Orchestrierung des Onboardings neuer Mitarbeitender

Eine neue Mitarbeiterin oder ein neuer Mitarbeiter berührt HR, IT, Gebäudemanagement, Lohnbuchhaltung, die Führungskraft und Compliance, und jeder Schritt ist meist ein eigenes Ticket, eine eigene E-Mail oder eine eigene Tabellenzeile. Ein Onboarding-Agent wartet auf das Ereignis „Einstellung“, erstellt den Aufgabenplan für Rolle und Standort, löst die Bereitstellung in den angebundenen Systemen aus, mahnt fehlende Dokumente an und beantwortet die Fragen der Neuen. Ziel ist, dass am ersten Tag Laptop, Konten und eine klare erste Woche bereitstehen. Alles, was Zugriff gewährt oder Geld bindet, geben Menschen frei.

Problem & Nutzen

• Heute: Onboarding ist eine Kette manueller Übergaben. HR erfasst Daten, die IT bekommt eine E-Mail, die Führungskraft vergisst den Zugriffsantrag, die neue Person wartet auf einen Laptop und stellt dieselben Fragen drei verschiedenen Personen. Austritte und Wechsel folgen demselben Muster und hinterlassen verwaiste Konten.
• KI-Nutzen: (1) ereignisgesteuerte Orchestrierung statt Checklisten, (2) ein LLM, das freie Rollenbeschreibungen und Anfragen der Führungskraft in strukturierte Bereitstellungsanfragen überführt, (3) dialogbasierte Fragen und Antworten zu Handbuch und IT-Wissen, (4) aktives Nachfassen und Ausnahmebehandlung. Deterministische Workflow-Engines haben die Verkabelung schon bisher erledigt; der Agent ergänzt die urteilsintensiven und sprachintensiven Teile.
• Vorteile: Anbieter behaupten, aus Tagen oder Wochen würden Stunden; betrachten Sie das als unbelegte Werbung und messen Sie Ihre eigene Ausgangslage (Zeit bis zum ersten produktiven Tag, Tickets pro Einstellung). Der am besten belegte Nutzen ist die Sicherheitshygiene: automatisierte Eintritts-, Wechsel- und Austrittsprozesse (Joiner-Mover-Leaver, JML) gelten als Best Practice der Identitätsgovernance [1][2].

Varianten

• KMU: ein vorlagengesteuerter Ablauf im HR-Werkzeug plus Anlage von Microsoft-365- oder Google-Workspace-Konten, mit einem LLM-Chatbot für häufige Fragen.
• Großunternehmen: Orchestrierung über HCM (Workday, SAP SuccessFactors), ITSM (ServiceNow), Identitätsgovernance (Entra ID Governance, Okta, SailPoint) und eine Agentenschicht darüber.
• Öffentlicher Dienst: derselbe Ablauf mit Sicherheitsüberprüfung sowie Besonderheiten von Personalrat und Beamtenrecht; strenger On-Premises- oder Souveräne-Cloud-Betrieb.
• Wechsel und Austritt: dieselbe Engine behandelt Rollenwechsel (Neuberechnung der Zugriffe) und Offboarding (Entzug, Geräterückgabe); siehe SEC-020.
• Externe und Praktikanten: kürzere Abläufe mit zeitlich befristetem Zugriff.
• Pre-Boarding: Dokumentensammlung und vertragsbezogene Datenerfassung vor dem ersten Arbeitstag, siehe DOC-004.

So funktioniert es

1. HR event (contract signed / start date set)
2. plan generation (role, location, contract type
3. task template)
4. pre-boarding (document collection, data validation, welcome mail)
5. provisioning requests (accounts, groups, licences, hardware, badge, payroll data)
6. access proposal by agent
7. approval by manager / system owner (human-in-the-loop)
8. execution through APIs / workflow engine (SCIM, Graph, ITSM tickets)
9. day-one & week-one assistant (Q&A, training links, buddy, calendar invites)
10. monitoring, reminders, escalation
11. closing report

• Plangenerierung: Eine deterministische Vorlage wählt die Basisaufgaben; das LLM passt nur an und ergänzt rollenspezifische Punkte. Die Vorlage bleibt maßgeblich, damit der Ablauf prüfbar bleibt.
• Zugriffsvorschläge: Der Agent schlägt Berechtigungen anhand von Kolleginnen und Kollegen in derselben Rolle vor (Role Mining); privilegierten Zugriff vergibt er nie selbst. Die Freigabe bleibt bei den Datenverantwortlichen.
• Werkzeugnutzung: Aktionen werden als eng zugeschnittene Werkzeuge bereitgestellt (Ticket anlegen, zu Gruppe hinzufügen, E-Mail senden), häufig über MCP-Server oder die Agenten-API des Anbieters; lesende Aktionen laufen selbstständig, schreibende zunächst unter Aufsicht.
• Fragen und Antworten: Abruf über Handbuch, Sozialleistungen und IT-Dokumentation (Embeddings + Vektorsuche) mit Quellenangabe.
• Mensch-in-der-Schleife (Human-in-the-Loop): HR gibt vertragsbezogene Daten frei, Führungskräfte geben Zugriffe frei, die IT gibt privilegierte Rollen frei; der Agent eskaliert Unklares, statt zu raten.

Datenaufbereitung

Das Onboarding braucht drei Datengruppen: Mitarbeiterstammdaten (HR-System oder Excel-Listen), Rollen- und Zugriffsvorlagen (oft nur in den Köpfen der IT-Mitarbeitenden oder verstreut in Tickets) und Wissen für den Frage-Antwort-Assistenten (Handbuch, Sozialleistungen, IT-Anleitungen auf Dateiservern, im Intranet oder als PDF).

Typische Lücken sind die fehlende Zuordnung von Rollen zu Zugriffen, uneinheitliche Stellenbezeichnungen, veraltete Handbücher in mehreren Versionen, gescannte Verträge und Ausweiskopien sowie zu weit gefasste Zugriffsrechte in den Quellsystemen. HR-Daten sind sensibel, daher dürfen nur die Felder zum Agenten gelangen, die der jeweilige Schritt braucht.

Schritte der Aufbereitung: 1. Den Eintrittsprozess dokumentieren und das HR-System als einzigen Auslöser festlegen (PREP-005 für Export und API-Zugang). 2. 5-10 Rollenvorlagen aus bestehenden Konten bauen, geprüft von Abteilungsleitungen und Datenverantwortlichen (PREP-004, PREP-019). 3. Das Handbuch als eine aktuelle Wissensbasis mit Verantwortlichen und Prüfterminen pflegen (PREP-013, PREP-017); gescannte Formulare über PREP-006. 4. Testdaten pseudonymisieren (PREP-022) und die Rechtsgrundlage prüfen (PREP-025).

Werkzeuge: Paperless-ngx oder das DMS für Dokumente, Docling oder OCR für Scans, der Export des HR-Werkzeugs. Rechnen Sie mit etwa 40 Prozent des Aufwands für Daten- und Vorlagenaufbereitung, der Rest entfällt auf Integration und Einführung. Siehe auch DOC-004 und GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• KMU: Weg A, weil HR-Suiten wie Personio oder Factorial plus Entra- oder Google-Lifecycle-Workflows den Standard-Eintrittsprozess bereits zu KMU-Preisen abdecken.
• Großunternehmen: Weg B, weil das Onboarding individuelle HCM-, ITSM- und Identitätssysteme umfasst und eigene Freigabelogik sowie Prüfpfade braucht.
• Entwickler: Weg C, weil offene Workflow-Engines (n8n, Camunda) und Keycloak volle Kontrolle geben und sich für Prototypen und Integrationen eignen.
• Öffentlicher Dienst: Weg C, weil Beschäftigtendaten und Zugriffsrechte einen On-Premises- oder souveränen Betrieb verlangen und Vergaberegeln offene Komponenten begünstigen.

Weg A — Kaufen (Standardsoftware) (für die meisten empfohlen)

• HR-/HCM-Suiten mit Onboarding-Agenten: Workday (Agenten in der Plattform), SAP SuccessFactors (SAP, EU) mit Joule, Personio (EU), HiBob, Rippling, Factorial (EU), Zoho People.
• ITSM-/Workflow-Plattformen: ServiceNow (Mitarbeiter-Onboarding mit KI-Agenten / Orchestrator), Atlassian Jira Service Management, Moveworks (jetzt Teil von ServiceNow), Freshservice.
• Identitätsgovernance: Microsoft Entra ID Governance Lifecycle Workflows (Vorlagen für Eintritt, Wechsel, Austritt und integrierte Aufgaben), Okta Workflows / Lifecycle Management, SailPoint, Omada (EU).
• Onboarding-Spezialisten: Sapling, Enboarder, Eloops (EU), Zavvy (EU), Haufe-Onboarding-Werkzeuge (EU).
• Wählen Sie A, wenn: Ihr HR-System und Ihr Verzeichnisdienst die Konnektoren bereits anbieten; die Agentenschicht ist dann Konfiguration.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Modelle: führende LLMs mit Werkzeugaufruf (Claude, GPT, Gemini) oder Mistral (EU) in EU-Regionen (Azure OpenAI EU Data Zone, Vertex AI Europe, Bedrock Frankfurt).
• Orchestrierung: eine dauerhafte Workflow-Engine (Temporal, Camunda, Azure Logic Apps, Power Automate) für Zustand, Wiederholungen und Timer; das LLM ist ein Schritt innerhalb der Engine, nicht die Engine.
• Integrationen: SCIM 2.0 (RFC 7644) für die Benutzerbereitstellung, Microsoft Graph für Entra/M365, Google Admin SDK, ITSM-REST-APIs, HR-APIs; MCP-Server für die Bereitstellung von Werkzeugen.
• Wählen Sie B, wenn: Sie viele individuelle Systeme haben oder eigene Freigabelogik brauchen.

Weg C — Selbst betreiben (Open Source)

• Orchestrierung: n8n, Camunda 8 / Zeebe, Temporal, Windmill; Agenten-Frameworks wie LangGraph oder ähnliche.
• Identität: Keycloak, authentik, FreeIPA / LDAP, mit SCIM-Brücken.
• Modelle: Open-Weight-Instruktionsmodelle mit Werkzeugaufruf (Klasse Mistral Small/Medium, Qwen3, Llama, gpt-oss), betrieben über vLLM oder Ollama; Embeddings mit bge-m3 oder ähnlichen.
• Hardware: HW2 genügt für Chat und Werkzeugnutzung über ein Handbuch; die Last ist gering.

Weg D — Eigenes Training

Selten nötig. Möglich nur für Empfehlungssysteme von Rolle zu Berechtigung, die auf Ihrer eigenen Zugriffshistorie trainiert werden (tabellarische Modelle, Role Mining); das braucht saubere historische Daten und ist selbst ein Thema der Identitätsgovernance.

Stand der Technik (2026)

• Anbieter positionieren das Onboarding als Referenzbeispiel für Multi-Agenten-Orchestrierung: Ein Orchestrator zerlegt ein Ergebnis in Teilaufgaben, spezialisierte Agenten bearbeiten jede davon, die menschliche Freigabe ist pro Aktion einstellbar [3].
• Identitätsplattformen liefern Lifecycle-Automatisierung mit Vorlagen und zeitbasierten Auslösern relativ zum Eintrittsdatum [1][2]; die Agentenschicht ergänzt Anfragen in natürlicher Sprache und Ausnahmebehandlung.
• Grenzen und Fehlerbilder: falsche oder zu weitreichende Berechtigungen (das wichtigste Sicherheitsrisiko), Prompt- Injection über Dokumente oder E-Mails, die der Agent liest, halluzinierte Antworten zu Richtlinien (Sozialleistungen, Urlaub, Kündigungsfristen), fragile Integrationen mit älteren HR-Systemen und stille Ausfälle, wenn eine nachgelagerte API in eine Zeitüberschreitung läuft. Agenten ersetzen die Workflow-Engine selten; sie ergänzen sie.
• Verlässliche Ergebnisse entstehen durch eng gefasste Werkzeugbereiche, idempotente Aktionen, Freigabeschranken und Testsätze aus echten Onboarding-Anfragen.

Gemeinsame Bausteine & Kombinationen

• AGENT-002 liefert die Workflow-Engine; AGENT-016 (Lösung von IT-Tickets) bearbeitet Bereitstellungstickets; AGENT-001 deckt das HR-Postfach ab; AGENT-003 überbrückt Systeme ohne APIs.
• AGENT-008 (Lebenslauf-Vorauswahl) liegt vorgelagert: Seine Ausgabe ist das Einstellungsereignis; halten Sie die Daten getrennt und zweckgebunden.
• DOC-004 extrahiert Daten aus Ausweisdokumenten; SEC-020 regelt Berechtigungen und Zugriffsprüfungen; CONV-017 ist der Chatbot für Bewerbende; AGENT-025 überwacht die Agenten.
• Der Wissensdatenbank-Chatbot (Embeddings + Vektordatenbank) wird mit anderen HR- und IT-Assistenten geteilt.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen, Lizenzaufschlag für Agenten- oder Governance-Module.
• Weg B: 2-4 Monate einschließlich Integrationen und einer Freigabe-Oberfläche.
• Weg C: 3-6 Monate plus Betrieb; der Aufwand liegt vor allem in den Integrationen, nicht in den Modellen.
• Kennzahlen: Dauer bis zum Abschluss der Bereitstellung, Anteil der Neueinstellungen mit Ausstattung und Zugriff am ersten Tag, Tickets pro Einstellung, manuelle Eingriffe pro Einstellung, Befunde der Zugriffsprüfungen, Zufriedenheit der Neuen, HR-Zeit für häufige Fragen, Anzahl verwaister Konten.

Menschen & Veränderung

Früh einbinden: Geschäftsleitung (Richtlinie, Budget), HR als Prozessverantwortliche, IT und IT-Sicherheit (Konten, minimale Rechte), die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten und den Betriebsrat vor dem Pilot, danach Abteilungsleitungen und Endnutzende (Neue und ihre Führungskräfte) für Tests.

Betriebsrat: ja in Unternehmen, die einen haben. Der Workflow protokolliert, wer wann welchen Zugriff erhält, und ist daher geeignet, Verhalten zu überwachen (§87 Abs. 1 Nr. 6 BetrVG, objektive Eignung genügt nach BAG); §90 Abs. 1 Nr. 3 verlangt rechtzeitige Unterrichtung, und nach §80 Abs. 3 kann ein KI-Sachverständiger hinzugezogen werden. Im öffentlichen Dienst gilt der Personalrat. Setzen Sie es nicht für Leistungsbewertung oder Emotionsanalyse ein.

Datenschutz: Beschäftigtendaten mit Art. 88 DSGVO und §26 BDSG; AVV mit jedem Anbieter, DSFA bei umfassendem Agentenzugriff wahrscheinlich, Datenschutzbeauftragte(r) von Anfang an (GUIDE-005).

KI-Kompetenz: Unterstützen Sie HR- und IT-Personal mit kurzen Schulungen zu Grenzen, Prompt-Injection und Freigabepflichten (GUIDE-006, KI-Verordnung Art. 4).

Kommunikation und Pilot: Pilot mit einer Büro-Gruppe und einer Abteilung; erklären Sie den Beschäftigten, was der Agent sieht und entscheidet, benennen Sie eine menschliche Ansprechperson und sammeln Sie Rückmeldungen der Neuen. Typische Sorgen sind Überwachung und Arbeitsplatzverlust; begegnen Sie ihnen mit einer Betriebsvereinbarung, Freigabeschranken und der klaren Aussage, dass Menschen über Zugriffe entscheiden (GUIDE-004, GUIDE-008).

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): Ein reiner Orchestrierungs- und Frage-Antwort-Agent hat minimales oder begrenztes Risiko (Transparenz bei Chatbots, Art. 50). Er wird hochriskant nach Anhang III Nr. 4, wenn er Entscheidungen über Aufgabenverteilung, Leistungsüberwachung oder Bewertung von Beschäftigten trifft oder wesentlich beeinflusst. Halten Sie ihn aus diesen Funktionen heraus. Art. 5 verbietet Emotionserkennung am Arbeitsplatz (außer aus medizinischen oder Sicherheitsgründen): Ergänzen Sie keine Stimmungs- oder Emotionsanalyse der Neuen. Die KI-Kompetenz (Art. 4) gilt für das Personal, das ihn betreibt [4].
• DSGVO: Beschäftigtendaten (Ausweisdokumente, Bank, Steuer, ggf. Gesundheits- oder Gewerkschaftsdaten) mit Art. 88 und nationalen Regeln (z. B. §26 BDSG in Deutschland). Nötig sind eine Rechtsgrundlage, Datensparsamkeit, ein AVV mit Anbietern, eine DSFA bei umfassendem Agentenzugriff und eine rollenbasierte Sicht, damit der Agent nur sieht, was der jeweilige Schritt braucht. Unterlagen von Bewerbenden, die nicht eingestellt wurden, dürfen nicht in das Onboarding einfließen.
• Mitbestimmung: In Deutschland hat der Betriebsrat Rechte bei technischen Einrichtungen, die zur Überwachung von Beschäftigten geeignet sind (§87 BetrVG); beziehen Sie ihn früh ein.
• Sicherheit: minimale Rechte für Zugangsdaten des Agenten, keine dauerhaften Administratorrechte, vollständiges Prüfprotokoll der Agentenaktionen, Schutz vor Prompt-Injection bei jedem eingelesenen Dokument und jeder E-Mail.
• Gegenmaßnahmen: Freigabeschranken für Zugriffe, deterministische Vorlagen, Frage-Antwort mit Quellenangabe, Rückfall auf die HR-Ansprechperson, regelmäßige Zugriffsprüfungen.

Erste Schritte

1. Den heutigen Eintrittsprozess abbilden (Systeme, Verantwortliche, Wartezeiten) und eine Gruppe wählen, z. B. Büropersonal.
2. Das HR-System zum einzigen Auslöser machen und zuerst rollenbasierte Zugriffsvorlagen festlegen.
3. Deterministische Schritte (Konto, Postfach, Ticket) automatisieren, bevor LLM-Funktionen hinzukommen.
4. Einen Handbuch-Assistenten mit Quellenangaben ergänzen, danach den Schritt der Zugriffsvorschläge mit Freigaben.
5. Datenschutzbeauftragte(n) und Betriebsrat einbinden, eine DSFA durchführen und Kennzahlen pro Einstellung erfassen.

Quellen

1. Microsoft Learn - Entra ID Governance Lifecycle Workflow templates - https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflow-templates
2. Microsoft Learn - Governance deployment for the employee lifecycle - https://learn.microsoft.com/en-us/entra/architecture/governance-deployment-employee-lifecycle
3. No Jitter - ServiceNow on orchestrating a symphony of AI agents (sponsored, vendor view) - https://nojitter.com/ai-automation/servicenow-on-orchestrating-a-symphony-of-ai-agents
4. Regulation (EU) 2024/1689 (AI Act) - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
5. IETF RFC 7644 - SCIM protocol - https://www.rfc-editor.org/rfc/rfc7644
6. Regulation (EU) 2016/679 (GDPR), Art. 88 - https://eur-lex.europa.eu/eli/reg/2016/679/oj