Mitarbeiter-Offboarding: Die IT-Checkliste gegen offene Zugänge

Eine Frage vorab: Wer hatte vergangenen Freitag Zugriff auf Ihr Kunden-Postfach? Und wer hat ihn heute noch, obwohl er längst woanders arbeitet?

In vielen Betrieben lautet die ehrliche Antwort: Das weiß gerade niemand genau. Der Kollege ist gegangen, den Laptop hat er abgegeben, der Rest lief einfach weiter. Die Mailweiterleitung. Der Cloud-Zugang. Das geteilte Passwort fürs Buchhaltungsportal.

Das ist kein böser Wille und kein Vorwurf. Meistens führt schlicht niemand eine Liste, wer worauf Zugriff hat. Und was auf keiner Liste steht, fällt beim Abschied auch keinem ein.

Ein Ex-Mitarbeiter, der aus Trotz Daten löscht, ist der seltene Fall. Das eigentliche Risiko ist unspektakulärer: ein altes Konto, das monatelang keiner mehr anfasst. Genau die knacken Angreifer am liebsten. Kein Mensch ändert das Passwort. Kein Mensch bemerkt den Einbruch.

Warum die Offboarding-Lücke gefährlich ist

Offboarding ist nur ein englisches Wort für das geordnete Ausscheiden: Alles, was beim Eintritt eingerichtet wurde, wird beim Austritt wieder sauber geschlossen. Klingt selbstverständlich. Ist es im Alltag selten. Drei Baustellen tauchen fast immer auf.

Weiterlaufende Weiterleitungen. Das Postfach ist deaktiviert, doch die Regel »alles an die Privatadresse« läuft still weiter. Angebote, Rechnungen, Kundenanfragen tröpfeln monatelang auf ein Konto, das Ihnen nicht mehr gehört.

Geteilte Team-Passwörter. Ein Login für das Buchhaltungsportal, den Paketdienst, den Firmen-Instagram, das alle kennen. Der Kollege geht, das Passwort bleibt. Und mit ihm sein Wissen über Ihren Zugang.

Private Geräte mit Firmenmail. Das Diensthandy kam zurück. Das private Tablet, auf dem die Firmenmail »nur kurz« eingerichtet wurde, nicht. Es synchronisiert brav weiter, in einem Haushalt, den Sie nicht kennen.

Wer glaubt, der eigene Betrieb sei zu klein, als dass sich jemand für solche Konten interessiert, sitzt einem verbreiteten Irrtum auf. Warum gerade »zu klein für Hacker« die gefährlichste Lüge ist, rechne ich Ihnen in diesem Beitrag vor.

Die Tag-1-Regel: sperren am letzten Arbeitstag, nicht »demnächst«

Wann sollten die Zugänge dicht sein? Am letzten Arbeitstag. Nicht in der Woche darauf, nicht »wenn ich mal Zeit habe«.

Das klingt hart, ist aber keine Misstrauensfrage, sondern sauberes Handwerk. Der Zugang endet, wenn das Arbeitsverhältnis endet. Punkt.

Wichtig ist der Unterschied zwischen sperren und löschen. Ein Postfach, das Sie am letzten Tag deaktivieren, können Sie in Ruhe an die Nachfolge übergeben, statt es drei Wochen später panisch wiederherzustellen, weil eine entscheidende Kundenmail fehlt. Erst sperren, dann sichern, dann in Ruhe aufräumen.

Die Offboarding-Checkliste zum Abhaken

Damit beim nächsten Abschied nichts offen bleibt, hier die Liste, die ich Betrieben an die Hand gebe. Einmal durchgehen, alles abhaken, fertig.

• Konten sperren: E-Mail, Cloud-Speicher, Branchensoftware, Fernzugang, Social-Media-Logins. Alles, wo die Person sich einloggen konnte.
• Geteilte Passwörter ändern: jedes Passwort, das die Person kannte und das mehr als einer benutzt. Im Zweifel auch das WLAN-Passwort.
• Geräte einsammeln: Laptop, Diensthandy, USB-Sticks. Und die Firmenmail von allen Privatgeräten entfernen.
• Schlüssel und Token einziehen: physische Schlüssel und Zutrittskarten, dazu die digitalen: Authenticator-App, Hardware-Token und hinterlegte API-Schlüssel (Zugangscodes, mit denen Programme untereinander reden).
• Verteiler und Weiterleitungen prüfen: E-Mail-Weiterleitungen abschalten, die Person aus Verteilern, Gruppen und geteilten Kalendern nehmen.
• Vollmachten und Rechte entziehen: Banking-Vollmacht, Zugriff aufs Steuerportal, Administrator-Rechte, Freigaben in der Cloud.
• Auto-Antwort und Übergabe: eine freundliche Abwesenheitsnotiz mit neuer Ansprechperson einrichten, das Postfach an die Nachfolge übergeben statt es zu löschen.

Drucken Sie die Liste aus oder legen Sie sie als Vorlage ab. Sieben Zeilen, die den Unterschied machen zwischen »ist erledigt« und »hoffentlich erledigt«.

Ein Passwort-Manager verkürzt das Offboarding von Stunden auf Minuten

Der aufwendigste Punkt auf der Liste ist das Ändern geteilter Passwörter. Wenn die in Excel, im Team-Chat und in drei Köpfen verstreut liegen, wird daraus ein halber Tag Suchen.

Mit einem Passwort-Manager und Team-Tresoren (gemeinsame, verschlüsselte Ablagen, auf die nur berechtigte Personen zugreifen) wird daraus eine Kurzaufgabe. Sie entfernen die Person aus dem Team. Der Manager zeigt Ihnen genau die Zugänge, die sie kannte. Die ändern Sie, und nur die. Aus Stunden werden Minuten.

Ehrlich bleibt der Haken: Das funktioniert nur, wenn der Manager auch wirklich benutzt wird und die geteilten Passwörter danach tatsächlich neu gesetzt werden. Ein Tresor, in dem die halben Zugänge fehlen, hilft beim Abschied genauso wenig wie die alte Excel-Liste.

Onboarding ist dasselbe rückwärts: Rollen statt Einzelrechte

Warum ist Sperren oft so mühsam? Weil das Anlegen planlos lief. Jeder neue Zugang wurde einzeln zusammengeklickt, hier ein Häkchen, da eine Freigabe. Was so entsteht, kann hinterher niemand mehr sauber rückabwickeln.

Die Lösung sitzt am Anfang, nicht am Ende. Vergeben Sie Rollen statt Einzelrechten. Die Rolle »Buchhaltung« bekommt genau die Zugänge, die Buchhaltung braucht. Neue Person: Rolle zuweisen, in fünf Minuten arbeitsfähig. Person geht: Rolle entziehen, in fünf Minuten alles zu.

So gesehen ist Offboarding nur das Spiegelbild eines sauberen Onboardings. Wer strukturiert anlegt, kann strukturiert sperren. Beides gehört auf dieselbe Liste.

Wo Sie sich das sparen können

Jetzt der Teil, den mancher Anbieter lieber weglässt: Nicht jeder Betrieb braucht dieses ganze Programm.

Sind Sie solo unterwegs, ohne Angestellte, gibt es kein Offboarding. Dann brauchen Sie kein Rollenkonzept und kein Tresor-System. Eine schlichte Liste, wo überall Ihre Zugänge liegen, lohnt sich trotzdem: für den Notfall, für den Steuerberater, für den Tag, an dem doch einmal jemand einspringen muss.

Und auch ein Betrieb mit einer Handvoll Leuten und drei Systemen braucht dafür keine teure Software. Eine halbe Seite Papier, konsequent abgehakt, schlägt jedes Tool, das keiner pflegt. Das Werkzeug folgt dem Bedarf, nicht umgekehrt.

So bleibt keine Tür offen stehen

Der rote Faden ist simpel: Führen Sie eine Liste, sperren Sie am letzten Tag, denken Sie das Ende schon beim Anfang mit. Damit haben Sie mehr getan als die meisten Betriebe Ihrer Größe.

Ein Konto, das keiner mehr braucht und trotzdem offen steht, ist genau die Tür, durch die später jemand hereinspaziert. Wenn Sie nicht wissen, welche bei Ihnen noch offen stehen, gehen wir Ihre Systeme einmal zusammen durch und übersetzen die Offboarding-Checkliste in Ihren konkreten Betrieb. Das gehört bei mir zur Support & Wartung dazu, und das erste Gespräch kostet nichts. Danach wissen Sie, welche Tür beim nächsten Abschied als Erstes zufällt.