Mitarbeiter-Offboarding aus IT-Sicht: was wirklich abgeschaltet werden muss

In den meisten KMU ist das Onboarding neuer Mitarbeiter irgendwie dokumentiert — auf einem Zettel, in einer E-Mail an die Personalabteilung, zumindest im Kopf von jemandem. Das Offboarding ist fast nie dokumentiert. Und genau das Offboarding entscheidet, ob ein ehemaliger Mitarbeiter saubere Konten hinterlässt — oder einen langen Schatten in Ihren Systemen.

Das typische Muster sieht so aus. Der Mitarbeiter kündigt, arbeitet zwei Monate normal, gibt am letzten Freitag den Laptop zurück, der Vorgesetzte sagt „danke, viel Erfolg", und die IT (ein externer Dienstleister, ein halber Admin im Haus oder der technisch versierte Schwager) erfährt davon zwei Wochen später, zufällig, im Zuge einer anderen Sache. Das Postfach ist noch aktiv, die Microsoft-365-Lizenz wird weiter bezahlt, der VPN nimmt weiter Verbindungen an, und in irgendeinem Lieferantenportal weiß niemand, dass dort ein Konto gelöscht werden müsste — weil der Einkauf es direkt eingerichtet hat, an der IT vorbei.

Das sind keine dramatischen Geschichten aus den Cyberattack-Nachrichten. Es sind alltägliche, leise Lecks, die das Unternehmen echtes Geld und echtes Risiko kosten.

Was ein Mitarbeiter wirklich hinterlässt

Wenn jemand in einer 30–50-Personen-Firma geht, berührt er typischerweise mehr als ein Dutzend Systeme — oft mehr, als irgendjemand im Kopf hat. Aus unseren Audits in polnischen KMU sehen wir: Ein typischer Bürobeschäftigter hinterlässt 8 bis 15 aktive Zugänge. Meistens:

• Konto im Hauptverzeichnis (Active Directory, Microsoft 365, Google Workspace), mit E-Mail, Kalender, OneDrive oder Google Drive.
• Konto in ERP/CRM (Comarch Optima, Subiekt, enova365, Microsoft Dynamics AX, eigene Anwendungen) — meist mit vollständiger Login- und Belegehistorie.
• Konten in Begleitsystemen — Personal, Lager, Faktura, E-Commerce, Kurierportal, Bankportal.
• Zugriff auf gemeinsame Laufwerke, Ordner, Teams- oder Slack-Kanäle — oft mit Dateien, die nur dieser Mitarbeiter angelegt hat.
• VPN, Fernzugriff, SSH-Schlüssel bei technischen Rollen.
• Konten auf externen Portalen — Lieferantenpanels, Marktplätze, Bankportale, SEO-Tools, KI-Tools, Abos, in denen der Mitarbeiter Hauptnutzer ist.
• Geschäftliche Apps auf dem privaten Handy (Outlook, Teams, branchenspezifische Apps).
• Bürozutrittskarte, Schlüssel, Token, Hardware-Token — aus IT-Sicht ist das auch Zugriff.

Jeder dieser Zugänge hat einen Lebenszyklus. Wenn Sie ihn nicht bewusst beenden, endet er entweder von selbst — oder gar nicht.

Ein echtes Beispiel: 32 Personen, B2B-Großhandel

Bei einem unserer Kunden — einem 32-Personen-Großhändler für technisches Zubehör — verließ der Vertriebsleiter das Unternehmen. Standardprozess: zwei Monate Kündigungsfrist, Kontaktübergabe, letzter Freitag, Laptop zurück. Alle dachten, das Thema sei erledigt.

Fünf Monate später, im Rahmen eines Sicherheitsaudits, haben wir den Zustand der Konten geprüft. Das Ergebnis:

• Aktive Microsoft-365-Business-Standard-Lizenz (60 PLN/Monat × 5 Monate = 300 PLN reiner Lizenzverlust).
• Aktives Konto in Comarch Optima mit vollen Rechten für CRM und Faktura (niemand hatte geprüft, ob sich jemand einloggt).
• Aktiver VPN-Zugang in das Firmennetz von zu Hause.
• E-Mail-Weiterleitung auf eine private Gmail-Adresse — eingerichtet vom Mitarbeiter selbst eine Woche vor dem Austritt, im eigenen M365-Nutzerpanel. Die Weiterleitung war 4 Monate aktiv und hat etwa 1.800 E-Mails weitergeleitet, inklusive der gesamten laufenden Korrespondenz mit Schlüsselkunden.
• Aktive Konten in 4 Lieferantenportalen, von denen die IT zwei gar nicht kannte, weil der Vertriebler sie im Tagesgeschäft direkt eingerichtet hatte.
• Die Bürozutrittskarte öffnete weiterhin die Lagertür.

Der direkte finanzielle Schaden bei den Lizenzen war minimal — ein paar hundert Zloty. Der direkte Datenschaden war potenziell ernst — Hunderte Kundenkontakte, Vertriebsgesprächshistorie, Margen, Konditionen. Der Mitarbeiter war zu einem direkten Wettbewerber gewechselt. Ob die Korrespondenz genutzt wurde oder nicht, wissen wir nicht. Die Weiterleitung haben wir abgeschaltet. Aber diese Mails liegen in einem privaten Archiv, das niemand mehr zurückbekommt.

Nach diesem Vorfall haben wir mit der Firma einen Standardprozess für Offboarding eingeführt — Details unten. In den folgenden zwei Jahren wurden bei allen 7 Austritten alle Konten am Tag des Ausscheidens oder am nächsten Arbeitstag geschlossen. Null Weiterleitungen, null Lecks, null „vergessene" Lizenzen.

Checkliste für IT-Offboarding

Eine sinnvolle Offboarding-Checkliste in einem KMU muss nicht lang sein. Sie muss vollständig sein und buchstäblich abgearbeitet werden, egal ob ein Vertriebler mit Kundenkontakten oder ein Lagerist geht. Hier ist die Version, die wir bei Kunden ausrollen:

Letzter Arbeitstag (oder der Tag danach):

1. Konto im Hauptverzeichnis deaktivieren (Microsoft 365 / Google Workspace / Active Directory) — deaktivieren, nicht löschen. Löschung nach 30 Tagen.
2. Passwort zurücksetzen und alle Sessions abmelden (M365: „Sign out all sessions" im Admin-Panel).
3. E-Mail-Weiterleitungsregeln prüfen — gibt es Weiterleitungen an externe Adressen, automatische Regeln, externe Integrationen?
4. Postfach an den Vorgesetzten weiterleiten (Autoresponder + interne Weiterleitung für 60–90 Tage) — damit Kunden eine echte Antwort bekommen.
5. Firmengeräte einziehen — Laptop, Telefon, Token, Zutrittskarte, Schlüssel. Im Übergabeprotokoll auflisten.
6. Firmen-Apps vom privaten Handy aus der Ferne löschen (in M365 macht das Intune — in Google Workspace Mobile Management). Wenn der Mitarbeiter Outlook auf dem privaten iPhone hatte, werden geschäftliche Daten gelöscht, private bleiben.
7. VPN, Fernzugriff, SSH-Schlüssel, Konten in Branchensystemen abschalten.
8. Bürozutrittskarte — im Zugangssystem deaktivieren, Schlüssel zurück.

Innerhalb von 7 Tagen:

1. Konten in „nicht-firmeneigenen" Systemen prüfen — Lieferantenpanels, Marktplätze, SaaS-Werkzeuge. Das ist der schwerste Punkt, weil die IT oft nicht einmal weiß, dass es diese Konten gibt. Fragen Sie den Vorgesetzten: „Welche externen Systeme hat diese Person genutzt?".
2. Eigentümerschaft kritischer Dokumente neu zuweisen — Dateien in OneDrive/Google Drive, Teams/Slack-Kanäle, Projekte in Tools wie Asana oder Trello.
3. Berechtigungen in ERP/CRM prüfen — war diese Person der einzige Eigentümer eines Datensatzes, einer Kundenliste, eines wiederkehrenden Reports?

Innerhalb von 30 Tagen:

1. Konto löschen oder in ein Shared Mailbox umwandeln (M365 erlaubt es, die Lizenz freizugeben und das Postfach als gemeinsames Postfach zu behalten — 0 PLN statt 60 PLN/Monat).
2. SaaS-Abrechnungen prüfen — sind irgendwo noch Per-User-Lizenzen in Slack, Notion, ChatGPT Team, Canva, Adobe aktiv?
3. Schleife schließen — kurze Bestätigung an HR/Finanzen, dass alle Zugänge geschlossen sind.

Die gesamte Checkliste ist ein bis zwei Stunden IT-Arbeit und eine Viertelstunde des Vorgesetzten. Sie braucht keine teure Software.

Warum das in KMU oft scheitert

In der Praxis sehen wir drei Gründe, warum Offboarding in KMU vernachlässigt wird:

• Keine Kommunikation HR–IT. HR weiß zuerst von einem Austritt, hält es aber „nicht für ihre Aufgabe", die IT zu informieren. Die IT erfährt davon nachträglich. Lösung: ein standardisiertes Formular oder eine Mail von HR an IT am Tag der Kündigung, nicht am letzten Arbeitstag. Eine Regel im HR-System oder ein Kästchen in der Checkliste des Vorgesetzten genügt.
• Kein Register „nicht-firmeneigener" Konten. In einer 30-Personen-Firma nutzen die Mitarbeiter 40–80 SaaS-Werkzeuge, von denen die IT nichts weiß. Lösung: ein einfaches „Tool-Register" als Tabelle, einmal pro Quartal aktualisiert. Plus eine Richtlinie: Jedes neue SaaS startet mit einem Konto auf it@firma.de, nicht auf die Adresse des Mitarbeiters.
• Kein Prozesseigner. „Macht die IT" heißt in KMU oft „macht niemand". Lösung: Eine Person (Office Manager, HR, jemand aus der Verwaltung) hat es in der Stellenbeschreibung, die Liste zu überwachen. Sie führt nicht alle Schritte aus, aber sie ruft die IT an und fragt „Sind alle 12 Punkte erledigt?".

Wie es automatisch passiert

In einem KMU brauchen Sie kein IAM-System für eine halbe Million Zloty. Sie brauchen drei Dinge:

• Gruppen in Active Directory / M365 statt einzelner Berechtigungen. Der Mitarbeiter erbt seine Zugänge aus der Gruppe „Vertrieb", „Buchhaltung" oder „Lager". Entfernen Sie ihn aus der Gruppe — er verliert alles. Keine Jagd auf 15 einzelne Häkchen.
• Single Sign-On (SSO) für SaaS, wo immer möglich. Wenn der Mitarbeiter sich bei Slack, Notion oder Asana über M365/Google einloggt, schneidet das Abschalten des Hauptkontos automatisch den Rest ab. Microsoft 365 Business Premium unterstützt SSO „in der Box" — die meisten KMU nutzen es nicht, obwohl sie dafür zahlen.
• Ein kurzes, schriftliches Verfahren. Eine A4-Seite in der HR-Mappe: „Wer wird informiert, in welcher Reihenfolge, bis wann". Ein Verfahren auf Papier wird zehnmal häufiger eingehalten als ein Verfahren „im Kopf des Vorgesetzten".

Womit anfangen

Wenn Sie das lesen und denken „bei uns gibt es nichts davon", tun Sie Folgendes in dieser Reihenfolge:

1. Listen Sie in vier Spalten auf: Name jedes ehemaligen Mitarbeiters der letzten 12 Monate, Austrittsdatum, wer die Kontoschließung überwacht hat, Status.
2. Prüfen Sie für jede Person heute im M365/Google-Workspace-Admin-Panel: Ist das Konto deaktiviert? Gibt es Weiterleitungsregeln?
3. Bauen Sie eine einseitige Offboarding-Checkliste und hängen Sie sie bei HR auf.
4. Beim nächsten Austritt — arbeiten Sie die Checkliste durch, stoppen Sie die Zeit, korrigieren Sie, was nicht funktioniert hat.
5. Nach drei Offboardings setzt sich der Prozess von allein.

Stille rund um einen Mitarbeiter, der vor einem Jahr gegangen ist, bedeutet nicht, dass alles in Ordnung ist. Oft bedeutet sie nur, dass noch niemand nachgesehen hat. Und die Kosten des Nachsehens sind 100-mal niedriger als die Kosten eines Vorfalls in drei Monaten — wenn niemand mehr an dieses Konto denkt.

Wenn Sie das IT-Offboarding in Ihrer Firma in Ordnung bringen wollen, aber nicht wissen, wo Sie anfangen sollen — wir helfen KMU regelmäßig dabei, das auseinanderzunehmen. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.

Ein Konto, das niemand geschlossen hat, ist nicht „inaktiv". Es ist aktiv — nur auf der Seite von jemandem, der Ihnen nicht mehr vertraut.

← Zurück zum Blog