--- id: CP-205 slug: scim-automatische-bereitstellung-austritte lang: de title: SCIM und die automatische Bereitstellung von Konten description: Wie SCIM Konten in Anwendungen anlegt, ändert und sperrt, wenn Sie eintreten, die Stelle wechseln oder gehen, und was Sie selbst tun müssen. canonical_url: https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte/ markdown_url: https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „SCIM und die automatische Bereitstellung von Konten“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-028 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte/ fr: https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/ en: https://startbrain.io/cyberpedia/en/articles/scim-automated-provisioning-offboarding/ es: https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas/ sources: - "n": 1 title: What is app provisioning in Microsoft Entra ID? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning accessed: "2026-11-03" - "n": 2 title: How Application Provisioning works in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works accessed: "2026-11-03" - "n": 3 title: Known issues for provisioning in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues accessed: "2026-11-03" - "n": 4 title: User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" - "n": 5 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 6 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" --- # SCIM und die automatische Bereitstellung von Konten In einem Unternehmen hat jede Beschäftigte und jeder Beschäftigte Konten in vielen Anwendungen: E-Mail, Dateiablage und weitere Werkzeuge. Wenn jemand eintritt, die Stelle wechselt oder ausscheidet, müssen diese Konten angelegt, geändert oder geschlossen werden. Geschieht das Schließen von Hand, kann es vergessen werden, und das Konto einer ausgeschiedenen Person bleibt dann offen. SCIM (System for Cross-domain Identity Management) ist eine Spezifikation, die Anwendungen einen gemeinsamen Weg gibt, solche Vorgänge vom Verzeichnis des Unternehmens zu empfangen [1]. Dieser Artikel erklärt, was SCIM automatisiert, was es nicht abdeckt und was Beschäftigte und ihre Vorgesetzten tun müssen, damit der Ablauf funktioniert. ## In 30 Sekunden - Wo es vorkommt: bei jedem Eintritt, Stellenwechsel oder Austritt, in allen Anwendungen, die mit dem Verzeichnis des Unternehmens verbunden sind. - Was der Angreifer will: ein vergessenes Konto nutzen, das niemand überwacht, um in die Systeme zu gelangen. - Der Reflex: Eintritt, Stellenwechsel oder Austritt rechtzeitig melden, kein Konto außerhalb des offiziellen Ablaufs anlegen und alle Zugänge zurückgeben. - Wenn es schon passiert ist: Wenn Sie ein Konto außerhalb des Ablaufs eröffnet oder nach einem Stellenwechsel einen Zugang behalten haben, melden Sie das der IT-Abteilung, damit das Konto in den Ablauf eingebunden oder geschlossen wird. ## Direkte Fragen ### Was ist SCIM in der Praxis? SCIM ist eine gemeinsame Sprache zwischen dem Verzeichnis und den Anwendungen. Ohne sie hat jede Anwendung eigene Zugriffsadressen, eine eigene Art, Benutzer zu beschreiben, und ein eigenes Datenschema. SCIM liefert ein gemeinsames Benutzerschema, um Personen in Anwendungen aufzunehmen, daraus zu entfernen und zwischen ihnen zu verschieben [1]. Der Bereitstellungsdienst von Microsoft Entra ID verbindet sich mit dem SCIM-2.0-Endpunkt, den der Hersteller der Anwendung bereitstellt, um Benutzer anzulegen, zu ändern und zu löschen [2]. ### Was ändert das Verzeichnis bei einem Austritt? Das Verzeichnis wird zur maßgeblichen Quelle. Die automatische Bereitstellung umfasst das Anlegen von Konten, aber auch deren Pflege und Entfernung, wenn sich Status oder Rolle ändern [1]. Sie kann Konten in den richtigen Anwendungen automatisch deaktivieren, wenn Personen das Team oder die Organisation verlassen [1]. Außerdem hält sie Konten entsprechend den Änderungen im Verzeichnis oder im Personalsystem aktuell [1]. ### Wie verringert das die Zahl der Geisterkonten? Weil das Schließen nicht mehr vom Gedächtnis einer Person abhängt. Microsoft nennt unter den Beweggründen die sofortige Entfernung von Identitäten aus wichtigen SaaS-Anwendungen, wenn eine Person ausscheidet [1]. Wenn eine Person aus dem Bereitstellungsumfang herausfällt, auch wenn sie aus der Anwendung entfernt wird, deaktiviert der Dienst ihr Konto in der Zielanwendung [2]. Voraussetzung ist allerdings, dass die Anwendung angebunden ist, was die Fallstricke unten näher beschreiben. ### Welche Rolle habe ich, wenn alles automatisch läuft? Die Automatik geht vom Verzeichnis aus. Weiß das Verzeichnis nicht, dass Sie gehen oder die Abteilung wechseln, löst nichts aus. Die Information muss rechtzeitig dort ankommen, und das veranlassen die Beschäftigten und ihre Vorgesetzten. ## Wie es funktioniert Der Bereitstellungsdienst arbeitet in Zyklen. Ein erster Zyklus fragt alle Benutzer und Gruppen der Quelle ab, danach verarbeiten inkrementelle Zyklen nur, was sich seit der zuletzt gespeicherten Markierung geändert hat [2]. Hat ein Benutzer in der Anwendung kein passendes Konto, wird es angelegt. Hat er eines, wird es aktualisiert [2]. Für den Austritt sind mehrere Fälle vorgesehen. Ein Benutzer, der im Verzeichnis deaktiviert oder in den „Papierkorb“ gelöscht wird, wird in der Zielanwendung deaktiviert. Bei einer SCIM-Anwendung bedeutet Deaktivieren, dass die Eigenschaft „active“ auf false gesetzt werden soll [2]. Dreißig Tage nach dem Löschen im Verzeichnis wird der Benutzer endgültig gelöscht, und der Dienst sendet dann eine Löschanfrage an die Anwendung [2]. Ein Benutzer, dessen Gruppen oder Rechte sich ändern, kann ebenfalls aus dem Umfang herausfallen, was als Austritt aus der Anwendung zählt [2]. Bei dynamischen Gruppen hängt die Geschwindigkeit der Entfernung davon ab, wie schnell die Gruppe ihre Mitglieder neu auswertet [2]. Alles wird in den Bereitstellungsprotokollen festgehalten, die die Lese- und Schreibvorgänge auf den Quell- und Zielsystemen aufzeichnen [2]. ## Was Sie tun - Melden Sie sich rechtzeitig. Teilen Sie Ihrer oder Ihrem Vorgesetzten und der Personalabteilung Ihren Eintritt, Stellenwechsel oder Austritt mit genauem Datum mit, denn die Änderung im Verzeichnis löst alles Weitere aus. - Vorgesetzte: Melden Sie Stellenwechsel ebenso wie Austritte. Ein Rollenwechsel kann erfordern, Zugänge zu entziehen, nicht nur neue hinzuzufügen [1]. - Legen Sie kein Konto außerhalb des offiziellen Ablaufs an: keine private Registrierung bei einem Dienst mit der Firmenadresse, kein von Hand in der Administrationsoberfläche einer Anwendung eröffnetes Konto, ohne die IT-Abteilung zu informieren. Ein solches Konto ist nicht mit dem Verzeichnis verbunden, also schließt es niemand automatisch. - Geben Sie Ihre Zugänge vor dem Weggang zurück: Ausweis, Sicherheitsschlüssel, Geräte und jeden Zugang, den Sie auf einem anderen Weg als über Ihr gewohntes Konto erhalten haben. - Aktivieren Sie die Multi-Faktor-Authentifizierung auf den Konten, die offen bleiben. Die CISA stellt Sicherheitsschlüssel an die Spitze der Methoden und Codes per SMS oder E-Mail ans Ende [7]. ## Die Fallstricke ### Nicht angebundene Anwendung Eine Anwendung im Katalog unterstützt entweder die manuelle oder die automatische Bereitstellung. Im manuellen Modus gibt es keinen automatischen Konnektor: Konten werden von Hand angelegt, zum Beispiel im Administrationsportal der Anwendung oder über eine Tabellendatei [1]. Bei solchen Anwendungen erfordert der Austritt eine menschliche Handlung. Eine Anwendung, die aus einer einfachen OIDC-Registrierung entstanden ist, ist nicht für die automatische Bereitstellung aktiviert [3]. ### Änderungen direkt in der Anwendung Der Dienst ignoriert Änderungen in externen Anwendungen und macht sie nicht rückgängig: Er stützt sich auf das, was sich im Verzeichnis ändert [3]. Ein lokal angelegtes oder geändertes Konto entgeht dem Ablauf also. Microsoft gibt an, dass die Bereitstellung auch bestehende Konten in einer Anwendung erkennen kann, einschließlich lokaler oder verwaister [1]. MITRE empfiehlt, verwaiste Konten, etwa ohne Eigentümer, bei regelmäßigen Audits zu entfernen und Konten nach einer Zeit der Inaktivität, zum Beispiel 30 Tagen, automatisch zu deaktivieren [4]. ### Lokale Konten, geteilte Konten, Passwörter Die Bereitstellung von Passwörtern wird nicht unterstützt [3]. Manche Anwendungen vor Ort sind nicht mit dem Verzeichnis föderiert und verlangen lokale Passwörter [3]. Ein geteiltes Konto oder ein lokales Passwort, das jemand kennt, der ausscheidet, wird mit dem Austritt der Inhaberin oder des Inhabers nicht geschlossen: Es muss von Hand geändert oder gelöscht werden. ### Verzögerungen und Fehler Das Intervall zwischen zwei Zyklen ist nicht konfigurierbar [3]. Wenn ein Fehler verhindert, einen Benutzer zu ändern, wird der Vorgang im nächsten Zyklus wiederholt, und eine Administratorin oder ein Administrator muss die Protokolle einsehen, um die Ursache zu finden [2]. Schlagen die meisten Aufrufe fehl, zum Beispiel wegen ungültiger Administrationszugangsdaten, kommt der Bereitstellungsauftrag in Quarantäne und die Zyklen werden auf einen pro Tag verlangsamt; nach mehr als vier Wochen wird er deaktiviert [2]. Ein Austritt wird also unter Umständen nicht rechtzeitig übernommen, ohne dass es jemand bemerkt. ### Token und Sitzungen, die weiterbestehen Laut MITRE kann ein Angreifer, der ein Cloud-Konto kontrolliert, zusätzliche langlebige Zugangsdaten erzeugen, um sich dort zu halten, und diese Zugangsdaten können Kontrollen wie die Multi-Faktor-Authentifizierung umgehen [5]. Die hier zitierten Quellen sagen nicht, ob eine offene Sitzung endet, sobald ein SCIM-Konto deaktiviert wird. Auf Seiten der Anwendung gibt OWASP an, dass die Anwendung eine Sitzung, wenn sie endet, clientseitig und serverseitig ungültig machen muss und dass die Serverseite aus Sicherheitssicht die wichtigste und zwingend erforderliche ist [6]. Außerdem empfiehlt OWASP für alle Sitzungen eine Inaktivitätsfrist und eine absolute Frist [6]. Beim Austritt einer oder eines Beschäftigten muss die IT-Abteilung daher neben dem Konto selbst auch Zugriffstoken, Anwendungspasswörter und Sitzungen prüfen. ## Quellen 1. Microsoft, „What is app provisioning in Microsoft Entra ID?“. https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning (abgerufen am 3. November 2026) 2. Microsoft, „How Application Provisioning works in Microsoft Entra ID“. https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works (abgerufen am 3. November 2026) 3. Microsoft, „Known issues for provisioning in Microsoft Entra ID“. https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1018/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/004/ (abgerufen am 3. November 2026) 6. OWASP, „Session Management - OWASP Cheat Sheet Series“. https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (abgerufen am 3. November 2026) 7. CISA, „Require Multifactor Authentication | CISA“. https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.