WEBVTT 1 00:00:04.500 --> 00:00:07.170 Bei uns fängt am Montag ein neuer Vertriebler an. 2 00:00:07.170 --> 00:00:10.821 Und ich wette, um neun fragt jemand, wo eigentlich sein Laptop ist. 3 00:00:11.071 --> 00:00:15.739 Das ist der häufigste Fehlstart beim Mitarbeiter-Onboarding, also der Aufnahme neuer Leute. 4 00:00:15.739 --> 00:00:19.944 Der Vertrag ist seit Wochen unterschrieben, aber die IT hat davon nichts erfahren. 5 00:00:20.194 --> 00:00:23.018 Was kostet mich das, außer einem verlorenen Vormittag? 6 00:00:23.268 --> 00:00:24.653 Mehr als den Vormittag. 7 00:00:24.653 --> 00:00:29.892 Wer ohne Zugang dasitzt, bekommt Kennwörter zugerufen oder arbeitet am fremden Rechner. 8 00:00:30.142 --> 00:00:33.284 Genau so entstehen Lücken, die später niemand mehr findet. 9 00:00:33.284 --> 00:00:37.185 Und der erste Eindruck vom neuen Arbeitgeber ist ein Mensch, der wartet. 10 00:00:37.435 --> 00:00:40.621 Ist das eine Pflicht oder eher eine Frage des Stils? 11 00:00:40.871 --> 00:00:47.967 Das Bundesamt für Sicherheit in der Informationstechnik sieht vor, dass Personal und Vorgesetzte neue Leute geregelt einarbeiten. 12 00:00:47.967 --> 00:00:52.808 Dazu sollen eine Checkliste und eine feste Ansprechperson gehören, ein sogenannter Pate. 13 00:00:53.058 --> 00:00:55.753 Pflicht ist dieser Grundschutz für die meisten Firmen nicht. 14 00:00:55.753 --> 00:00:58.449 Aber er beschreibt ziemlich genau, was im Alltag schiefgeht. 15 00:00:58.699 --> 00:01:01.419 Und wer ist bei uns dafür zuständig? 16 00:01:01.419 --> 00:01:03.836 Personal, Führungskraft oder IT? 17 00:01:04.086 --> 00:01:05.860 Alle drei, aber nacheinander. 18 00:01:05.860 --> 00:01:11.489 Das Personal meldet, die Führungskraft sagt, was die Person braucht, und die IT richtet ein. 19 00:01:11.739 --> 00:01:13.519 Was nehme ich aus dieser Folge mit? 20 00:01:13.769 --> 00:01:20.332 Drei typische Fälle: das Gerät, das nicht da ist, die Rechte, die einfach kopiert werden, und die erste Anmeldung. 21 00:01:20.332 --> 00:01:24.131 Am Ende stehen drei Regeln, damit der erste Tag um neun Uhr läuft. 22 00:01:24.731 --> 00:01:26.357 Fangen wir mit dem Laptop an. 23 00:01:26.357 --> 00:01:27.758 Wie sieht der Fehler aus? 24 00:01:28.008 --> 00:01:32.230 Ein typischer Fall: Eine Firma mit vierzig Leuten stellt eine Einkäuferin ein. 25 00:01:32.230 --> 00:01:37.263 Der Vertrag ist Anfang des Monats unterschrieben, die IT erfährt es am Freitag vor dem Start. 26 00:01:37.513 --> 00:01:39.569 Ein neues Gerät ist so schnell nicht da. 27 00:01:39.569 --> 00:01:44.762 Also bekommt die Kollegin den alten Rechner aus dem Lager, angemeldet mit dem Konto ihres Vorgängers. 28 00:01:45.012 --> 00:01:46.545 Das klingt erst mal pragmatisch. 29 00:01:46.545 --> 00:01:47.742 Was ist daran so schlimm? 30 00:01:47.992 --> 00:01:52.749 Sie arbeitet dann unter fremdem Namen, mit fremden Rechten und mit den Dateien eines anderen. 31 00:01:52.749 --> 00:01:55.716 Jede Mail und jede Buchung steht unter dem falschen Namen. 32 00:01:55.966 --> 00:02:01.017 Der IT-Grundschutz sagt dazu klar: Jede Kennung muss eindeutig einer Person zugeordnet sein. 33 00:02:01.017 --> 00:02:04.915 Ein geliehenes Konto ist also kein Notbehelf, sondern genau der Fehler. 34 00:02:05.165 --> 00:02:05.466 Gut. 35 00:02:05.466 --> 00:02:07.494 Was ist der bessere Ablauf? 36 00:02:07.744 --> 00:02:13.846 Die Meldung an die IT geht raus, sobald der Vertrag unterschrieben ist, nicht in der Woche vor dem Start. 37 00:02:13.846 --> 00:02:17.973 Mit Name, Starttermin, Abteilung und dem Gerät, das die Person braucht. 38 00:02:18.223 --> 00:02:21.930 Bei uns weiß ich das manchmal selbst erst drei Wochen vorher. 39 00:02:21.930 --> 00:02:22.599 Reicht das? 40 00:02:22.849 --> 00:02:25.459 Meist ja, wenn die Meldung dann auch sofort kommt. 41 00:02:25.459 --> 00:02:29.844 Selten ist die Lieferzeit das Problem, meistens hat einfach niemand Bescheid gesagt. 42 00:02:30.094 --> 00:02:34.034 Und dann sitzt jemand von der IT einen ganzen Tag daran und richtet den Laptop ein? 43 00:02:34.284 --> 00:02:35.881 Das muss heute nicht mehr sein. 44 00:02:35.881 --> 00:02:42.736 Microsoft hat dafür ein Verfahren namens Autopilot, mit dem sich ein neuer Windows-Rechner beim ersten Einschalten selbst einrichtet. 45 00:02:42.986 --> 00:02:45.944 Das Gerät kann sogar direkt zur neuen Person geschickt werden. 46 00:02:45.944 --> 00:02:49.571 Sie packt aus, schaltet ein, verbindet sich mit dem Netz und meldet sich an. 47 00:02:49.821 --> 00:02:51.913 Und den Rest holt sich der Rechner selbst? 48 00:02:52.163 --> 00:02:52.486 Genau. 49 00:02:52.486 --> 00:02:59.273 Laut Microsoft muss die Person nur das Netz verbinden und sich anmelden, Programme und Einstellungen kommen danach von allein. 50 00:02:59.523 --> 00:03:02.092 Dafür muss aber vorher schon etwas vorbereitet sein. 51 00:03:02.342 --> 00:03:02.758 Richtig. 52 00:03:02.758 --> 00:03:08.071 Das Gerät muss in der Verwaltung der Firma eingetragen sein, und das Konto der Person muss existieren. 53 00:03:08.321 --> 00:03:11.226 Was braucht die IT für das Konto von mir? 54 00:03:11.476 --> 00:03:15.251 Eine freie Lizenz, also das Nutzungsrecht für Microsoft 365. 55 00:03:15.251 --> 00:03:21.290 Microsoft nennt das ausdrücklich als ersten Schritt: Lizenzen kaufen, bevor man jemanden anlegt. 56 00:03:21.540 --> 00:03:26.095 Ist keine frei, kann die IT das Konto trotzdem anlegen und eine weitere dazukaufen. 57 00:03:26.095 --> 00:03:30.431 Diese Kaufentscheidung gehört aber vor den Starttag, nicht in den Montagmorgen. 58 00:03:30.681 --> 00:03:32.889 Wer gibt das Geld für Gerät und Lizenz frei? 59 00:03:32.889 --> 00:03:35.499 Bei uns wartet so etwas gern auf meine Unterschrift. 60 00:03:35.749 --> 00:03:38.248 Genau deshalb steht es in der ersten Meldung. 61 00:03:38.248 --> 00:03:44.467 Die IT schlägt vor, die Geschäftsführung gibt einmal frei, und niemand wartet am Starttag auf eine Unterschrift. 62 00:03:44.717 --> 00:03:46.309 Und der Rechner aus dem Lager? 63 00:03:46.309 --> 00:03:47.953 Den haben wir ja schon bezahlt. 64 00:03:48.203 --> 00:03:50.878 Den kann man nehmen, aber nur frisch zurückgesetzt. 65 00:03:50.878 --> 00:03:56.805 Microsoft beschreibt dafür einen eigenen Weg, der ein vorhandenes Gerät schnell für eine neue Person vorbereitet. 66 00:03:57.055 --> 00:04:02.814 Vorher prüft jemand, ob darauf noch Dateien des Vorgängers liegen, die nirgends sonst gespeichert sind. 67 00:04:02.814 --> 00:04:05.497 Das Konto des Vorgängers ist in jedem Fall tabu. 68 00:04:06.097 --> 00:04:10.668 Zweiter Punkt, ich sage der IT meistens: Sie bekommt dieselben Rechte wie ihr Kollege. 69 00:04:10.668 --> 00:04:11.465 Ist das falsch? 70 00:04:11.715 --> 00:04:15.171 Es klingt praktisch, aber es kopiert die Geschichte des Kollegen mit. 71 00:04:15.171 --> 00:04:21.883 Der ist vielleicht seit zehn Jahren im Haus und hat Zugriff auf alte Projektordner und auf die Lohnliste, weil er mal ausgeholfen hat. 72 00:04:22.133 --> 00:04:24.287 Und die Neue hätte das dann alles am ersten Tag. 73 00:04:24.537 --> 00:04:24.859 Genau. 74 00:04:24.859 --> 00:04:32.171 Der IT-Grundschutz sieht das Gegenteil vor: Rechte nur nach dem tatsächlichen Bedarf für die Aufgabe, das Prinzip der geringsten Rechte. 75 00:04:32.421 --> 00:04:36.641 Und wer mehr als den Standard will, bekommt es nur mit Begründung und nach einer Prüfung. 76 00:04:36.891 --> 00:04:39.353 Wer entscheidet denn, was der Bedarf ist? 77 00:04:39.353 --> 00:04:41.816 Die IT kennt die Aufgaben doch gar nicht. 78 00:04:42.066 --> 00:04:48.440 Das entscheidet die Führungskraft: Sie sagt, welche Abteilung, welche Programme, welche Ordner, und die IT setzt es um. 79 00:04:48.690 --> 00:04:55.290 Am einfachsten geht das mit festen Rollen: ein Paket für den Einkauf, eines für den Vertrieb, eines für die Buchhaltung. 80 00:04:55.290 --> 00:04:59.305 Die neue Person bekommt ihr Paket, nicht die Geschichte ihres Vorgängers. 81 00:04:59.555 --> 00:05:01.768 Das klingt nach viel Vorarbeit. 82 00:05:02.018 --> 00:05:02.665 Einmal, ja. 83 00:05:02.665 --> 00:05:06.964 Danach geht jeder Eintritt schneller, weil niemand mehr einzeln überlegt. 84 00:05:07.214 --> 00:05:12.151 Und der IT-Grundschutz sieht ohnehin vor, dass festgehalten wird, wer welche Rechte hat. 85 00:05:12.151 --> 00:05:16.135 Diese Liste wird regelmäßig geprüft, ob sie noch zu den Aufgaben passt. 86 00:05:16.385 --> 00:05:22.565 Bei uns wollte neulich ein Neuer Administratorrechte, damit er selbst Programme installieren kann. 87 00:05:22.565 --> 00:05:23.826 Was spricht dagegen? 88 00:05:24.076 --> 00:05:29.107 Ein Administrator darf alles am Rechner, je nach Rolle sogar in der ganzen Firmenumgebung. 89 00:05:29.107 --> 00:05:33.132 Klickt er auf eine falsche Mail, darf das Schadprogramm ebenfalls alles. 90 00:05:33.382 --> 00:05:38.389 Microsoft empfiehlt, die höchste Verwaltungsrolle an weniger als fünf Personen zu vergeben. 91 00:05:38.389 --> 00:05:42.351 Ein neuer Mitarbeiter gehört nicht dazu, auch nicht für die erste Woche. 92 00:05:42.601 --> 00:05:44.602 Und wenn er ein Programm wirklich braucht? 93 00:05:44.852 --> 00:05:49.086 Dann beantragt er es, die Führungskraft gibt frei, und die IT spielt es auf. 94 00:05:49.086 --> 00:05:52.262 So bleibt nachvollziehbar, was auf welchem Rechner läuft. 95 00:05:52.512 --> 00:05:55.793 Und wenn die Neue nach einem Jahr in eine andere Abteilung wechselt? 96 00:05:56.043 --> 00:05:59.739 Dann bekommt sie das Paket der neuen Abteilung, und das alte wird entfernt. 97 00:05:59.739 --> 00:06:04.814 Der Grundschutz sieht vor, dass nicht mehr benötigte Rechte bei personellen Veränderungen verschwinden. 98 00:06:05.064 --> 00:06:07.205 Was ist mit Aushilfen und Praktikanten? 99 00:06:07.205 --> 00:06:08.906 Die sind ja nur drei Monate da. 100 00:06:09.156 --> 00:06:11.037 Für sie gilt dasselbe, nur mit Enddatum. 101 00:06:11.037 --> 00:06:14.705 Das steht schon in der ersten Meldung, dann vergisst es beim Austritt niemand. 102 00:06:14.955 --> 00:06:17.811 Und auch sie bekommen ein eigenes Konto, kein geliehenes. 103 00:06:17.811 --> 00:06:24.375 Für Leihkräfte und externe Hilfe sieht der Grundschutz vor, dass sie bei längerem Einsatz wie die eigenen Leute eingewiesen werden. 104 00:06:24.975 --> 00:06:28.091 Dritter Fall: Gerät da, Konto da, Rechte passen. 105 00:06:28.091 --> 00:06:30.168 Was kann jetzt noch schiefgehen? 106 00:06:30.418 --> 00:06:31.653 Die erste Anmeldung. 107 00:06:31.653 --> 00:06:39.743 Ein typischer Fall: Die IT schickt das Startkennwort per Mail an die private Adresse, oder es klebt auf einem Zettel am Bildschirm. 108 00:06:39.993 --> 00:06:42.307 Das ist doch nur für einen Tag. 109 00:06:42.307 --> 00:06:45.892 Man muss es beim ersten Anmelden ohnehin ändern. 110 00:06:46.142 --> 00:06:48.557 Bei Microsoft ist das die Voreinstellung, ja. 111 00:06:48.557 --> 00:06:53.763 Aber bis dahin kann sich jeder, der die Mail oder den Zettel sieht, als die neue Person anmelden. 112 00:06:54.013 --> 00:06:58.725 Und der IT-Grundschutz ist da streng: Ein Kennwort darf nur der Person selbst bekannt sein. 113 00:06:58.975 --> 00:07:00.037 Wie macht man es besser? 114 00:07:00.287 --> 00:07:04.066 Microsoft bietet dafür einen befristeten Zugangscode für die erste Anmeldung. 115 00:07:04.066 --> 00:07:09.268 Er gilt in der Grundeinstellung eine Stunde und lässt sich so einstellen, dass er nur einmal funktioniert. 116 00:07:09.518 --> 00:07:13.827 Den gibt die Führungskraft oder der Pate am ersten Morgen persönlich weiter. 117 00:07:13.827 --> 00:07:18.645 Damit richtet die neue Person ihre eigene Anmeldung ein, danach ist der Code wertlos. 118 00:07:18.895 --> 00:07:22.638 Und wenn der Code abläuft, bevor sie fertig ist? 119 00:07:22.888 --> 00:07:24.908 Dann stellt die IT einen neuen aus. 120 00:07:24.908 --> 00:07:32.640 Microsoft beschreibt genau diesen Fall: Dauert die Einrichtung länger als zehn Minuten, braucht es bei einem Einmalcode einen zweiten. 121 00:07:32.890 --> 00:07:35.348 Und dann kommt der zweite Faktor. 122 00:07:35.348 --> 00:07:38.030 Das ist die Bestätigung übers Handy? 123 00:07:38.280 --> 00:07:42.877 Genau, eine zweite Bestätigung neben dem Kennwort, meist über eine App auf dem Telefon. 124 00:07:42.877 --> 00:07:44.938 Und hier verpassen viele eine Änderung. 125 00:07:45.188 --> 00:07:50.379 Früher hatten neue Nutzer bei den Sicherheits-Grundeinstellungen von Microsoft vierzehn Tage Zeit dafür. 126 00:07:50.379 --> 00:07:55.120 Seit dem neunundzwanzigsten Juli zweitausendvierundzwanzig gibt es diese Schonfrist nicht mehr. 127 00:07:55.370 --> 00:07:58.826 Das heißt, die Einrichtung muss am ersten Tag passieren. 128 00:07:59.076 --> 00:08:00.903 Ja, gleich bei der ersten Anmeldung. 129 00:08:00.903 --> 00:08:05.370 Wer dann kein Telefon dabeihat oder die App nicht installieren will, kommt nicht weiter. 130 00:08:05.620 --> 00:08:11.112 Da habe ich sofort die nächste Frage: Kann ich verlangen, dass jemand dafür sein privates Handy nimmt? 131 00:08:11.362 --> 00:08:14.569 Das klären Sie mit Ihrer Personalabteilung, nicht mit der IT. 132 00:08:14.569 --> 00:08:21.719 Wer kein Diensthandy hat und das private nicht nutzen will, bekommt einen Sicherheitsschlüssel, ein kleines Gerät für den USB-Anschluss. 133 00:08:21.969 --> 00:08:27.954 Den Schlüssel muss die IT vorher freischalten, mit Microsofts einfachen Grundeinstellungen allein geht nur die App. 134 00:08:27.954 --> 00:08:35.603 Microsoft empfiehlt solche Schlüssel ohnehin für Konten mit weitreichenden Rechten, sie gelten als besonders sicher gegen gefälschte Anmeldeseiten. 135 00:08:35.853 --> 00:08:39.126 Und was gehört außer der Technik noch in den ersten Tag? 136 00:08:39.376 --> 00:08:41.257 Die Verpflichtung auf den Datenschutz. 137 00:08:41.257 --> 00:08:48.583 Die Datenschutzaufsicht von Bund und Ländern schreibt, dass sie bei Aufnahme der Tätigkeit erfolgen muss, möglichst spätestens am ersten Arbeitstag. 138 00:08:48.833 --> 00:08:52.719 Zuständig ist die Unternehmensleitung oder jemand, den sie damit beauftragt. 139 00:08:52.719 --> 00:08:56.962 Empfohlen wird eine schriftliche oder elektronische Erklärung, die Sie aufbewahren. 140 00:08:57.212 --> 00:09:01.918 Und wohin wendet sich die Neue, wenn ihr eine Mail komisch vorkommt? 141 00:09:02.168 --> 00:09:08.162 Das gehört in die erste Stunde: wo sie Probleme meldet, wer ihre Ansprechperson ist und welche Regeln im Haus gelten. 142 00:09:08.162 --> 00:09:13.900 Der IT-Grundschutz sieht ausdrücklich vor, dass neue Leute über bestehende Regeln und Abläufe informiert werden. 143 00:09:14.150 --> 00:09:15.420 Was kostet mich das alles? 144 00:09:15.670 --> 00:09:17.952 Kaum Geld, vor allem die richtige Reihenfolge. 145 00:09:17.952 --> 00:09:22.070 Die Arbeit ist dieselbe, ob sie drei Wochen vorher passiert oder am Montag um neun. 146 00:09:22.320 --> 00:09:24.765 Nur sitzt im zweiten Fall jemand daneben und wartet. 147 00:09:24.765 --> 00:09:27.961 Und am Ende teilt er sich doch wieder ein Kennwort mit dem Kollegen. 148 00:09:28.561 --> 00:09:30.835 Dann bitte zum Schluss die drei Regeln. 149 00:09:30.835 --> 00:09:32.759 Was lege ich morgen im Haus fest? 150 00:09:33.009 --> 00:09:40.305 Erstens: Sobald der Vertrag unterschrieben ist, meldet das Personal Name, Starttermin und Abteilung an Führungskraft und IT. 151 00:09:40.305 --> 00:09:45.776 Die Führungskraft sagt, welches Gerät, welche Programme und welche Ordner die Person braucht. 152 00:09:46.026 --> 00:09:54.450 Zweitens: Jede neue Person bekommt ein eigenes Konto, ein frisch eingerichtetes Gerät und Rechte nach ihrer Rolle, nicht nach dem Kollegen. 153 00:09:54.450 --> 00:09:56.814 Administratorrechte gehören nicht dazu. 154 00:09:57.064 --> 00:10:01.607 Drittens: Am ersten Morgen gibt der Pate den Zugangscode persönlich weiter. 155 00:10:01.607 --> 00:10:08.209 Zweiter Faktor, Datenschutzverpflichtung und die Frage, wo man Probleme meldet, sind vor dem Mittag erledigt. 156 00:10:08.459 --> 00:10:09.499 Das ist machbar. 157 00:10:09.499 --> 00:10:12.489 Und wenn ich das nicht selbst nachhalten will? 158 00:10:12.739 --> 00:10:16.148 Wer mit kjello arbeitet, meldet die neue Person im Portal an. 159 00:10:16.148 --> 00:10:21.458 Dann werden Microsoft-Konto und Lizenz angelegt, und das Gerät wird beschafft und eingerichtet.