IT-Offboarding: die Checkliste für den letzten Arbeitstag

Die kurze Antwort: IT-Offboarding gelingt mit einer festen Checkliste, die am letzten Arbeitstag vollständig abgearbeitet wird. Kennwort zurücksetzen und alle Sitzungen beenden, Anmeldung blockieren, Postfach übergeben, Weiterleitungen prüfen, Firmendaten von den Geräten entfernen, zum Schluss Lizenzen und Drittdienste aufräumen. Die Reihenfolge zählt, denn nicht jeder Schritt wirkt sofort. Und jeder vergessene Punkt bleibt eine offene Tür zu Ihren Firmendaten, die niemand mehr überwacht.

Warum vergessene Konten so gefährlich sind

Solange ein Konto aktiv ist, funktionieren Anmeldung, Postfach und Dateizugriff weiter, auch wenn der Mensch dahinter längst weg ist. Auffallen kann das kaum: Über Anmeldungen auf diesem Konto wundert sich niemand mehr, und Warnmeldungen dazu liest auch niemand. Dazu kommen stille Abflüsse, etwa eine selbst eingerichtete Weiterleitung an eine private Adresse oder Firmendaten in Apps auf dem privaten Handy. Ein geregelter Austrittsprozess gehört deshalb genauso zur IT-Sicherheit wie Virenschutz und Updates.

Schritt 1: Kennwort zurücksetzen, Sitzungen beenden, Anmeldung blockieren

Die Reihenfolge ist wichtiger, als viele denken. Microsoft dokumentiert in Schritt 1 seiner Anleitung zum Entfernen ehemaliger Mitarbeiter, dass die Sperrung über „Anmeldung blockieren" bis zu 24 Stunden dauern kann. Wer sofort wirken will, setzt zuerst das Kennwort zurück und wählt dann im Microsoft 365 Admin Center „Abmelden von allen Sitzungen". Auch danach gilt: Ein bereits ausgestelltes Zugriffstoken bleibt laut Microsoft bis zu einer Stunde gültig, angemeldete Apps laufen also noch kurze Zeit weiter. Erst die Kombination aus neuem Kennwort, beendeten Sitzungen und blockierter Anmeldung schließt die Tür verlässlich.

Schritt 2: Postfach übergeben statt löschen

Im Postfach liegen Kundenkommunikation und Termine, löschen Sie es also nicht vorschnell. Der saubere Weg ist die Umwandlung in ein freigegebenes Postfach: E-Mails und Kalender bleiben laut der Microsoft-Dokumentation zum Konvertieren von Benutzerpostfächern vollständig erhalten, und bleibt das Postfach unter 50 GB, benötigt es danach keine Lizenz mehr. Zwei Stolperfallen nennt Microsoft ausdrücklich. Das Benutzerkonto darf nicht gelöscht werden, weil das freigegebene Postfach es als Anker braucht. Und wird das Kennwort nicht zurückgesetzt, funktioniert die alte Anmeldung nach der Umwandlung weiter. Schritt 1 gehört also zwingend davor.

Schritt 3: Weiterleitungen und Posteingangsregeln prüfen

Posteingangsregeln bleiben bei der Umwandlung erhalten, so dokumentiert es Microsoft. Für die Übergabe ist das praktisch, riskant wird es, wenn der Mitarbeiter selbst eine Weiterleitung an eine externe Adresse eingerichtet hat: Sie läuft sonst unbemerkt weiter. Prüfen Sie deshalb am letzten Arbeitstag die Postfachweiterleitung, alle Regeln und die Stellvertretungen. Wie Sie den Mailkanal insgesamt absichern, zeigt unsere Seite zur E-Mail-Sicherheit.

Schritt 4: Firmendaten von den Geräten holen

Firmengeräte werden abgegeben und über Intune per „Zurücksetzen" auf Werkseinstellungen gebracht. Für private Geräte, die dienstlich genutzt wurden, gibt es die Aktion „Außer Betrieb nehmen": Sie entfernt laut Microsoft-Dokumentation Unternehmensdaten, verwaltete Apps und Profile, lässt private Fotos und Apps aber unangetastet. Wichtig für das Timing: Beide Aktionen greifen erst, wenn das Gerät das nächste Mal Kontakt zu Intune aufnimmt. Lösen Sie sie deshalb aus, solange das Gerät noch online ist. Die Grundlage dafür beschreibt unsere Seite zur Geräteverwaltung mit Intune.

Schritt 5: Lizenzen und Drittdienste

Die frei gewordene Microsoft-365-Lizenz weisen Sie dem Nachfolger zu oder kündigen sie. Denken Sie zum Schluss an alles außerhalb von Microsoft 365: Branchensoftware, Buchhaltung, Onlineshop, Social-Media-Zugänge und geteilte Zugangsdaten. Führen Sie je Mitarbeiter eine Liste der Dienste mit eigenem Login, sonst wird genau dieser Punkt regelmäßig vergessen. Bei geteilten Konten gehört das Kennwort am Austrittstag geändert.

Häufige Fragen

Reicht es nicht, nur die Anmeldung zu blockieren?

Nein. Die Sperrung kann laut Microsoft bis zu 24 Stunden brauchen, und bestehende Sitzungen laufen zunächst weiter. Sofort wirksam ist erst die Kombination aus zurückgesetztem Kennwort, beendeten Sitzungen und blockierter Anmeldung.

Müssen wir das Konto des Ausgeschiedenen irgendwann löschen?

Erst dann, wenn Sie auch das Postfach nicht mehr brauchen. Solange es als freigegebenes Postfach weiterlebt, bleibt das gesperrte Benutzerkonto als Anker bestehen. Die Lizenz können Sie trotzdem entfernen, sofern das Postfach unter 50 GB bleibt.

Was ist mit privaten Geräten, die nie in der Geräteverwaltung waren?

Dort kann Intune nichts entfernen. Umso wichtiger sind Schritt 1 dieser Checkliste und ein klarer Grundsatz für die Zukunft: Dienstliche Daten gehören nur auf verwaltete Geräte, auch bei privater Hardware.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet für kleine und mittlere Unternehmen einen festen Offboarding-Ablauf ein: eine Checkliste, die zu Ihrer Umgebung passt, und auf Wunsch die Umsetzung am Austrittstag, vom Sperren des Kontos über die Postfachübergabe bis zum Gerätewipe. Als Teil unserer geregelten IT-Prozesse wird der Austrittsprozess damit zum Regelbetrieb statt zur Ausnahme. Mit direktem Ansprechpartner statt anonymer Hotline.

Quellen

• Microsoft Learn: Verhindern der Benutzeranmeldung und Blockieren des Zugriffs auf Microsoft 365 (Schritt 1)
• Microsoft Learn: Konvertieren eines Benutzerpostfachs in ein freigegebenes Postfach
• Microsoft Learn: Intune-Geräteaktion „Außer Betrieb nehmen"