Offboarding-Checkliste Power Platform

Wenn eine Mitarbeiterin oder ein Mitarbeiter kündigt, laufen die meisten Offboarding-Prozesse für Laptop, E-Mail-Postfach und Gebäudeausweis wie am Schnürchen. Was dabei fast immer durchrutscht: die Flows, Power Apps und Verbindungen, die diese Person in der Power Platform aufgebaut hat. Ein Flow, der jeden Morgen Rechnungen aus einem Postfach in SharePoint ablegt, merkt zunächst nicht, dass sein Besitzer nicht mehr existiert. Er läuft einfach weiter, bis eine Verbindung abläuft oder eine Lizenz entzogen wird, und dann steht das ganze Team plötzlich ohne Erklärung vor einem stillstehenden Prozess.

Diese Checkliste ist als Lead-Asset gedacht: ein Dokument, das Sie beim nächsten Austritt einfach durchgehen, statt jedes Mal neu zu überlegen, wo in der Power Platform überall Spuren einer Person liegen. Sie ergänzt unseren Artikel zu Solutions in Power Automate, der erklärt, warum sich nur Flows in einer Solution überhaupt sauber übertragen lassen. Hier geht es um den Vorsorge-Winkel: was Sie vor, während und nach dem letzten Arbeitstag konkret prüfen, damit Ihre digitalen Mitarbeiter weiterlaufen, egal wer das Unternehmen verlässt.

Warum Offboarding in der Power Platform oft vergessen wird

Flows und Power Apps sind in den wenigsten Unternehmen in einem zentralen Inventar erfasst. Sie entstehen dezentral, oft von einer einzelnen Fachkraft, die eine wiederkehrende Aufgabe automatisieren wollte. Genau das macht sie beim Offboarding unsichtbar: Niemand aus der IT-Abteilung weiß, dass es diesen Flow überhaupt gibt, bis er nach dem Austritt der erstellenden Person plötzlich fehlschlägt.

Laut der offiziellen Dokumentation zum Besitzerwechsel eines Cloud-Flows übernimmt beim Erstellen eines Flows automatisch die erstellende Person die Rolle des Besitzers. Diese Rolle entscheidet über Bearbeitungsrechte, Freigaben, Ausführungsverlauf und teilweise sogar über die verwendete Lizenz. Verlässt diese Person das Unternehmen ohne vorherige Übertragung, wird der Flow zu dem, was Microsoft einen verwaisten Flow nennt: eine Automatisierung ohne gültigen Besitzer, deren Verbindungen jederzeit versagen können.

Die Checkliste vor dem letzten Arbeitstag

Der wichtigste Grundsatz zuerst: Alles, was sich vor dem Austritt erledigen lässt, ist einfacher als alles, was danach nachgeholt werden muss. Solange die Person noch Zugriff hat, können Sie gemeinsam mit ihr arbeiten, statt als Administrator im Nachhinein zu rekonstruieren, was überhaupt existiert.

• Flow-Liste exportieren: Bitte die Person, sich bei Power Automate anzumelden und unter "Meine Flows" alle eigenen Flows aufzulisten, inklusive der Flows, die in "Für mich freigegeben" auftauchen.
• Solution-Zugehörigkeit prüfen: Für jeden Flow gilt: Nur ein lösungsfähiger (solution-aware) Flow lässt sich später sauber auf eine neue Person übertragen. Bei nicht-lösungsfähigen Flows bleibt laut Dokumentation nur der Umweg über Export, Import oder Kopie senden, weil der Besitzer Teil der Flow-Identität ist.
• Co-Besitzer ergänzen: Für jeden kritischen Flow direkt einen Co-Besitzer aus dem Team eintragen, solange die ursprüngliche Person noch verfügbar ist und Rückfragen beantworten kann.
• Power Apps prüfen: Ebenso durch die eigenen Apps gehen und für jede App, die andere Personen produktiv nutzen, einen Co-Owner freigeben.
• Verbindungen dokumentieren: Welche Connections (SharePoint, Outlook, Dataverse, externe APIs) hängen an den Flows der Person? Verbindungen, die an ein persönliches Konto gebunden sind, funktionieren nach der Deaktivierung nicht mehr zuverlässig weiter.
• Genehmigungs- und Freigabeprozesse umleiten: Läuft die Person als Genehmigerin in einem Approval-Flow, muss diese Rolle vor dem Austritt auf eine andere Person umgestellt werden.

Die Checkliste nach dem letzten Arbeitstag

Nicht jeder Austritt lässt genug Vorlauf, um alles vorher zu erledigen. Für den Fall, dass die Person bereits weg ist, brauchen Sie den Blick aus der Administratorperspektive.

• Verwaiste Flows im Admin Center finden: Öffne das Power Platform Admin Center, wähle die betroffene Umgebung, dann Ressourcen > Flows, und suche gezielt nach Flows ohne Eintrag in der Spalte Besitzer. Genau diesen Weg beschreibt der Support-Artikel zum Verwalten verwaister Flows.
• Neue Co-Besitzer zuweisen: Für jeden gefundenen Flow im Admin Center Freigeben auswählen, einen neuen Besitzernamen eintragen und speichern. Bei vielen betroffenen Flows lässt sich das über die PowerShell-Cmdlets Get-AdminFlow und Set-AdminFlowOwnerRole auch im großen Stil erledigen, statt jeden Flow einzeln anzuklicken.
• Power Apps derselben Person durchsuchen: Unter Ressourcen > Power Apps lässt sich nach dem Namen der ausgeschiedenen Person filtern. Für jede gefundene App genügt ein Klick auf Freigeben, um sich selbst als Administrator Co-Owner-Rechte zu geben.
• Sicherheitsgruppe und Lizenz prüfen: Sobald die Person aus dem Microsoft 365 Admin Center gelöscht wird, setzt Power Platform ihren Status automatisch auf deaktiviert, das kann laut Dokumentation zum Löschen von Benutzern aus einer Umgebung zwischen 30 Minuten und 6 Stunden dauern. Warte diesen Zeitraum nicht ungeprüft ab, sondern kontrolliere aktiv, ob der Status tatsächlich umgeschlagen ist.
• Verbindungen mit Fehlern beobachten: Prüfe in den betroffenen Flows den Ausführungsverlauf auf fehlgeschlagene Läufe, die auf eine ungültige Verbindung zurückzuführen sind, und aktualisiere die Anmeldedaten auf ein Konto, das weiterhin existiert.

Was passiert, wenn niemand handelt

Ein häufiges Missverständnis ist, dass ein Flow beim Austritt der besitzenden Person sofort stoppt. Tatsächlich läuft ein geteilter Flow laut der Dokumentation zu Team-Flows zunächst einfach weiter, solange er noch einen aktiven Besitzer hat, also etwa einen Co-Besitzer. Erst wenn kein aktiver Besitzer mehr existiert, wird eine Übertragung zwingend nötig.

Kritischer wird es bei der Lizenz. Laut der Lizenzierungs-FAQ zu Power Automate wird ein Premium-Flow, dessen Besitzer keine gültige Premium-Lizenz mehr hat, zunächst auf niedrigere Leistung heruntergestuft. Alle Besitzenden werden benachrichtigt, und bleibt die Situation ungelöst, schaltet Power Automate den Flow nach 14 Tagen komplett ab. Diese zwei Wochen sind in der Praxis das reale Zeitfenster, das Ihnen für eine geordnete Übertragung bleibt, bevor eine produktive Automatisierung ohne Vorwarnung ausfällt.

Vorsorge treffen: Co-Besitzer von Anfang an

Die zuverlässigste Vorsorge ist gar keine Offboarding-Aktion, sondern eine Regel, die schon beim Bau eines Flows gilt: Jeder produktiv genutzte Flow und jede produktiv genutzte App bekommt von Anfang an mindestens eine zweite Person als Co-Besitzer. Damit fällt beim tatsächlichen Austritt nur noch der Schritt weg, den ursprünglichen Besitzer zu entfernen, statt unter Zeitdruck erst einen neuen zu suchen. Wer diese Regel mit einer schlanken Governance-Struktur kombiniert, wie sie unser Artikel zu CoE light für 30 Mitarbeiter beschreibt, und zusätzlich über DLP-Richtlinien für Einsteiger den Zugriff auf sensible Connector-Gruppen begrenzt, reduziert das Risiko eines verwaisten Flows von vornherein deutlich.

Wer diese Checkliste nicht manuell pflegen, sondern als festen Baustein im eigenen Offboarding-Prozess verankert haben möchte, findet bei der Power-Automate-Beratung von NordFlux Unterstützung dabei, Governance und Vorsorge von Anfang an sauber aufzusetzen. So behalten Sie die Kontrolle über Ihre Automatisierungen, auch wenn sich Teams verändern.

Häufige Fragen

Was ist der Unterschied zwischen einem verwaisten Flow und einem Flow ohne Co-Besitzer?

Ein Flow ohne Co-Besitzer hat noch einen gültigen, aktiven Besitzer und läuft normal weiter. Erst wenn dieser einzige Besitzer die Organisation verlässt und niemand die Rolle übernimmt, gilt der Flow als verwaist, also ohne gültigen Besitzer. Genau deshalb ist ein Co-Besitzer die einfachste Vorsorge: Er verhindert, dass ein Flow überhaupt in den verwaisten Zustand gerät.

Kann ich als Administrator einen fremden Flow einfach übernehmen, auch ohne dass mich jemand freigegeben hat?

Nein, nicht direkt. Ein Administrator muss sich laut Dokumentation zunächst selbst als Besitzer oder Co-Besitzer eintragen, bevor er Änderungen an einem fremden Flow vornehmen kann. Im Power Platform Admin Center geschieht das über die Funktion Freigeben auf der Detailseite des jeweiligen Flows, dort tragen Sie sich als neuen Besitzernamen ein und speichern die Änderung.

Was passiert mit einer Solution, wenn deren Ersteller das Unternehmen verlässt?

Solution-fähige Flows lassen sich, anders als eigenständige Flows, direkt über die Bearbeitungsansicht auf eine neue Person umtragen, ohne Export und Import. Nach Abschluss des Wechsels werden alter und neuer Besitzer automatisch zu gemeinsamen Besitzern, sodass beide Zugriff auf Ausführungsverlauf und Verbindungsreferenzen behalten. Mehr Details dazu finden Sie im verlinkten Artikel zu Solutions in Power Automate.

Wie lange dauert es, bis Power Platform einen gelöschten Benutzer als deaktiviert markiert?

Nach dem Löschen im Microsoft 365 Admin Center kann es laut offizieller Dokumentation zwischen 30 Minuten und 6 Stunden dauern, bis der Status in den jeweiligen Power-Platform-Umgebungen auf deaktiviert umschlägt. Wer diese Wartezeit nicht in Kauf nehmen will, kann den Status über die Benutzerdiagnose im Admin Center manuell prüfen und beschleunigen.

Reicht es, die Verbindungen einer Person zu löschen, statt den Flow-Besitzer zu ändern?

Nein, das reicht nicht aus und schafft eher neue Probleme. Löschen Sie nur die Verbindung, bleibt der Flow trotzdem an die ausgeschiedene Person als Besitzer gebunden und läuft ohne funktionierende Verbindung ins Leere. Richtig ist die umgekehrte Reihenfolge: erst den Besitzer auf eine aktive Person übertragen, dann die betroffenen Verbindungen mit den Anmeldedaten dieser neuen Person aktualisieren.