Das ALIS-Portal von BNP Paribas konzentriert das HR-Management, die Gehaltsabrechnung und die Karriereverfolgung der Mitarbeiter des Unternehmens. Die Zugangsarchitektur hat sich in den letzten Jahren erheblich weiterentwickelt, mit einer föderierten Authentifizierungsschicht, die den Mitarbeitern insbesondere im Homeoffice regelmäßig Schwierigkeiten bereitet.
Technische Zugangsarchitektur zum ALIS-Portal von BNP Paribas
Der Zugang zu ALIS basiert auf einer dreigliedrigen Authentifizierungskette: obligatorisches Gruppen-VPN, Identitätsföderation über login.extidp.bnpparibas und dann Multi-Faktor-Authentifizierung (MFA). Jede Anfrage wird überprüft, um sicherzustellen, dass sie aus dem internen Netzwerk stammt, bevor die Anzeige des HR-Portals auf alis.hr.bnpparibas genehmigt wird.
Auch interessant : Alles über den Preis pro m2 für Doppelverglasung und die zu berücksichtigenden Kriterien
Diese SSO-Architektur (Single Sign-On) mit Gruppen-IDP bedeutet, dass ein Mitarbeiter, der versucht, sich ohne aktives VPN anzumelden, seine Anfrage bereits abgelehnt sieht, bevor er die Anmeldeseite erreicht. Die häufig berichtete Fehlermeldung ERR_BLOCKED_BY_CLIENT stammt meist von einem nicht hergestellten VPN-Tunnel oder einer Browsererweiterung, die mit der Domain extidp.bnpparibas interferiert.
Wir empfehlen, vor jedem Versuch einer Verbindung zu Alis BNP Paribas von einem Remote-Standort aus systematisch drei Punkte zu überprüfen: Das VPN muss den Status “verbunden” anzeigen, der Browser darf keine Drittanbieter-Cookies von der Domain bnpparibas blockieren, und die MFA muss auf einem aktuellen Gerät eingerichtet sein.
Auch lesenswert : Alles über die Bewertung und die Kriterien des beruflichen Titels in Frankreich
Sicherheitseskalationsverfahren bei verdächtiger ALIS-Blockierung
Nicht alle Blockierungen sind gleich. Ein klassischer Anmeldefehler fällt in den Bereich des IT-Helpdesks. Einige Signale erfordern jedoch einen anderen Ablauf.
Im Falle einer Umleitung zu einer Domain, die nicht mit alis.hr.bnpparibas endet, einer ungewöhnlichen Sicherheitswarnung im Browser oder einer inkonsistenten Geolokalisierung, die bei dem Zugriffsversuch angezeigt wird, sieht das interne Verfahren einen prioritären Kontakt mit dem CERT (Computer Emergency Response Team) der Gruppe vor. Diese Reaktion sollte jedem Anruf beim klassischen Helpdesk vorausgehen.
Das CERT bewertet den Vorfall aus Sicht der Cybersicherheit: gezielte Phishing-Versuche, Sitzungsübernahme oder einfach ein Netzwerkproblem. Diese Unterscheidung ist entscheidend, da eine verspätete Meldung eines echten Sicherheitsvorfalls den Mitarbeiter und die Gruppe einem Risiko für die Offenlegung persönlicher HR-Daten (Gehaltsabrechnungen, Bankdaten, familiäre Situation) aussetzt.
Signale, die einen Kontakt mit dem CERT anstelle des Helpdesks rechtfertigen
- Umleitung zu einer URL, die nicht mit .bnpparibas oder .hr.bnpparibas endet, auch wenn das visuelle Erscheinungsbild der Seite identisch mit dem ALIS-Portal zu sein scheint
- Anforderung zur Eingabe von Anmeldedaten auf einer Seite ohne gültiges SSL-Zertifikat für die Gruppendomain
- Erhalten einer MFA-Benachrichtigung ohne Anmeldeversuch des Mitarbeiters, was auf einen laufenden Identitätsdiebstahl hinweist
- Benachrichtigung über anormale Geolokalisierung (Verbindung von einem Land, in dem sich der Mitarbeiter nicht befindet)
Verlängerte Wartung des ALIS-Portals: Situation und HR-Alternativen
Das ALIS-Portal befindet sich seit Juli 2024 offiziell in Wartung. Die auf alis.hr.bnpparibas angezeigte Nachricht erwähnt eine Aussetzung ohne Wiedereröffnungsdatum, unter der Verantwortung der RHG GAP-Teams. Diese bisherige Situation stört den Zugang zu Gehaltsabrechnungen, die Verfolgung von Urlauben und interne Mobilitätsanträge.
In dieser Zeit müssen sich die Mitarbeiter an ihren zuständigen HR-Manager wenden, um alle Anfragen zu stellen, die normalerweise im Selbstbedienungsmodus auf ALIS bearbeitet werden. Die Manager, die normalerweise über einen eigenen Bereich verfügen, um Urlaubsanträge zu genehmigen und die Gespräche mit ihren Teams zu verwalten, sind ebenfalls gezwungen, manuelle Abläufe zu nutzen.
Daten, die über ALIS im Normalbetrieb zugänglich sind
Um die Auswirkungen dieser Nichtverfügbarkeit zu messen, hier ist, was das Portal normalerweise zentralisiert:
- Einsehen und Herunterladen von Gehaltsabrechnungen, mit Historie über mehrere Jahre
- Verwaltung von Urlauben und Abwesenheiten (Anträge, Salden, Genehmigung durch den Manager)
- Verfolgung der administrativen Situation: Stellenumfang, hierarchische Zuordnung, persönliche Daten
- Zugang zu Karriereverwaltungstools: Jahresgespräche, interne Mobilität, Schulungen
Alle diese Daten bleiben gespeichert und gesichert, trotz der Nichtverfügbarkeit der Benutzeroberfläche. Die Wartung betrifft nur die Anwendungsschicht, nicht die HR-Datenbanken der Gruppe.
Homeoffice und Zugang zu ALIS: häufige Konfigurationsfehler
Das Homeoffice hat die Vorfälle beim Zugang zu ALIS vervielfacht. Die Mehrheit der beim Support eröffneten Tickets betrifft Probleme mit der Konfiguration des Remote-Standorts, nicht mit Ausfällen des Portals selbst.
Der erste Reflex sollte sein, zu überprüfen, dass das Gruppen-VPN verbunden ist, bevor der Browser geöffnet wird. Den Browser zu starten und dann das VPN zu aktivieren, reicht nicht immer aus: Einige DNS-Sitzungen bleiben im Cache und zeigen auf eine externe Auflösung der Domain alis.hr.bnpparibas, was zu einer stillen Blockierung führt.
Der zweite Punkt betrifft persönliche Browser. Erweiterungen wie Werbeblocker oder Tracker blockieren regelmäßig Anfragen an login.extidp.bnpparibas, die sie als Drittanbieterdomain klassifizieren. Wir haben festgestellt, dass die vorübergehende Deaktivierung dieser Erweiterungen oder die Verwendung eines speziellen Browserprofils ohne Erweiterungen die Mehrheit der Fälle löst.
Sicherheit persönlicher Daten im Remote-Zugriff
Der Zugriff auf ALIS von einem Heimnetzwerk oder einem gemeinsam genutzten WLAN aus setzt die Daten des Mitarbeiters dem Risiko aus, wenn das VPN nicht aktiv ist. Die Informationen, die über das Portal übertragen werden (Sozialversicherungsnummer, Bankverbindung, familiäre Situation), unterliegen der DSGVO und dem Datenschutzbereich der Gruppe.
Ein Zugriff ohne aktives VPN umgeht die Sicherheitsrichtlinien der Gruppe, auch wenn die Verbindung technisch zustande kommt. Die Tatsache, dass die Seite angezeigt wird, garantiert nicht, dass der Kanal gemäß den internen Standards von BNP Paribas Ende-zu-Ende verschlüsselt ist.
Die Wiederherstellung des ALIS-Portals bleibt von den Arbeiten der RHG GAP-Teams abhängig, ohne einen öffentlichen Zeitplan. In der Zwischenzeit schützt die Aufrechterhaltung einer strengen Verbindungshygiene (systematisches VPN, aktuelle MFA, Wachsamkeit bezüglich der Domains) sowohl den Mitarbeiter als auch das Unternehmen vor den Risiken, die mit der digitalisierten Verwaltung von HR- und Gehaltsdaten verbunden sind.