Ein Mitarbeiter verlässt das Unternehmen am Freitag, sein Microsoft-365-Konto wird deaktiviert und der Laptop abgegeben. Damit ist der Vorgang aber nicht automatisch abgeschlossen. Wenn Unternehmen Mitarbeiter Zugriffe sicher entfernen, müssen sie mehr prüfen als E-Mail-Postfach und Windows-Anmeldung. Oft bleiben Berechtigungen in Fachanwendungen, Cloud-Diensten, Passwortmanagern, Teams, geteilten Postfächern oder auf privaten Mobilgeräten bestehen. Genau diese unsichtbaren Reste sind im Alltag ein häufiges Sicherheits- und Organisationsproblem.
Ein sauberer Offboarding-Prozess schützt vertrauliche Daten, verhindert unberechtigte Zugriffe und sorgt dafür, dass laufende Aufgaben nicht liegen bleiben. Gerade kleine und mittelständische Unternehmen profitieren von klaren Abläufen: Niemand muss im Austrittsfall improvisieren, und Verantwortlichkeiten bleiben nachvollziehbar.
Warum Zugriffe beim Austritt oft bestehen bleiben
In vielen Unternehmen entstehen Zugriffsrechte über Jahre hinweg. Ein Mitarbeiter erhält Zugang zum CRM, später zu einem Projektordner, danach administrative Rechte für ein Tool oder einen externen Kundenbereich. Nicht jede Berechtigung ist zentral dokumentiert. Besonders kritisch wird es, wenn Fachabteilungen eigenständig Software buchen oder Konten an persönlichen E-Mail-Adressen anlegen.
Microsoft 365 und Entra ID bilden häufig den Kern der Identitätsverwaltung, aber sie decken nicht zwangsläufig alle Systeme ab. Buchhaltung, Zeiterfassung, Telefonanlage, Projektsoftware, Remote-Zugänge, VPN, Branchenprogramme und Cloud-Speicher können eigene Benutzerverwaltungen haben. Auch API-Schlüssel, Zugangsdaten in Passwortmanagern und freigegebene Geräte gehören dazu.
Das Risiko ist nicht nur ein absichtlich missbrauchter Zugang. Ein weiterhin aktives Konto kann durch ein kompromittiertes Passwort, Phishing oder ein verlorenes Endgerät zum Einfallstor werden. Zusätzlich entstehen praktische Probleme: Kundennachrichten landen in einem nicht mehr betreuten Postfach, Lizenzen laufen unnötig weiter oder wichtige Dateien sind nur über das persönliche Konto eines ehemaligen Mitarbeiters erreichbar.
Mitarbeiter Zugriffe sicher entfernen: Der Ablauf beginnt vor dem letzten Arbeitstag
Der beste Zeitpunkt für ein geordnetes Offboarding ist nicht die Übergabe des Laptops, sondern der Moment, in dem der Austritt verbindlich feststeht. Personalverantwortliche, Führungskraft und IT sollten frühzeitig abgestimmt arbeiten. Dabei gilt: Nicht jeder Austritt ist gleich.
Bei einer einvernehmlichen Kündigung mit geregelter Übergabe kann die IT Zugriffe zum Ende des letzten Arbeitstags entziehen. Bei einer sofortigen Freistellung oder einem konfliktbelasteten Austritt kann es notwendig sein, besonders sensible Berechtigungen sofort zu sperren. Dazu zählen administrative Konten, Bankzugänge, VPN, Fernwartung, Kundensysteme und Zugänge zu vertraulichen Projekten. Die arbeitsrechtliche Bewertung liegt beim Unternehmen und gegebenenfalls bei dessen Rechtsberatung. Die technische Umsetzung muss dann ohne Verzögerung erfolgen.
Wichtig ist eine eindeutige Information an die IT: Name, letzter Arbeitstag, Rolle, genutzte Geräte, Vertretung und besondere Zugänge. Eine informelle Nachricht wie „Herr Müller hört auf“ reicht nicht aus. Ohne festen Prozess bleibt unklar, wer welche Schritte ausführt und ob wirklich alles erledigt wurde.
Die 7 Schritte für ein sicheres Offboarding
Eine verbindliche Checkliste verhindert, dass Aufgaben zwischen Personal, Fachbereich und IT verloren gehen. Sie sollte für jeden Austritt dokumentiert und nach dem Vier-Augen-Prinzip abgeschlossen werden.
- Austritt erfassen und Zeitpunkt festlegen. Definieren Sie, wann welche Zugriffe enden. Berücksichtigen Sie dabei Freistellung, Übergabephase, Resturlaub und Bereitschaftsdienste.
- Zentrales Benutzerkonto sperren. Das Konto in Microsoft 365 beziehungsweise Entra ID sollte zum festgelegten Termin blockiert werden. Bestehende Sitzungen und Anmeldetokens müssen widerrufen werden, damit bereits angemeldete Geräte oder Browser keinen weiteren Zugriff behalten.
- Lizenzen, E-Mail und Daten geordnet übergeben. Ein Postfach darf nicht vorschnell gelöscht werden. Prüfen Sie gesetzliche Aufbewahrungspflichten, geschäftliche Kommunikation und den Bedarf der Nachfolge. Sinnvoll sind eine geregelte Übergabe relevanter E-Mails, ein automatischer Hinweis an externe Absender und klar definierte Zugriffsrechte für die zuständige Person.
- Zugänge zu Anwendungen und externen Plattformen prüfen. Dazu gehören CRM, Buchhaltung, Zeiterfassung, Projektmanagement, Telefonanlage, Cloud-Speicher, Kundenportale, VPN, Fernwartung und branchenspezifische Software. Auch lokale Benutzerkonten auf Servern oder NAS-Systemen dürfen nicht übersehen werden.
- Geräte zurücknehmen und technisch absichern. Laptop, Smartphone, Tablet, Sicherheitstoken, Zutrittskarte und gegebenenfalls Homeoffice-Hardware sollten erfasst werden. Prüfen Sie den Verschlüsselungsstatus, entfernen Sie geschäftliche Daten von verwalteten Mobilgeräten und dokumentieren Sie Zustand sowie Rückgabe.
- Passwörter, Schlüssel und privilegierte Rechte kontrollieren. War der Mitarbeiter in einem gemeinsamen Administrationskonto, einem Passwortmanager oder bei Kundenumgebungen hinterlegt, müssen Rechte angepasst und gegebenenfalls Zugangsdaten geändert werden. Gemeinsame Passwörter sind ein vermeidbares Risiko, weil sie sich nach einem Austritt kaum sauber zuordnen lassen.
- Abschluss kontrollieren und dokumentieren. Halten Sie fest, welche Konten gesperrt, welche Daten übergeben, welche Lizenzen beendet und welche Geräte zurückgegeben wurden. Eine zweite Person sollte kritische Punkte wie Administratorrechte und externe Systeme prüfen.
E-Mail-Konto löschen, behalten oder umleiten?
Diese Entscheidung sollte nicht pauschal getroffen werden. Wird ein Konto sofort gelöscht, können geschäftliche Kontakte, wichtige Anhänge und Termine verloren gehen. Bleibt es dauerhaft aktiv, entstehen dagegen Kosten und unnötige Angriffsflächen.
In der Praxis ist oft ein Mittelweg sinnvoll: Das Benutzerkonto wird gesperrt, das Postfach für einen definierten Zeitraum aufbewahrt und die Verantwortung für relevante Kommunikation klar geregelt. Eine automatische Antwort kann Geschäftspartner an eine neue Kontaktadresse verweisen. Weiterleitungen an einzelne Personen sollten nur gezielt eingesetzt werden, denn sie können Datenschutz, Vertraulichkeit und Verantwortlichkeiten beeinträchtigen.
Besondere Aufmerksamkeit verdienen geteilte Postfächer wie vertrieb@, buchhaltung@ oder service@. Ehemalige Mitarbeiter müssen daraus entfernt werden, auch wenn ihr persönliches Konto bereits deaktiviert wurde. Dasselbe gilt für Microsoft Teams, Verteilerlisten, SharePoint-Seiten und Freigaben in OneDrive.
Geräte und private Endgeräte nicht vergessen
Ein zurückgegebener Laptop bedeutet nicht automatisch, dass alle Unternehmensdaten geschützt sind. Auf einem nicht zentral verwalteten Gerät können lokale Dateien, Browser-Sitzungen, gespeicherte Passwörter oder synchronisierte Cloud-Ordner verbleiben. Deshalb sind Geräteverwaltung, Festplattenverschlüsselung und zentrale Sicherheitsrichtlinien so wertvoll: Die IT kann nachvollziehen, welches Gerät wem zugeordnet ist und ob es regelkonform zurückgesetzt werden kann.
Bei privaten Smartphones oder Computern ist die Lage sensibler. Das Unternehmen darf nicht einfach private Inhalte löschen. Eine professionelle Mobile-Device-Management-Lösung trennt geschäftliche und private Daten. Beim Austritt kann dann gezielt der Unternehmensbereich entfernt werden. Wenn diese Trennung bisher fehlt, sollte zumindest geprüft werden, ob geschäftliche Konten, E-Mail-Profile, Authenticator-Apps und synchronisierte Daten entfernt wurden.
Typische Fehler, die Unternehmen vermeiden sollten
Der häufigste Fehler ist die Annahme, die Deaktivierung des Microsoft-365-Kontos reiche aus. Sie ist ein wichtiger Schritt, aber keine vollständige Offboarding-Strategie. Ebenso problematisch sind Sammelkonten, geteilte Administratorzugänge und unklare Eigentümerschaften bei Software-Abonnements.
Ein weiterer Fehler ist fehlende Dokumentation. Wenn niemand weiß, welche Systeme ein Mitarbeiter genutzt hat, wird die Kontrolle zur Detektivarbeit. Ein aktuelles Assetmanagement und eine Zugriffsübersicht reduzieren diesen Aufwand erheblich. Neue Anwendungen sollten deshalb nicht ohne Prüfung durch die IT eingeführt werden.
Auch die zeitliche Abstimmung entscheidet über Sicherheit und Arbeitsfähigkeit. Werden Zugänge zu früh entfernt, kann eine geordnete Übergabe scheitern. Werden sie zu spät entfernt, bleibt ein unnötiges Risiko. Der richtige Zeitpunkt hängt von Rolle, Vertrauensverhältnis und Sensibilität der Daten ab.
Offboarding als fester Bestandteil der IT-Betreuung
Ein sicherer Austrittsprozess funktioniert am besten, wenn er nicht erst im Ernstfall erfunden wird. Rollenbasierte Berechtigungen, zentral verwaltete Geräte, Multifaktor-Authentifizierung, ein Passwortmanager und dokumentierte Anwendungen schaffen die Grundlage. Dann lässt sich für jeden Mitarbeiter nachvollziehen, welche Zugänge bestehen und was beim Austritt zu tun ist.
Für Unternehmen ohne eigene IT-Abteilung lohnt es sich, diesen Prozess gemeinsam mit einem verlässlichen IT-Partner aufzusetzen und regelmäßig zu testen. PERFUSIONS unterstützt Unternehmen dabei, Microsoft 365, Entra ID, Geräte und weitere Systeme so zu verwalten, dass auch Personalwechsel kontrolliert und nachvollziehbar ablaufen.
Ein gut organisierter Austritt ist kein Misstrauensvotum gegenüber Mitarbeitern. Er ist ein Zeichen für professionelle Verantwortung. Wer Zugriffe, Geräte und Daten bei jedem Wechsel sauber regelt, schützt das Unternehmen und gibt dem verbleibenden Team die Sicherheit, sich auf seine Arbeit konzentrieren zu können.
