Ein belastbarer IT-Offboarding Prozess entscheidet darüber, ob mit dem letzten Arbeitstag tatsächlich alle Zugriffsmöglichkeiten enden oder ob ein Konto, ein VPN-Zertifikat und ein Cloud-Speicher noch Monate später aktiv bleiben. In der Praxis ist die Lücke groß: Während das Onboarding meist durchdacht abläuft, weil ohne Zugänge niemand arbeiten kann, erzeugt ein unvollständiges Offboarding keinen unmittelbar spürbaren Schmerz. Genau deshalb fällt es lange nicht auf. Verwaiste Konten gehören zu den am häufigsten dokumentierten Befunden in IT-Sicherheitsaudits und stellen ein Einfallstor dar, das ohne technische Angriffskette auskommt: Ein gültiges Zugangsdatum genügt. Dieser Beitrag beschreibt, wie der Prozess strukturiert wird, welche Rollen beteiligt sind, welche Fristen gelten und wie sich die Vollständigkeit nachweisen lässt. Die Darstellung orientiert sich an den Anforderungen von ISO/IEC 27001 und an den Verpflichtungen aus der Datenschutz-Grundverordnung.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von Albert Stoynov auf Unsplash.
Warum der Austritt ein Sicherheitsereignis ist
Der Austritt einer Person verändert die Berechtigungslage eines Unternehmens schlagartig. Bis zum letzten Arbeitstag bestand ein legitimer Zugriff auf Systeme, Daten und teilweise auf physische Bereiche. Danach besteht er nicht mehr. Der Übergang zwischen beiden Zuständen ist der kritische Moment, weil er organisatorisch koordiniert werden muss und nicht technisch erzwungen wird.
Drei Risikolagen sind zu unterscheiden. Der einvernehmliche Austritt mit langer Kündigungsfrist erlaubt eine geplante Übergabe. Die fristlose Trennung erfordert sofortige Sperrung ohne Vorlauf. Der stille Austritt, etwa das Auslaufen eines befristeten Vertrags oder das Ende eines Dienstleisterprojekts, wird häufig gar nicht an die IT gemeldet und erzeugt die längsten Zeiträume mit aktiven, aber unberechtigten Zugängen.
Das größte Offboarding-Risiko liegt nicht bei der konfliktbehafteten Kündigung, sondern bei dem Austritt, den niemand der IT gemeldet hat.
Typische Fundstellen verwaister Zugänge
- Cloud-Dienste, die von Fachabteilungen ohne Beteiligung der IT beschafft wurden
- Sammelkonten und geteilte Zugangsdaten für Portale, Behördenzugänge oder Lieferantensysteme
- Fernwartungszugänge, die für externe Dienstleister eingerichtet und nie befristet wurden
- Private Endgeräte mit synchronisierten Unternehmensdaten
- Weiterleitungsregeln in Postfächern, die den Mailverkehr auf eine externe Adresse spiegeln
- Berechtigungen in Fachanwendungen, die eine eigene Benutzerverwaltung außerhalb des Verzeichnisdienstes führen
Normative und rechtliche Anknüpfungspunkte
ISO/IEC 27001 behandelt den Themenkomplex im Anhang A unter den Maßnahmen zur Personalsicherheit und zur Zugangssteuerung. Gefordert wird, dass Verantwortlichkeiten und Pflichten, die nach Beendigung des Beschäftigungsverhältnisses fortbestehen, definiert und kommuniziert werden, dass betriebliche Werte zurückgegeben und dass Zugriffsrechte entzogen oder angepasst werden. Die Norm schreibt keine konkrete Frist vor, verlangt aber einen definierten und nachweisbaren Ablauf.
Aus der Datenschutz-Grundverordnung ergibt sich eine zweite Anforderung. Nach Art. 32 DSGVO sind technische und organisatorische Maßnahmen zu treffen, die ein dem Risiko angemessenes Schutzniveau gewährleisten, ausdrücklich einschließlich der Fähigkeit, die Vertraulichkeit der Systeme dauerhaft sicherzustellen. Ein aktives Konto einer ausgeschiedenen Person widerspricht dieser Anforderung unmittelbar. Nachvollziehbar ist der Rahmen über die amtliche Fassung des Bundesdatenschutzgesetzes, das die nationalen Öffnungsklauseln konkretisiert.
Hinzu kommen branchenspezifische Anforderungen. In regulierten Sektoren verlangen Aufsichtsvorgaben regelmäßig einen Nachweis über den zeitnahen Entzug von Berechtigungen, teilweise mit einer Höchstfrist von einem Werktag nach Wirksamwerden des Austritts.
Rollen und Auslöser
Der häufigste Grund für unvollständiges Offboarding ist nicht technisches Unvermögen, sondern eine fehlende Informationskette. Die Personalabteilung kennt den Austrittstermin, die IT kennt die Konten, die Fachabteilung kennt die Anwendungen. Ohne definierten Auslöser bleibt der Prozess dem Zufall überlassen.
| Rolle | Aufgabe im Offboarding | Zeitpunkt |
|---|---|---|
| Personalabteilung | Meldung des Austritts mit Datum und Trennungsart, Anstoß des Prozesses | unmittelbar nach Kenntnis |
| Führungskraft | Benennung der Vertretung, Freigabe der Datenübernahme, Bestätigung der Rückgabe | vor dem letzten Arbeitstag |
| IT-Betrieb | Sperrung, Entzug von Berechtigungen, Geräterücknahme, Dokumentation | am Austrittstag, bei fristloser Trennung sofort |
| Fachanwendungsverantwortliche | Entzug in Systemen mit eigener Benutzerverwaltung | innerhalb eines Werktags |
| Datenschutzbeauftragter | Prüfung von Löschfristen für personenbezogene Daten der ausgeschiedenen Person | nachgelagert |
Als verbindlicher Auslöser eignet sich ausschließlich ein Ereignis im führenden Personalsystem. Mündliche Zurufe, Kalendereinträge oder informelle Mails sind nicht auditierbar und gehen im Tagesgeschäft verloren.
Ablauf in fünf Phasen
Phase 1: Erfassung und Planung
Mit der Meldung des Austritts wird ein Offboarding-Vorgang eröffnet. Erfasst werden Austrittsdatum, Trennungsart, Vorgesetzte, Vertretung und die Frage, ob eine Freistellung erfolgt. Bereits hier wird entschieden, ob die Sperrung zum Austrittsdatum oder sofort erfolgt. Bei Freistellung ist der letzte Arbeitstag nicht identisch mit dem Vertragsende, was in der Praxis regelmäßig zu Fehlern führt.
Phase 2: Inventur der Zugänge
Vor der Sperrung wird ermittelt, über welche Zugänge die Person tatsächlich verfügt. Grundlage ist idealerweise ein zentrales Berechtigungsverzeichnis, das Rollen und Systeme zuordnet. Fehlt ein solches Verzeichnis, bleibt nur eine Abfrage bei den Systemverantwortlichen, was fehleranfällig ist. Der Aufbau eines Berechtigungsverzeichnisses ist damit die wichtigste Vorarbeit für ein funktionierendes Offboarding.
Phase 3: Datenübergabe
Vor der Sperrung müssen betrieblich benötigte Daten gesichert werden. Betroffen sind Postfach, persönliches Laufwerk, lokale Dateien auf dem Endgerät sowie Inhalte in Kollaborationswerkzeugen. Die Übergabe erfolgt an die benannte Vertretung, dokumentiert und mit Bezug auf den betrieblichen Zweck. Zu beachten ist, dass Postfächer regelmäßig auch private Inhalte enthalten. Ist die private Nutzung erlaubt oder geduldet, sind die Zugriffsmöglichkeiten des Arbeitgebers eingeschränkt und sollten vorab mit dem Datenschutzbeauftragten und gegebenenfalls dem Betriebsrat geklärt werden.
Phase 4: Entzug und Rückgabe
Der eigentliche Entzug erfolgt in einer festgelegten Reihenfolge. Zuerst werden die Zugänge deaktiviert, die einen Fernzugriff ermöglichen, weil hier das größte Risiko besteht. Anschließend folgen die internen Systeme und zuletzt die physischen Zutrittsmittel.
- Multifaktor-Token und Fernzugangsprofile widerrufen, aktive Sitzungen beenden
- Konto im Verzeichnisdienst deaktivieren, Kennwort ändern, Anmeldung sperren
- Zugriffstoken für Cloud-Dienste und mobile Geräte zurückziehen
- Berechtigungen in Fachanwendungen mit eigener Benutzerverwaltung entziehen
- Weiterleitungsregeln und Stellvertreterrechte im Postfach prüfen und entfernen
- Gemeinsam genutzte Zugangsdaten ändern, sofern die Person Kenntnis hatte
- Endgeräte, Datenträger, Zutrittskarten und Schlüssel zurücknehmen und quittieren
- Signaturkarten, Zertifikate und Berechtigungen bei externen Portalen widerrufen
Die Deaktivierung ist der Löschung vorzuziehen. Ein gelöschtes Konto reißt Referenzen in Protokollen, Dokumentenhistorien und Freigabeketten auf und erschwert spätere Nachvollziehbarkeit. Üblich ist eine Deaktivierung mit anschließender Löschung nach einer definierten Aufbewahrungsfrist.
Phase 5: Nachweis und Abschluss
Der Vorgang wird erst geschlossen, wenn für jede Position der Inventur ein dokumentierter Status vorliegt. Der Nachweis umfasst Zeitpunkt, ausführende Person und betroffenes System. Ein einfaches Protokoll im Ticketsystem genügt, sofern es revisionssicher abgelegt wird.
Sofortmaßnahmen bei fristloser Trennung
Bei einer außerordentlichen Kündigung oder bei Verdacht auf missbräuchliches Verhalten gilt eine abweichende Reihenfolge. Die Sperrung erfolgt vor oder zeitgleich mit der Mitteilung an die betroffene Person, nicht danach. Voraussetzung ist ein vorbereitetes Verfahren, das ohne Vorlaufzeit ausgeführt werden kann.
- Ein definierter Personenkreis in der IT ist berechtigt, Sofortsperrungen ohne Ticketvorlauf auszuführen
- Eine Kurzliste der kritischen Systeme liegt vor, damit im Ernstfall nicht recherchiert werden muss
- Aktive Sitzungen werden zwangsbeendet, nicht nur künftige Anmeldungen unterbunden
- Protokolldaten werden gesichert, bevor Rotationsfristen sie überschreiben
- Die Personalabteilung informiert die IT vor dem Gespräch, nicht im Anschluss
Der letzte Punkt erzeugt regelmäßig Diskussionen, weil er Vertraulichkeit erfordert. Praktikabel ist eine Regelung, nach der ausschließlich eine benannte Person in der IT vorab informiert wird und diese die Sperrung selbst ausführt.
Interne Wechsel: das übersehene Szenario
Nicht jede Berechtigungsänderung entsteht durch einen Austritt. Wechselt eine Person die Abteilung, werden die neuen Rechte in der Regel zügig erteilt, die alten aber selten entzogen. Über mehrere Wechsel hinweg entsteht eine Rechteakkumulation, die im Ergebnis dieselbe Wirkung hat wie ein verwaistes Konto: Zugriff ohne fachliche Grundlage.
Wirksam ist die Kopplung von Berechtigungen an Rollen statt an Personen. Wechselt die Rolle, wechselt automatisch das Rechteprofil. Wo eine vollständige Rollenmodellierung nicht möglich ist, hilft eine periodische Rezertifizierung, bei der Führungskräfte die Berechtigungen ihrer Bereiche bestätigen oder widerrufen. Ein jährlicher Turnus ist der übliche Mindeststandard, für kritische Systeme empfiehlt sich ein halbjährlicher.
Externe Beschäftigte und Dienstleister
Bei Werkvertragsnehmern, Leiharbeitskräften und Dienstleistern liegt der Austritt außerhalb der eigenen Personalprozesse. Es existiert kein Eintrag im Personalsystem, der einen Auslöser erzeugen könnte. Zwei Mechanismen haben sich bewährt.
Erstens die technische Befristung: Jedes Konto für eine externe Person erhält bei Anlage ein Ablaufdatum, das dem Projektende entspricht. Verlängerung ist möglich, aber aktiv zu beantragen. Der Standardzustand ist damit die Sperrung, nicht die Fortführung. Zweitens die vertragliche Meldepflicht: Der Dienstleister verpflichtet sich, das Ausscheiden eingesetzter Personen unverzüglich zu melden. Diese Klausel gehört in den Rahmenvertrag und, bei Verarbeitung personenbezogener Daten, in den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Messung und Kontrolle
Ein Prozess, dessen Wirksamkeit nicht gemessen wird, verfällt. Für das Offboarding eignen sich wenige, einfach erhebbare Kennzahlen.
| Kennzahl | Aussage | Erhebung |
|---|---|---|
| Zeitspanne zwischen Austrittsdatum und Kontosperrung | Reaktionsfähigkeit des Prozesses | Abgleich Personalsystem und Verzeichnisdienst |
| Anzahl aktiver Konten ohne zugeordnetes Beschäftigungsverhältnis | Bestand verwaister Zugänge | periodischer Abgleich, mindestens quartalsweise |
| Anteil vollständig abgeschlossener Offboarding-Vorgänge | Prozessdisziplin | Auswertung im Ticketsystem |
| Konten ohne Anmeldung über 90 Tage | Hinweis auf nicht gemeldete Austritte | Auswertung der Anmeldeprotokolle |
Die letzte Kennzahl ist besonders aufschlussreich, weil sie unabhängig von der Meldekette funktioniert. Ein Konto, das seit drei Monaten nicht genutzt wurde, ist entweder überflüssig oder gehört zu einer Person, deren Austritt nicht gemeldet wurde. Beide Fälle erfordern eine Klärung.
Typische Fehlerbilder
- Sperrung nur im Verzeichnisdienst: Anwendungen mit eigener Benutzerverwaltung bleiben unberührt und gewähren weiterhin Zugriff.
- Kennwortänderung ohne Sitzungsbeendigung: Bestehende Tokens und aktive Sitzungen bleiben gültig, teilweise über Wochen.
- Postfachweiterleitung übersehen: Der Mailverkehr fließt weiter an eine externe Adresse, obwohl das Konto gesperrt ist.
- Geteilte Zugangsdaten nicht rotiert: Kenntnis von Sammelpasswörtern überdauert jede Kontosperrung.
- Kein Abgleich mit dem Personalsystem: Der Bestand wird nie gegen die tatsächliche Belegschaft geprüft.
- Fehlende Dokumentation: Der Entzug wurde ausgeführt, ist aber im Audit nicht nachweisbar und gilt damit als nicht erfolgt.
Werkzeugunterstützung und Automatisierung
Manuelle Checklisten funktionieren zuverlässig bis etwa 100 Beschäftigte und einer überschaubaren Zahl an Systemen. Darüber hinaus wächst die Fehlerwahrscheinlichkeit, weil die Zahl der Kombinationen aus Rolle, System und Berechtigung nicht mehr im Kopf gehalten werden kann. Der nächste Reifegrad ist die Anbindung des Personalsystems an den Verzeichnisdienst, sodass der Statuswechsel einer Person automatisch eine Kontodeaktivierung auslöst.
Vollständige Identity-Governance-Lösungen erweitern dies um Antragsworkflows, Rezertifizierungskampagnen und automatische Provisionierung in angebundenen Anwendungen. Die Einführung ist allerdings kein reines IT-Projekt: Sie setzt ein gepflegtes Rollenmodell voraus, und genau dessen Erarbeitung bindet den größten Anteil des Aufwands. Für mittelständische Organisationen ist deshalb ein stufenweises Vorgehen sinnvoll. Zunächst wird die automatische Deaktivierung im Verzeichnisdienst umgesetzt, weil sie den größten Risikoanteil abdeckt. Erst danach folgen weitere Systeme, priorisiert nach Schutzbedarf der dort verarbeiteten Daten.
Unabhängig vom Werkzeug bleibt eine organisatorische Voraussetzung bestehen: Die Datenqualität im Personalsystem bestimmt die Qualität der Automatisierung. Ist der Austrittstermin dort nicht oder verspätet gepflegt, greift auch die beste technische Kopplung zu spät.
Einführung in bestehende Organisationen
Ein Offboarding-Verfahren lässt sich in überschaubarem Aufwand einführen, wenn es in der richtigen Reihenfolge aufgebaut wird. Empfehlenswert ist ein Vorgehen in vier Schritten: zunächst eine Bestandsaufnahme aller Systeme mit eigener Benutzerverwaltung, dann die Definition des verbindlichen Auslösers im Personalprozess, anschließend die Erstellung einer Standardcheckliste je Beschäftigungsart und zuletzt die Etablierung des periodischen Abgleichs zwischen Personalbestand und aktiven Konten.
Der erste Schritt fördert regelmäßig mehr Systeme zutage als erwartet, insbesondere fachbereichseigene Cloud-Abonnements. Diese Transparenz ist ein eigenständiger Sicherheitsgewinn, unabhängig vom Offboarding.
FAQ
Wie schnell muss ein Konto nach dem Austritt gesperrt werden?
Gesetzlich ist keine allgemeine Frist festgelegt. Als Standard hat sich die Sperrung zum Ende des letzten Arbeitstags etabliert, bei außerordentlicher Kündigung sofort. In regulierten Branchen fordern Aufsichtsvorgaben teilweise eine Höchstfrist von einem Werktag, die dann verbindlich einzuhalten ist.
Sollte das Benutzerkonto gelöscht oder deaktiviert werden?
Die Deaktivierung ist in der Regel vorzuziehen. Sie unterbindet jeden Zugriff, erhält aber Referenzen in Protokollen, Dokumentenhistorien und Freigabeketten. Eine endgültige Löschung sollte erst nach Ablauf der einschlägigen Aufbewahrungs- und Löschfristen erfolgen.
Darf der Arbeitgeber auf das Postfach einer ausgeschiedenen Person zugreifen?
Bei ausschließlich dienstlicher Nutzung ist ein Zugriff zu betrieblichen Zwecken regelmäßig möglich. War private Nutzung erlaubt oder geduldet, bestehen erhebliche Einschränkungen. Empfehlenswert sind eine klare Nutzungsregelung, eine Vertreterlösung vor dem Austritt und die Abstimmung mit Datenschutzbeauftragtem und Betriebsrat.
Wie werden Zugänge externer Dienstleister zuverlässig beendet?
Über technische Befristung. Jedes externe Konto erhält bei Anlage ein Ablaufdatum entsprechend der Projektlaufzeit, eine Verlängerung muss aktiv beantragt werden. Ergänzend gehört eine Meldepflicht bei Personalwechseln in den Rahmen- und Auftragsverarbeitungsvertrag.
Was ist beim internen Abteilungswechsel zu beachten?
Alte Berechtigungen sind mit derselben Konsequenz zu entziehen wie beim Austritt. Ohne diesen Schritt entsteht über mehrere Wechsel hinweg eine Rechteakkumulation. Rollenbasierte Vergabe und periodische Rezertifizierung durch die Führungskräfte begrenzen das Risiko.
Welche Nachweise erwartet ein Auditor?
Ein dokumentiertes Verfahren, eine je Vorgang ausgefüllte Checkliste mit Zeitstempel und ausführender Person sowie den Nachweis eines periodischen Abgleichs zwischen Personalbestand und aktiven Konten. Nicht dokumentierte Maßnahmen gelten im Audit als nicht durchgeführt.
