Neue Mitarbeitende brauchen am ersten Tag ein eingerichtetes Notebook, ein Konto und die richtigen Berechtigungen. Beim Austritt müssen dieselben Zugänge zuverlässig wieder entzogen werden. Gerade das Offboarding wird im Alltag oft vergessen, und ehemalige Mitarbeitende behalten Zugriff auf Postfach, Cloud oder gemeinsame Konten. Das ist ein Sicherheitsrisiko und kann gegen Datenschutzpflichten verstoßen. Dieser Beitrag zeigt, wie Sie IT-Onboarding und Offboarding als festen Prozess aufsetzen und welche Schritte in die Checkliste gehören.
Was ist IT-Offboarding?
IT-Offboarding bezeichnet alle Schritte, mit denen ein Unternehmen beim Austritt eines Mitarbeitenden Zugänge entzieht, Geräte zurücknimmt und Daten sichert. Das Gegenstück ist das IT-Onboarding, also die Einrichtung von Konto, Geräten und Rechten beim Eintritt. Beide Prozesse zusammen bilden den Lebenszyklus einer Identität im Unternehmen.
Bausteine eines Identitäts-Lebenszyklus:
- Eintritt: Konto, Lizenzen, Gruppen, Gerät und Einweisung
- Wechsel: neue Rolle, angepasste Rechte, Entzug alter Berechtigungen
- Austritt: Sperre, Datenübergabe, Geräterückgabe, Löschung nach Frist
- Nachweis: dokumentierte Vergabe und Entzug von Rechten
Onboarding und Offboarding im Vergleich
Beide Prozesse haben dieselben Bausteine, aber unterschiedliche Risiken. Die Tabelle stellt sie gegenüber.
| Bereich | Onboarding | Offboarding | Typisches Risiko |
|---|---|---|---|
| Konto | anlegen, MFA einrichten | sperren, später löschen | aktives Konto nach Austritt |
| Rechte | nach Rollenvorlage | vollständig entziehen | zu viele Rechte durch Kopieren |
| Geräte | bereitstellen, registrieren | zurücknehmen, zurücksetzen | Daten auf nicht zurückgegebenen Geräten |
| Gemeinsame Zugänge | freigeben | ändern | ehemalige kennen Passwörter |
| Lizenzen | zuweisen | entfernen | Kosten für ungenutzte Lizenzen |
Warum Offboarding so oft scheitert
Austritte kommen selten zum passenden Zeitpunkt. Wenn die Personalabteilung die IT zu spät informiert, bleiben Konten tagelang aktiv.
Fehlende Information
Der häufigste Grund ist ein fehlender Auslöser. Die IT erfährt vom Austritt erst, wenn die Person schon weg ist. Legen Sie deshalb fest, dass jede Kündigung und jede Vertragsänderung automatisch an die IT gemeldet wird.
Verstreute Zugänge
Neben dem Microsoft-365-Konto gibt es viele weitere Zugänge. Ohne Übersicht wird ein Teil davon übersehen.
Häufig vergessene Zugänge:
- Fachanwendungen: ERP, CRM, Buchhaltung mit eigenen Konten
- Cloud-Dienste: Tools, die Abteilungen selbst gebucht haben
- Gemeinsame Konten: Social Media, Portale, Router
- Fernzugänge: VPN, Fernwartung, private Geräte mit Firmendaten
- Physische Zugänge: Schlüssel, Transponder, Ausweise
Kopierte Berechtigungen
Beim Onboarding werden Rechte oft von einer Kollegin oder einem Kollegen kopiert. So sammeln sich über Jahre Berechtigungen an, die niemand braucht. Rollenvorlagen verhindern das, weil sie Rechte aus der Aufgabe ableiten statt aus einer Person.
Onboarding: So starten neue Mitarbeitende sicher
Ein gutes Onboarding sorgt dafür, dass neue Mitarbeitende ab dem ersten Tag arbeiten können. Gleichzeitig erhalten sie nur die Rechte, die ihre Rolle verlangt.
Rollenvorlagen statt Einzelfälle
Definieren Sie für jede Rolle eine Vorlage mit Gruppen, Lizenzen und Anwendungen. In Microsoft Entra ID lassen sich Lizenzen und Zugriffe über Gruppen steuern.[4]
Inhalt einer Rollenvorlage:
- Gruppen: Teams, SharePoint-Bereiche und Verteiler
- Lizenzen: passender Microsoft-365-Plan
- Anwendungen: Fachsoftware und Zugänge
- Gerät: Notebook- und Smartphone-Profil in Intune
Geräte vorbereiten
Mit Windows Autopilot und Intune lassen sich neue Geräte direkt aus der Verpackung einrichten.[5] Die Mitarbeitenden melden sich an, und Richtlinien sowie Anwendungen werden automatisch installiert. Das Gerät kann so direkt vom Händler an den Arbeitsplatz gehen.
Sicherheit vom ersten Tag an
Richten Sie MFA bei der ersten Anmeldung ein und erklären Sie den Umgang mit dem Passwortmanager. Wie ein Business-Passwortmanager funktioniert, beschreibt unser Beitrag zu Passwortmanagern für Unternehmen.
Wer ist für On- und Offboarding verantwortlich?
On- und Offboarding betreffen Personalabteilung, Führungskräfte und IT gleichzeitig. Ohne klare Zuständigkeiten schiebt jede Seite die Aufgabe weiter.
Rollen im Prozess
Legen Sie fest, wer den Prozess auslöst, wer Rechte freigibt und wer sie technisch umsetzt. Halten Sie diese Zuständigkeiten schriftlich fest.
Typische Aufgabenverteilung:
- Personalabteilung: meldet Eintritt, Wechsel und Austritt mit Datum
- Führungskraft: bestätigt Rolle, Rechte und Datenübergabe
- IT oder MSP: setzt Konten, Geräte und Sperren um
- Datenschutz: legt Fristen für Aufbewahrung und Löschung fest
Rollenwechsel nicht vergessen
Wechselt jemand die Abteilung, ist das ein Offboarding für die alte Rolle und ein Onboarding für die neue. Entziehen Sie alte Rechte aktiv, statt nur neue hinzuzufügen. Prüfen Sie Berechtigungen zusätzlich einmal im Jahr mit den Führungskräften.
Checkliste: IT-Offboarding
Arbeiten Sie die Punkte am letzten Arbeitstag oder bei einer Freistellung sofort ab. Dokumentieren Sie jeden Schritt mit Datum.
- Konto sperren: Anmeldung in Entra ID blockieren und Sitzungen widerrufen
- MFA-Methoden entfernen: registrierte Geräte und Authenticator-Einträge
- Postfach regeln: in ein freigegebenes Postfach umwandeln oder Weiterleitung einrichten[3]
- Abwesenheitsnotiz setzen: Hinweis auf neue Ansprechperson
- Daten übergeben: OneDrive-Inhalte an die Führungskraft übertragen
- Gruppen und Rollen entfernen: Teams, SharePoint, Admin-Rollen
- Fachanwendungen sperren: ERP, CRM und weitere Dienste
- Gemeinsame Zugänge ändern: Passwörter im Tresor erneuern
- Geräte zurücknehmen: Notebook, Smartphone, Token, Schlüssel und Ausweis[1]
- Geräte zurücksetzen: Löschung über Intune
- Lizenzen entfernen: nach Ablauf der Aufbewahrung
- Konto löschen: nach festgelegter Frist
Sonderfall: fristlose Trennung
Bei einer fristlosen Kündigung muss der Zugang sofort gesperrt werden, idealerweise während des Gesprächs. Stimmen Sie Personalabteilung und IT vorab ab, damit die Sperre zum richtigen Zeitpunkt greift. Bereiten Sie dafür eine kurze Liste der Zugänge vor, die sofort gesperrt werden müssen. Dazu gehören Microsoft 365, VPN, Fernwartung und Fachanwendungen mit Zugriff auf Kundendaten. Gemeinsame Passwörter ändern Sie unmittelbar danach.
Was passiert ohne geregelten Prozess?
Ohne festen Ablauf hängt die Sicherheit vom Gedächtnis einzelner Personen ab. Die Folgen zeigen sich oft erst Monate später.
Folgen fehlender Prozesse:
- Zugriff nach Austritt: ehemalige Mitarbeitende lesen weiter E-Mails oder Dateien
- Datenverlust: Inhalte von OneDrive oder Postfach werden mit dem Konto gelöscht
- Kosten: Lizenzen laufen für nicht mehr genutzte Konten weiter
- Nachweislücken: fehlende Dokumentation bei Prüfungen oder unter NIS2[6]
Wie Sie die Konten selbst schützen, lesen Sie im Beitrag Microsoft 365 absichern.
IT-On- und Offboarding mit Blured
Ein- und Austritte sind Routine, die verlässlich laufen muss. Als IT-Dienstleister aus Düsseldorf standardisieren wir diese Abläufe für Unternehmen mit 25 bis 250 Mitarbeitenden und setzen sie im Alltag um.
Ihre Vorteile:
- Rollenvorlagen: passende Rechte vom ersten Tag an
- schnelle Geräte: Einrichtung über Autopilot und Intune
- verlässliches Offboarding: Checkliste mit Dokumentation
- klare Abstimmung: fester Ablauf mit Ihrer Personalabteilung
Jetzt Erstgespräch vereinbaren · Telefon: +49 211 822 00 80
FAQ
Was gehört in eine Offboarding-Checkliste für die IT?
Wann sollte das Konto beim Austritt gesperrt werden?
Was passiert mit dem Postfach ausgeschiedener Mitarbeitender?
Was ist IT-Onboarding?
Nächster Schritt
On- und Offboarding mit BDT standardisieren
Sie möchten Ein- und Austritte in der IT verlässlich und nachvollziehbar abwickeln? Wir von Blured Digital Technologies in Düsseldorf richten standardisierte Abläufe für Konten, Lizenzen, Geräte und Zugänge ein und übernehmen die Umsetzung als Managed Service.
Mehmet Yüksel ist Gründer und Geschäftsführer der BDT Group GmbH (Blured Digital Technologies), eines 2018 gegründeten Managed Service Providers in Düsseldorf. Seine Schwerpunkte sind IT-Infrastruktur, Cyber Security und Managed Services.
