Warum das IT-Offboarding in vielen Betrieben liegen bleibt
Der Alltag in kleinen und mittelständischen Unternehmen ist oft hektisch. Wenn ein Mitarbeiter das Unternehmen verlässt, ist die Personalseite mit Abschlussgesprächen, Zeugnissen und der Rückgabe der Schlüssel meist schnell geregelt. Allerdings bleibt die IT-Seite in der Praxis häufig auf der Strecke. Das passiert vor allem dann, wenn niemand eine vollständige Liste aller Konten und Zugänge führt.
Dadurch entstehen gefährliche Lücken in der Sicherheit. Konkret bleibt das Microsoft-365-Konto oft monatelang aktiv, während die Mail-Weiterleitung unbemerkt an eine Privatadresse läuft. Zudem kosten Lizenzen weiterhin Geld, obwohl sie nicht mehr genutzt werden. In vielen Fällen hängt das Firmen-Social-Media-Konto am privaten Smartphone des Ex-Mitarbeiters oder der VPN-Zugang funktioniert weiterhin einwandfrei.
Das ist kein Versäumnis einzelner Personen, sondern ein strukturelles Problem. In kleinen und mittleren Unternehmen ohne eigene IT-Abteilung gibt es oft keinen festen Ablauf für den Austritt. Deshalb hängt die Sicherheit des Netzwerks allein von der Erinnerung einzelner Personen ab. Um diese Fehler zu vermeiden, braucht ihr ein System.
Der Ablauf hat drei Phasen: die Vorbereitung vor dem letzten Tag, die Sperrung am letzten Arbeitstag und die Zeit danach. Für jede Phase steht unten, was zu tun ist und wer es tut.
Vor dem letzten Tag: alle Konten und Zugänge auf eine Liste
Ein sauberes Offboarding beginnt mit einer klaren Rollenverteilung. Zunächst meldet die Personalabteilung oder die Geschäftsführung den Austritt mit einem festen Stichtag. Danach entscheidet die Führungskraft, wer die Daten übernimmt und wer der neue Ansprechpartner wird. Schließlich führt die IT die Sperren aus und dokumentiert jeden Schritt.
Die größte Herausforderung ist die vollständige Liste der Zugänge. Microsoft 365 ist dabei nur der Anfang, denn viele Dienste liegen außerhalb dieser Umgebung. Ihr müsst daher alle relevanten Konten erfassen, um nichts zu vergessen. Dazu gehören zum Beispiel:
- VPN- und Firewall-Benutzer sowie Fernwartungszugänge
- WLAN-Kennwörter, Passwortmanager und Branchensoftware wie DATEV, ERP oder Warenwirtschaft
- CRM-Dienste im Browser, Online-Banking und Zahlungsdienste
- Social-Media-Konten, Domain- und Hosting-Zugänge sowie Lieferanten- und Kundenportale
- Google-Unternehmensprofil, LinkedIn-Unternehmensseite und WhatsApp-Gruppen
Falls ihr keine aktuelle Liste habt, solltet ihr die Führungskraft und die Kollegen befragen. Zudem hilft ein Blick in die Rechnungen, um alle laufenden Abos zu finden. Denkt dabei auch an private Konten, die für Firmenzwecke genutzt wurden. Nur so verhindert ihr, dass Zugänge dauerhaft offen bleiben.
Besondere Aufmerksamkeit erfordern Administrator-Rechte. Hatte die Person Zugriff auf die Firewall, das Backup oder den Domain-Anbieter, müsst ihr diese Rollen vor dem letzten Tag übertragen. Zudem müsst ihr die Kennwörter der betroffenen Konten ändern und die Notfallzugänge der Geschäftsführung prüfen. In der Praxis ist dies der kritischste Punkt der Vorbereitung.
Ein Sonderfall ist die Freistellung oder die fristlose Kündigung. In diesen Situationen dürft ihr nicht bis zum Stichtag warten. Stattdessen müsst ihr alle Zugänge sofort sperren, noch während das Kündigungsgespräch läuft. So schützt ihr eure Unternehmensdaten vor unbefugten Zugriffen oder Manipulationen.
Am letzten Arbeitstag: sperren in der richtigen Reihenfolge
Der wichtigste Grundsatz am letzten Tag lautet: sperren, nicht löschen. Wenn ihr ein Konto sofort löscht, verliert ihr unter Umständen den Zugriff auf wichtige Daten. In Microsoft 365 beginnt ihr daher damit, die Anmeldung zu blockieren und alle Sitzungen zu widerrufen. Diese Funktion im Microsoft Entra Admin Center macht die Aktualisierungstoken ungültig.
Allerdings bleiben bereits ausgestellte Zugriffstoken für bis zu eine Stunde gültig. Zwar werten Exchange Online, SharePoint und Teams den Zugriff fortlaufend aus und sperren nahezu sofort, dennoch ist Vorsicht geboten. Deshalb müsst ihr zusätzlich das Passwort zurücksetzen. Zudem entfernt ihr alle MFA-Methoden und registrierten Geräte, da die Authenticator-App meist auf dem privaten Smartphone des Nutzers installiert ist.
Anschließend löscht ihr die Firmendaten auf verwalteten Geräten aus der Ferne, sofern ihr Microsoft Intune nutzt. Danach folgt die Sperrung aller Zugänge außerhalb von Microsoft 365. Ihr entzieht die Rechte für VPN, Firewall und Fernwartung. Zudem ändert ihr das WLAN-Kennwort und aktualisiert im Passwortmanager alle gemeinsam genutzten Kennwörter.
Vergesst dabei nicht die Browser-Dienste, Social-Media-Accounts und Banking-Freigaben. Auch die Zugänge zu Portalen müssen sofort deaktiviert werden. Parallel dazu nehmt ihr die Hardware gegen die Inventarliste zurück. Dazu gehören das Notebook, das Smartphone inklusive SIM-Karte, Headsets, Schlüssel sowie Transponder und Zugangskarten.
Viele Geschäftsführer glauben, dass ein einfacher Passwortwechsel ausreicht. Das ist jedoch ein Irrtum, weil laufende Sitzungen und App-Kennwörter weiterhin aktiv bleiben. Zudem behält der Nutzer ohne das Entfernen der MFA-Methoden die Kontrolle über den Zugang auf seinem Privatgerät. Nur die vollständige Kette aus Blockierung, Widerruf und Passwortänderung ist sicher.
Postfach, OneDrive und Daten: übergeben statt löschen
Mit dem E-Mail-Konto müsst ihr strategisch vorgehen. Wandelt das Benutzerpostfach in ein freigegebenes Postfach um. Wenn das Postfach kleiner als 50 GB ist, könnt ihr die Lizenz danach entfernen. Bei über 50 GB benötigt ihr weiterhin eine Lizenz, zum Beispiel den Exchange Online Plan 2 für bis zu 100 GB. Wichtig ist, dass ihr das Benutzerkonto nicht löscht, da es das freigegebene Postfach verankert.
Richtet niemals eine Weiterleitung an Privatadressen ein. Nutzt stattdessen eine Abwesenheitsnotiz mit dem Namen des neuen Ansprechpartners. Die Nachfolge erhält den Zugriff über das freigegebene Postfach. Prüft zudem unbedingt die Postfachregeln, denn Nutzer können selbst Weiterleitungen nach außen einrichten. Diese müsst ihr manuell entfernen.
Bei OneDrive gibt es feste Fristen. Nach dem Löschen eines Benutzers bleiben die Dateien standardmäßig 30 Tage erhalten. In diesem Zeitraum erhält der im Profil hinterlegte Vorgesetzte automatisch Zugriff. Ihr könnt diese Frist im SharePoint Admin Center auf bis zu 3.650 Tage erweitern. Nach Ablauf der Frist wandern die Daten für 93 Tage in den Papierkorb der Websitesammlung und sind danach endgültig gelöscht.
Übertragt zudem die Besitzrechte für Teams-Kanäle auf eine andere Person. Sichert lokale Dateien auf dem Notebook, bevor ihr das Gerät zurücksetzt. Beachtet dabei den Datenschutz, auch wenn dies keine Rechtsberatung ersetzt. Der Zugriff auf das Postfach darf nur dienstlich, durch festgelegte Personen und dokumentiert erfolgen.
Private Nachrichten dürft ihr nicht lesen. Legt diese Regel vorher in einer betrieblichen Vereinbarung mit dem Datenschutzbeauftragten fest. Beachtet zudem, dass Mails mit Rechnungs- oder Vertragscharakter steuerlichen Aufbewahrungsfristen unterliegen. Deshalb solltet ihr das freigegebene Postfach nicht vorschnell löschen.
Die folgenden Fristen verdeutlichen die zeitlichen Abläufe bei Microsoft 365.
| Was | Frist | Was das für euch heißt |
|---|---|---|
| Gelöschter Benutzer (Microsoft Entra ID) | 30 Tage wiederherstellbar | Danach endgültig weg, auch für den Microsoft-Support. Erst löschen, wenn alles übergeben ist. |
| Sitzungen widerrufen | Neue Anmeldungen sofort gesperrt, laufende Zugriffstoken bis zu 1 Stunde | Exchange, SharePoint und Teams sperren fast sofort. Passwort trotzdem zurücksetzen, MFA entfernen. |
| Postfach als freigegebenes Postfach | Ohne Lizenz bis 50 GB | Das Konto nicht löschen, es verankert das Postfach. Über 50 GB bleibt eine Lizenz nötig. |
| OneDrive nach dem Löschen | 30 Tage (einstellbar bis 3.650 Tage), danach 93 Tage Papierkorb | Der Vorgesetzte bekommt standardmäßig Zugriff. Dateien vorher sichern oder die Frist verlängern. |
Lizenzen, Geräte und Abos: was sonst weiterläuft
Nach der Umwandlung des Postfachs entfernt ihr die Microsoft-365-Lizenz. Dadurch steht diese sofort für die Nachfolge zur Verfügung und ihr spart Kosten. Prüft zudem Lizenzen für Adobe, Branchensoftware oder verschiedene Browser-Dienste. Diese liefen oft auf die Person zu und müssen nun umschrieben oder gekündigt werden.
Ein weiterer wichtiger Punkt ist der Mobilfunkvertrag und die SIM-Karte. Prüft, ob Verträge oder Kontakte auf den Namen des Mitarbeiters liefen. Das betrifft oft Domain-Anbieter, Zertifikate oder Newsletter-Tools. Auch das Google-Unternehmensprofil und die LinkedIn-Unternehmensseite müssen auf eine andere Person übertragen werden.
Die Hardware wird nach der Datensicherung komplett zurückgesetzt. Hakt das Notebook und das Smartphone in eurer Inventarliste ab. So behaltet ihr den Überblick über eure Geräte.
In der Praxis gibt es einen Punkt, den fast alle vergessen. Viele Mitarbeiter melden sich mit ihrer Firmenadresse selbst bei externen Diensten an. Diese Dienste tauchen oft erst dann auf, wenn die ersten Benachrichtigungs-Mails im freigegebenen Postfach ankommen. Nutzt diese Mails als Indikator, um weitere Konten zu identifizieren und zu schließen.
Drei mögliche Szenarien aus dem Rheinland
Die folgenden Beispiele sind keine echten Kunden, aber sie zeigen, wie es in der Praxis oft läuft.
1. Der Handwerksbetrieb (15 Mitarbeiter, Langenfeld): Die Büroleiterin wechselt den Arbeitgeber. Sie war die einzige Verwalterin der Facebook-Seite, Ansprechpartnerin beim Domain-Anbieter und hatte das Freigabeverfahren für das Online-Banking auf ihrem privaten Smartphone. Mit der Liste werden die Rollen vor dem letzten Tag übertragen, die Kennwörter geändert und das Postfach freigegeben; ohne Liste wäre die Facebook-Seite für den Betrieb verloren gewesen.
2. Die Steuerkanzlei (20 Arbeitsplätze, Köln): Ein Mitarbeiter hatte sich vor Monaten eine Weiterleitung aller Mails an sein privates Postfach eingerichtet, um unterwegs zu arbeiten. Erst die Prüfung der Postfachregeln beim Offboarding bringt sie ans Licht; die Kanzlei entfernt die Regel, meldet den Vorgang ihrem Datenschutzbeauftragten und nimmt die Regelprüfung fest in die Checkliste auf.
3. Der Produktionsbetrieb (45 Mitarbeiter, Hagen): Ein Vertriebsmitarbeiter wird freigestellt. Noch während des Gesprächs blockiert der externe IT-Administrator die Anmeldung, widerruft die Sitzungen, entzieht VPN- und CRM-Zugang und löscht die Firmendaten vom verwalteten Smartphone; der Kundenstamm bleibt im Haus, das Postfach wird am selben Tag in ein freigegebenes Postfach umgewandelt.
Die IT-Offboarding-Checkliste im Überblick
Um diese Schritte sicher umzusetzen, empfiehlt sich eine tabellarische Übersicht. Diese unterteilt den Prozess in die drei Phasen Vorbereitung, Durchführung und Nachbereitung. Sie enthält die genaue Aufgabe und die zuständige Person, genau so, wie netzwerkfähig den Ablauf im Betrieb abarbeitet.
| Wann | Aufgabe | Wer |
|---|---|---|
| Vor dem Stichtag | Austritt mit Datum melden, Stichtag und neuen Ansprechpartner festlegen | Personal / Führungskraft |
| Vor dem Stichtag | Liste aller Konten und Zugänge der Person: Microsoft 365, VPN, Fernwartung, WLAN, Passwortmanager, Branchensoftware, Browser-Dienste, Social Media, Banking, Portale | IT |
| Vor dem Stichtag | Admin-Rechte und Sammelkonten der Person erfassen, Rollen übertragen, Notfallzugänge prüfen | IT / Führungskraft |
| Vor dem Stichtag | Datenübergabe planen: Postfach, OneDrive, Teams-Kanäle, lokale Dateien, Geräte | Führungskraft |
| Letzter Arbeitstag | Anmeldung blockieren und Sitzungen widerrufen (Microsoft Entra ID) | IT |
| Letzter Arbeitstag | Passwort zurücksetzen, MFA-Methoden und registrierte Geräte entfernen | IT |
| Letzter Arbeitstag | VPN, Firewall, Fernwartung und WLAN-Zugang sperren, gemeinsame Kennwörter ändern | IT |
| Letzter Arbeitstag | Passwortmanager: Zugriff entziehen, bekannte geteilte Kennwörter ändern | IT |
| Letzter Arbeitstag | Browser-Dienste, Social Media, Banking, Portale: Rolle entfernen oder Kennwort ändern | IT / Führungskraft |
| Letzter Arbeitstag | Geräte zurücknehmen: Notebook, Smartphone, SIM, Headset, Schlüssel, Transponder; Inventar abhaken | Führungskraft / IT |
| Letzter Arbeitstag | Firmendaten auf verwalteten Geräten aus der Ferne löschen, Geräte nach der Datensicherung zurücksetzen | IT |
| In den ersten Tagen | Postfach in freigegebenes Postfach umwandeln, Regeln und Weiterleitungen prüfen, Abwesenheitsnotiz mit Ansprechpartner | IT |
| In den ersten Tagen | OneDrive-Zugriff an die Führungskraft, Teams-Besitz übertragen, Lizenzen freigeben | IT |
| In den ersten Tagen | Abos und Verträge auf den Namen der Person umschreiben: Software, Mobilfunk, Domain-Kontakt, Unternehmensprofile | Führungskraft / IT |
| Nach 30 Tagen | Konto löschen, sobald alle Daten übergeben sind; freigegebenes Postfach nach den Aufbewahrungsregeln behalten | IT |
| Nach 4 Wochen | Nachkontrolle: Anmeldeversuche, Weiterleitungen, verwaiste Lizenzen, offene Teilen-Links; Bogen ablegen | IT |
Diese Liste gehört dauerhaft in euer Wiki oder in den Ordner der Geschäftsführung. Jeder Austritt wird damit systematisch abgehakt. Wenn ihr den ausgefüllten Bogen anschließend ablegt, entsteht eure IT-Dokumentation von selbst.
Nach dem Stichtag: löschen, dokumentieren, nachkontrollieren
Das Benutzerkonto löscht ihr frühestens nach 30 Tagen. Erst dann sollte die Datenübergabe vollständig abgeschlossen sein. Ein gelöschter Benutzer bleibt in Microsoft Entra ID für 30 Tage in einem gesperrten Zustand. In dieser Zeit lässt er sich mit allen Eigenschaften, wie Gruppenmitgliedschaften und Rollen, wiederherstellen. Nach 30 Tagen beginnt die endgültige Löschung automatisch und ist danach nicht mehr rückgängig zu machen.
Das freigegebene Postfach behaltet ihr entsprechend eurer Aufbewahrungsregeln. Nach vier Wochen solltet ihr eine Nachkontrolle durchführen. Prüft die Anmeldeprotokolle auf Versuche des alten Kontos und kontrolliert erneut die Weiterleitungen. Zudem sucht ihr nach verwaisten Lizenzen und offenen Teilen-Links auf Dateien, die nun gesperrt werden müssen.
Als externer IT-Administrator in Köln übernimmt netzwerkfähig das On- und Offboarding der Benutzer als festen Ablauf für Betriebe in Köln, Langenfeld und dem Rheinland. Wer wissen will, wo der eigene Betrieb aktuell steht, kann den kostenlosen IT-Betreuungs-Check machen. Weitere Informationen findet ihr in unseren Artikeln über moderne IT-Arbeitsplätze und die Microsoft-365-Sicherheit für kleine und mittlere Unternehmen.
Ein Austritt ist planbar. Das Sicherheitsloch entsteht nur, wenn ihr keine Liste nutzt.
