Ihre Automatisierung läuft über das Konto eines Kollegen, der gekündigt hat
Wer die Verbindung in Make oder n8n autorisiert hat, dem gehört sie. Wird das Konto beim Offboarding gesperrt, steht der Workflow still, oft wochenlang unbemerkt. Warum eine Automatisierung eine eigene Identität braucht und wie wir sie einrichten.
Der Zugang ging mit dem Disponenten
Eine Spedition aus dem Rheinland hat im Frühjahr ihre Auftragsabwicklung automatisiert. Transportauftrag kommt per Mail, die Daten wandern ins Transportmanagementsystem, der Auftraggeber bekommt eine Statusmeldung, die Frachtpapiere landen im Firmenlaufwerk. Vier Monate lief die Automatisierung ohne Beanstandung.
Ende Juni hat der Disponent gekündigt, der sie damals mit eingerichtet hatte. Sein Konto wurde am letzten Arbeitstag gesperrt, so gehört sich das. Am Dienstag darauf kamen keine Statusmeldungen mehr an und die Frachtpapiere landeten nirgends. Die Verbindung zum Postfach und zum Laufwerk hing an seinem persönlichen Zugang. Aufgeschrieben war das nirgendwo.
Wer auf "Zulassen" klickt, dem gehört die Automatisierung
Legen Sie in Make, n8n oder Power Automate eine Verbindung zu Microsoft 365 oder Google Workspace an, öffnet sich ein Anmeldefenster. Die Person, die dort ihr Passwort eingibt und bestätigt, erteilt den Zugriff. Die Plattform bekommt im Gegenzug ein Refresh-Token, das an dieses eine Konto gebunden ist und mit dessen Rechten arbeitet.
Das Token überlebt das Konto nicht. In Entra ID verfällt es beim Sperren und beim Zurücksetzen des Passworts, mit aktiver Continuous Access Evaluation innerhalb von Minuten. Google entzieht beim Sperren eines Kontos ebenfalls alle erteilten Freigaben. Ein sauberes Offboarding, das jeder Prüfer sehen will, schaltet Ihre Automatisierung ab.
Für den Ausfall reicht übrigens weniger als eine Kündigung. Ein Passwortwechsel nach einem Phishing-Verdacht genügt, ebenso das Zurücksetzen der Zwei-Faktor-Anmeldung, wenn jemand sein Diensthandy verliert. Beides passiert freitagnachmittags und ohne Rückfrage bei der Fachabteilung.
Dazu kommt die Frage, wem die Ergebnisse gehören. Was ein Workflow über ein persönliches Konto nach "Meine Ablage" oder OneDrive schreibt, ist Eigentum dieses Kontos. Wird der Nutzer nach der Sperrfrist gelöscht, gehen die Dateien mit, sofern niemand vorher die Übertragung angestoßen hat. Bei Frachtpapieren mit Aufbewahrungspflicht ist das mehr als ein Ärgernis.
Zwischen Kündigung und Ausfall liegen Wochen
Auffällig ist selten der Tag der Sperrung. Viele Automatisierungen laufen wöchentlich oder monatlich, andere greifen nur, wenn ein bestimmter Fall eintritt. Der Fehler zeigt sich beim nächsten Lauf, und bis dahin ist die Kündigung längst abgehakt.
Er zeigt sich auch leise. Das Zielsystem antwortet mit einem HTTP 401, im Ausführungslog steht eine abgebrochene Ausführung, mehr nicht. Wer keine aktive Benachrichtigung eingerichtet hat, sieht davon nichts. In der Übersicht der Verbindungen steht bei einigen Plattformen weiterhin ein grüner Haken, weil der Status erst beim nächsten Zugriff aktualisiert wird.
Und niemand fühlt sich zuständig. Die IT arbeitet ihre Offboarding-Liste ab: Laptop einziehen, Konto sperren, Lizenz freigeben. Auf dieser Liste steht nicht, welche Prozesse an dem Konto hängen, denn dieses Wissen liegt in der Fachabteilung. Die Fachabteilung wiederum hat keinen Anlass zu vermuten, dass eine Kündigung technische Folgen hat.
Automatisierungen brauchen eine eigene Identität
Eine bessere Offboarding-Liste hilft hier nur begrenzt. Der Betrieb gehört unter eine Identität, die niemandem persönlich gehört und die nicht kündigen kann.
Bei Microsoft 365 ist das eine App-Registrierung in Entra ID mit eigenen Berechtigungen. Sie kostet keine Lizenz, ihre Rechte lassen sich auf einzelne Postfächer und Ordner einschränken, und kein Personalwechsel entzieht sie. Für Versand und Empfang nehmen Sie ein freigegebenes Postfach, das bis 50 GB ebenfalls ohne Lizenz auskommt.
Bei Google Workspace übernimmt ein Dienstkonto diese Rolle. Der Haken sitzt bei der Ablage: Die Dateien gehören in eine geteilte Ablage, denn in "Meine Ablage" eines Nutzers haben Sie das Eigentumsproblem nur verschoben. Als Absender und Empfänger dient eine Gruppenadresse wie auftraege@, hinter der mehrere Personen stehen.
Geben Sie dieser Identität dabei nicht mehr Rechte als nötig. Wir treffen regelmäßig auf Dienstkonten mit Administratorrechten über den gesamten Tenant, weil das beim Einrichten am wenigsten Nachfragen ausgelöst hat. Ein Zugang ohne Ablaufdatum und ohne Person dahinter ist genau der Zugang, der eng geschnitten gehört: ein Postfach, ein Ordner, die Rechte, die der Workflow tatsächlich braucht.
Manche Fachanwendungen bieten diesen Weg nicht an, gerade kleinere Branchenlösungen kennen ausschließlich den Anmeldedialog für Nutzer. Dann richten Sie einen bewussten Funktionsnutzer ein, dessen Zugangsdaten im Passwortmanager der Firma liegen und der im Verzeichnis als solcher erkennbar ist. Das kostet eine Lizenz im Monat. Zwei Tage Stillstand in der Abwicklung kosten mehr.
Zwanzig Minuten Bestandsaufnahme
Öffnen Sie in Ihrer Automatisierungsplattform die Liste der Verbindungen. Neben jeder steht, wer sie autorisiert hat. Markieren Sie alles, was auf einen Personennamen läuft, und prüfen Sie zwei Dinge: Ist die Person noch im Unternehmen, und welcher Prozess bricht ab, wenn sie geht?
Danach schauen Sie sich den Ablageort an. Liegen die Dateien, die Ihre Workflows erzeugen, auf einem persönlichen Laufwerk oder in einer geteilten Struktur? Und im Postfach: Verschickt die Automatisierung unter einer Personenadresse? Dann wandern die Antworten Ihrer Kunden in ein Postfach, das beim nächsten Weggang mit abgeschaltet wird.
Achten Sie außerdem darauf, wie bei Ihnen repariert wird. Bricht eine Verbindung ab, ist der schnellste Weg zurück, dass sich der Nächstbeste neu anmeldet. Der Workflow läuft danach wieder, und das Problem sitzt auf einem anderen Namen. Uns sind Automatisierungen begegnet, die auf diese Weise durch drei Kollegen gewandert sind. Halten Sie deshalb schriftlich fest, dass eine Verbindung ausschließlich über das Dienstkonto neu aufgebaut wird.
Zuletzt gehört das Ergebnis in die Offboarding-Liste der IT. Ein Punkt genügt: Prüfen, welche Automatisierungen und Verbindungen auf dieses Konto laufen. Wer das einmal notiert hat, erlebt es kein zweites Mal.
Bei der Spedition hat die Umstellung einen Nachmittag gedauert. Sieben Verbindungen liefen auf zwei Personen, eine davon war seit dem Frühjahr nicht mehr im Unternehmen. Ein zweiter Workflow war deshalb seit acht Wochen tot. Die Statusmeldungen an die Auftraggeber gingen in dieser Zeit an niemanden, die Nachfragen kamen stattdessen per Telefon, und die Kollegin in der Abwicklung hielt die Anrufe für den Normalzustand.