritts- und Austrittsdaten)

Entscheid zu Standard-Hardware und -Programmen

Verantwortliche aus HR und Vorgesetzte

Lager- oder Logistik-Lösung für Geräte

6 Input-Items→ von Ihnen

Phase · Wirkung

Risiken, die reduziert werden

Konten ehemaliger Mitarbeitender bleiben aktiv

Berechtigungen werden über Jahre akkumuliert

Geräte verschwinden ohne Spur

Postfächer mit Geschäftsdaten gehen verloren

Externe Zugänge bleiben unbemerkt offen

Trennung von Rollen und Rechten nicht belegbar

Eintritt scheitert an unklarer Verantwortung

Sensitive Daten gehen beim Austritt verloren

8 Risiken→ messbar tiefer

PraxisfallAnonymisiert

So lief es bei einem KMU mit ähnlicher Ausgangslage.

Anonymisierter Praxisfall · Eintritt und Austritt bei einem KMU mit hoher Personalfluktuation. Ein Dienstleistungs-KMU hatte saisonal stark schwankende Mitarbeiterzahlen. Eintritte und Austritte liefen über Zuruf, dokumentiert in mehreren Mailpostfächern und einzelnen Notizen.

01Ausgangslage

Ausgangslage.

Eintritte dauerten 2 Stunden bis 2 Tage, je nachdem wer Zeit hatte. Austritte blieben technisch offen, Konten aktiv, Mailweiterleitungen auf private Adressen, Logins bei Online-Diensten verwaist. Eine Prüfung konnte Berechtigungen nicht belegen.

02Vorgehen

Vorgehen.

Aktive Konten erfasst, Personen zugeordnet, verwaiste Konten bereinigt, Adminrechte reduziert. Rollen-Modell mit Standard-Berechtigungen definiert. Eintritts-Checkliste HR/IT/Vorgesetzte und Austritts-Drehbuch mit Fristen eingeführt.

03Ergebnis

Ergebnis.

Eintrittstag ist heute eine Rollen-Zuweisung, kein Konfigurations-Akt. Austritte sind innerhalb von 24 Stunden technisch abgeschlossen, dokumentiert und nachweisbar. Die HR-Abteilung löst Prozesse aus, IT setzt um.

▸Lesson

Erkenntnis.

Eintritt und Austritt sind die zwei Momente, in denen IT-Risiko entsteht oder gestoppt wird. Ohne Rollen-Modell und ohne Drehbuch wird beides zur Frage von Einzelpersonen-Gedächtnis.

Branche: digitales ProduktGrösse: KMUQuelle: SYSINFRA-Mandat 2024Details anonymisiert

Passende Leistungen

Passende Leistungen in diesem Szenario.

Bereich · Microsoft 365

Managed Workplace & M365

Microsoft 365 sicher einrichten, Zugriffe regeln und alle Geräte zentral verwalten. Logins und Cloud-Arbeitsplatz aus einer Hand.

Bereich · Hosting

Hosting & Betrieb

Wir betreiben Ihre Server in europäischen Rechenzentren. Datensicherung, laufende Überwachung und zugesicherte Reaktionszeit inklusive.

Bereich · Infrastruktur

Infrastruktur

Netzwerk, Server-Virtualisierung und Cloud bei Ihnen vor Ort. Wir bauen, betreuen und ziehen sicher um, mit Rückweg zum alten Stand.

Bereich · Web & Shop

Web & Commerce

Websites und Onlineshops, gepflegt, schnell und datenschutzfreundlich. Mit sauberem, dokumentiertem Betrieb.

FAQ · zuletzt geprüft 2026-04-28

Was wir oft im Erstgespräch hören.

Geprüft und ehrlich beantwortet. Bei Unklarheit: 30-Min-Erstgespräch direkt buchen.

SYSINFRA · Erstgesprächonline · antwortet meist innert 24 h

Alle Antworten Erstgespräch buchen

Heute · 2026-07-17

Auto-Play läuft · klicken Sie links eine Frage an30-Min-Erstgespräch buchen →

Erstgespräch · Schritt 01

Wie möchten Sie starten?

Drei Wege zum 30-Minuten-Erstgespräch: kostenlos, ohne Vorbereitung, schriftlicher Plan im Anschluss. Sie wählen, was Ihnen am liebsten ist.

Antwort ≤ 4 h

Kontaktformular

Schildern Sie Ihren Sachverhalt schriftlich. Antwort meistens am gleichen Werktag, ≤ 4 h.

Formular öffnen

30 Min · Teams

Video-Meeting

30 Min per Microsoft Teams. Bildschirm teilen, gemeinsam sortieren, Termin frei wählbar.

Slot buchen

Direkt erreichbar

Telefonisch

Lieber direkt reden? Rufen Sie an unter +41 55 552 83 30, Schlatt TG, Europe/Zurich.

+41 55 552 83 30

Mitarbeiter-Eintritt und -Austritt absichern, ohne dass Konten und Geräte vergessen werden

Was nach 30 Tagen klar ist.

Wie wir Eintritt und Austritt von Mitarbeitenden zu einem sauberen Prozess machen.

Ist-Stand und Rollen-Aufnahme.

Rollen-Modell definieren.

Eintritts-Checkliste und Geräte-Lebenszyklus.

Austritts-Drehbuch.

Schulung und Übergabe.

Wer was liefert. Und was dabei besser wird.

Was SYSINFRA übernimmt

Was Sie liefern müssen

Risiken, die reduziert werden

So lief es bei einem KMU mit ähnlicher Ausgangslage.

Ausgangslage.

Vorgehen.

Ergebnis.

Erkenntnis.

Passende Leistungen in diesem Szenario.

Managed Workplace & M365

Hosting & Betrieb

Infrastruktur

Web & Commerce

Was wir oft im Erstgespräch hören.

Wie möchten Sie starten?

Kontaktformular

Video-Meeting

Telefonisch