IT-Offboarding-Checkliste: Zugänge sauber sperren

Ein Mitarbeiter kündigt – und ein paar Wochen später stellt sich die Frage: Welche IT-Zugänge hatte diese Person eigentlich alles? Wer die Zugänge eines ausscheidenden Mitarbeiters sperren will, merkt schnell, dass Offboarding selten an der Technik scheitert. Es scheitert an der Übergabe zwischen Geschäftsführung, Personalabteilung und IT – und daran, dass niemand vollständig weiß, wo diese Person überall angemeldet war. Eine belastbare IT-Offboarding-Checkliste sorgt dafür, dass beim Austritt jedes Konto abgearbeitet wird. Dieser Beitrag zeigt ruhig und Schritt für Schritt, wie Sie das im Betrieb sauber hinbekommen.

Das Risiko in Zahlen

Die Vorstellung, ein ausgeschiedener Mitarbeiter könnte weiterhin auf Firmensysteme zugreifen, klingt nach einem Ausnahmefall. In der Praxis ist es das Gegenteil. Laut einer Erhebung von Kaspersky kann rund die Hälfte der deutschen Mittelständler nicht ausschließen, dass ehemalige Beschäftigte noch Zugriff auf Unternehmensdaten oder -konten haben. Eine internationale Studie von Beyond Identity aus dem Jahr 2022 kam sogar auf eine Größenordnung von rund 83 Prozent der Befragten, die nach dem Ausscheiden weiterhin auf Konten ihres früheren Arbeitgebers zugreifen konnten – eine Umfrage, kein amtlicher Wert, aber ein deutliches Signal.

Der typische Missbrauch ist dabei selten spektakulär, aber trotzdem schädlich: der weiter laufende Zugriff auf Social-Media-Konten des Betriebs, das Mitlesen interner E-Mails oder das Mitnehmen von Dateien, Angeboten und Kundenlisten. Es geht also nicht um den einen böswilligen Hacker, sondern um Zugänge, die schlicht offen geblieben sind – und im Streitfall zur echten Belastung werden.

Warum Offboarding in der Praxis schiefgeht

Wenn Zugänge offen bleiben, liegt das fast nie an bösem Willen, sondern an drei strukturellen Lücken, die in Betrieben besonders häufig auftreten.

• Schatten-SaaS: Über die Jahre bucht jede Abteilung ihre eigenen Online-Tools – ein Projektboard hier, ein Grafik-Abo da, ein Newsletter-Dienst im Marketing. Diese dezentral angeschafften Cloud-Dienste tauchen in keiner zentralen Liste auf. Beim Austritt denkt niemand an sie, weil niemand sie vollständig kennt.
• Geteilte Passwörter: Ein gemeinsames Konto für den Onlineshop, ein Zugang für die Bank, ein Login für die Bewertungsplattform – geteilt über einen Zettel oder eine Chatnachricht. Ein einzelnes Sperren gibt es hier nicht; das Passwort muss geändert werden, sonst kennt der Ausgeschiedene es weiter.
• Kein Zugangs-Inventar: Die eigentliche Wurzel. Wer nicht dokumentiert, welche Person auf welche Systeme Zugriff hat, kann beim Austritt nicht systematisch abarbeiten, sondern nur aus dem Gedächtnis raten. Und das Gedächtnis vergisst zuverlässig die selten genutzten Zugänge.

Anders gesagt: Offboarding kann nur so gut sein wie das Wissen darüber, was überhaupt gesperrt werden muss. Erst ein aktuelles Zugangs-Inventar macht ein vollständiges Offboarding möglich.

Die IT-Offboarding-Checkliste

Diese Checkliste ist das Herzstück. Sie ist bewusst in drei Phasen gegliedert – vom Eingang der Kündigung bis zur endgültigen Löschung nach Ablauf der Fristen. Arbeiten Sie sie pro Austritt einmal komplett ab und dokumentieren Sie jeden Schritt.

Phase 1 – Sobald die Kündigung eingeht:

• Austrittsdatum und letzten Arbeitstag festhalten und an die IT übergeben (der häufigste Bruch: HR weiß Bescheid, die IT nicht).
• Anhand des Zugangs-Inventars alle Konten der Person auflisten: E-Mail, Fachanwendungen, Cloud-Dienste, Fernzugriff, geteilte Logins, Social-Media-Verwaltung.
• Verantwortlichkeiten klären: Wer übernimmt laufende Vorgänge, an wen gehen künftig E-Mails?

Phase 2 – Zum Stichtag (letzter Arbeitstag):

• Konten zum Stichtag deaktivieren, nicht sofort löschen. Ein deaktiviertes Konto blockiert den Zugriff, bewahrt aber Daten und Postfach – wichtig für Übergabe, Nachweise und Aufbewahrungspflichten. Sofortiges Löschen vernichtet Informationen, die Sie später noch brauchen.
• Fernzugriff kappen: VPN-Zugang, Remote-Desktop und mobile Anmeldungen sperren.
• Geteilte Passwörter rotieren. Jedes gemeinsam genutzte Passwort, das die Person kannte, wird geändert – Deaktivieren des persönlichen Kontos hilft hier nicht.
• Microsoft 365: Lizenz entziehen ist nicht dasselbe wie Konto sperren. Das bloße Entfernen der Lizenz spart zwar Kosten, blockiert aber die Anmeldung nicht zuverlässig – und kann nach einer Frist sogar das Postfach löschen. Sperren Sie zuerst die Anmeldung (Sign-in), und regeln Sie Lizenz und Postfach anschließend geordnet.
• Weiterleitungen und Kalender-/Postfachfreigaben prüfen und bereinigen: Automatische Regeln, die Post an eine private Adresse schicken, gehören entfernt; freigegebene Kalender und Postfächer werden zurückgenommen.
• Hardware-Rückgabe protokollieren: Notebook, Diensthandy, Schlüssel, Zugangskarten und Speichermedien mit Datum und Unterschrift quittieren.

Phase 3 – Nach dem Austritt:

• Berechtigungen auf Dateiablagen und in Fachanwendungen final entziehen.
• Nach Ablauf der internen Übergabe- und der gesetzlichen Aufbewahrungsfristen das Konto endgültig löschen – und diese Löschung dokumentieren.

Wichtig ist die Reihenfolge: erst der lückenlose Überblick, dann die Deaktivierung zum Stichtag, und erst am Ende – nach Fristablauf – die Löschung. Wer sofort löscht, spart nichts und verliert unter Umständen Nachweise.

Was der Datenschutz verlangt

Beim E-Mail-Konto ist Sorgfalt gefragt, denn hier treffen zwei Pflichten aufeinander. Ob Sie eingehende Mails eines ausgeschiedenen Mitarbeiters einfach weiterleiten oder das Postfach durchsehen dürfen, hängt maßgeblich davon ab, ob die private Nutzung des dienstlichen Postfachs untersagt war. War sie erlaubt oder geduldet, bewegen Sie sich in einem heikleren Bereich – dann ist ein pauschaler Zugriff nicht ohne Weiteres zulässig.

Aufsichtsbehörden empfehlen für diese Fälle einen pragmatischen Weg: das Konto zeitnah deaktivieren und stattdessen eine automatische Abwesenheitsnotiz einrichten, die Absender an die neue Ansprechperson verweist – so bleibt der Betrieb erreichbar, ohne dass jemand fremde Post mitliest (unter anderem eine Empfehlung der Landesbeauftragten für Datenschutz Bremen). Trennen Sie außerdem sauber zwischen Aufbewahrungspflicht und Löschpflicht: Steuer- und handelsrechtlich relevante Unterlagen (HGB, AO) müssen über ihre Fristen erhalten bleiben, personenbezogene Daten ohne solchen Grund dagegen gelöscht werden. Das ist kein Widerspruch – es betrifft unterschiedliche Daten und lässt sich getrennt regeln.

Diese Punkte berühren rechtliche Fragen; die konkrete Ausgestaltung sollten Sie im Zweifel rechtlich prüfen lassen. Als Faustregel gilt: deaktivieren statt schnüffeln, und Fristen bewusst auseinanderhalten.

Die eigentliche Lösung: ein zentrales Identitätsmanagement

So gründlich eine Checkliste auch ist – sie bleibt Handarbeit, und Handarbeit hat Lücken. Der strukturelle Ausweg heißt zentrales Identitätsmanagement: ein System, über das jede Anmeldung läuft (Single Sign-on, etwa mit Microsoft Entra ID). Ein Konto, viele Dienste – und beim Austritt ein einziger, sauberer Schalter, der den Zugriff auf alle angebundenen Systeme gleichzeitig entzieht.

Das nimmt dem Offboarding seine gefährlichste Eigenschaft: die Abhängigkeit davon, dass jemand an jeden einzelnen Zugang denkt. Für sehr kleine Teams ist der Aufwand einer solchen Einführung noch nicht immer gerechtfertigt; ab etwa zehn Mitarbeitenden lohnt sich der Schritt in aller Regel – spätestens dann, wenn die Zahl der genutzten Cloud-Dienste unübersichtlich geworden ist. Der erste, unverzichtbare Baustein bleibt aber in jedem Betrieb derselbe: ein aktuelles Zugangs-Inventar, das festhält, wer worauf Zugriff hat. Ohne diese Übersicht bleibt jedes Offboarding ein Ratespiel – mit ihr wird es zur ruhigen Routine.