Die Custom Agents von Corma im Einsatz bei Infinox

Infinox, ein international tätiges Fintech im CFD-Brokerage, ist im vergangenen Jahr durch Expansion und Übernahmen auf fast das Dreifache gewachsen, und das IT-Operations-Team musste die Zugriffe über alle Bereiche hinweg im Griff behalten. Wir haben mit Vadim, Head of IT Operations bei Infinox, darüber gesprochen, wie On- und Offboarding vor Corma aussahen und was sich seitdem verändert hat. Er spricht über die Schattenzugriffe, die langjährige und leitende Mitarbeitende bei ihrem Austritt hinterlassen, über die Freitagsspitzen, die früher sein ganzes Team von der eigentlichen Arbeit abzogen, über die KI-Agenten, die heute das Provisioning für Legacy-Tools ohne API übernehmen, und darüber, warum ein bekennender Excel-Fan kurz davor ist, seine Tabellen aufzugeben.

‍

Corma: Was war vor Corma der eigentliche Albtraum, wenn jemand Infinox verlassen hat? Können Sie uns ein konkretes Szenario schildern?

Vadim: Vor Corma war jeder Austritt ein riesiger Albtraum. Wir mussten alle Zugriffe manuell entziehen, bei jedem Service Desk nachfragen, was vergeben worden war und was nicht, und mit der Zeit entdeckten wir trotzdem immer wieder Zugriffe, die noch bestanden.

Das galt besonders für prominente Austritte. Wer viele Jahre im Unternehmen war oder eine leitende Position bis hin zum C-Level innehatte, sammelte meist viele Schattenzugriffe an.

Mit Corma sehen wir diese Zugriffe und entziehen die meisten automatisch, was deutlich schneller geht. Wir arbeiten als Gruppe mit mehreren Marken, und noch sind nicht alle gleich stark mit Corma verbunden und integriert, vor allem wegen unserer eigenen Kapazitäten. Bei den vollständig angebundenen Marken ist das Offboarding aller wichtigen Zugriffe im Grunde ein Klick, gefolgt von einer manuellen Prüfung für alles, was wir noch nicht integriert haben, aber wir haben zumindest eine Liste, wo wir nachsehen müssen. Bei den nicht integrierten Marken muss vielleicht noch ein Drittel der Zugriffe manuell entzogen werden, und das dauert deutlich länger.

Corma: Wie viel Zeit und Aufwand kostete es, alle zu entfernenden Zugriffspunkte aufzuspüren?

Vadim: Früher war das ein enormer Zeitaufwand. Wir mussten alles zusammensuchen, und in den ein, zwei Tagen danach entdeckten wir immer noch Zugriffe, die wir nicht geprüft hatten.

Heute ist das meiste an einem Ort. Wir sehen, wo sich ein Nutzer angemeldet hat, womit er verbunden war und welche Zugriffe er hatte, sogar bei einigen lokalen Anwendungen. Inzwischen haben wir einen Desktop-Client auf rund 60 % unserer Geräte ausgerollt, was das Ganze noch besser macht. Es gibt noch Punkte zu klären, an denen wir gemeinsam mit Corma arbeiten, aber es ist klar der richtige Weg. Die meisten SaaS-Anwendungen werden problemlos erkannt. Und bei lokalen Anwendungen mit Legacy-Zugriffen oder Legacy-Verbindungen können wir diese jetzt ebenfalls aufspüren.

Corma: Welches Risiko hat Ihnen den Schlaf geraubt? Was hätte schiefgehen können, und ist es passiert?

Vadim: Das grösste Risiko war, dass die Zugriffe eines kritischen Nutzers nicht vollständig entzogen, ein Gerät nicht getrennt oder ein kritischer Zugriff übersehen wurde, vor allem bei einem späten oder kurzfristigen Offboarding, wenn HR vergessen hatte, es zu melden, oder bei einem Vorfall, bei dem wir Zugriffe schnell entziehen und mit der Untersuchung beginnen mussten. Das hat mich nachts wach gehalten. Heute ist das grösstenteils gelöst.

Ein weiteres Problem waren Häufungen. Zu Monatsbeginn hatten wir viele Onboardings, gegen Monats- oder Wochenende viele Offboardings, und das erzeugte grosse Arbeitsspitzen. Heute machen wir uns darüber viel weniger Sorgen. Kritische Zugriffe werden automatisch entzogen, und an einem Samstag zum Beispiel prüfen wir nur noch, ob das passiert ist, statt einen Engineer ein komplettes Offboarding manuell erledigen zu lassen. Am Montag kümmern wir uns um alles, was nicht kritisch ist oder manuell entzogen werden muss.

Wellen von 11 oder 15 Onboardings an einem Montag waren früher wirklich mühsam und banden viel Aufmerksamkeit im Team. Heute übernimmt Corma den Grossteil davon. Wir prüfen ein paar Dinge und kümmern uns dann um abteilungs- oder rollenspezifische Zugriffe, die noch nicht bereitgestellt wurden. Die Basiszugriffe, also sich anmelden, E-Mails erhalten und mit den meisten Tools sofort loslegen, laufen weitgehend automatisch.

Corma: Was ist Ihnen als Erstes aufgefallen, das Corma in einem Onboarding-Workflow anders macht?

Vadim: Als Erstes ist mir die Anpassbarkeit des Workflow Builders aufgefallen. Die Integration von KI-Agenten, die sich noch in der Beta befindet, würde ich als Killer-Feature bezeichnen. Wir binden inzwischen fast jede Woche eine neue Anwendung an oder ergänzen ihr Provisioning. Legacy-Tools, die kein Provisioning per API erlauben, kann jetzt ein Agent übernehmen, und wir müssen diese Agenten weder selbst schreiben noch pflegen. Das läuft alles in isolierten Containern innerhalb von Corma.

Es gibt ausserdem Workarounds für SaaS-Pakete, die normalerweise einen Enterprise-Tarif voraussetzen, etwa Slack und einige andere, um automatisches Provisioning zu erhalten.

Workflow Builder, Automatisierung und Nutzungs-Tracking sind stark, und die Oberfläche ist insgesamt gut. Alles ist an einem Ort sichtbar. Zudem entwickelt und veröffentlicht das Team schnell neue Updates.

Corma: Können Sie uns schildern, was heute passiert, wenn jemand geht, vom letzten Arbeitstag bis zum vollständigen Offboarding?

Vadim: HR hinterlegt ein Austrittsdatum, oder wenn die Person geht, werden wir automatisch über einen Webhook benachrichtigt, und sie erscheint in unserer Offboarding-Liste. Darüber hinaus müssen wir kaum noch mit HR kommunizieren. Wir prüfen, was mit dem Laptop passiert ist, und kontrollieren die Zugriffe der Person, einschliesslich allem, was Corma noch nicht automatisch deprovisioniert. Bei den meisten Nutzern prüfen wir nur, ob das Offboarding stattgefunden hat und korrekt abgelaufen ist.

Wir werden bald noch mehr automatisieren, denn wir fangen gerade erst an, den Workflow Builder zu nutzen. Mit einigen der neueren Funktionen können wir Benachrichtigungen einrichten, die in unseren Messaging-Systemen melden, sobald ein Nutzer vollständig offboardet ist.

Das Offboarding läuft heute ziemlich reibungslos. Zum Vergleich: Bei einigen Marken ist die HR-Software noch nicht richtig integriert, und wir drängen darauf, sie auf Gruppenebene anzubinden. Das ist nach wie vor mühsam: Wir bekommen eine E-Mail und müssen das Datum dann selbst in den Kalender eintragen. Derzeit tragen wir in diesen Fällen das Offboarding-Datum manuell in Corma ein, aber wir kommen voran.

Corma: Haben Sie Zahlen? Wie viel schneller ist das Offboarding heute, und wie viele manuelle Aufgaben sind weggefallen?

Vadim: Ein Offboarding kostet heute insgesamt etwa eine halbe Stunde Arbeitszeit. Früher waren es zwei bis vier Stunden, verteilt auf verschiedene Abteilungen und Personen, für eine saubere Bereinigung, die Analyse der Systeme und die Prüfung von allem.

Dank eines Custom Agents konnten wir auch einen Teil unserer Legacy-Software in das Offboarding einbinden. In manchen Fällen lässt sich ein Nutzer nicht vollständig offboarden, weil die Legacy-Software volle Administratorrechte verlangt, aber wir können zumindest alle Berechtigungen entziehen, das Passwort zurücksetzen und das Konto als ausgeschieden markieren. Früher war das enorm viel Arbeit; heute finden wir diesen Nutzer per Massensuche in der Liste und löschen das Konto.

Die Zahlen sind also von zwei bis vier Stunden für ein sauberes Offboarding auf etwa eine halbe Stunde für einen durchschnittlichen Nutzer gesunken, höchstens eine Stunde. Wenn eine C-Level-Führungskraft oder jemand in einer höheren Managementposition geht, dauert es länger, aber für die meisten Nutzer liegt es meist unter einer halben Stunde.

Corma: Welche Offboarding-Situation wäre vor Corma eine Krise gewesen und wird heute einfach erledigt?

Vadim: Ich würde sagen, jeder prominente Austritt am Ende der Woche. Wenn HR meldet, dass Zugriffe entzogen werden müssen, wissen wir, dass die meisten bereits entzogen sind, und wir müssen nur noch die eigentliche Bereinigung erledigen. Dieses hektische „Alle bereit machen, lasst alles stehen und liegen“ gibt es nicht mehr, selbst bei sechs Offboardings an einem Freitag. Früher war das ein Einsatz des ganzen Teams. Heute prüft eine Person, ob alles korrekt und fehlerfrei gelaufen ist, und das war's.

Corma: Wie hat das Ihre Arbeit verändert? Womit verbringen Sie heute Ihre Zeit statt mit manueller Arbeit und Tabellen?

Vadim: Wir bauen mehr Tools, und das passt besser zu uns. Wir haben jetzt automatisierte monatliche Berichte über inaktive Nutzer, die wir an HR und an die Führungskräfte schicken, und ähnliche Berichte zur Lizenznutzung. Das hat viel Zeit gespart, und diese Zeit investieren wir in den weiteren Ausbau von Corma und unseren Workflows. Wir haben mehrere Marken mit jeweils eigenen Besonderheiten und Unterschieden, die wir noch angehen müssen, also fliesst ein Teil der Zeit auch dorthin.

Tabellen sind noch im Einsatz, aber bald kommen einige Neuerungen von Corma, die uns helfen sollten, davon wegzukommen. Ich war selbst immer ein Excel-Mensch, aber ich habe das Gefühl, dass wir kurz davor sind, Excel ganz loszuwerden und in Corma eine einzige Quelle der Wahrheit für alle nutzerbezogenen Aktivitäten zu haben. Sobald das Label- und Tag-System verfügbar ist, können wir eigene Berichte und eigene Gruppen erstellen. Schon jetzt können wir Notizen und Kommentare zu einzelnen Nutzern hinterlegen, zum Beispiel, dass jemand ein seltener Auditor ist, der sich nur einmal im Quartal anmeldet, um etwas freizugeben, damit das Team das nicht als ungewöhnlich einstuft.

Corma: Wie wird Corma Sie aus Ihrer Sicht 2027 unterstützen, bei Themen wie KI-Nutzung und Zugriffssicherheit?

Vadim: Die Zugriffssicherheit wird uns 2027 auf jeden Fall helfen. Ich bin gespannt auf die Roadmap von Corma für das nächste Jahr und darauf, wie das Team die Nutzung und Überwachung von API-Zugangsdaten, die KI-Nutzung allgemein, Agenten und so weiter angehen will. Wie das genau aussehen wird, weiss ich noch nicht, aber ich habe das Gefühl, dass es zum Thema wird, genauso wie Automatisierung und Workflows im weiteren Sinne.

Die meisten in meinem Team bauen lieber Tools, als monotone manuelle Arbeit zu erledigen, und das gilt auch für mich. Statt zehn Nutzer manuell aus einer Legacy-Software zu offboarden, kann ich ein paar Stunden damit verbringen, einen Agenten in Corma zu konfigurieren. Prompt Engineering brauche ich dafür nicht, ich folge einfach den Vorgaben, und es ist erledigt. Bei Workflows ist es genauso: Statt einen monatlichen Bericht über inaktive Nutzer manuell zu erstellen, schicken wir den Führungskräften eine automatisierte E-Mail, und sie geben uns Rückmeldung. Es macht schlicht mehr Freude, diese Tools zu bauen und zu nutzen, als repetitive Arbeit zu erledigen.

Laut unserer quartalsweisen Service-Desk-Analyse machten On- und Offboarding früher den Grossteil unserer Service-Desk-Tickets und unserer Arbeitszeit aus. Seit wir Corma breiter in unseren Marken und in der Gruppe einsetzen, geht dieser Anteil endlich zurück.

Corma: Wenn Sie an Skalierung denken: Wie unterstützt Corma Sie, wenn Infinox auf das Zwei- oder Dreifache wächst, und was ändert das für Sie?

Vadim: Genau das haben wir bereits erlebt. Das Unternehmen ist in einer aktiven Expansions- und Übernahmephase, und wir sind im letzten Jahr fast auf das Dreifache gewachsen, vielleicht etwas mehr. Corma hat das gut bewältigt: mehrere Workspaces, die Verwaltung der Nutzer, der Überblick über ihre Bewegungen, die Steuerung der Archivierung und ganz allgemein die Unterstützung bei diesem Nutzervolumen. Während wir uns ungefähr verdreifacht haben, ist mein IT-Operations-Team nicht einmal auf das Doppelte gewachsen. So konnten wir uns auch anderen Bereichen widmen, weil On- und Offboarding uns nicht mehr so viel Zeit kosten.

‍

Vadims Team hat das Offboarding von zwei bis vier Stunden auf Minuten verkürzt, während sich das Unternehmen verdreifacht hat, ohne die Teamgrösse zu verdoppeln. Wenn Sie dieses Problem lieber einmal richtig lösen möchten, zeigen wir Ihnen gern, wie Corma funktioniert. Buchen Sie eine Demo.

‍