Neuer Kollege, neuer Laptop, neues Handy – ohne Handarbeit

Die Herausforderung

Ein neuer Mitarbeiter fängt am Montag an. Am Mittwoch hat er einen Laptop, am Donnerstag ein Passwort, das er auf einen Zettel schreibt, und das Diensthandy liegt noch originalverpackt im IT-Büro. Fast jeder Schritt braucht Domänen-Admin-Rechte und Handarbeit. Beim Austritt dasselbe rückwärts – nur dass dann keiner mehr nachzählt, welches Konto noch offen ist. Und der Laptop, der ins Homeoffice gewandert ist, ist für die Fernwartung so erreichbar wie ein Brief ohne Adresse.

Was wir gebaut haben

Eine Kette, die beim Personaldatensatz beginnt und beim fertigen Gerät endet:

• Mitarbeiter: Ein Profil je Mitarbeitertyp setzt im ERP Rolle und Rechte, die per Single-Sign-on in die angebundenen Programme durchgreifen. Ein Login für ERP, Mail, Wiki und Handy. Für Produktionsmitarbeitende legt die Pipeline im Mobilgeräte-Management automatisch das nächste freie Diensthandy samt Einrichtungs-QR-Code an. Im Pilot kommt sogar der Schlüssel fürs Firmen-VPN mit der Willkommensnachricht.
• Windows-Rechner: Der Domänenbeitritt läuft über ein Konto, das genau das darf und sonst nichts. Den Rest erledigen Gruppenrichtlinien und Ansible: ein lokales Admin-Passwort, das sich selbst rotiert, WLAN schon vor der ersten Anmeldung, Monitoring- und Sicherheitsagent, Desktop-Programme mit einmaliger Anmeldung.
• Erreichbarkeit: Jeder Rechner tritt per Gruppenrichtlinie einem eigenen Mesh-VPN bei – erreichbar im Werk, im Homeoffice und im Zug. Die Zugriffsregeln trennen die Clients voneinander, ein Laptop sieht nur, was er sehen muss.
• Diensthandys: Selbst gehostete Android-Verwaltung mit App-Katalog, stiller Installation und Fernhilfe. Das Fernbefehl-Plugin des Herstellers ist kommerziell, also gibt es einen eigenen Befehlskanal: sperren, PIN neu setzen, ohne das Gerät zu löschen, neu starten.
• Austritt: Ein Knopf am Mitarbeiter startet einen Lauf mit je einem Schritt pro System – neun sind es. HR bekommt den Bericht, der VPN-Schlüssel wird widerrufen.

Was es bringt

Beim Aufbau zeigte sich: Die Fernwartung scheiterte nicht an der Technik, sondern an einer Antivirus-Firewall, die eingehende Verwaltung still verwarf. Eine Regel, und sieben von acht „unerreichbaren“ Rechnern waren sofort wieder da. Heute haben 30 von 33 aktiven Windows-Rechnern ein rotierendes, sicher hinterlegtes Admin-Passwort, 28 hängen im eigenen Mesh-VPN – im Juli waren es 17 –, 31 sind in Monitoring und Angriffserkennung eingebunden. Über 20 Diensthandys laufen über eine Verwaltung. Beim ersten echten Neuzugang über die Pipeline entstand mit dem Personalstammsatz gleich das Handy samt QR-Code. Der Passwortzettel am Monitor hat gekündigt.

Eine ehrliche Grenze: Unbeaufsichtigte Fernwartung auf aktuellen Samsung-Handys gibt es nur mit kommerziellen Partner-Apps. Wir bleiben bei Open Source – der Mitarbeiter tippt einmal auf „Starten“.

Für wen das passt

Für KMU und Produktionsbetriebe mit eigener Windows-Flotte, Homeoffice, mehreren Standorten oder Diensthandys in der Halle – und mit einer IT, die lieber Probleme löst als Kartons öffnet.