Ein neuer Mitarbeitender startet, wartet aber nicht auf die IT: Der Zugang zum Firmenaccount ist noch nicht fertig eingerichtet, also lädt er kurzerhand die eigene Notion-App herunter, meldet sich mit dem privaten ChatGPT-Konto an oder speichert Dokumente in seinem persönlichen Google Drive. In diesem Moment entsteht Schatten-IT, und mit ihr ein handfestes Sicherheitsrisiko für dein Unternehmen.

IT-Sicherheitsrisiken beim Onboarding zu vermeiden bedeutet deshalb mehr, als nur Hardware pünktlich bereitzustellen: Es geht darum, Zugriffe, Geräte und Konten von Anfang an kontrolliert und nachvollziehbar einzurichten.

Warum manuelles Onboarding zum Sicherheitsrisiko wird

In vielen Unternehmen laufen HR-Onboarding und IT-Bereitstellung getrennt voneinander. Der Arbeitsvertrag ist unterschrieben, die Willkommensmappe liegt bereit, doch der Laptop ist nicht konfiguriert, Software-Zugänge fehlen und das E-Mail-Konto existiert noch nicht.

Diese Lücke ist meist kein Versehen einzelner Personen, sondern ein strukturelles Problem: HR-Systeme kennen das Startdatum oft Wochen im Voraus, ohne dass diese Information automatisch die IT-Bereitstellung auslöst.

Wie real das Risiko dahinter ist, zeigt die aktuelle Bedrohungslage. Laut dem Cyber Security Report DACH 2025 sind in den vergangenen zwei Jahren zwei von drei mittelständischen Unternehmen in Deutschland, Österreich und der Schweiz nach eigener Auskunft mindestens einmal Opfer eines Cyberangriffs geworden. Jede unstrukturierte Einrichtung neuer Zugänge vergrößert diese Angriffsfläche zusätzlich.

Schatten-IT: Die unsichtbare Folge von Onboarding-Lücken

Wenn der offizielle Weg zu langsam ist, wählen Mitarbeitende den inoffiziellen. Ein Tool-Antrag, der zwei Wochen auf Genehmigung wartet, hält niemanden davon ab, sich in der Zwischenzeit mit einem privaten Cloud-Speicher, einer kostenlosen Projektmanagement-App oder einem persönlichen KI-Account selbst zu behelfen.

Das passiert selten aus böser Absicht, sondern aus einem Effizienzproblem heraus. Besonders im Homeoffice verschärft sich dieser Effekt, weil keine IT-Abteilung vor Ort ist, an die man sich schnell wenden kann. Private Geräte landen im Firmennetzwerk, persönliche Cloud-Ordner ersetzen freigegebene Ablagen, Browser-Erweiterungen werden ohne Prüfung installiert.

Wie verbreitet ungeprüfte KI-Nutzung inzwischen ist, zeigt eine Umfrage im Auftrag von DXC Technology: In Deutschland hat jedes dritte Unternehmen keine Abwehr gegen unautorisierte KI-Nutzung im Einsatz. Jede Genehmigung, die zu lange dauert, ist damit auch eine Einladung zur Schatten-IT.

Unkonfigurierte Geräte und überprivilegierte Konten

Ein Gerät, das ohne Festplattenverschlüsselung, ohne Gerätemanagement (MDM) und ohne aktuelle Sicherheitspatches ausgehändigt wird, ist bereits beim ersten Login angreifbar. Für Unternehmen ohne eigenes IT-Team ist das kein kleines Versehen, sondern ein systemisches Risiko, weil niemand die fehlenden Schritte routinemäßig nachträgt. Auch kleinere IT-Teams stehen vor diesem Problem: Unter Zeitdruck bleibt für die saubere Einrichtung jedes einzelnen Geräts oft schlicht keine Kapazität, weil das Team ohnehin mit komplexeren Projekten ausgelastet ist.

Genauso kritisch ist die Vergabe von Zugriffsrechten unter Zeitdruck. Wenn ein neuer Mitarbeitender schnell arbeitsfähig gemacht werden soll, bekommt er in der Praxis oft mehr Rechte, als seine Rolle eigentlich erfordert: Ein Marketing-Mitarbeitender erhält Admin-Zugriff auf das Finanz-Dashboard oder ein Vertriebsmitarbeitender Schreibrechte für ein internes Entwicklungs-Repository.

Solche überprivilegierten Konten verstoßen gegen das Prinzip der minimalen Rechtevergabe. Noch problematischer wird es, wenn aus Zeitmangel Zugangsdaten geteilt werden: Damit lässt sich später nicht mehr nachvollziehen, wer wann worauf zugegriffen hat. Der Prüfpfad ist unterbrochen.

Neue Mitarbeitende als bevorzugtes Angriffsziel

Angreifer wissen genau, warum neue Mitarbeitende ein leichtes Ziel sind: Ihnen fehlt der Kontext zu internen Abläufen, sie kennen die üblichen Kommunikationswege noch nicht und möchten sich in den ersten Wochen oft besonders hilfsbereit zeigen.

Eine gefälschte Willkommens-Mail der Personalabteilung, eine vermeintliche Anleitung zur IT-Einrichtung oder eine dringende Bitte eines „neuen Vorgesetzten" wird seltener kritisch hinterfragt als bei erfahrenen Kolleg:innen. Genau diese Kombination aus Unsicherheit und Diensteifer macht Phishing- und Social-Engineering-Versuche in der Einarbeitungsphase besonders wirksam.

Wer neue Mitarbeitende in dieser Phase ohne klare Sicherheitsrichtlinien und ohne Multi-Faktor-Authentifizierung arbeiten lässt, überlässt genau die verwundbarste Phase des gesamten Beschäftigungsverhältnisses dem Zufall.

Compliance-Risiko: ISO 27001, DSGVO und Nachweispflicht

Manuelle Einrichtungsprozesse sind nicht nur ein Sicherheits-, sondern auch ein Compliance-Risiko. Standards wie ISO 27001 verlangen, dass Unternehmen belegen können, dass Zugriffsrechte rollengerecht vergeben und regelmäßig überprüft werden. Bei handgestrickten Prozessen ist das kaum nachweisbar, weil oft nicht dokumentiert ist, wer wann welche Berechtigung erhalten hat.

Das Zero-Trust-Prinzip bietet hier eine Orientierung, die sich sowohl ohne eigenes IT-Team als auch zur Entlastung eines bestehenden, kleinen IT-Teams umsetzen lässt: Es geht davon aus, dass kein Zugriff automatisch vertrauenswürdig ist. Jede Anfrage wird verifiziert, und Systeme werden so gestaltet, dass ein kompromittiertes Konto nicht automatisch Zugriff auf alles ermöglicht.

Wichtig dabei: deeploi selbst ist als Plattform ISO 27001-zertifiziert und DSGVO-konform, die Einhaltung der eigenen Compliance-Pflichten bleibt aber immer Aufgabe des jeweiligen Unternehmens.

Wie deeploi Onboarding-Sicherheitsrisiken automatisiert schließt

deeploi automatisiert mit unseren internen IT-Experten genau diese Schritte: Die All-in-One IT-Management Plattform übernimmt automatisiertes On- und Offboarding und reduziert die Einrichtungszeit von durchschnittlich 2–3 Stunden manueller Arbeit auf 3–5 Minuten.

Neue Geräte werden per Zero-Touch-Provisioning vorkonfiguriert und direkt einsatzbereit ausgeliefert, während Gerätemanagement (MDM), Festplattenverschlüsselung und Sicherheitsupdates automatisch im Hintergrund laufen.

Zugriffsrechte vergibt deeploi über vordefinierte Rollenvorlagen nach dem Least-Privilege-Prinzip. Das reduziert den manuellen IT-Aufwand insgesamt um bis zu 95 % und macht Zugriffsvergaben nachvollziehbar dokumentiert, statt improvisiert.

Für Unternehmen ohne eigene IT-Abteilung heißt das: IT-Sicherheit ist von der ersten Minute an Teil des Prozesses, nicht eine zusätzliche Aufgabe, die HR oder Geschäftsführung nebenbei erledigen müssen.

Für Unternehmen mit einem bestehenden, kleinen IT-Team zeigt sich der Effekt anders: Routineaufgaben wie Geräteeinrichtung und Rechtevergabe laufen automatisiert im Hintergrund, sodass sich das Team auf komplexere IT-Projekte konzentrieren kann, statt sich mit wiederkehrendem Onboarding-Kleinkram aufzuhalten.

Automatisierung statt Checkliste: der nachhaltige Weg zu sicherem Onboarding

IT-Sicherheitsrisiken beim Onboarding entstehen nicht durch Nachlässigkeit Einzelner, sondern durch fehlende Struktur zwischen HR und IT. Eine längere Checkliste allein löst dieses Problem nicht, weil sie weiterhin auf manueller Ausführung beruht und damit fehleranfällig bleibt.

Nachhaltig wird Onboarding-Sicherheit erst, wenn Geräte, Zugänge und Rechte automatisiert und nach einheitlichen Standards eingerichtet werden, unabhängig davon, ob ein eigenes IT-Team im Haus ist.

Mit deeploi steht diese Automatisierung als Plattform bereit. Die Verantwortung für sicheres Onboarding liegt dann nicht mehr bei einer einzelnen Person, sondern in einem verlässlichen Prozess.

{{cta}}

FAQ

Warum ist der Onboarding-Prozess gerade für Unternehmen ohne eigene IT-Abteilung ein Sicherheitsrisiko?

Ohne dedizierte IT-Abteilung übernehmen oft HR-Verantwortliche oder Gründer:innen die technische Einrichtung nebenbei, ohne Sicherheitswissen oder Zeit für saubere Prozesse.

Schritte wie Festplattenverschlüsselung, Gerätemanagement (MDM) oder rollengerechte Rechtevergabe werden dabei leicht übersehen. Genau diese Lücken nutzen Angreifer gezielt aus, weil sie wissen, dass niemand im Unternehmen die Einrichtung routinemäßig prüft.

Wie hängen Schatten-IT und schlechtes Onboarding konkret zusammen?

Wenn die offizielle IT-Einrichtung zu langsam ist, behelfen sich neue Mitarbeitende selbst: mit privaten Cloud-Diensten, eigenen Geräten oder persönlichen KI-Accounts. Was als pragmatische Zwischenlösung beginnt, wird schnell zur Gewohnheit. Diese unautorisierten Tools entziehen sich jeder zentralen Kontrolle und werden zu blinden Flecken in der Unternehmens-IT.

Welche Rolle spielt das Zero-Trust-Prinzip beim Mitarbeiter-Onboarding für KMU ohne IT-Team?

Zero Trust bedeutet, dass kein Zugriff automatisch als vertrauenswürdig gilt, auch nicht innerhalb des eigenen Netzwerks. Für kleine und mittlere Unternehmen lässt sich das Prinzip auch ohne eigenes Sicherheitsteam anwenden, wenn Rechte über feste Rollenvorlagen vergeben und Zugriffe kontinuierlich überwacht werden, statt sie einmalig beim Onboarding festzulegen und danach nicht mehr zu prüfen.

Wie schnell sollte ein neues Gerät für einen Mitarbeitenden einsatzbereit sein?

Manuell dauert die vollständige Einrichtung eines Geräts inklusive Software, Zugängen und Sicherheitsrichtlinien üblicherweise 2–3 Stunden. Mit automatisierten Plattformen wie deeploi lässt sich dieselbe Einrichtung auf 3–5 Minuten reduzieren, weil Konfiguration, Rechtevergabe und Sicherheitsupdates im Hintergrund ablaufen, statt manuell Schritt für Schritt abgearbeitet zu werden.

Was können HR-Verantwortliche ohne IT-Kenntnisse konkret gegen Onboarding-Sicherheitsrisiken tun?

Der wirksamste Schritt ist nicht eine längere Checkliste, sondern die Automatisierung der Einrichtung selbst. Eine Plattform, die HR-Systeme wie Personio direkt mit der Geräte- und Rechtevergabe verbindet, sorgt dafür, dass Sicherheit automatisch mitgedacht wird, ohne dass HR-Teams selbst zu IT-Expert:innen werden müssen.