Neuer Mitarbeiter: Zugänge zum ersten Arbeitstag einrichten

Die Zugänge zum ersten Arbeitstag in Kurzform

Ein neuer Mitarbeiter braucht am ersten Tag drei Dinge: eine eigene Anmeldung an Rechner und E-Mail, ein eigenes Konto im Passwort-Tresor der Firma mit genau den Sammlungen, die zu seiner Aufgabe gehören, und einen zweiten Faktor für alles, was ihn anbietet, angefangen beim Tresor selbst. Einen Zettel mit Passwörtern oder eine Nachricht mit Kennwörtern aufs Handy braucht er dafür nicht. Was er für gemeinsame Zugänge wie das Lieferantenportal braucht, findet er in seiner Sammlung.

Vorbereiten lässt sich das in der Woche davor in etwa einer Stunde. Am ersten Tag selbst bleiben die Schritte, die nur die neue Person erledigen kann: Kennwörter festlegen, das Master-Passwort wählen und den zweiten Faktor einrichten. Das Gegenstück für den letzten Tag ist die Checkliste Mitarbeiter verlässt die Firma.

Was das BSI für den Eintritt verlangt

Zum Eintritt äußert sich der IT-Grundschutz des BSI unter anderem in zwei Bausteinen. Nach ORP.2 „Personal“ müssen neue Mitarbeitende in ihre Aufgaben eingearbeitet und über die bestehenden Regeln informiert werden. Eine Checkliste und ein fester Ansprechpartner, im Baustein „Pate oder Patin“ genannt, sollen dabei helfen. Nach ORP.4 „Identitäts- und Berechtigungsmanagement“ muss jede Benutzerkennung eindeutig einer Person zugeordnet sein, und Rechte gibt es nur nach dem tatsächlichen Bedarf für die Aufgabe.

Für einen Betrieb mit zehn Leuten heißt das: Die neue Kollegin übernimmt nicht das Konto ihrer Vorgängerin, und sie bekommt nicht alle Sammlungen, weil das am schnellsten geht. Beide Bausteine stehen in der Edition 2023 des Kompendiums, nachzulesen im Baustein ORP.4 (PDF).

Vor dem ersten Tag

1. Eine Person zuständig machen. Sie führt die Liste, legt die Konten an und ist in der ersten Woche die Ansprechpartnerin für alle Fragen zu Anmeldungen.
2. Aufgaben in Zugänge übersetzen. Schreiben Sie auf, was die neue Person tun wird, und erst danach, welche Zugänge dafür nötig sind. Wer Rechnungen prüft, braucht das Buchhaltungsprogramm, aber nicht das Kundenkonto beim Domain-Anbieter.
3. Firmenadresse anlegen. Jedes Konto, das die Person für die Firma eröffnet, läuft auf diese Adresse und nie auf eine private. Sonst hängt der Zugang später an einem Postfach, auf das die Firma keinen Zugriff hat.
4. Eigene Konten anlegen, wo es sie gibt. E-Mail, Anmeldung am Rechner und jede Software mit eigener Benutzerverwaltung bekommen einen neuen Benutzer mit dem Namen der Person. Den Abschnitt zu eigenen Konten finden Sie weiter unten.
5. Sammlungen im Tresor festlegen. Notieren Sie, welche Sammlungen die Person sehen soll und ob sie dort nur lesen oder auch bearbeiten darf. Soll sie aus einer Sammlung nur ausfüllen, lässt sich einstellen, dass sie die Passwörter nicht angezeigt bekommt. Ganz verhindert das den Zugriff nicht: Wer ausfüllen kann, kann das Passwort mit etwas Aufwand herausfinden.
6. Gerät vorbereiten. Rechner oder Firmenhandy mit eigenem Benutzerkonto. Voreingestellte Kennwörter ändern Sie vorher, so verlangt es das BSI in ORP.4.A9 für vorkonfigurierte Anmeldedaten. Wie das mit dem Administratorkennwort auf den Firmen-PCs geht, steht unter Lokales Administratorkennwort. Für ein Diensthandy gehört die Apple-ID oder das Google-Konto zur Firma, siehe Firmenhandy: Apple-ID und Google-Konto.
7. Einladung in den Tresor zeitlich planen. In den Tresoren, die wir betreuen, gilt eine Einladung per E-Mail fünf Tage. Schicken Sie sie deshalb frühestens vier Tage vor dem ersten Arbeitstag an die neue Firmenadresse, am besten am Vortag. Liegt der Arbeitsbeginn hinter einem langen Wochenende, ist eine Einladung vom Mittwoch davor schon abgelaufen.

Am ersten Tag

Planen Sie eine halbe Stunde zusammen mit der zuständigen Person ein, am besten gleich am Vormittag. Halten Sie die Reihenfolge ein, jeder Schritt braucht den vorherigen.

1. Am Rechner anmelden und das Startkennwort ersetzen. Das Startkennwort hat die zuständige Person vergeben, sie kennt es also. Die neue Kollegin ersetzt es bei der ersten Anmeldung durch ein eigenes.
2. Die Einladung in den Tresor annehmen. Die neue Person öffnet die Mail im eigenen Postfach, legt ihr Konto an und wählt ein Master-Passwort. Wie man eines wählt, das man sich nach zwei Wochen noch merkt, steht unter Master-Passwort.
3. Den zweiten Faktor am Tresor einrichten. Bei Passwortheld nehmen Sie die neue Person erst in die Organisation auf, wenn sie ihren zweiten Faktor eingerichtet hat. Vorher sieht sie keine Sammlung. Zur Wahl stehen eine Authenticator-App und ein Code per E-Mail. Die App ist sicherer, besonders wenn das Passwort ihres Postfachs selbst im Tresor liegt. Den Wiederherstellungscode, der dabei erscheint, druckt sie aus und verwahrt ihn sicher, nicht als Bildschirmfoto auf dem Handy, siehe Wiederherstellungscodes aufbewahren.
4. Das Konto bestätigen. Laut Dokumentation der Software bestätigt danach ein Verantwortlicher das angenommene Konto und vergleicht dabei eine Prüfphrase, die auch in den Kontoeinstellungen der neuen Person steht. Mit der Aufnahme ist die neue Person automatisch zur Kontowiederherstellung angemeldet: Vergisst sie ihr Master-Passwort, setzt ein Verantwortlicher in der Firma es zurück. Sagen Sie ihr dazu offen, dass dieser Verantwortliche damit auch an ihren persönlichen Bereich im Tresor kommt.
5. Apps einrichten. Browser-Erweiterung am Arbeitsplatz, bei Bedarf die App auf dem Firmenhandy. Einmal ein gemeinsames Passwort aus der Sammlung ausfüllen lassen, damit klar ist, wo die Zugänge jetzt liegen.
6. Die Passwortrichtlinie übergeben. Fünf Minuten genügen, wenn die Firma eine hat. Ein Muster für kleine Betriebe gibt es unter Passwortrichtlinie im Unternehmen.

In der ersten Woche

• Persönliche Zugänge bei Bank und Behörden beantragen. Ob die Firma einen eigenen Zugang im Online-Banking oder bei einem Behördenportal selbst anlegt oder bei Bank und Amt beantragen muss, ist je nach Anbieter verschieden. Klären Sie das in der ersten Woche, damit in der Zwischenzeit niemand mit der PIN der Chefin arbeitet. Wie das bei der Bank aussieht, beschreibt Geschäftskonto: Zugänge für Mitarbeiter, für ELSTER die Seite ELSTER-Zertifikat im Team.
• Zweiten Faktor bei den eigenen Konten einschalten. E-Mail und jede Software, die es anbietet. Das BSI rät, die Zwei-Faktor-Anmeldung zu nutzen, sobald ein Dienst sie ermöglicht.
• Nachfragen, was fehlt. Am dritten oder vierten Tag weiß die neue Person, welche Anmeldung ihr gefehlt hat. Fehlende Zugänge kommen in die passende Sammlung und nicht als Kopie in ihren persönlichen Bereich.
• Überflüssige Rechte zurücknehmen. Was am ersten Tag „vorsichtshalber“ freigegeben wurde, geht nach einer Woche wieder weg.
• Die Liste ablegen. Mit Datum zu den Personalunterlagen. Am letzten Arbeitstag ist sie die Vorlage dafür, was gesperrt und geändert werden muss.

Eigene Konten statt geteilter Zugänge

Wo ein Dienst mehrere Benutzer kennt, bekommt jede Person ein eigenes Konto. Dann lässt sich später sagen, wer etwas bestellt oder gelöscht hat, und beim Austritt sperren Sie ein einziges Konto, statt ein Kennwort für alle zu ändern. Im Tresor landen nur die Zugänge, für die es wirklich nur eine Anmeldung gibt.

Bei Portalen mit einer einzigen Anmeldung kann im Eintrag auch ein Bestätigungscode stecken. Wie mehrere Mitarbeiter denselben Code abrufen, ohne dass einer das Handy des anderen braucht, erklärt Bestätigungscodes im Team teilen. Wie Sammlungen und Rechte allgemein aufgebaut werden, steht unter Passwörter im Team teilen.

Fehler beim Eintritt

• Konten auf private Adresse oder Nummer. Die neue Mitarbeiterin legt in der ersten Woche das Konto beim Paketdienst mit ihrer privaten Mail an, weil die Firmenadresse noch nicht ging. Zwei Jahre später wundert sich die Firma, warum die Mail zum Zurücksetzen nicht ankommt.
• Der zweite Faktor auf dem privaten Handy. Für das eigene Konto am Tresor kann das in Ordnung sein, wenn die Firma das so regelt. Welche Wege es gibt, behandelt Authenticator-App auf dem Privathandy. Für gemeinsame Firmenkonten gehört der Code in den Tresor.

Ein Beispiel aus einer Druckerei

Eine erfundene Druckerei mit neun Leuten stellt eine Mediengestalterin ein, erster Arbeitstag ist ein Montag. Die Inhaberin schreibt in der Woche davor auf, was die Neue tun wird: Druckdaten prüfen, mit Kunden mailen, Papier beim Großhändler nachbestellen. Daraus werden drei Sammlungen im Tresor: „Vorstufe“ mit dem Upload-Portal für Kundendaten, „Einkauf“ nur lesend mit dem Zugang zum Papiergroßhandel, und „Allgemein“ mit WLAN und Netzwerkdrucker. Die Buchhaltung und das Kundenkonto beim Domain-Anbieter sieht sie nicht. Die Einladung in den Tresor schickt die Inhaberin am Freitag an die neue Firmenadresse.

Am Montag um halb neun meldet sich die Mediengestalterin am Rechner an, nimmt die Einladung an, richtet den zweiten Faktor ein, und die Inhaberin bestätigt das Konto am Nachbartisch. Um neun lädt sie die erste Druckdatei hoch, ohne dass ihr jemand ein Kennwort gesagt hat. Welche Zugänge in Druckereien sonst anfallen, zeigt die Seite für Druckereien.

Neue Mitarbeiter bei Passwortheld

Bei Passwortheld lädt der Verantwortliche in Ihrer Firma neue Mitarbeiter selbst per E-Mail ein. Den Mailversand richten wir bei jedem Kunden ein, der Tresor verschickt über ein Postfach Ihrer Firma bei Ihrem eigenen Mailanbieter. Jedes Konto hat ein eigenes Master-Passwort. Die Zwei-Faktor-Pflicht für alle Mitarbeiter, fünf Tage Gültigkeit der Einladung und die automatische Anmeldung zur Kontowiederherstellung schalten wir bei der Einrichtung ein. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Weil es keine Kosten pro Nutzer gibt, kostet die zusätzliche Kollegin nichts extra: Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer.

Eine Einweisung neuer Mitarbeiter ist nicht im Preis. Helfen wir dabei, rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Ob ein gemeinsamer Tresor zu Ihrem Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten).