Offboarding in der IT: die Liste, die in den meisten Betrieben fehlt

In der Anleitung, die Microsoft für das Ausscheiden von Beschäftigten veröffentlicht, steht das Sperren der Anmeldung an erster Stelle. Das Entfernen der Lizenz steht an sechster von sieben. Zwischen beiden Schritten liegen fünf weitere Vorgänge — und in vielen Betrieben liegt dort auch das Ende der internen Checkliste.

Das ist kein Versehen einzelner Administratoren, sondern eine Folge der Regelwerke. Die Kataloge, an denen sich das Offboarding orientiert, beschreiben Sicherheit: Kennungen, Schlüssel, Ausweise, Zutritt. Ein Abonnement ist keine Berechtigung, sondern ein Vertragsposten. Es steht in der Abrechnung, nicht im Verzeichnisdienst — und läuft deshalb weiter, während der Zugang längst tot ist.

Was die Regelwerke beim Ausscheiden tatsächlich verlangen

Der Baustein ORP.2 Personal des IT-Grundschutz-Kompendiums enthält mit ORP.2.A2 eine Basis-Anforderung, die sich ausschließlich mit dem Weggang befasst. Sie schreibt vor, dass Nachfolgende rechtzeitig eingewiesen werden, idealerweise durch die ausscheidende Person selbst; ist eine direkte Übergabe nicht möglich, muss eine ausführliche Dokumentation entstehen.

Der zweite Teil der Anforderung zählt auf, was eingezogen werden muss: alle im Rahmen der Tätigkeit erhaltenen Unterlagen, Schlüssel und Geräte sowie Ausweise und Zutrittsberechtigungen. Hinzu kommen der Hinweis auf Verschwiegenheitsverpflichtungen, die Aktualisierung von Notfall- und Ablaufplänen und die Information aller betroffenen Stellen. Ausdrücklich empfohlen wird, dafür eine Checkliste anzulegen.

Der Baustein ORP.4 ergänzt die technische Seite: Bei personellen Veränderungen müssen nicht mehr benötigte Benutzendenkennungen und Berechtigungen entfernt werden. Beide Kataloge zusammen ergeben eine vollständige Liste dessen, was der Betrieb zurückbekommt. Ein Wort über Lizenzen, Abonnements oder wiederkehrende Entgelte enthält keiner von beiden.

Der verwaiste Zugang: ein Risiko, das niemand beobachtet

Der Verizon Data Breach Investigations Report 2026 wertet in seiner neunzehnten Ausgabe mehr als 31.000 Sicherheitsvorfälle aus, darunter über 22.000 bestätigte Datenabflüsse aus 145 Ländern; der Berichtszeitraum reicht vom 1. November 2024 bis zum 31. Oktober 2025. Der Missbrauch gültiger Zugangsdaten war darin erstmals seit Jahren nicht mehr der häufigste Einstiegsweg: Er fiel auf 13 Prozent, während ausgenutzte Software-Schwachstellen auf 31 Prozent stiegen.

Diese Verschiebung entlastet verwaiste Konten nicht. Im Segment kleiner und mittlerer Unternehmen erfasst derselbe Bericht 7.256 Vorfälle, davon 7.152 mit bestätigtem Datenabfluss — und Zugangsdaten waren bei 31 Prozent dieser Fälle unter den abgeflossenen Datenarten. Ein Konto, das keiner Person mehr zugeordnet ist, produziert keine Auffälligkeiten: Es meldet keine ungewöhnlichen Anmeldezeiten, weil es keine gewöhnlichen hat, und niemand bemerkt ein fremdes Passwort, weil niemand mehr das eigene benutzt.

Warum eine gesperrte Kennung die Lizenz nicht freigibt

Sperren und Freigeben sind zwei verschiedene Vorgänge an zwei verschiedenen Objekten. Die Sperrung wirkt auf das Konto im Verzeichnisdienst und beendet die Anmeldung. Die Lizenz ist eine Zuweisung im Abrechnungssystem des Anbieters; sie bleibt bestehen, solange sie nicht ausdrücklich entfernt wird. Ein gesperrtes Konto mit zugewiesener Lizenz ist aus Sicht der Rechnung ein aktiver Arbeitsplatz.

Microsoft trennt beides in seiner Anleitung sauber: Schritt 1 verhindert die Anmeldung, Schritt 6 entfernt die Lizenz, Schritt 7 löscht das Konto. Dokumentiert ist auch die Folge des sechsten Schritts — E-Mails, Kontakte und Kalender werden danach dreißig Tage aufbewahrt und dann endgültig gelöscht. Wer bei Schritt 1 aufhört, hat das Sicherheitsziel erreicht und zahlt weiter.

Wie groß dieser Posten insgesamt ist, zeigt der SaaS Management Index von Zylo aus dem Januar 2026: Gemessen an branchenüblichen Auslastungswerten bleiben im Durchschnitt 36 Prozent der gekauften SaaS-Lizenzen ungenutzt. Ausgeschiedene Beschäftigte sind nur ein Teil davon — aber der Teil, der sich am einfachsten abstellen lässt, weil das auslösende Ereignis bekannt und datiert ist.

Sperren, warten, löschen: was das BSI zur Frist sagt

Eine gesetzliche Frist in Stunden existiert nicht. Die Umsetzungshinweise zum Baustein ORP.4 formulieren stattdessen eine Verfahrenspflicht: Verlassen Mitarbeitende die Institution, müssen die nicht mehr benötigten Benutzerkennungen und Berechtigungen innerhalb einer definierten Zeit gesperrt und nach einer definierten Wartezeit vollständig gelöscht werden. Verbindlich ist also, dass die Institution beide Zeiträume selbst festlegt — und sie einhält.

Für die Ausgestaltung nennt das BSI konkrete Größen. Empfohlen wird, Kennungen zunächst nur zu deaktivieren, beispielsweise für einen Monat, damit sie im Fehlerfall leicht wiederhergestellt werden können. Mittelfristig, etwa innerhalb von drei Monaten nach dem Weggang, sollen alle Kennungen und die damit verbundenen Daten von den Produktivsystemen entfernt sein; für die Nachvollziehbarkeit werden sie in ein Archivsystem kopiert.

Ebenfalls verlangt wird eine Aufzeichnung darüber, von wann bis wann eine Kennung welche Berechtigungen besaß. Ohne diese Dokumentation lässt sich nach einem Vorfall nicht mehr klären, ob eine Aktion noch in die Beschäftigungszeit fiel. Voraussetzung für all das ist, dass die für das Berechtigungsmanagement zuständige Stelle zeitnah vom Ausscheiden erfährt — weshalb die Umsetzungshinweise einen entsprechenden Punkt in der Checkliste der Personalabteilung vorschlagen.

Das Postfach: hier laufen Sicherheit und Datenschutz auseinander

Beim dienstlichen E-Mail-Konto endet die rein technische Betrachtung. Der Landesbeauftragte für Datenschutz der Freien Hansestadt Bremen leitet aus Artikel 17 Absatz 1 Buchstabe a DSGVO ab, dass die E-Mail-Adresse nach dem Ausscheiden unverzüglich zu löschen ist, damit unter ihr keine weiteren Nachrichten mehr eingehen; Absender erhalten dann die Unzustellbarkeitsmeldung des Mailservers. Das steht in einer gewissen Spannung zum betrieblichen Wunsch, Kundenanfragen weiter zu empfangen.

Von der naheliegenden Lösung rät die Aufsicht ausdrücklich ab.

Praktikabel bleibt der Weg, den die Handlungshilfe beschreibt: Die ausscheidende Person räumt ihr Postfach vor dem letzten Arbeitstag selbst auf, betriebliche Nachrichten gehen an die Nachfolge, private werden gelöscht. Ist das nicht mehr möglich, wird eine benannte Person zur Sichtung berechtigt, die offensichtlich Privates ungeöffnet löscht. War private Nutzung erlaubt oder geduldet, verschärft sich die Lage zusätzlich, weil dann das Fernmeldegeheimnis berührt ist.

Die Checkliste in acht Schritten

1. Meldung auslösen Die Personalabteilung informiert IT-Betrieb und Vorgesetzte schriftlich über Austrittsdatum und letzten Arbeitstag, nicht mündlich und nicht am Tag danach.
2. Bestand aufnehmen Alle Konten, Rechte, Endgeräte, Zutrittsmittel und lizenzpflichtigen Anwendungen der Person aus Inventar und Berechtigungsdokumentation zusammenstellen.
3. Übergabe dokumentieren Einweisung der Nachfolge durch die ausscheidende Person; ist sie nicht möglich, eine ausführliche schriftliche Dokumentation anfertigen.
4. Postfach klären Private Nachrichten von der Person selbst löschen lassen, betriebliche an die Nachfolge übergeben, Zugriffsberechtigung und Löschdatum festhalten.
5. Zugänge sperren Am letzten Arbeitstag alle Kennungen deaktivieren, Passwörter ändern, Gruppen- und Rollenzuordnungen entfernen, Mehr-Faktor-Token ungültig setzen.
6. Sachen einziehen Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen zurücknehmen und im Inventar auf „zurückgegeben” setzen.
7. Lizenzen freigeben Zuweisungen in jedem Abrechnungssystem einzeln aufheben, Aufbewahrungsfristen für die Daten beachten und die Freigabe mit Datum protokollieren.
8. Löschen und archivieren Nach der festgelegten Wartezeit Konto und Daten aus den Produktivsystemen entfernen, Nachweise ins Archiv kopieren.

Wer bis wann handelt

Eine Checkliste ohne Zuständigkeit ist eine Absichtserklärung. Der IT-Grundschutz verlangt deshalb neben der Liste einen festen Ansprechpartner und die Information aller betroffenen Stellen. In der Praxis scheitert das Offboarding selten an fehlendem Wissen, sondern daran, dass drei Abteilungen jeweils annehmen, eine andere habe den Punkt bereits erledigt.

Was sich automatisieren lässt und was nicht

Die Schritte, die an ein bekanntes Datum und eine bekannte Person gebunden sind, eignen sich für die Automatisierung: Sperrung, Rechteentzug, Lizenzfreigabe, Erinnerung an die Geräterückgabe. Voraussetzung ist ein Portal, in dem Konten, Geräte und Software-Zuweisungen derselben Identität hängen, damit eine IT-Offboarding-Checkliste nicht als Dokument neben den Systemen liegt, sondern deren Zustand abbildet. Anbieter, die On- und Offboarding als geführten Vorgang abbilden, setzen genau hier an — On- und Offboarding automatisiert abwickeln heißt dabei vor allem, dass jeder Schritt einen Zeitstempel und eine verantwortliche Person bekommt.

kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Das Angebot richtet sich an Betriebe mit 20 bis 250 Mitarbeitenden; für Konzerne mit eigener großer IT-Organisation ist es nicht gedacht.

Nicht automatisieren lässt sich die Beurteilung, welche Nachricht im Postfach privat ist. Diese Entscheidung bleibt bei einer benannten Person, und genau deshalb gehört sie mit Namen in die Checkliste statt in eine Rolle.

Der Abgleich, der nach dem Offboarding kommt

Ein einzelner sauberer Vorgang ersetzt keine Kontrolle. Die Umsetzungshinweise zum Baustein ORP.4 verlangen, dass Berechtigungen durchgängig aktuell gehalten werden — was ohne wiederkehrenden Abgleich zwischen Personalbestand, Verzeichnisdienst und Lizenzbestand nicht nachweisbar ist. Sinnvoll ist ein Rhythmus, der an die Vertragsverlängerungen gekoppelt ist: Vor jeder Verlängerung wird die Zahl der zugewiesenen Lizenzen gegen die Zahl der aktiven Beschäftigten gestellt.

Dieser Abgleich findet zwei Fehlerklassen, die einzelne Offboardings nie zeigen: Konten, die aus früheren Jahren stammen und keiner Person mehr zuzuordnen sind, und Lizenzen, die auf gesperrten Konten weiterlaufen. Beide sind erst als Bestand sichtbar, nicht als Einzelfall.

Die Grenze der Checkliste

Deprovisionieren lässt sich nur, was jemand provisioniert hat. Wenn Fachbereiche Software direkt über Kreditkarte und Spesenabrechnung beziehen, existiert das Konto in keinem Verzeichnis, und der Austritt einer Person löst dort nichts aus. Der SaaS Management Index 2026 beziffert diese Verschiebung: Fachbereiche verantworten inzwischen 81 Prozent der SaaS-Ausgaben, die IT verwaltet direkt noch 15 Prozent.

Gegen diese Lücke hilft keine bessere Offboarding-Liste, sondern ein zweiter Mechanismus — die Durchsicht wiederkehrender Abbuchungen in der Spesen- und Kreditkartenabrechnung auf Positionen, deren zugehörige Person nicht mehr im Haus ist. Das ist Arbeit für die Buchhaltung, nicht für den IT-Betrieb, und sie gehört als eigener Punkt in den Monatsabschluss.

Häufige Fragen

Wie schnell muss ein Zugang nach dem Ausscheiden gesperrt sein?

Eine feste gesetzliche Frist in Stunden gibt es nicht. Die Umsetzungshinweise des BSI zum Baustein ORP.4 verlangen, dass nicht mehr benötigte Kennungen innerhalb einer definierten Zeit gesperrt und nach einer definierten Wartezeit vollständig gelöscht werden. Die Institution muss diese Zeiträume selbst festlegen; üblich ist die Sperrung zum Ende des letzten Arbeitstags.

Muss das dienstliche E-Mail-Postfach nach dem Ausscheiden gelöscht werden?

Der Landesbeauftragte für Datenschutz der Freien Hansestadt Bremen leitet aus Artikel 17 Absatz 1 Buchstabe a DSGVO ab, dass die E-Mail-Adresse nach dem Ausscheiden unverzüglich zu löschen ist, sodass keine weiteren Nachrichten mehr unter ihr eingehen. Betriebliche Inhalte werden vorher an die Nachfolge übergeben, offensichtlich private Nachrichten ungeöffnet gelöscht.

Ist eine automatische Weiterleitung an die Nachfolge zulässig?

Die Bremer Handlungshilfe rät davon ab, weil im Postfach vertrauliche Nachrichten liegen können, etwa aus der Kommunikation mit der Personalvertretung oder dem betriebsärztlichen Dienst. Zulässig ist eine Weiterleitung allenfalls dort, wo private Nutzung ausdrücklich untersagt war — auch dann bleibt das Risiko privater Eingänge von außen bestehen.

Warum wird eine Lizenz durch das Sperren des Kontos nicht frei?

Sperrung und Lizenzzuweisung sind zwei getrennte Objekte: Die Sperrung wirkt im Verzeichnisdienst, die Zuweisung im Abrechnungssystem des Anbieters. Microsoft führt beides deshalb als getrennte Schritte — Anmeldung blockieren als Schritt 1, Lizenz entfernen als Schritt 6. Ohne den zweiten Vorgang wird der Arbeitsplatz weiter berechnet.

Wer ist im Betrieb für das IT-Offboarding zuständig?

Die Auslösung liegt bei der Personalabteilung, die Übergabe bei den Vorgesetzten, Sperrung und Löschung beim IT-Betrieb, die Lizenzfreigabe bei IT-Betrieb und Einkauf. Der IT-Grundschutz verlangt zusätzlich einen festen Ansprechpartner, damit einzelne Punkte nicht zwischen den Zuständigkeiten liegen bleiben.