Warum das Entfernen aus einer Gruppe den Jira-Zugriff nicht entfernt hat

Eine Managerin bittet darum, dass ein früherer Analyst keinen Jira-Zugriff mehr hat. Sie entfernen ihn aus der Gruppe der Jira-Benutzer. Am nächsten Morgen sagt die Managerin, dass er Jira noch öffnen kann. Das Entfernen war nicht falsch, nur unvollständig. Der Zugriff auf Jira in Atlassian Cloud ist in Schichten aufgebaut, und eine Gruppe ist selten der einzige Weg.

Es gibt zwei verschiedene Situationen, und die Prüfungen unterscheiden sich:

Der Zugriff war nie weg: Ein anderer Weg gibt weiterhin Jira.
Der Zugriff ist zurückgekommen: Etwas hat ihn nach dem Entfernen wieder hinzugefügt.

Es gibt eine dritte Möglichkeit: Es geht gar nicht um den App-Zugriff auf Jira.

Atlassians Admin-Seiten nennen das inzwischen app access (App-Zugriff). Ältere Seiten und viele Administratoren sagen noch product access (Produktzugriff). Gemeint ist dasselbe.

Die Menünamen der Atlassian-Administration stehen hier so, wie die englische Oberfläche sie zeigt. Atlassian veröffentlicht diese Anleitungen nur auf Englisch. Wenn Ihre Atlassian-Administration auf Deutsch eingestellt ist, tragen die Menüpunkte deutsche Namen. Diese Seite ist eine Übersetzung der englischen Fassung.

Zuerst: Geht es wirklich um den App-Zugriff auf Jira?

„Die Person sieht Jira noch“ kann drei verschiedene Dinge bedeuten. Finden Sie heraus, welches, bevor Sie noch etwas entfernen.

Was die Person kann	Worum es geht	Wo Sie nachsehen
Jira öffnen und darin arbeiten	Der App-Zugriff ist geblieben	Dieser Artikel
Jira öffnen, sieht aber einen Bereich (früher Projekt) oder einen Vorgang, den sie nicht sehen sollte	Berechtigungen innerhalb von Jira, nicht der App-Zugriff	Der Permission Helper in Jira: Settings › System › Admin Helper › Permission Helper (für Jira-Administratoren)
Jira nicht öffnen, bekommt aber noch E-Mails oder folgt alten Links	Benachrichtigungen oder Links, die vor der Änderung verschickt wurden	Fragen Sie, was die Person tatsächlich sieht, und wann

Wenn die Person Jira behalten, aber einen Bereich verlieren soll, ist das Entfernen weiterer Gruppen der falsche Weg. Prüfen Sie stattdessen die Berechtigungen des Bereichs.

Quellen (auf Englisch): Use the Jira Admin Helper, geprüft am 13. Oktober 2026.

Die eine Prüfung, die es klärt: die Registerkarte Apps, jetzt und später

Öffnen Sie das Profil der Person:

Zentralisierte Benutzerverwaltung: Atlassian-Administration › Directory › Users › die Person wählen › Registerkarte Apps.
Ursprüngliche Benutzerverwaltung: Atlassian-Administration › die Site wählen › Users › die Person wählen › Registerkarte Apps.

Vergleichen Sie dann zwei Zeitpunkte:

Jira steht direkt nach dem Entfernen aus der Gruppe noch dort. Der Zugriff war nie weg. Ein anderer Weg ist aktiv. Lesen Sie den nächsten Abschnitt.
Jira war weg und ist Stunden oder Tage später wieder da. Der Zugriff ist zurückgekommen. Lesen Sie Gründe, warum der Zugriff zurückkam.
Jira steht nicht dort, aber die Person sagt, sie kommt noch hinein. Lesen Sie Wenn die Registerkarte Apps Nein sagt, die Person aber Ja.

Quellen (auf Englisch): Remove app access for users, geprüft am 13. Oktober 2026.

Welcher Zweig zutrifft, entscheidet, was Sie als Nächstes prüfen. Abbildung auf Englisch.

Gründe, warum der Zugriff nie weg war

1. Eine andere Gruppe gibt ebenfalls Jira

Das ist der häufigste Grund. Gruppen geben Apps, und Personen gehören zu vielen Gruppen. Eine Gruppe namens finance-reporting oder all-staff kann Jira geben, auch wenn ihr Name das nicht sagt. Atlassian sagt es deutlich: Personen in einer Gruppe behalten den Zugriff, wenn sie in anderen Gruppen sind, die dieselbe App geben.

So prüfen Sie es:

Listen Sie jede Gruppe auf, die Jira gibt. Zentralisiert: Apps › Atlassian apps › Manage app für Jira. Ursprünglich: App access, dann Jira suchen.
Öffnen Sie jede Gruppe (Directory › Groups › die Gruppe wählen) und suchen Sie die Person auf der Registerkarte Members.
Verlassen Sie sich nicht auf Namen. Welche Apps eine Gruppe gibt, sehen Sie auf ihrer Registerkarte Apps.

How to check which groups give Jira access (auf Englisch) erklärt das im Detail.

2. Die Person ist noch in der Standardgruppe von Jira

Jede App-Rolle hat mindestens eine Standardgruppe (Default group). Atlassian fügt Personen automatisch hinzu, wenn Sie ihnen Zugriff auf eine App oder eine neue Rolle geben. Das gilt auch, wenn jemand Jira „direkt“ über sein Profil bekommen hat: Dieser Zugriff hat die Person in die Standardgruppe gebracht.

Atlassian weist außerdem darauf hin, dass Personen, die Ihre Site zum ersten Mal nutzen, oder Personen, die in Jira oder Confluence erwähnt werden, automatisch Standardgruppen hinzugefügt werden können. Atlassian warnt, dass das zu unerwartetem Lizenzverbrauch führen kann.

So prüfen Sie es: In der Gruppenliste der App aus Schritt 1 oben sind Standardgruppen markiert. Zentralisiert zeigt die Spalte Default group einen Haken. Ursprünglich sind sie als Default access group beschriftet. Die Namen der Standardgruppen unterscheiden sich je nach Site, weil Administratoren sie umbenennen können.

Bei Jira Service Management verbraucht jede Person in der Standardgruppe eine Agent-Lizenz. Jira Service Management ist eine andere App als Jira, also prüfen Sie es auf der Registerkarte Apps der Person getrennt.

3. Die Person hat eine Admin-Rolle für die App

Ist die Person Administrator der App, verlangt Atlassian, dass Sie zuerst diese Admin-Rolle entfernen, bevor Sie ihren App-Zugriff entfernen können.

So prüfen Sie es: Sehen Sie sich die Rollen an, die für Jira auf der Registerkarte Apps der Person stehen.

4. Sie haben die Person an der falschen Stelle entfernt

Eine andere Site: In der ursprünglichen Benutzerverwaltung gilt das Entfernen pro Site. Die Person behält den Zugriff auf andere Sites Ihrer Organisation. Prüfen Sie jede Site mit dem Filter Site auf der Seite Users.
Eine andere Organisation: Dasselbe Atlassian-Konto kann das Jira eines Partners oder Kunden nutzen. Nichts, was Sie in Ihrer Organisation tun, entfernt diesen Zugriff. Fragen Sie nach der Adresse in ihrem Browser. Ist es nicht Ihre Site, ist es nicht Ihr Zugriff, den Sie entfernen können.

Zu verschachtelten Gruppen

Atlassian Cloud unterstützt keine verschachtelten Gruppen. Wenn Ihr Unternehmensverzeichnis Gruppen verschachtelt (zum Beispiel „Finance“ innerhalb von „All staff“), macht die Synchronisierung daraus entweder direkte Mitgliedschaften oder lässt die Mitgliedschaften der übergeordneten Gruppe weg. So oder so kann eine Mitgliedschaft, die Sie in Atlassian sehen, wegen einer verschachtelten Gruppe in Ihrem Verzeichnis bestehen. Beheben Sie es im Verzeichnis.

Quellen (auf Englisch): Remove app access for users, What are default groups in Atlassian?, Give users access to apps, Remove or suspend a user, Understand problems with nested groups, geprüft am 13. Oktober 2026.

Gründe, warum der Zugriff zurückkam

1. Ihr Identitätsanbieter hat die Mitgliedschaft wieder synchronisiert

Mit der Benutzerbereitstellung (SCIM) von einem Identitätsanbieter wie Okta oder Microsoft Entra ID kommen Benutzer, Gruppen und Mitgliedschaften vom Identitätsanbieter. Synchronisierte Gruppen sind in Atlassian schreibgeschützt. Atlassian empfiehlt, Mitgliedschaften beim Identitätsanbieter zu verwalten und sicherzustellen, dass jede Änderung synchronisiert wird. Eine Änderung, die nur in Atlassian gemacht wird, liegt nicht dort, wo die maßgeblichen Daten sind.

So prüfen Sie es: Öffnen Sie die Gruppe unter Directory › Groups und sehen Sie nach, ob sie von Ihrem Identitätsanbieter synchronisiert wird. Wenn ja, bitten Sie die verantwortliche Person für den Identitätsanbieter, die Person aus dieser Gruppe zu entfernen, warten Sie die Synchronisierung ab und prüfen Sie dann die Registerkarte Apps noch einmal. Wenn Ihr Unternehmen die Synchronisierung mit Google Workspace nutzt, gilt dasselbe Prinzip.

2. Die Person hat sich selbst wieder Zugang verschafft

Unter Apps › App access settings können Sie E-Mail-Domains genehmigen. Ist das Kästchen Required für eine App nicht angehakt, treten Personen aus dieser Domain der App sofort und ohne Einladung bei. Die Einstellung Any domain tut dasselbe für andere Domains. Mit Invitation links kann jeder mit dem Link beitreten, bis zu 30 Tage lang. Personen, die auf diese Weise beitreten, werden lizenzierte Benutzer.

So prüfen Sie es: Sehen Sie sich die genehmigten Domains, die Einstellung Any domain und alle aktiven Einladungslinks für Jira an.

3. Die Person wurde automatisch der Standardgruppe hinzugefügt

Siehe Grund 2 oben. Der erste Zugriff oder eine Erwähnung in Jira kann jemanden wieder in eine Standardgruppe bringen.

4. Jemand oder etwas hat den Zugriff erneut gegeben

Ein anderer Administrator, eine Onboarding-Anfrage oder ein Skript, das Atlassians APIs verwendet (etwa die APIs zum Gewähren von Zugriff und zum Zuweisen von Rollen), kann den Zugriff zurückgeben. Fragen Sie die anderen Administratoren und prüfen Sie jede Automatisierung, die Personen zu Gruppen hinzufügt.

Quellen (auf Englisch): Understand user provisioning, Remove app access for users, Control how users get access to apps, How does app access work?, geprüft am 13. Oktober 2026.

Wenn die Registerkarte Apps Nein sagt, die Person aber Ja

Wenn Jira nicht auf der Registerkarte Apps steht und Sie jede Site geprüft haben, bleiben drei Möglichkeiten:

Das falsche Jira. Fragen Sie nach der genauen Webadresse, die die Person öffnet. Es kann eine andere Site oder eine andere Organisation sein.
Die falsche App. Die Person nutzt vielleicht Jira Service Management oder eine andere Jira-App, jede mit eigenem Zugriff.
Eine alte Sitzung oder Seite. Atlassians Admin-Dokumentation sagt nicht, wie schnell ein schon geöffneter Browser-Tab die Änderung bemerkt. Bitten Sie die Person, sich ab- und wieder anzumelden und die Seite neu zu laden, und Ihnen dann zu sagen, was sie sieht.

Ein Beispiel zum Nachvollziehen

Beispieldaten: eine erfundene Person und erfundene Gruppennamen.

Sam hat das Finanzteam verlassen. Der Administrator hat Sam aus jira-software-users entfernt, der Standardgruppe von Jira auf dieser Beispiel-Site. Am nächsten Tag konnte Sam Jira noch öffnen.

Schritt	Wo	Was der Administrator fand	Was es bedeutet
1	Directory › Users › Sam › Apps	Jira steht noch dort, direkt nach dem Entfernen	Nie weg: ein anderer Weg
2	Apps › Atlassian apps › Jira › Manage app	Gruppen mit Jira: `jira-software-users` (Standard), `finance-reporting`, `all-staff`	Drei Wege zu prüfen
3	`finance-reporting` › Members	Sam ist Mitglied	Weg 2 ist aktiv
4	`all-staff` › Members	Sam ist Mitglied. Die Gruppe wird vom Identitätsanbieter synchronisiert.	Weg 3 ist aktiv, und er wird außerhalb von Atlassian verwaltet
5	Sams Registerkarte Apps › Jira › Remove access	Sam wird aus jeder Gruppe entfernt, die Jira gibt	Die Wege, die Atlassian verwaltet, sind geschlossen
6	Identitätsanbieter	Die verantwortliche Person für den Identitätsanbieter entfernt Sam aus `all-staff`	Verhindert, dass die Synchronisierung Sam wieder hinzufügt
7	Sams Registerkarte Apps, nach der nächsten Synchronisierung	Jira steht nicht dort	Kein Weg mehr
8	Sam bitten, sich ab- und wieder anzumelden und die Site zu öffnen	Sam kommt nicht mehr in Jira	Mit der betroffenen Person bestätigt

Zwei Hinweise zu den Entscheidungen:

Nehmen Sie Jira nicht einfach all-staff weg. Damit verlieren alle in der Gruppe Jira. Entscheiden Sie pro Weg: Soll diese Person die Gruppe verlassen, soll die Gruppe kein Jira mehr geben, oder ist das eine berechtigte Ausnahme?
Prüfen Sie weiter. Taucht Jira eine Woche später wieder auf, sind Sie auf dem Zweig „zurückgekommen“. Prüfen Sie genehmigte Domains und andere Administratoren.

Jeder Weg zu Jira für eine Person, vorher und nachher. Beispieldaten, Abbildung auf Englisch.

Bestätigen, dass der Zugriff wirklich weg ist

Schließen Sie das Ticket erst, wenn all das zutrifft:

Die Registerkarte Apps der Person zeigt kein Jira, auf jeder Site, die wichtig ist.
Die Person ist in keiner Gruppe aus der Gruppenliste von Jira, auch in keiner Standardgruppe.
Wenn ein Identitätsanbieter beteiligt ist, zeigt die Registerkarte Apps auch nach der nächsten Synchronisierung kein Jira.
Die Person (oder ihre vorgesetzte Person für sie) bestätigt, dass sie sich unter der Adresse Ihrer Site nicht mehr bei Jira anmelden kann.
Sie haben festgehalten, welche Wege es gab, wer jede Änderung genehmigt hat und welche Ausnahme Sie behalten haben.

Zur Rechnung: Die Benutzerzahl eines Tarifs enthält alle, die Zugriff auf mindestens eine App in diesem Tarif haben. Die Person zählt also für Jira, solange irgendein Weg bleibt. Bei Monatsabonnements berechnet Atlassian die höchste Benutzerzahl im Abrechnungszeitraum. Wenn Sie jemanden mitten im Zeitraum entfernen, sinkt die nächste Rechnung, nicht die aktuelle.

Quellen (auf Englisch): Monitor your plan’s user counts, How maximum quantity billing works, geprüft am 13. Oktober 2026.

Häufige Fehler

Annehmen, dass die Gruppe mit „jira“ im Namen der einzige Weg ist.
Wahllos weitere Gruppen entfernen, statt jede Gruppe aufzulisten, die Jira gibt.
Die Standardgruppe vergessen, in die ein direkter Zugriff die Person gebracht hat.
Eine synchronisierte Gruppe in Atlassian bearbeiten und sich wundern, warum die Änderung nicht bleibt.
Eine genehmigte Domain offen lassen, ohne das Kästchen Required, sodass Personen sich selbst wieder anmelden können.
Eine Frage der Bereichsberechtigungen als Problem des App-Zugriffs behandeln und einen Zugriff entfernen, den die Person eigentlich braucht.
Das Ticket vor der nächsten Synchronisierung schließen, oder bevor die Person es bestätigt.

Checkliste

Prüfen Sie die Registerkarte Apps der Person direkt nach dem Entfernen noch einmal.
Listen Sie jede Gruppe auf, die Jira gibt, und finden Sie die Person in jeder.
Prüfen Sie Standardgruppen und Admin-Rollen.
Prüfen Sie andere Sites (ursprüngliche Benutzerverwaltung) und bestätigen Sie, welche Adresse die Person öffnet.
Finden Sie heraus, welche Gruppen von einem Identitätsanbieter synchronisiert werden, und geben Sie diese Änderungen an die verantwortliche Person weiter.
Prüfen Sie genehmigte Domains, die Einstellung Any domain und Einladungslinks.
Verwenden Sie Remove access auf der Registerkarte Apps, um die Person auf einmal aus jeder Gruppe zu nehmen, die Atlassian verwaltet.
Prüfen Sie nach der nächsten Synchronisierung noch einmal, und bestätigen Sie es mit der Person.
Halten Sie fest, welche Wege Sie gefunden haben und was Sie für jeden entschieden haben.