Onboarding und Personaladministration
IT-Provisionierungs-Ticket aus Rolle (rollenbasiertes Berechtigungs-Konzept) mit KI generieren
anymize entfernt MA-Klarnamen und Vorgesetzte aus dem Provisionierungs-Input. Die KI generiert ein vollständiges IT-Ticket mit rollenbasierten Berechtigungen (RBAC: M365, GitHub-Org, AWS-IAM-Rolle, Slack-Channels, Jira-Projekte) nach BSI IT-Grundschutz, ISO 27001 und Least-Privilege-Prinzip, bereit zur Übergabe an ServiceNow / Jira Service Management / Microsoft Entra ID.
Schwierigkeit: Fortgeschritten · Datenklasse: Beschäftigtendaten · Letztes Review:
Zur Orientierung gedacht. Die personalrechtliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen, KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
IT-Provisionierung ist der Onboarding-Sub-Schritt mit dem höchsten Zeitaufwand für IT-Ops und gleichzeitig dem höchsten Sicherheits-Risiko. Manuelle Provisionierung führt zu Over-Provisioning (Branchen-Benchmark: 30–40 % der MA haben mehr Berechtigungen als nötig, Least-Privilege-Verletzung) und Time-to-Productivity-Verzögerung. BSI IT-Grundschutz, ISO 27001 und in regulierten Branchen MaRisk/BAIT/VAIT/KAIT verlangen rollenbasierte Berechtigungen. Dieser Vertical-UC vertieft UC-M-HR-007 für den IT-Provisionierungs-Sub-Schritt. Die Letztprüfung durch IT-Ops und ggf. DSB/ISMS bleibt selbstverständlich bei Ihnen.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- HR-Business-Partner mit IT-Schnittstellen-Verantwortung, People-Operations, IT-Operations, IAM-Engineer; sekundär Datenschutzbeauftragter (DSB), ISMS-Beauftragter, Betriebsrat.
- Seniorität
- Fortgeschritten, RBAC-Verständnis, Least-Privilege, BSI-Grundschutz-Grundkenntnisse.
- Unternehmensgröße
- KMU bis Konzern; besonders KRITIS-Betreiber, Bank/Versicherung (MaRisk/BAIT/VAIT), Pharma (GxP), Energieversorger.
- Spezifische Kontexte
- (a) Tech-Rolle (Repository + Cloud-IAM), (b) Sales (CRM + Sales-Tools), (c) Finance (SAP + DATEV + Bankschnittstellen), (d) Führungskraft (erweiterte Berechtigungen + Vertretung), (e) Werkstudent/Praktikant (eingeschränkt), (f) Compliance/Audit (Read-Only).
Die Situation in der Personalabteilung
So bringen Sie Tempo und Sorgfalt zusammen
IT-Provisionierung kostet manuell 30–90 Min pro Hire: HR sendet Mail an IT, IT-Ops überlegt Berechtigungen, erstellt Tickets in 5–15 Subsystemen, prüft Compliance. Häufige Folge: Over-Provisioning (zu großzügige Berechtigungen aus 'Bauchgefühl') oder Under-Provisioning (Time-to-Productivity-Verzögerung 1–5 Tage). BSI IT-Grundschutz und ISO 27001 verlangen rollenbasierte Berechtigungen mit Least-Privilege-Prinzip. In regulierten Branchen (KRITIS, BAIT/VAIT/KAIT) ist Auditierbarkeit Pflicht. Eingaben (MA-Klarname, Rolle, Team, Vorgesetzte:r) sind Klasse A nach § 26 BDSG. Bei IAM-Automation mit KI (Microsoft Entra ID Copilot, SailPoint AI, Saviynt) greift BetrVG § 87 Abs. 1 Nr. 6. BSI AIC4 ist spezifischer Katalog für KI-Cloud-Services.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro Ticket
30–60 Min
Von 60–90 Min auf 20–30 Min Review. Vollständige Subsystem-Liste mit Least-Privilege-Begründung pro Berechtigung wird in einem KI-Lauf strukturiert.
Sicherheits-Hebel
30–40 % weniger Over-Provisioning
Branchen-Benchmark: Manuelle Provisionierung führt zu Over-Provisioning bei 30–40 % der MA, Least-Privilege-Verletzung mit ISO-Findings.
Kosten-Hebel
2,6–4,5 kEUR/Jahr
Bei 50 Hires/Jahr × 45 Min Ersparnis × 70–120 EUR/h.
Erkennungsrate
>95 %
Klarnamen MA und Vorgesetzte werden dreifach geprüft erkannt; Rolle und Berechtigungen bleiben strukturiert sichtbar.
So gehen Sie vor
Der Workflow Schritt für Schritt
HR-BP sammelt Rolle, Team, Vorgesetzte:r, Standort, Eintrittsdatum, Probezeit und ggf. Sonder-Berechtigungen.
Mensch
Strukturierte Anforderung.
Daten-Klassifikation: Klarname MA + Vorgesetzte = Klasse A; Rolle/Team/Standort/Berechtigungs-Set = Klasse B; Rollen-Templates = Klasse C.
Mensch
§ 26 BDSG.
anymize anonymisiert [[MA-…]], [[Manager-…]], [[Team-…]]. Rolle, Standort und Berechtigungs-Bedarf bleiben Klartext. Spot-Check bei kleinen Teams oder exotischen Standorten.
anymize
DSGVO Art. 5; NER-Restrisiko.
Frontier-KI erzeugt IT-Ticket mit Subsystem-Liste (M365, Azure AD/Okta, GitHub, AWS-IAM, Slack, Jira, Confluence, ggf. CRM/HRIS/SAP), Least-Privilege-Begründung pro Berechtigung und Compliance-Marker (BSI/ISO/MaRisk/GxP). Sonder-Berechtigungen mit DSGVO-Risikoanalyse und Just-in-time-Empfehlung.
GPT / Claude / Gemini in anymize
Strukturierung; Least-Privilege.
Rück-Substitution Platzhalter; Ticket-Übergabe an ServiceNow / Jira Service Management / Microsoft Entra ID-Workflow.
anymize + Mensch
DSGVO Art. 28.
IT-Ops-Review: rollenbasierte Berechtigungen plausibel, Sonder-Berechtigungen begründet, Least-Privilege eingehalten, SoD bei Finance/Compliance.
Mensch (IT-Ops)
BSI-Compliance · ISO 27001.
BetrVG-§-87-BV-Check bei IAM-Automation mit KI (Entra ID Copilot, SailPoint AI, Saviynt); Provisionierung am Eintrittstag T0 vor 09:00.
Mensch
BAG 1 ABR 20/21; Time-to-Productivity.
Quartalsweise Berechtigungs-Review (User Access Review / UAR) ab Q+1 nach Eintritt, typisch Q1/Q2/Q3/Q4 für regulierte Branchen.
Mensch + System
BSI · ISO 27001 · MaRisk-Auditierbarkeit.
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt MA-Klarname, Vorgesetzte und Team-Identifier mit über 95 %.
- Spot-Check für kleine Teams und exotische Standorte (Re-Identifizierungsrisiko).
- Bidirektionale Re-Identifikation für Übergabe an ServiceNow/Jira/Entra ID.
- Verarbeitung in deutschen Rechenzentren; AVV nach Art. 28 DSGVO.
Was Sie als HR-BP/IT-Ops tun
- Rolle, Team und ggf. Sonder-Berechtigungen präzise erfassen.
- Least-Privilege-Begründung pro Berechtigung im Review prüfen.
- SoD-Check bei Finance-/Compliance-Rollen.
- BetrVG-§-87-BV für IAM-Automation mit KI prüfen.
Daten-Input
Klasse A: Klarname MA + Vorgesetzte. Klasse B: Rolle, Team, Standort, Berechtigungs-Bedarf. Klasse C: Rollen-Templates (Engineering-Standard, Sales-Standard, Finance-Standard).
Output-Kontrolle
Pseudonymisierter Provisionierungs-Input an die KI; re-identifiziertes Ticket mit vollständiger Subsystem-Liste, Least-Privilege-Begründung, Compliance-Marker, Sonder-Berechtigungen und UAR-Datum zurück.
Freigabeprozess
HR-BP + IT-Ops; bei sensiblen Berechtigungen DSB + ISMS-Sign-off; bei Domain-Admin / Production-Admin Vorstand-Sign-off.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. Provisionierungs-Parameter (Rolle, Team, Manager, ggf. Sonder-Berechtigungen) in anymize einfügen.
2. Prompt anhängen, Thinking-Modus aktivieren.
3. KI liefert IT-Ticket mit Subsystem-Liste und Compliance-Marker.
4. IT-Ops prüft Least-Privilege; BetrVG-§-87-BV für IAM-AI; Provisionierung am Eintrittstag.
# Context (C)
Rechtsstand: <heutiges Datum>. Du unterstützt die Erstellung eines
IT-Provisionierungs-Tickets für einen neuen MA in einem deutschen
Unternehmen. Eingaben pseudonymisiert mit `[[MA-…]]`, `[[Manager-…]]`,
`[[Team-…]]`. Rolle, Standort, Berechtigungs-Bedarf, Compliance-Branche
im Klartext.
# Role (R)
IAM-Engineer-Assistenz mit Kenntnis: BSI IT-Grundschutz, ISO 27001
Anhang A (Access Control), Least-Privilege, Need-to-Know, Segregation
of Duties, branchen-spezifische Anforderungen (MaRisk/BAIT/VAIT/KAIT
bei Bank/Versicherung; GxP bei Pharma; B3S bei KRITIS).
# Action (A)
1. Erzeuge ein IT-Provisionierungs-Ticket mit:
- **Header**: MA, Eintritt, Rolle, Team, Vorgesetzte, Standort.
- **Subsystem-Liste mit Berechtigungen** (Tabelle: Subsystem, Rolle/
Gruppe, Scope, Begründung, Compliance-Marker):
M365, Azure AD/Okta, GitHub/GitLab, AWS/Azure/GCP, Slack/Teams,
Jira/Confluence, ggf. CRM, HRIS, SAP/DATEV, Sicherheits-Tools.
- **Sonder-Berechtigungen**: aus Eingabe mit DSGVO-Risiko-Bewertung
und Just-in-time vs. Permanent-Empfehlung.
- **Probezeit-Einschränkungen**: Production-Deploy, kritische Daten
erst nach T180 oder T90 mit Manager-Freigabe.
- **Compliance-Marker** pro Berechtigung (BSI / ISO / MaRisk-Punkt).
- **User Access Review** (UAR): erste Review Q+1 nach Eintritt.
2. Least-Privilege: KEINE Standard-Admin-Rolle.
3. SoD bei Finance-/Compliance-Rollen: keine Konflikt-Berechtigungen
(z. B. nicht 'Zahlungs-Anweisung' + 'Zahlungs-Freigabe').
4. Bei IAM-AI-Tools (SailPoint AI, Entra ID Copilot, Saviynt):
BetrVG-§-87-Hinweis.
5. KEINE Erfindung von Subsystemen.
6. Kritische Rollen (Admin, Production-Deploy): MFA-Pflicht +
Privileged Access Management (PAM)-Tool.
# Format (F)
H2 Sections, Tabellen mit | Subsystem | Rolle/Gruppe | Scope |
Begründung | Compliance |, Sonder-Berechtigungen separat, UAR-Hinweis.
# Target Audience (T)
IT-Ops / IAM-Engineer; HR-BP zur Freigabe; DSB/ISMS bei sensiblen
Berechtigungen.So sieht der Input aus
Pseudonymisierter Eingabetext
IT-Provisionierungs-Parameter HRIS-Export 2026-05-14
MA: [[MA-s9t0]]
Eintrittsdatum: 2026-07-01
Rolle: Senior Backend Engineer (Platform Team)
Team: [[Team-s9t0]] (Platform Team, 5 MA)
Vorgesetzte:r: [[Manager-s9t0]] (Engineering Director)
Standort: Berlin (Hauptsitz)
Probezeit: 6 Monate
Branche: SaaS / kein KRITIS, kein Bank, kein Pharma
Compliance: ISO 27001 zertifiziert; DSGVO-Standard
Sonder-Berechtigungen: keine
Tech-Stack-Kontext: Python/Go, PostgreSQL, Kafka, Kubernetes (EKS) auf AWS eu-central-1So liefert anymize zurück
Der KI-Entwurf
# IT-Provisionierungs-Ticket, Senior Backend Engineer Platform Team
## Header
| Feld | Wert |
|---|---|
| MA | [[MA-s9t0]] |
| Eintritt | 01.07.2026 |
| Rolle | Senior Backend Engineer |
| Team | [[Team-s9t0]] |
| Vorgesetzte:r | [[Manager-s9t0]] |
| Standort | Berlin |
| Probezeit | 6 Monate (Ende 31.12.2026) |
| Compliance | ISO 27001 / DSGVO-Standard |
## Subsystem-Liste
| Subsystem | Rolle/Gruppe | Scope | Begründung | Compliance |
|---|---|---|---|---|
| Microsoft 365 | E5-Lizenz | Email/Teams/SharePoint/OneDrive | Standard-Arbeitsplatz | ISO A.9.2 |
| Azure AD (Entra ID) | Group: Engineering-Standard + Platform-Team | Default | Rolle-Standard | ISO A.9.2.5 |
| GitHub Org | Team: backend-platform-write | Write Platform-Repos; Read Shared | Engineering | ISO A.9.4.5 |
| AWS IAM | Role: engineering-platform-developer | Read all eu-central-1; Write Platform-Team | Cloud-Backend; KEIN Production-Deploy in Probezeit | ISO A.9.4.5, BSI SYS.1.5 |
| Slack | Channels: #platform-team, #engineering-all, #announcements | Member | Team-Kommunikation | ISO A.9.2 |
| Jira | Projekt: PLATFORM | Issue-Create + Edit own | Projekt-Tracking | ISO A.9.2 |
| Confluence | Space: Engineering Wiki + Platform Team | Read-Write | Dokumentation | ISO A.9.2 |
| HRIS Personio | Self-Service | Eigene Daten R/W; Team-Sicht Read | Standard | DSGVO Art. 32 |
| 1Password | Vault: Engineering Platform | Member | Credentials-Mgmt | ISO A.9.4.3 |
| Yubikey 2× | Standard | Personalisiert | MFA-Pflicht | ISO A.9.4.2 |
| CrowdStrike Falcon | EDR Standard | Auto-Enroll | IT-Security | ISO A.12.2 |
## Sonder-Berechtigungen
Keine in der Eingabe.
## Probezeit-Einschränkungen
| Berechtigung | Freigabe ab | Begründung |
|---|---|---|
| AWS Production-Deploy | T180 | Vier-Augen-Production in Probezeit |
| GitHub Branch Protection Override | T180 | Code-Review-Disziplin |
| Customer-Data-Read (Prod-DB Read-Only) | T90 + Manager-Freigabe + DSGVO-Zert | DSGVO Art. 32, Need-to-Know |
## Compliance-Sicherheits-Marker
- **MFA**: Pflicht (Yubikey + Mobile-Backup).
- **PAM**: nicht in Probezeit; ab T180 für Production-Deploy.
- **EDR**: CrowdStrike Falcon ab T0.
- **BetrVG-§-87**: Personio AI + Entra ID Copilot durch BV 2024-Q4 abgedeckt.
## User Access Review (UAR)
- Erste Review: 01.10.2026 (Q+1).
- Reviewer: [[Manager-s9t0]] + IAM-Engineer.
- Folge-Reviews: quartalsweise.
## Provisionierung
- Ziel-Datum: 01.07.2026 vor 09:00.
- ServiceNow-Ticket: ITSM-XXXX.
- Bestätigung an: [[MA-s9t0]], [[Manager-s9t0]], HR-BP.Was das HR-Recht verlangt
Pflichten und wie anymize sie abdeckt
BSI IT-Grundschutz · ISO 27001 Anhang A (SRC-0251)
Rollenbasierte Berechtigungen + Least-Privilege + Need-to-Know + UAR. Over-Provisioning = ISO-Findings.
BSI AIC4 (SRC-0252)
KI-Cloud-Service-Compliance-Kriterien, relevant bei IAM-Automation mit KI (Entra ID Copilot, SailPoint AI).
DSGVO Art. 32 · § 26 BDSG · DSGVO Art. 28 (SRC-0215, SRC-0242)
Sicherheit der Verarbeitung; Berechtigungs-Konzept Teil dessen. Pseudonymisierung Klasse A vor LLM.
BetrVG § 87 Abs. 1 Nr. 6 (SRC-0211)
IAM-Automation mit KI mitbestimmungspflichtig. BAG 1 ABR 20/21 (SRC-0257).
EU AI Act Annex III Nr. 4 (SRC-0231)
HR-/Personalmanagement-KI = Hochrisiko; IT-Provisionierungs-KI als Teil davon.
MaRisk/BAIT/VAIT/KAIT · GxP · B3S
Bank/Versicherung: auditierbare RBAC; Pharma: validierte IT-Systeme; KRITIS: branchen-spezifische IT-Sicherheit.
DSK-OH KI v1.0 (SRC-0246)
HR-Pseudonymisierung; KI-Einsatz in IAM dokumentieren.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
IT-Provisionierungs-Tickets enthalten Klarnamen MA + Vorgesetzte und detaillierte Rollen-/Berechtigungs-Beschreibungen. anymize pseudonymisiert die Klasse-A-Daten vor dem KI-Aufruf; Rolle und Berechtigungs-Bedarf bleiben Klartext, weil sie für die Strukturierung gebraucht werden. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO + § 26 BDSG. Verarbeitung in deutschen Rechenzentren (Hetzner, BSI C5); AVV nach Art. 28 DSGVO mit IAM-/HRIS-Provider.
Was anymize konkret leistet
- Erkennt MA-Klarname, Vorgesetzte und Team-Identifier mit über 95 %.
- Bidirektionale Re-Identifikation für Übergabe an ServiceNow/Jira/Entra ID.
- IAM-Alternativen: Personio AI, SailPoint AI, Saviynt, Microsoft Entra ID Copilot (alle BetrVG-§-87-pflichtig).
- Verarbeitung in deutschen Rechenzentren (BSI C5); AVV nach Art. 28 DSGVO.
- Originaldokumente werden nicht gespeichert.
Sicherheitscheck vor der Veröffentlichung
Was anymize liefert, was Sie souverän entscheiden
Vor dem KI-Aufruf
- Rolle und Team strukturiert erfasst?
- Sonder-Berechtigungen mit Begründung dokumentiert?
- Compliance-Branche (KRITIS/Bank/Pharma) gesetzt?
- Pseudonymisierungs-Spot-Check bei kleinen Teams?
Nach der KI-Antwort
- Vollständige Subsystem-Liste (M365, AD, Git, Cloud, Slack, Jira)?
- Least-Privilege-Begründung pro Berechtigung?
- Compliance-Marker (BSI/ISO/MaRisk) pro Berechtigung?
- Probezeit-Einschränkungen für Production-Deploy/kritische Daten?
Vor der Provisionierung
- IT-Ops-Review dokumentiert; SoD bei Finance/Compliance-Rollen?
- BetrVG-§-87-BV für IAM-AI (Entra ID Copilot, SailPoint) aktuell?
- MFA + EDR + 1Password als Standard?
- UAR-Datum festgelegt (Q+1 nach Eintritt)?
Typische Fehlermuster und wie anymize gegensteuert
- →Over-Provisioning (Standard-Admin statt Least-Privilege), der Prompt zwingt rolle-spezifische Gruppen.
- →Vergessene UAR-Termine, Prompt erzwingt UAR-Datum.
- →SoD-Verletzung bei Finance-Rollen, der Prompt prüft auf Konflikt-Berechtigungen.
- →Sonder-Berechtigungen permanent statt just-in-time, DSGVO-Risiko-Bewertung im Output.
- →BetrVG-§-87-BV nicht aktualisiert für neue IAM-AI-Komponenten, Offene-Punkte-Section.
Rechtsgrundlagen
Normen, Urteile, Belege
Primärnormen: IT-Sicherheit und Datenschutz
- Access Control + Least-Privilege (SRC-0251)
- KI-Cloud-Service-Compliance (SRC-0252)
- Sicherheit der Verarbeitung
- Beschäftigtendaten (SRC-0215)
- AVV (SRC-0242)
- HR-Pseudonymisierung (SRC-0246)
Primärnormen: Mitbestimmung und KI-Recht
- Mitbestimmung IAM-AI (SRC-0211)
- HR-Hochrisiko-KI (SRC-0231)
- Bank/Versicherung auditierbare RBAC
- Pharma-validierte IT-Systeme
- KRITIS-Branchen-Sicherheit
Sekundärquellen
- 19 % GenAI in HR (SRC-0271)
- KMU-Adoption (SRC-0277)
- HRIS-AI (SRC-0306)
- AWS Frankfurt, ISO 27001 (SRC-0308)
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung, nicht als Ersatz für die HR-Letztverantwortung
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die personalrechtliche Würdigung im Einzelfall noch eine arbeits- oder mitbestimmungsrechtliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt arbeitsrechtlich zu bewerten ist, welche Entscheidungen in Ihrem konkreten Fall richtig sind, das bleibt selbstverständlich bei Ihnen und Ihrer HR-Letztverantwortung.
KI-Outputs müssen vor jeder Verwendung HR-fachlich geprüft werden. Insbesondere personenbezogene Entscheidungen (Einstellung, Beförderung, Kündigung) dürfen nicht allein auf KI-Empfehlungen gestützt werden (DSGVO Art. 22, EU AI Act Art. 26). anymize gewährleistet die Vertraulichkeit der Beschäftigtendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit und die rechtliche Verantwortung liegen in Ihrer Hand.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Lieber erst zuschauen? Kostenloses Webinar – Anonymisierung live
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.