IT Offboarding Checkliste: Austritt ohne offene Zugänge

Was vorher geklärt sein muss

• Letzter Arbeitstag und ob Urlaub davor liegt.
• Wer übernimmt Aufgaben, Postfach und Dateien?
• Gibt es Geräte, die zurückkommen, und wann?
• Bei einer Trennung im Streit: Sperre sofort, nicht zum Monatsende.

Die Checkliste nach Zeitpunkten

SOBALD DER AUSTRITT BEKANNT IST
[ ] Datum, Nachfolge und Übergabe mit Führungskraft geklärt
[ ] Liste aller Zugänge erstellt (zentral und Fremddienste)
[ ] Geräte laut Inventar notiert

LETZTE WOCHE
[ ] Übergabe von Dateien an Nachfolge begleitet
[ ] Freigaben und Mitgliedschaften notiert, die übergehen sollen
[ ] Rückgabetermin für Geräte vereinbart

LETZTER ARBEITSTAG
[ ] Konto in Microsoft 365 / Entra ID gesperrt
[ ] Sitzungen abgemeldet, Mehrfaktor-Methoden entfernt
[ ] Abwesenheitsnotiz oder Weiterleitung nach Regel
[ ] Geräte zurück, Rückgabeprotokoll unterschrieben
[ ] Schlüssel, Karten, Token zurück

ERSTE WOCHE DANACH
[ ] Fremddienste gesperrt: Lieferantenportale, Bank, Social
    Media, Cloud-Speicher, Kennwortmanager
[ ] Geteilte Kennwörter geändert, die die Person kannte
[ ] Lizenzen freigegeben
[ ] Telefon, Durchwahl, Diensthandy, SIM umgemeldet
[ ] Geräte zurückgesetzt, Inventar aktualisiert

NACH DER FRIST
[ ] Postfach und Konto gelöscht oder archiviert nach Regel

Was am häufigsten offen bleibt

Fremddienste ohne zentrale Anmeldung

Alles, was mit Mailadresse und eigenem Kennwort läuft, wird nicht gesperrt, wenn das Konto in Microsoft 365 gesperrt ist: Lieferantenportale, Speditionen, Messeportale, Social-Media-Konten der Firma. Führe dafür eine Liste je Abteilung, sonst findest du sie erst nach dem Austritt.

Geteilte Kennwörter

WLAN für Gäste, Admin-Zugang des Druckers, der Router im Außenlager. Wenn die Person sie kannte, ändere sie. Ein Kennwortmanager mit Freigaben macht das leichter, weil man sieht, wer welche Einträge hatte.

Weiterleitungen

Eine Regel, die Mails an eine private Adresse weiterleitet, überlebt manchmal die Sperre. Prüfe Postfachregeln vor dem Sperren.

Mehrfaktor auf dem Privathandy

Die App bleibt auf dem Handy. Ohne Konto nützt sie nichts, entferne die Methoden trotzdem, damit sie nicht bei einer Wiedereinstellung im Weg sind.

Dokumentieren, wer was gemacht hat

Bei Streit, Audits oder Nachfragen der Datenschutzbeauftragten musst du zeigen können, wann ein Zugang gesperrt wurde. Halte fest: Datum, Uhrzeit, wer gesperrt hat, welche Geräte zurückkamen. Ein Ticket mit Abhakliste ist dafür besser als eine Mail, weil Verlauf und Zeitstempel automatisch dabei sind.

Dateien, OneDrive und Postfach übergeben

Was die Person in ihrem persönlichen Speicher hat, ist nach der Sperre schwer erreichbar. Kläre in der letzten Woche mit der Führungskraft, was übergeben werden muss, und lass die Person es selbst in gemeinsame Ablagen verschieben. Das ist sauberer als ein Zugriff der IT nach dem Austritt.

Für das Postfach gibt es drei übliche Wege: Abwesenheitsnotiz mit neuem Ansprechpartner, befristete Weiterleitung an die Nachfolge oder Umwandlung in ein freigegebenes Postfach mit Zugriff für die Nachfolge. Welcher Weg bei euch zulässig ist, klärt ihr vorher mit der Datenschutzbeauftragten. Dabei kann eine Rolle spielen, ob private Mails erlaubt waren.

Wechsel innerhalb der Firma

Ein interner Wechsel ist ein halber Austritt und ein halber Eintritt. Die Person behält Konto und Gerät, bekommt aber neue Rechte und muss alte abgeben. Genau hier sammeln sich über Jahre Rechte an, weil nur das Neue eingerichtet wird. Nimm beim Wechsel die Rechteliste der alten Rolle und streiche, was nicht mehr gebraucht wird.

Befristete Verträge und Externe

Bei befristeten Verträgen kennst du das Austrittsdatum von Anfang an. Trag es beim Anlegen des Kontos als Ablaufdatum ein. Bei Externen mit Zugang, etwa einem Systemhaus, gilt dasselbe für jeden Gastzugang: Ende festlegen, nachher prüfen, ob er wirklich abgelaufen ist.

Wer welche Aufgabe hat

Personalabteilung

Meldet den Austritt mit Datum, so früh wie möglich.

Führungskraft

Regelt Übergabe von Aufgaben, Dateien und Postfach.

IT

Sperrt, sammelt Geräte ein, schließt Fremddienste, dokumentiert.

Person selbst

Gibt Geräte zurück, verschiebt Dateien, nennt Zugänge, die nur sie kennt.

Nach dem Austritt: Fragen, die noch kommen

Wochen später fragt jemand nach einer Mail an die alte Adresse oder nach einer Datei aus dem persönlichen Speicher. Wenn die Regeln vorher klar waren, ist die Antwort einfach: Die Mail ging an die Nachfolge, die Datei liegt in der gemeinsamen Ablage, oder sie ist nach der Frist gelöscht. Schreib die Regeln für Postfach und Dateien einmal auf und nutze sie bei jedem Austritt gleich. Das schützt auch dich, wenn später jemand fragt, warum etwas weg ist.

Wenn der Austritt im Streit endet

Bei einer Kündigung im Streit verschiebt sich die Reihenfolge. Die Sperre kommt zuerst, idealerweise in dem Moment, in dem das Gespräch stattfindet, abgestimmt mit Personalabteilung und Geschäftsführung. Danach Sitzungen beenden, Weiterleitungen prüfen, Fremddienste sperren. Dokumentiere jeden Schritt mit Uhrzeit. Sprich vorher ab, wer das Gerät entgegennimmt und wer die Person begleitet. Die IT entscheidet nichts davon, sie setzt es um.

Austritte als Antrag mit Abhakliste

Wenn Benutzer und Kontostatus aus Entra ID kommen, ist ein in Microsoft 365 gesperrtes Konto auch im Ticketsystem gesperrt. In 404desk ist der Austritt ein Antrag mit Abhakliste, die Rückgabe läuft mit Protokoll über das Geräteinventar. Mehr unter IT-Anträge mit Genehmigung.