n8n + Active Directory: User Provisioning automatisieren (Tutorial)

Pexon Consulting | 10 Min. Lesezeit | 13.04.2026

TL;DR

n8n automatisiert User Provisioning über den LDAP-Node direkt gegen Active Directory — ohne SCIM, ohne teure IAM-Middleware. Ein neuer Mitarbeiter im HR-System löst automatisch AD-Account, Gruppenzugehörigkeit, Exchange-Postfach und Teams-Lizenz aus. Pexon Consulting setzt n8n in über 20 Automatisierungsprojekten für Mittelständler ein. Ergebnis: 87% weniger manuelle IT-Tickets beim Onboarding.

28 EUR pro User — manuell

Manuelles User Provisioning kostet durchschnittlich 28 EUR pro User und Vorgang. Automatisiert sinkt das auf unter 3,50 EUR. Bei einem Mittelständler mit 500 Mitarbeitern und 15% Fluktuation sind das 75 Onboardings und 75 Offboardings im Jahr — rund 4.200 EUR Ersparnis allein bei der Account-Erstellung. Dazu kommen die Fehler: 71% der Unternehmen ohne automatisiertes Provisioning finden bei Audits verwaiste Accounts. Jeder einzelne davon ist ein Sicherheitsrisiko.

Das Problem ist nicht, dass IT-Admins das nicht wissen. Das Problem ist, dass die Lösungen am Markt — Okta Lifecycle Management, SailPoint, Saviynt — für Unternehmen mit 300-3.000 Mitarbeitern komplett überdimensioniert sind. 50.000 EUR Lizenzkosten im ersten Jahr, dazu 6 Monate Implementierung.

n8n löst das anders. Open Source, self-hosted, und der LDAP-Node spricht direkt mit Active Directory. Kein Vendor Lock-in, keine User-basierten Lizenzkosten.

Architektur: Was wir bauen

Der Workflow hat drei Trigger und deckt den kompletten User Lifecycle ab:

n8n empfängt Events per Webhook vom HR-System. Alternativ pollt n8n eine SharePoint-Liste oder ein Excel-File — nicht elegant, aber pragmatisch, wenn das HR-System keinen Webhook kann. Wir haben beides im Einsatz.

Ob Webhook oder Polling, die Anbindung an das HR-System ist der Teil, der pro Umgebung anders aussieht. Wer diesen Aufbau nicht intern stemmen will, kann die n8n-Workflows von uns implementieren und betreiben lassen, inklusive LDAP-Anbindung, Monitoring und Fehlerbehandlung.

Schritt 1: LDAP-Verbindung konfigurieren

Bevor der erste Workflow läuft, braucht n8n Zugriff auf Ihr Active Directory. Das geht über den eingebauten LDAP-Node.

{
  "credentials": {
    "ldap": {
      "hostname": "dc01.firma.local",
      "port": 636,
      "ssl": true,
      "bindDN": "CN=svc-n8n-provisioning,OU=ServiceAccounts,DC=firma,DC=local",
      "bindPassword": "{{ $env.LDAP_BIND_PASSWORD }}"
    }
  }
}

Drei Dinge, die IT-Admins hier regelmäßig falsch machen:

Port 389 statt 636. LDAP ohne TLS ist ein Audit-Finding. Nutzen Sie immer LDAPS auf Port 636 oder StartTLS auf 389.

Der Service Account hat Domain Admin Rechte. Braucht er nicht. Erstellen Sie einen dedizierten Account mit Schreibrechten auf die relevanten OUs — nicht mehr.

Kein Passwort-Rotation. Der Bind-Password gehört in einen Secret Manager (Azure Key Vault, HashiCorp Vault), nicht in die n8n-Credentials. n8n unterstützt Umgebungsvariablen über $env — nutzen Sie das.

Schritt 2: Onboarding-Workflow bauen

Der Kern des Workflows ist ein LDAP-Create gefolgt von einem LDAP-Update für die Gruppenmitgliedschaft.

// n8n Function Node: AD-Attribute aus HR-Daten generieren
const hrData = $input.first().json;

// Username-Konvention: erster Buchstabe Vorname + Nachname
const username = (hrData.firstName[0] + hrData.lastName)
  .toLowerCase()
  .replace(/[äöüß]/g, c => ({ä:'ae',ö:'oe',ü:'ue',ß:'ss'})[c]);

// Initiales Passwort: Zufällig, muss beim ersten Login geändert werden
const initialPassword = crypto.randomBytes(16).toString('base64');

return {
  json: {
    dn: `CN=${hrData.firstName} ${hrData.lastName},OU=${hrData.department},OU=Users,DC=firma,DC=local`,
    attributes: {
      objectClass: ['top', 'person', 'organizationalPerson', 'user'],
      sAMAccountName: username,
      userPrincipalName: `${username}@firma.local`,
      givenName: hrData.firstName,
      sn: hrData.lastName,
      displayName: `${hrData.firstName} ${hrData.lastName}`,
      department: hrData.department,
      title: hrData.jobTitle,
      manager: hrData.managerDN,
      unicodePwd: Buffer.from(`"${initialPassword}"`, 'utf16le'),
      userAccountControl: 512  // Normal Account, enabled
    }
  }
};

Nach dem Create folgt die Gruppenzuordnung. Wir mappen Abteilungen auf AD-Gruppen in einer Lookup-Tabelle:

// Abteilung → AD-Gruppen Mapping
const groupMapping = {
  'Entwicklung': ['GRP-Developers', 'GRP-AzureDevOps', 'GRP-GitHub'],
  'Vertrieb':    ['GRP-Sales', 'GRP-CRM-Users', 'GRP-Teams-External'],
  'Produktion':  ['GRP-Production', 'GRP-MES-Users'],
  'IT':          ['GRP-IT-Admins', 'GRP-Developers', 'GRP-AzurePortal']
};

const groups = groupMapping[hrData.department] || ['GRP-AllEmployees'];

Jede Gruppe wird über einen separaten LDAP-Update-Node zur member-Eigenschaft der Gruppe hinzugefügt. Das ist LDAP-spezifisch — man fügt den User zur Gruppe hinzu, nicht die Gruppe zum User.

Schritt 3: Offboarding — der Teil, den alle vergessen

Onboarding-Automatisierung bauen alle. Offboarding vergessen die meisten. Dabei sind verwaiste Accounts das größere Risiko: Ein ehemaliger Mitarbeiter mit aktivem VPN-Zugang ist ein Alptraum für jedes Audit.

Unser Offboarding-Workflow in n8n:

1. Account deaktivieren (nicht löschen): userAccountControl = 514 setzt das Disabled-Flag
2. Passwort randomisieren: Verhindert Login selbst wenn der Account reaktiviert wird
3. Gruppen entfernen: Alle Gruppenmitgliedschaften bis auf Domain Users entziehen
4. Lizenzen entziehen: Microsoft Graph API Call für Microsoft-365-Lizenzen
5. Manager benachrichtigen: Automatische Mail mit Übergabe-Checkliste
6. 30-Tage-Timer: Nach 30 Tagen wird der Account in eine Archiv-OU verschoben

# Microsoft Graph API Call zum Lizenz-Entzug (über n8n HTTP Request Node)
curl -X POST "https://graph.microsoft.com/v1.0/users/${USER_ID}/removeAllLicenses" 
  -H "Authorization: Bearer ${GRAPH_TOKEN}" 
  -H "Content-Type: application/json" 
  -d '{"removeLicenses": ["c7df2760-2c81-4ef7-b578-5b5392b571df"], "addLicenses": []}'

Der Timer am Ende ist entscheidend. Sofortiges Löschen ist gefährlich — Compliance-Teams brauchen oft Zugriff auf den Account für Ermittlungen. Die 30-Tage-Frist gibt genug Puffer und ist in den meisten Retention Policies abgedeckt.

n8n vs. Power Automate: Warum wir n8n empfehlen

Die naheliegende Frage: Warum nicht Power Automate, wenn man sowieso im Microsoft-Stack ist?

Power Automate kann kein LDAP. Es spricht mit Entra ID (dem Cloud-AD), aber nicht mit einem On-Premise Active Directory — es sei denn, Sie installieren ein On-Premises Data Gateway. Das ist ein zusätzlicher Server, der gewartet werden muss, und der bei Netzwerkproblemen den gesamten Provisioning-Prozess blockiert.

n8n spricht LDAP nativ. Es läuft im gleichen Netzwerk wie Ihr Domain Controller, braucht kein Gateway und keine Cloud-Abhängigkeit. Für Unternehmen, die ihr AD noch nicht vollständig zu Entra ID migriert haben — und das sind in unserer Erfahrung über 70% der Mittelständler — ist n8n der direktere Weg.

Dazu kommt der Preis: Power Automate kostet 15 USD pro User und Monat für Premium-Connectors. n8n Community Edition ist kostenlos self-hosted. Selbst n8n Cloud startet bei 24 EUR/Monat flat — nicht pro User.

Monitoring und Fehlerbehandlung

Ein Provisioning-Workflow, der still fehlschlägt, ist schlimmer als keiner. n8n hat eingebautes Error Handling über den Error Trigger Node. Wir setzen in jedem Provisioning-Workflow drei Sicherheitsnetze ein:

Der Error Trigger fängt fehlgeschlagene Executions ab und schickt eine Slack-Nachricht an den IT-Admin-Channel. Der IF-Node nach jedem LDAP-Call prüft, ob der User tatsächlich angelegt wurde — ein LDAP-Create ohne Fehler heißt nicht automatisch Erfolg. Und ein täglicher Audit-Workflow vergleicht die HR-Liste mit dem AD-Bestand und meldet Abweichungen.

Wir haben bei einem Fertigungsunternehmen mit 1.200 Mitarbeitern genau dieses Setup implementiert. Vorher: 3-5 Tage bis ein neuer Mitarbeiter alle Zugänge hatte, im Schnitt 2 Tickets pro Onboarding wegen fehlender Berechtigungen. Nachher: 15 Minuten vom HR-Eintrag bis zum fertig konfigurierten Account. Null Tickets im ersten Quartal nach Go-Live.

Häufig gestellte Fragen

Was kostet ein n8n Active Directory Provisioning-Projekt?

Die Software ist kostenlos (Community Edition). Die Infrastruktur für n8n self-hosted auf einer Azure VM liegt bei 40-80 EUR/Monat. Der größte Posten ist die Implementierung: Wir rechnen mit 10-15 Projekttagen für einen vollständigen Lifecycle-Workflow mit Onboarding, Offboarding, Role Changes und Monitoring — bei einem Mittelständler mit 300-1.000 Mitarbeitern.

Funktioniert n8n auch mit Entra ID (Azure AD) statt On-Premise AD?

Ja. n8n hat einen eigenen Microsoft Entra ID Node, der über die Graph API arbeitet. Für reine Cloud-Umgebungen ohne On-Premise-AD ist das der sauberere Weg. Hybride Setups — On-Premise AD plus Entra ID Sync — decken wir mit beiden Nodes parallel ab.

Wie sicher ist es, n8n Schreibzugriff auf Active Directory zu geben?

So sicher wie Ihr Service Account. Erstellen Sie einen dedizierten Account mit minimal nötigen Rechten: Schreibzugriff nur auf die Benutzer-OUs, kein Domain Admin, Passwort in Azure Key Vault. Dazu Audit Logging auf dem Domain Controller aktivieren — jede Änderung durch den Service Account wird protokolliert.

Kann n8n auch Lizenzen in Microsoft 365 automatisch zuweisen?

Ja, über den Microsoft Graph API Node. n8n ruft die Graph API an, um Lizenzen (z.B. Microsoft 365 E3, Teams, Visio) basierend auf der Abteilung zuzuweisen oder zu entziehen. Das spart bei größeren Unternehmen schnell 5.000-10.000 EUR/Jahr an ungenutzten Lizenzen.

Gibt es fertige n8n Templates für User Provisioning?

Die n8n Community hat Templates für LDAP-Workflows, aber keines deckt den vollständigen Lifecycle ab. Die meisten Templates erstellen nur den User — ohne Gruppen, Lizenzen, Offboarding und Monitoring. Genau deshalb bieten wir fertige, getestete Workflows als Teil unserer Automatisierungsprojekte an.

Nächster Schritt

Sie wollen User Provisioning automatisieren, ohne eine 50.000-EUR-IAM-Plattform zu evaluieren? Wir setzen n8n-Workflows auf, die direkt mit Ihrem Active Directory sprechen — Onboarding, Offboarding, Lizenzmanagement inklusive.

Verwandte Themen