IT-Sicherheit für Personaldienstleister

Das Kernproblem: Tempo versus Kontrolle

Zeitarbeitsfirmen und Personaldienstleister haben überdurchschnittliche Personalfluktuation. Jede Woche können Mitarbeitende ein- und austreten — Disponenten, Recruiter, Lohn, Backoffice. IT muss Konten anlegen, Rechte zuweisen, Geräte bereitstellen und bei Austritt alles wieder entziehen. Ohne standardisierten Prozess gewinnt die Geschwindigkeit: „Vollzugriff erstmal, aufräumen später.“ Später kommt selten.

Zombie-Accounts — aktiv, aber niemandem zugeordnet — sind ein klassisches Einfallstor. Ehemalige Disponenten mit Zugriff auf Teams-Kanäle sehen interne Gehaltslisten, Kundenkontakte und Vertragsdetails. Kunden-VPN-Zugänge von ausgeschiedenen Mitarbeitenden können Mandatsdaten freilegen. Audits und Kundenfragebögen zur Informationssicherheit fragen gezielt nach Onboarding und Offboarding.

HR und IT müssen gemeinsam definieren: Wer löst Onboarding aus? Welche Systeme sind am ersten Tag Pflicht? Wer bestätigt Offboarding schriftlich? Ein fester Rhythmus — wöchentliche Review offener Tickets — verhindert Schlupflöcher.

Personaldienstleister mit mehreren Standorten brauchen dieselben Rollenvorlagen überall — sonst wird jede Niederlassung zum eigenen Sicherheitsmodell.

Onboarding: strukturiert, dokumentiert und rollenbasiert

Onboarding startet mit HR-Meldung: Name, Rolle, Standort, Startdatum, Vorgesetzter. IT oder externer Partner nutzt Vorlagen pro Rolle — Disposition, Lohn, Recruiting, Geschäftsführung. Entra-ID-Sicherheitsgruppen steuern Microsoft-365-Lizenzen, SharePoint-Bereiche, Teams-Mitgliedschaften und ggf. Conditional-Access-Policies. Kein manuelles Einzelklicken mit Global-Admin-Rechten für neue Nutzer.

Systeme außerhalb von Microsoft — Zeiterfassung, Bewerbermanagement, Kundenportale, VPN — stehen in derselben Checkliste. Reihenfolge und Verantwortliche festlegen. Zugangsdaten über sicheren Kanal, nicht per unverschlüsselter Mail. Passwort-Manager und MFA von Anfang an — nicht „nach der Einarbeitung“.

Gastzugänge für externe Recruiter oder Kunden mit Ablaufdatum und minimalem Scope. Shared Accounts ohne persönliche Nachvollziehbarkeit vermeiden — im Schadensfall keine Attribution. Onboarding-Protokoll archivieren: Datum, Gruppen, freigeschaltete Systeme, Gerät.

Der erste Tag sollte standardisiert sein: Laptop oder Terminal, MFA-Registrierung, Passwort-Manager, Einführung in Zeiterfassung — nicht fünf verschiedene Sonderwege je nach Disponent.

Offboarding: sofortige Deaktivierung und Geräterücknahme

Checkliste Offboarding: Entra-ID-Konto deaktivieren oder löschen nach Frist, alle Lizenzen entziehen, Postfach und OneDrive nach Regelung sichern oder delegieren, Teams und SharePoint entfernen, VPN und CRM sperren, Kundenportal-Zugänge löschen, Zeiterfassung deaktivieren. Gerät zurückgeben oder per MDM remote löschen. SIM und Mobilfunk sperren, wenn Firmenhandy.

HR bestätigt schriftlich Abschluss — nicht angenommen, bis IT grünes Licht gibt. Bei fristlosem Austritt oder Suspendierung: sofortige Sperre, bevor persönliches Gespräch stattfindet — Angreifer mit Vorwarnung sind ein Risiko.

Exit-Interview optional für Feedback; sicherheitstechnisch zählt nur: keine aktiven Sessions, keine App-Passwörter, keine registrierten MFA-Geräte des Ausscheidenden als einzige Wiederherstellungsmethode.

Bei Wechsel zu Wettbewerber oder fristlosem Austritt: Priorität auf sofortige Sperre aller Kundenzugänge — Datenabfluss ist hier höheres Risiko als vergessene Hardware-Rückgabe.

Entra ID, Gruppen und Least Privilege

Security-Gruppen nach Rolle und optional Standort: SG-Dispo, SG-Lohn, SG-Recruiting, SG-GF. SharePoint-Sites und Teams hängen an Gruppen — nicht an Einzelpersonen. Neue Mandate für Kunden als eigene Gruppe oder Site-Berechtigung — Disponent A sieht nicht automatisch alle Kunden von Disponent B.

Least Privilege: nur die Rechte, die die Rolle braucht. Jährliche Access Review — Manager bestätigen, dass Untergebene noch korrekte Zugänge haben. Keine dauerhaften Global Admins für Disponenten „die mal IT machen“. Admin-Konten separat, MFA-geschützt.

Conditional Access: blockiert unmanaged Geräte, erzwingt MFA, kann Anmeldungen aus riskanten Ländern stoppen. PIM oder zeitlich begrenzte Admin-Rechte optional für reifere Umgebungen.

Zeiterfassungs-Apps und Kundenportale oft vergessen in Gruppenkonzept — sie gehören in dieselbe Onboarding-Vorlage wie Microsoft 365.

Kundenzugänge, Mandantentrennung und DSGVO

Bewerbungen, Verträge, Gesundheitsnachweise und Lohndaten erfordern Zugriffsbeschränkung und Löschfristen. Cloud-Ordner mit „Jeder mit Link“ sind tabu. Freigaben personenbezogen, Protokollierung aktivieren wo möglich. Mandantentrennung: Daten von Kunde X nicht im selben ungeschützten Ordner wie Kunde Y.

Kunden stellen manchmal VPN, Portale oder Zeiterfassung bereit — jeder Zugang pro Mitarbeiter individuell, nicht über ein Büro-Passwort. Bei Austritt auch Kundenseite informieren, wenn vertraglich vorgesehen. AV-Verträge mit Cloud-Anbietern für Bewerbermanagement und HR-Software.

DSGVO-Rechte von Bewerbern und Mitarbeitern: Auskunft und Löschung erfordern, dass IT weiß, wo Daten liegen — wieder Inventar und Verarbeitungsverzeichnis.

Bewerberdaten nach Absage löschen — nicht Jahre in unsortierten Ordnern horten. Löschfristen mit HR abstimmen und technisch umsetzbar machen.

Geräte, mobile Zeiterfassung und Notfall

Zeiterfassung per App auf privaten Handys ist kurzfristig verlockend — langfristig Datenschutz- und Supportproblem. Einheitliche Geräte oder Container-Lösung mit MDM: Remote-Lösch, Verschlüsselung, Patch-Stand. Mindeststandard wenn kein MDM: Passcode, Verschlüsselung, keine Jailbreaks, Meldung bei Verlust.

Verlustablauf muss jeder Disponent kennen: wen anrufen, SIM sperren, Passwort zurücksetzen. Geräteverzeichnis führen — Seriennummer, Nutzer, Standort. Backup kritischer HR-Daten getrennt von Sync-Ordnern.

Temporäre Aushilfen und Werkstudenten brauchen denselben Onboarding-Pfad wie Festangestellte — oft vergessen, aber mit gleichem Zugriffsbedarf und kürzerer Laufzeit.

Der Access-Sicherheits-Check macht typische Lücken bei Personaldienstleistern sichtbar — Gruppen, Offboarding, Gastzugänge, Admin-Trennung — bevor ein Kundenaudit oder Fragebogen kommt. Ergänzend Artikel zu Zugriffsrechten und Onboarding/Offboarding im IT-Betrieb-Cluster.

Wer den Check mit HR und Geschäftsführung durchgeht, hat oft nach einer Stunde eine gemeinsame Prioritätenliste — selten das technische Detail, sondern fehlende Offboarding-Verbindlichkeit oder zu viele Admins.

HR und IT: gemeinsame Verantwortung definieren

HR besitzt Personalakte und Start-/Enddaten. IT besitzt Entra ID und Systemzugänge. Ohne RACI-Matrix entstehen Lücken: HR meldet Start „irgendwann diese Woche“, IT legt Konto an, wenn Zeit ist. Verbindlich: Meldung mindestens drei Werktage vor Start, Offboarding am Austrittstag bis 17 Uhr erledigt.

Ein gemeinsames Ticket- oder Formular-System — auch Excel oder SharePoint-Liste als Start — erzwingt Pflichtfelder: Rolle, Standort, Vorgesetzter, benötigte Kundenzugänge. Kein Konto ohne vollständiges Formular.

Quartalsweise HR-IT-Review: offene Konten ohne aktiven Mitarbeitenden, Gastzugänge ohne Ablauf, Admins außerhalb IT. Führungskräfte erhalten Kurzbericht — nicht zehn Seiten Log.

Bei Wachstum über mehrere Standorte: einheitliche Rollenvorlagen, nicht jeder Standortleiter eigene Sonderrechte.

Kundenaudits und Nachweise für Access-Sicherheit

Typische Kundenfragen: Wie schnell werden Zugänge entzogen? Wer hat Admin? Wie werden Passwörter verwaltet? Gibt es MFA? Wo liegen Bewerberdaten? Personaldienstleister mit dokumentiertem Onboarding/Offboarding und Access-Review antworten schneller und gewinnen Vertrauen.

Access-Sicherheits-Check-Ergebnis intern nutzen, um Lücken vor dem Fragebogen zu schließen — nicht die Check-Antworten eins zu eins an Kunden senden, aber Maßnahmen ableiten.

Nachweise: Protokolle der letzten Offboardings, Liste der Security-Gruppen, Screenshot Conditional Access — in Audit-Mappe ablegen. Einmal pflegen, mehrfach nutzen.

Externe Betreuung kann Audit-Mappe technisch pflegen und bei Kundenfragen unterstützen — Verantwortung für Richtigkeit bleibt beim Personaldienstleister.

90-Tage-Plan für Access-Sicherheit

Monat eins: RACI HR/IT, Formular für Start und Ende, Rollenvorlagen in Entra ID anlegen. Monat zwei: Offboarding-Checkliste verbindlich, wöchentliche Review offener Konten, Gastzugänge mit Ablauf inventarisieren.

Monat drei: Access-Sicherheits-Check, Conditional Access für unmanaged Geräte, jährliche Review terminieren. MDM oder Mindeststandard für Zeiterfassungs-Handys festlegen.

Messgröße: Zeit von Austrittsmeldung bis Kontosperre — Ziel unter vier Stunden in der Geschäftszeit. Jede Abweichung dokumentieren und Prozess nachschärfen.

Erfolg bedeutet nicht null Tickets, sondern keine Zombie-Accounts mehr bei Stichproben — das überzeugt Kunden und interne Compliance gleichermaßen.

Zeiterfassung, Bewerberportal und Sonderfälle

Zeiterfassungs-Terminals, Bewerber-SaaS und Kunden-VPN haben eigene Admin-Oberflächen — oft nicht an Entra ID angebunden. Deshalb separate Checkliste und gleiche Offboarding-Frist wie für das Hauptkonto.

Subunternehmer und Zeitarbeiter in der Disposition: klären, ob sie Systemzugang erhalten und wie lange. Externe ohne festes Enddatum sind häufige Quelle vergessener Zugänge.

Integration wo möglich: SSO mit Entra ID für SaaS-Tools reduziert Doppelpflege. Wo nicht möglich: zentrales Passwort-Depot mit Rotation und dokumentiertem Owner.

Der Access-Sicherheits-Check fragt genau diese Lücken ab — nutzen Sie das Ergebnis als Backlog für HR-IT-Meetings.

Wachstum durch Übernahme anderer Agenturen: übernommene Konten und Altsysteme sofort inventarisieren — klassische Quelle versteckter Zombie-Accounts.

Skalierung bei Wachstum und mehreren Standorten

Ab etwa drei Standorten oder fünfzig internen Nutzenden lohnt dedizierte Rolle für Access-Management — auch halbtags oder über MSP. Einheitliche Namenskonvention für Gruppen, keine lokalen Admin-Ausnahmen am Standort.

Neue Filiale eröffnet: Rollenvorlage kopieren, nicht neu erfinden. Kundenmandate weiter strikt trennen — Wachstum darf keine Wildwuchs-Berechtigungen erzeugen.

Halbjährlicher Report an Geschäftsführung: Anzahl Onboardings/Offboardings, durchschnittliche Sperrzeit, offene Gastzugänge, Anzahl Admins. Zahlen machen Risiko sichtbar.

Access-Sicherheits-Check vor Wachstumssprung wiederholen — oft zeigt er, dass Prozesse noch für zwanzig Nutzer gebaut sind, nicht für achtzig.

Personaldienstleister, die Access-Sicherheit ernst nehmen, gewinnen nicht nur Audits — sie vermeiden teure Notfall-Sperraktionen nach Datenpanik.

Onboarding und Offboarding sind der Kern — alles andere ist Ergänzung. Wer das intern verankert, skaliert auch mit Personalwachstum ohne Sicherheits-Schulden.

Der Access-Sicherheits-Check hilft, den Ist-Zustand vor dem nächsten Wachstumsschritt ehrlich einzuschätzen — ohne Wochen Audit-Vorbereitung.

Wer HR und IT an einen Tisch bringt, löst die meisten Access-Probleme — Technik allein reicht bei hoher Fluktuation nicht.

Starten Sie den Access-Sicherheits-Check, um Prioritäten vor dem nächsten Kundenaudit schnell zu klären — dauert nur wenige Minuten.

Subunternehmer, Werkstudenten und befristete Zugänge

Personaldienstleister arbeiten mit Aushilfen in der Disposition, externen Recruitern und projektbezogenen IT-Dienstleistern. Jeder temporäre Zugang braucht Ablaufdatum, minimalen Scope und Owner in HR oder IT. Ohne Ablauf werden Gastkonten zu Dauerzugängen — besonders nach Übernahmen oder Filialeröffnungen, wenn Altsysteme mit übernommen werden.

Werkstudenten und Praktikanten erhalten oft dieselben Rechte wie Festangestellte „weil sie eh nur lesen“ — bis jemand Lohnlisten exportiert oder Kundenlisten mitnimmt. Rollenvorlage „Praktikum“ mit explizitem Enddatum und automatischer Erinnerung an HR drei Tage vor Ablauf reduziert Zombie-Accounts deutlich.

Bei Subunternehmern, die Bewerberdaten verarbeiten, gelten AV-Vertrag und technische Trennung wie bei jedem anderen Auftragsverarbeiter. Der Access-Sicherheits-Check hilft, solche Randfälle vor dem nächsten Kundenfragebogen zu identifizieren — nicht erst, wenn der Datenschutzbeauftragte des Kunden nachfragt.

Filialleiter sollten keine lokalen Admin-Ausnahmen erhalten — einheitliche Rollenvorlagen über alle Standorte hinweg verhindern, dass Wachstum zu Wildwuchs-Berechtigungen führt. HR und IT dokumentieren Abweichungen schriftlich und mit Befristung, nicht per Chat.

Disponenten, die zwischen mehreren Kundenmandaten wechseln, brauchen technische Trennung — nicht nur organisatorische Vertrauensregeln. Gruppen pro Kunde oder Site-Berechtigung pro Mandat verhindern, dass ein Klick im falschen Ordner zum Datenabfluss wird.

Messgröße für die Geschäftsführung: Anzahl offener Konten ohne zugeordneten aktiven Mitarbeitenden — sollte bei jeder HR-IT-Review null sein.