Start · Lösungen · Weitere Lösungen
Lösung · Weitere LösungenDas häufigste Ticket des Servicedesks wird ein Zwei-Minuten-Ablauf in Teams, auch außerhalb SSO
Passwort zurückgesetzt in zwei Minuten, ohne Ticket
Entra ID deckt den Single-Sign-on-Anteil ab; eine Teams-Karte und UiPath Robots setzen die Zugangsdaten außerhalb SSO zurück, mit dokumentierter Bestätigung der Führungskraft vor jeder MFA-Neuregistrierung.
Kurzfassung für die Geschäftsführung
Das häufigste Ticket des Servicedesks braucht weiterhin einen Anruf, drei Konsolen und eine Identitätsprüfung ohne Nachweis.
Der erste Schritt ist Konfiguration, kein Bau.
Der Analystenaufwand für Rücksetzungen sinkt auf die Ausnahmen: Entra ID übernimmt den Single-Sign-on-Anteil, Roboter den Rest.
Microsoft Entra ID (Self-Service-Rücksetzung, Temporary Access Pass, Anmeldeprotokolle); die Administrationskonsole des Lagersystems; das Kassen-Backoffice
Geschäftsproblem
Identität und Zugriff
Das Rücksetzungsticket ist banal und dauerhaft. Es steigt nach Feiertagen, nach Gerätewechseln und nach jeder Änderung der Passwortrichtlinie, und es kommt per Telefon, weil die betroffene Person von allem anderen ausgesperrt ist.
Drei Dinge halten es am Leben. Die Self-Service-Rücksetzung in Entra ID ist aktiviert, doch die Hälfte der Belegschaft hat nie Authentifizierungsmethoden registriert, also greift sie im Ernstfall nicht. Mehrere Systeme führen eigene Zugangsdaten außerhalb des Single Sign-on, und nur zwei Analysten dürfen dort zurücksetzen. Und die MFA-Neuregistrierung nach einem verlorenen oder getauschten Telefon verlangt einen Identitätsnachweis, den der Servicedesk mit Fragen ersetzt, die jede Kollegin beantworten könnte.
Der Servicedesk kennt dieses Social-Engineering-Risiko und handelt trotzdem so, weil die Alternative eine Filiale ist, die nicht verkaufen kann. Temporäre Passwörter reisen im Klartext per E-Mail, und niemand kann einer Prüferin zeigen, wer wen verifiziert hat.
Wie es heute läuft
- MenschEine ausgesperrte Filialkraft ruft die regionale Servicedesk-Nummer an und arbeitet bis zur Annahme mit dem Login einer Kollegin
- MenschDer Analyst fragt nach Personalnummer und dem Namen der Führungskraft und setzt dann das Entra-ID-Passwort zurück
- FehlerrisikoDie Mitarbeiterin bleibt gesperrt: betroffen war das Konto im Lagerverwaltungssystem, und diese Administrationsrolle haben nur zwei Analysten
- WartezeitDas Ticket wartet auf einen der beiden; an Montagmorgen und nach Gerätewechseln sind das Stunden
- SystemDer zweite Analyst öffnet die Altkonsole, setzt die Zugangsdaten zurück und schickt ein temporäres Passwort im Klartext per E-Mail
- MenschDas neue Telefon scheitert an der MFA; ein Analyst entfernt die registrierten Methoden ohne dokumentierten Nachweis, wer darum gebeten hat
- FehlerrisikoDas Ticket schließt ohne Spur der Identitätsprüfung, und die Schicht lief eine Stunde lang auf einem fremden Login
Warum der heutige Prozess mehr kostet, als es scheint
Hinter jeder Ausnahme steht eine Stunde, die niemand erfasst hat.
- Die Servicedesk-Minuten sind der kleinere Teil. Eine ausgesperrte Filialkraft steht in einer Schicht still, die nicht wartet, und wer den Login einer Kollegin nutzt, hebelt jede Kontrolle aus, die auf Identität beruht.
- Spitzen nach Wochenenden und Gerätewechseln schieben jedes andere Ticket um einen Tag; die Rücksetzungswarteschlange bestimmt die Reaktionszeit des gesamten Servicedesks.
- Zwei Analysten mit der Administrationsrolle im Lagersystem bedeuten Rückstau bei jedem Urlaub und die stete Versuchung, diese Rolle breiter zu verteilen.
- Die Prüfbarkeit liegt nahe null: Eine Rücksetzung belegt nichts, solange die Identitätsprüfung nicht dokumentiert ist, und das ist sie nicht.
- Die eigentliche Gefährdung liegt in der Asymmetrie. Ein überzeugender Anruf öffnet ein Konto, und Helpdesk-Impersonation ist ein dokumentierter Weg in ein Unternehmen.
Kosten des Nichtstuns
Die Passwortrichtlinie wird strenger, denn die Sicherheitsabteilung hat recht damit, und jede Verschärfung legt einem Servicedesk, der sie am Telefon annimmt, weitere Rücksetzungen auf; jede neue Filiale und jede Saisoneinstellungswelle legt noch mehr nach. Die zwei Analysten mit den Altsystemrechten werden zum Nadelöhr jedes Montagmorgens, und die Versuchung, diese Rechte breiter zu verteilen, wächst, was das Risiko ausweitet statt es zu schließen. Zugleich bleibt die undokumentierte Identitätsprüfung der weichste Zugang ins Unternehmen, und an dem Tag, an dem ihn jemand nutzt, wird die Vorfalluntersuchung fragen, warum eine bekannte Schwäche ein weiteres Jahr bestand.
Eine plausible Organisation mit realistischen Größenordnungen. Die Zahlen sind zum Nachrechnen mit Ihren Daten gedacht, kein Kundenergebnis.
Eine regionale Handelskette, 5.800 Beschäftigte in 240 Filialen und einer Zentrale; Microsoft 365 mit Entra ID als Single Sign-on für die meisten Anwendungen; ein Lagerverwaltungssystem und ein Kassen-Backoffice mit eigenen Zugangsdaten; geteilte Geräte, hohe Fluktuation.
Rund 1.200 Rücksetzungsanfragen im Monat, überwiegend telefonisch, mit je etwa 14 Minuten Analystenaufwand; vier von fünf könnten ohne Analysten laufen, sobald die Systeme außerhalb SSO und die MFA-Prüfung abgedeckt sind.
Kontrollfragen am Telefon, eine Entra-ID-Rücksetzung, eine zweite Rücksetzung in einer Altkonsole durch einen von zwei Analysten, ein temporäres Passwort per E-Mail, MFA-Methoden auf Zuruf entfernt.
Zwei Analysten mit den Administrationsrechten in den Altsystemen; eine Identitätsprüfung, die nichts belegt und noch weniger dokumentiert; eine Registrierung, die neue Filialkräfte vor der ersten Sperre nie erreicht.
Beim Anmelden erzwungene Self-Service-Rücksetzung in Entra ID; eine Karte „Sperre aufheben“ in Microsoft Teams, die ein UiPath Robot in eine Rücksetzung im Lager- oder Kassensystem übersetzt, mit einem Einmalpasswort über einen verifizierten Kanal; eine Bestätigung der Führungskraft und ein Temporary Access Pass vor jeder MFA-Neuregistrierung; jeder Schritt im Orchestrator-Prüfpfad.
Im modellierten Fall erreichen 960 der 1.200 monatlichen Anfragen keinen Analysten, eine ausgesperrte Mitarbeiterin arbeitet nach Minuten weiter, und jede MFA-Neuregistrierung trägt einen namentlichen Bestätiger und einen Zeitstempel. Die Zahlen sind ein Modell, keine Messung.
Vorgeschlagene Lösung
Der erste Schritt ist Konfiguration, kein Bau. Self-Service-Kennwortrücksetzung und kombinierte Registrierung in Microsoft Entra ID werden beim Anmelden erzwungen, damit die Registrierung alle erreicht, auch Filialkräfte in ihrer ersten Woche, und der Single-Sign-on-Anteil der Anrufe verschwindet.
Für die Systeme außerhalb des Single Sign-on bauen wir einen Teams-Ablauf. Die Mitarbeiterin, oder die Führungskraft an ihrer Stelle, wenn alles gesperrt ist, öffnet in Microsoft Teams die Karte „Sperre aufheben“, ein UiPath-Apps-Formular als Registerkarte im Team der Filiale. Ein UiPath Robot erkennt die Person aus dem Personalstammsatz und Entra ID, prüft ein Anmelderisiko-Kennzeichen, setzt die Zugangsdaten in der Lager- oder Kassenkonsole zurück und sendet das Einmalpasswort über einen verifizierten Kanal: einen privaten Teams-Chat oder eine SMS an die hinterlegte Nummer. Nie per E-Mail.
Die MFA-Neuregistrierung nach einem verlorenen oder getauschten Telefon ist der eine Schritt, der einen Menschen braucht, und er bekommt den richtigen: Die im Personalsystem hinterlegte Führungskraft bestätigt in Microsoft Teams, und erst dann stellt der Robot einen zeitlich begrenzten Temporary Access Pass aus. Wer angefragt, wer bestätigt und was zurückgesetzt wurde, geht in den Orchestrator-Prüfpfad; Analysten sehen Fehlschläge und auffällige Muster, sonst nichts.
Self-Service-Kennwortrücksetzung, kombinierte Registrierung, Conditional Access und Temporary Access Pass in Microsoft Entra ID; Anmelderisiko aus Entra ID Protection (P2); UiPath-Apps-Formulare in einer Teams-Registerkarte; Action-Center-Aufgaben, die in Teams erledigt werden; Warteschlangen, Credential Store und Prüfpfad in Orchestrator
Die Karte „Sperre aufheben“ und ihre Routingregeln; die Roboter, die Zugangsdaten im Lagersystem und im Kassen-Backoffice zurücksetzen; die Zustellung der Einmalpasswörter; die Bestätigung der Führungskraft; den Prüf- und Ausnahmebericht
Abfragen zu Benutzer, Führungskraft und Risikostatus über den Integration-Service-Konnektor, der weiterhin den früheren Namen „Microsoft Azure Active Directory“ trägt; Ausstellung des Temporary Access Pass und der private Chat über Microsoft Graph; SMS über Azure Communication Services; die Führungshierarchie aus dem Personalsystem
So läuft der automatisierte Prozess
- MenschDie Mitarbeiterin, oder die Führungskraft an ihrer Stelle, öffnet in Teams die Karte „Sperre aufheben“ und wählt das System
- AutomatisierungDer Ablauf erkennt die Person aus dem Personalstammsatz und Entra ID und prüft ein Anmelderisiko-Kennzeichen
- AutomatisierungEin Konto im Single Sign-on geht in die Entra-ID-Self-Service-Rücksetzung; für die meisten Anfragen endet der Ablauf hier
- SystemFür Lagersystem oder Kassen-Backoffice setzt ein UiPath Robot die Zugangsdaten unter einem Dienstkonto mit ausschließlich Rücksetzrechten zurück
- AutomatisierungDas Einmalpasswort geht über einen verifizierten Kanal, einen privaten Teams-Chat oder eine SMS an die hinterlegte Nummer, und verfällt nach der ersten Nutzung
- MenschNach einem verlorenen oder getauschten Telefon bestätigt die Führungskraft die Person in einer Teams-Aufgabe; erst dann stellt der Robot einen Temporary Access Pass für die MFA-Neuregistrierung aus
- AutomatisierungWer angefragt, wer bestätigt und was zurückgesetzt wurde, geht in den Orchestrator-Prüfpfad; Fehlschläge und wiederholte Versuche erreichen einen Analysten
Zusammenspiel von Mensch und Automatisierung
Die Automatisierung übernimmt
- Konten im Single Sign-on in die Entra-ID-Self-Service-Rücksetzung leiten und alle übrigen unter einem eingeschränkten Dienstkonto zurücksetzen
- Einmalpasswörter über einen verifizierten Kanal zustellen und den Temporary Access Pass nach der Bestätigung ausstellen
- Den Prüfeintrag schreiben: wer angefragt, wer bestätigt, was zurückgesetzt wurde und wann
Menschen entscheiden
- Die Identitätsbestätigung durch die Führungskraft vor der MFA-Neuregistrierung
- Die Durchsicht fehlgeschlagener Rücksetzungen und wiederholter Versuche auf einem Konto
- Sicherheitsentscheidungen zu Konten mit Anmelderisiko-Kennzeichen
Vorher und nachher
Systeme und Integrationen
Alles unten läuft auf Lizenzen und Systemen, die Sie bereits haben oder ohnehin brauchen.
Eingänge
- die Karte „Sperre aufheben“ in Microsoft Teams
- das Telefonskript des Servicedesks, auf die Karte umgeleitet
- der Personalstammsatz mit Führungskraft und Mobilnummer
Automatisierungsschicht
- UiPath Orchestrator
- UiPath Robots
- UiPath Apps
- UiPath Action Center
- UiPath Integration Service
- Microsoft Graph
Zielsysteme
- Microsoft Entra ID (Self-Service-Rücksetzung, Temporary Access Pass, Anmeldeprotokolle)
- die Administrationskonsole des Lagersystems
- das Kassen-Backoffice
- Azure Communication Services für SMS
Berührungspunkte für Menschen: die Bestätigungsaufgabe in Teams; der Chat oder die SMS mit dem Einmalpasswort; die Ausnahmewarteschlange der Analysten; der monatliche Ausnahmebericht
Eingesetzte Technologien
beim Anmelden erzwungene Self-Service-Rücksetzung und Registrierung; Conditional Access; Temporary Access Pass; Anmelderisiko (P2)
ARücksetzung der Zugangsdaten in den Altkonsolen; Warteschlangen, Credential Store, Prüfpfad
Adas Anfrageformular „Sperre aufheben“, als Registerkarte in Microsoft Teams
Adie Bestätigungsaufgabe der Führungskraft, in Teams erledigt, mit dokumentierter Identität des Bestätigers
AAbfragen zu Benutzern und Führungskräften in Microsoft Entra ID; Benachrichtigungen in Teams
AAusstellung des Temporary Access Pass; der private Teams-Chat mit dem Einmalpasswort
AAnfragekarte, Bestätigung und Zustellchat, im ohnehin genutzten Fenster
ASMS mit dem Einmalpasswort, wo Teams nicht verfügbar ist
AIllustratives Wirtschaftlichkeitsmodell
Ein Modell, kein Versprechen.
Die Filialzeit bleibt bewusst außerhalb des Kalkulators; die Zeilen bepreisen allein die Servicedesk-Minuten. Vier von fünf Rücksetzungen, 960 der 1.200 im Monat, brauchen keinen Analysten mehr, sobald Entra ID den Single-Sign-on-Anteil und Roboter den Rest abdecken, und zwar mit den vollen 14 Minuten je Fall, weil der Analystenanteil entfällt statt zu schrumpfen; heute kosten diese 1.200 den Servicedesk 280 Stunden im Monat. 44 € pro Stunde sind die Vollkosten eines Servicedesk-Analysten, und die 25 Minuten, die eine Mitarbeiterin je Sperre verliert, zu 31 € pro Stunde, sind in Abschnitt 14 bepreist. Lizenzen, Einführung und die Gefährdung durch eine improvisierte Identitätsprüfung liegen außerhalb des Modells. Nichts davon wurde bei einem Kunden gemessen, und der Anteil von vier von fünf hängt davon ab, wie viele Systeme außerhalb des Single Sign-on stehen.
Rechnen Sie mit Ihren Zahlen
Eine illustrative Schätzung aus Ihren Eingaben. Sie modelliert freigesetzte Kapazität und verspricht keine Einsparung.
Geschäftlicher Nutzen
- Der Analystenaufwand für Rücksetzungen sinkt auf die Ausnahmen: Entra ID übernimmt den Single-Sign-on-Anteil, Roboter den Rest
- Ausgesperrte Beschäftigte arbeiten nach Minuten weiter, über eine Teams-Karte, die ihre Führungskraft für sie öffnen kann, statt über eine Telefonwarteschlange
- Die Identitätsprüfung vor der MFA wird zur dokumentierten Bestätigung der Führungskraft und schließt damit den Weg der Helpdesk-Impersonation
- Temporäre Passwörter reisen nicht mehr per E-Mail: Der Robot stellt sie über einen verifizierten Kanal zu, und sie verfallen nach der ersten Nutzung
- Die zwei Administratoren mit der Rücksetzrolle im Lagersystem sind kein Engpass mehr: Die Rolle hält der Robot, die Durchsicht halten sie
Aus Sicht der Geschäftsführung
- Drei Konsolen und eine Telefonleitung werden ein Eingang und ein Protokoll; Volumina je System und je Filiale sind erstmals sichtbar
- Erfolglose Registrierungskampagnen und das Altsystem hinter den meisten Sperren stehen im selben Bericht, aus dem die nächste Entscheidung kommt
- Die CISO erhält Nachweise: Jede MFA-Neuregistrierung trägt einen namentlichen Bestätiger und einen Zeitstempel, und wiederholte Versuche auf einem Konto werden sichtbar gemacht
KPIs für die Geschäftsführung
Sicherheit und Governance
Wo die Daten liegen und wer sie sieht.
- Roboter halten ausschließlich Rücksetzrechte, unter einem eigenen Dienstkonto je System, dessen Geheimnis im Credential Store von Orchestrator oder in Azure Key Vault liegt und nie in einem Workflow steht
- Einmalpasswörter entstehen je Anfrage, verfallen nach der ersten Nutzung und erreichen weder ein Ticket noch eine E-Mail; der Temporary Access Pass ist einmalig und per Richtlinie zeitlich begrenzt
- Die MFA-Neuregistrierung verlangt stets die Bestätigung der im Personalsystem hinterlegten Führungskraft, in Teams erfasst samt Identität des Bestätigers
- Konten, die Entra ID Protection mit Anmelde- oder Benutzerrisiko kennzeichnet, verlassen den Ablauf und gehen an die Sicherheit; Conditional Access gilt unabhängig von der Rücksetzung
- Jede Aktion wird in Orchestrator sowie in den Prüf- und Anmeldeprotokollen von Entra ID festgehalten und nach Ihrer Microsoft-Purview-Richtlinie aufbewahrt; die Daten bleiben in der EU-Region der UiPath Automation Cloud und innerhalb der EU-Datengrenze von Microsoft 365
Warum jetzt
Helpdesk-Impersonation ist ein dokumentierter Angriffsweg, beschrieben in öffentlichen Warnungen nationaler Cybersicherheitsbehörden, weshalb Prüfer und Versicherer heute fragen, wie Identität vor einer Rücksetzung verifiziert wird; eine Personalnummer ist keine Antwort, die sie akzeptieren
Self-Service-Rücksetzung und kombinierte Registrierung in Entra ID sind ausgereift und in den meisten Microsoft-365-Tenants bereits lizenziert; es fehlen die Durchsetzung und die Systeme außerhalb des Single Sign-on, die Roboter ohne API bedienen
Allein die Servicedesk-Minuten ergeben im modellierten Fall 9.856 € im Monat, vor den 400 Stunden Filialzeit, die dieselben Rücksetzungen jeden Monat kosten; beides wird heute bezahlt, für eine Kontrolle, die nichts belegt
Relevante Führungsrollen
Das häufigste Ticket verschwindet vom Servicedesk, ohne Portalprojekt
Drei Konsolen und eine Telefonleitung werden ein Ablauf mit einem Protokoll, und das Nadelöhr der Altsystemrechte entfällt
Die Identitätsprüfung vor einer MFA-Rücksetzung wird zur dokumentierten Kontrolle statt zur Einschätzung eines Analysten
Häufige Fragen und Einwände
Für Konten im Single Sign-on ja, sofern die Registrierung erzwungen ist. Die Tickets, die Sie weiterhin sehen, kommen aus den Systemen außerhalb davon und aus der MFA-Neuregistrierung, und genau das ergänzt dieser Ablauf.
Eine Führungskraft, die in Teams eine namentlich benannte Mitarbeiterin bestätigt, ist eine stärkere und besser zurechenbare Kontrolle als ein Analyst, der nach der Personalnummer fragt. Jede Bestätigung wird der Führungskraft zugeordnet, und wiederholte Bestätigungen für ein Konto fallen im Ausnahmebericht auf.
Dafür ist der Robot da. Er bedient dieselbe Konsole wie Ihre Administratoren, unter einem eingeschränkten Konto mit ausschließlich Rücksetzrechten, und protokolliert jede Rücksetzung.
Wann diese Lösung nicht passt
- Alle Systeme stehen bereits hinter dem Single Sign-on und die Registrierung ist vollständig; dann ist es eine Konfigurationsaufgabe, kein Projekt
- Das Rücksetzungsvolumen liegt unter hundert im Monat, oder das Altsystem wird innerhalb eines Jahres abgelöst
- Die Richtlinie verbietet jede automatisierte Handhabung von Zugangsdaten, auch unter einem eingeschränkten Dienstkonto
Eine Frage für die nächste Sitzung
Würde unser Servicedesk morgen keine Passwortanrufe mehr annehmen, welche unserer Systeme würden eine Filialleiterin weiterhin aussperren, und wer würde belegen, dass die Anruferin die ist, für die sie sich ausgibt?
Vorgehen bei der Umsetzung
Die erste Woche sieht bei jedem Kunden gleich aus: Wir sehen uns die Daten an.
Wir liefern
- Rücksetzungsvolumina je System und die Registrierungsabdeckung in Entra ID, aus einem Monat Tickets gelesen
- Beim Anmelden erzwungene Self-Service-Rücksetzung und kombinierte Registrierung, was Volumen nimmt, bevor irgendetwas gebaut wird
- Einen Robot je System außerhalb des Single Sign-on, mit eingeschränktem Dienstkonto und Ausnahmebehandlung
- Die Karte „Sperre aufheben“ in Teams, Routingregeln, die Zustellung der Einmalpasswörter, die Bestätigung und die Ausstellung des Temporary Access Pass
- Tests, Einführung, Schulung des Servicedesks, das auf die Karte umgeleitete Telefonskript und einen monatlichen Ausnahmebericht
Wir brauchen von Ihnen
- Einen Monat Rücksetzungstickets und die Liste der Systeme außerhalb des Single Sign-on
- Ein Dienstkonto für den Robot in jedem Altsystem, beschränkt auf Rücksetzungen
- Die Führungshierarchie aus dem Personalsystem und eine Sicherheitsfreigabe für den Identitätsablauf
- Ein Altsystem und eine Filialregion für den Pilotbetrieb
Etappen
Analyse
Ein Monat Rücksetzungstickets je System; Registrierungsabdeckung; mit der Sicherheit abgestimmte Regeln der Identitätsprüfung
Entra zuerst
Self-Service-Rücksetzung und kombinierte Registrierung beim Anmelden erzwingen; den Rückgang der SSO-Anrufe messen
Bau
Teams-Karte, Routingregeln, der erste Altsystem-Robot, Bestätigung, Ausstellung des Temporary Access Pass
Pilot
Ein Altsystem und eine Filialregion; Analysten begleiten anfangs jede Rücksetzung des Robots
Skalierung
Die übrigen Systeme nacheinander; das Telefonskript auf die Teams-Karte umgestellt
Optimierung
Monatlicher Ausnahmebericht, Registrierungskampagnen bei schwacher Abdeckung, Regelfeinschliff
Quick Win. Der Aufwand folgt der Zahl der Systeme außerhalb des Single Sign-on und der Frage, ob jedes eine Konsole hat, die ein Robot bedienen kann; der Entra-ID-Teil ist Konfiguration.
Ihre Personalnummer kennt in der Filiale jeder. Der Servicedesk nimmt sie weiterhin als Nachweis.
Senden Sie uns die Rücksetzungstickets des letzten Monats und die Liste der Systeme außerhalb des Single Sign-on. Sie erhalten die Zuordnung, welche Rücksetzungen Entra ID heute schon abdeckt, welche einen Robot brauchen und wo Ihre Identitätsprüfung bricht.
Rücksetzungstickets des Vormonats sendenDer Nachbarprozess hat meist dasselbe Problem
Neue Mitarbeitende warten Tage auf Zugänge, Austretende behalten sie wochenlang. Beides ist dieselbe fehlende Übergabe.
Lösung ansehen Weitere LösungenDie IT-Anfrage, die nie zum Ticket wirdVier von zehn IT-Tickets folgen einer bekannten Prozedur, und jedes wartet trotzdem in der Schlange auf einen Analysten.
Lösung ansehen Weitere LösungenAnwendungszugriff nach Richtlinie in Minuten, mit NachweisZugriff wird aus interpretierten E-Mails erteilt, Freigaben werden nachgefasst, und der Prüfer findet keinen Nachweis.
Lösung ansehenBranchen, in denen wir das am häufigsten umsetzenProduktion & IndustrieTransport & LogistikDienstleistungen & ITShared Services