Mitarbeiter IT-Offboarding

Bis ein Mitarbeiter seine Kündigung einreicht, sind die entscheidenden Weichen für ein sauberes Mitarbeiter IT-Offboarding bereits gestellt. Oft fallen diese Entscheidungen in den ersten Wochen der Anstellung, wenn noch viele andere Dinge zu regeln sind. Ein gemeinsamer Login hier, eine schnelle Anmeldung zu einem SaaS-Tool dort, ein privates Laptop, das bis zur Ausgabe der Firmenhardware genutzt wird. Mit der Zeit erscheinen diese Lösungen nicht mehr als temporär, sondern als Arbeitsalltag.

Worum es wirklich geht, wenn Mitarbieter IT-Offboarding Wochen dauert

Ein wirklich sauberes Mitarbeiter IT-Offboarding benötigt in der Regel etwa 60 bis 90 Minuten IT-Aufwand. Das Konto wird in Ihrem Identitätsdienst deaktiviert, wodurch der Zugriff über alle per Single Sign-on angebundenen Tools entzogen wird. Das Gerät wird entfernt, aus der Ferne gelöscht oder vor Ort eingesammelt und gelöscht. E-Mails werden an eine Führungskraft weitergeleitet oder in ein gemeinsames Postfach umgewandelt. Konten in CRM- und Projekttools werden neu zugewiesen. Eine Übergabevorlage, die bereits beim Onboarding erstellt wurde, wird ausgefüllt und abgelegt.

Die chaotische Variante kann sich hingegen über drei Wochen erstrecken. Meist beginnt sie mit einer unvollständigen, manuellen Liste von Tools, an die sich niemand vollständig erinnert. Oft bittet man die kündigende Person, diese Liste zu rekonstruieren. Sie finden ein Figma-Konto, ein Loom-Workspace, eine Notion-Instanz und eine Airtable-Base, die alle unabhängig angelegt wurden und deren Zugangsdaten in einem persönlichen Passwortmanager liegen. Das Laptop befindet sich privat und wird nicht zurückgegeben. Ein Kunde meldet eine Nachricht von einer privaten Adresse. Wochen später belastet ein Anbieter weiterhin Ihre Firmenkarte für einen vermeintlich gekündigten Sitz.

Ob Ihr Mitarbeiter IT-Offboarding sauber oder chaotisch verläuft, hängt davon ab, wie das Onboarding ursprünglich organisiert wurde. Im Bereich Identitätsmanagement spricht man vom Lebenszyklus ‚Joiner, Mover, Leaver‘. Microsoft und die meisten Anbieter nutzen dieses Modell. Ein hastiges Joiner-Onboarding komprimiert Monate der Bereinigung auf die Zeit nach der Kündigung.

Vier Onboarding-Abkürzungen, die ein chaotisches Ende garantieren

Eigenständige SaaS-Anmeldungen durch neue Mitarbeiter

Wenn Mitarbeitende ein Tool eigenständig mit ihrer Arbeits-E-Mail und einem privaten Passwort registrieren, gehört dieses Konto faktisch ihnen. Sie können das Passwort zurücksetzen, ohne dass eine Benachrichtigung an die Firma ausgelöst wird. Häufig merken Sie erst von solchen Konten, wenn eine Rechnung eintrifft oder ein Projekt nach dem Austritt nicht mehr funktioniert.

Die häufigste Ursache für das Problem: "Wir finden die Logins nicht, wenn jemand geht". Die Lösung besteht darin, jede Anwendung über ein zentrales Identitätssystem zu provisionieren und neu angebundene SaaS-Apps vor dem ersten Login an das Single Sign-on zu koppeln.

Persönliche Geräte als vorübergehende Lösung zulassen

Persönliche Geräte bleiben selten temporär. Mitarbeitende installieren Apps, verbinden sich mit Kundensystemen und laden Dateien herunter. Aus einer Übergangslösung wird dauerhaftes Arbeiten. Bei Austritt können Sie Unternehmensdaten nicht von einem Gerät löschen, das Sie nicht besitzen und nicht in einem Managementsystem registriert ist. Sie sind auf die Kooperation des Ex-Mitarbeiters angewiesen, was keine echte Sicherheitsmaßnahme darstellt.

Die richtige Vorgehensweise ist, Firmenhardware am ersten Arbeitstag auszugeben und die Geräte in ein Mobile Device Management einzubinden. Wenn private Geräte erlaubt werden, verlangen Sie zumindest managed App Access für E-Mails und Dateien. Im Browser gespeicherte Zugangsdaten ersetzen kein Management.

Gemeinsame Logins, um Per-Seat-Kosten zu sparen

Geteilte Zugangsdaten sind beim Offboarding besonders problematisch. Wenn mehrere Personen denselben Login verwenden, lässt sich ein Einzelner nicht entfernen, ohne das Passwort für alle zu ändern. Meist stellt sich dieses Problem genau dann heraus, wenn der Abgehende das Konto eingerichtet hat und sonst niemand das Passwort kennt.

Per-Seat-Lizenzen sind die Kosten für sauberes Arbeiten. Die Scheinersparnis durch geteilte Logins zeigt sich beim Mitarbeiter IT-Offboarding als verschwendete Stunden und offener Zugang.

Kundenbeziehungen, die im Postfach einer Einzelperson wohnen

Dies betrifft vor allem Agenturen und Dienstleister. Verlassen Account Manager oder Berater das Unternehmen, gehen häufig auch Wissen, E-Mail-Verläufe, Vorlieben und laufende Konversationen verloren, weil sie nur in deren persönlichen Postfach dokumentiert waren. Für den Kunden wirkt es so, als kenne das Unternehmen ihn nicht mehr.

Die Lösung ist, Kundenkommunikation in gemeinsame Orte zu verlagern. Ein gemeinsam genutztes Postfach oder ein CRM, in dem Kontaktverläufe und Notizen protokolliert werden, schafft Kontinuität. Schon ein Microsoft 365 Shared Mailbox mit der klaren Erwartung, dass Kundenanfragen dorthin kopiert werden, ist eine deutliche Verbesserung gegenüber der Situation vieler kleiner Unternehmen.

Hygiene nachträglich im bestehenden Team herstellen

Die meisten Aufräumarbeiten betreffen das bestehende Team noch vor der nächsten Einstellung. Sie können bestehende Mitarbeiter zwar nicht erneut vollständig onboarden, aber Sie können auditieren, Lücken schließen und Prozesse für kommende Wechsel festlegen.

Der SaaS-Audit

Ziehen Sie die Kreditkartenabrechnungen der letzten drei Monate für alle geschäftlich genutzten Karten heran und listen Sie jede wiederkehrende SaaS-Zahlung. Ermitteln Sie für jede Zahlung, wer das Tool eingerichtet hat, wer die Zugangsdaten besitzt, ob ein persönliches oder ein geschäftliches Konto verwendet wird und ob ein Dritter im Notfall Zugang hätte.

Sie werden auf Tools stoßen, an deren Anmeldung niemand mehr erinnert, Konten finden, die nur eine Person verwaltet, und Lizenzen, für die Sie weiterzahlen, obwohl der Eigentümer bereits gegangen ist. Das ist keine technische Aufgabe, sondern eine organisatorische. Eine Tabelle und ein Nachmittag reichen oft aus.

Das Geräteverzeichnis

Erstellen Sie eine einfache Übersicht: Wer hat welches Gerät, wann wurde es ausgegeben, ist es im Managementsystem registriert und auf welche Unternehmensdaten kann das Gerät zugreifen. Falls Sie noch kein Verzeichnis haben, legen Sie es jetzt an. Bitten Sie alle Mitarbeitenden, die für die Arbeit genutzten Geräte zu bestätigen, einschließlich privater Geräte. Die meisten bestätigen dies gerne, sofern keine Sanktionen befürchtet werden.

Bei privaten Geräten, die Unternehmensdaten nutzen, ist das Mindestmaß, dass E-Mail und Dateizugriff über verwaltete Apps erfolgen, die sich bei Bedarf trennen lassen.

Kundenkommunikation an gemeinsamen Orten

Verlegen Sie Kundenkommunikation in gemeinsame Systeme, damit die Beziehung dem Unternehmen gehört, wenn eine Person geht. Kontinuität ist das Ziel. Richten Sie Shared Mailboxes oder Alias-Adressen ein und nutzen Sie ein CRM, das Kontaktverläufe und Notizen protokolliert. Auch hier gilt: Eine gemeinsame Microsoft 365 Mailbox mit der Regel, Kunden-Threads zu kopieren, ist oft schon ein großer Schritt nach vorn.

Was Ihr IT-Dienstleister beim Onboarding leisten sollte

Viele IT-Dienstleister werden erst bei einer Kündigung aktiv. Sie deaktivieren dann das Konto, suchen das Laptop und arbeiten mit der vorhandenen Dokumentation. Das ist der falsche Zeitpunkt, um eingebunden zu sein. Wenn Ihr IT-Dienstleister nur zu diesem Zeitpunkt auftritt, schöpfen Sie den Nutzen der Zusammenarbeit nicht aus.

Ein sinnvoller Ansatz bindet den IT-Dienstleister bereits beim Onboarding ein. Er legt das neue Konto im Identitätsdienst an, registriert das Gerät im Mobile Device Management und provisioniert Zugänge über Single Sign-on, sodass alle genutzten Tools an eine zentrale Identität gekoppelt sind, die sich mit einem Schritt deaktivieren lässt. Außerdem sollte der Dienstleister für jede Person ein Übergabedokument pflegen, das regelmäßig aktualisiert wird und alle Systeme, Kundenbeziehungen und an die Identität gebundenen Zugangsdaten auflistet.

Wenn das umgesetzt ist, wird das Offboarding zu einer Checkliste und dauert keine Wochen mehr. Fragen Sie Ihren IT-Dienstleister, was er beim Onboarding macht. Wenn die Antwort lautet ‚nicht viel‘ oder ‚wir werden meist erst bei Austritten gerufen‘, ist das ein Thema für ein klärendes Gespräch.

Ein 60-Tage-Plan vor der nächsten Welle von Abgängen

Sie müssen den exakten Austrittstermin nicht kennen, um zu beginnen. Die Arbeit ist leichter zu bewältigen, wenn nichts dringend ist.

• Wochen 1 und 2: Führen Sie den SaaS-Audit anhand der Kreditkartenabrechnungen durch. Erstellen Sie eine Liste aller Tools, der jeweiligen Kontoinhaber und der Logins, die nur eine Person kontrolliert. Markieren Sie die Fälle mit höchstem Risiko.
• Wochen 3 und 4: Erstellen Sie das Geräteverzeichnis. Bestätigen Sie, welche Geräte von wem genutzt werden. Für private Geräte mit Unternehmenszugang setzen Sie mindestens managed App Access durch. Registrieren Sie Firmenhardware im Managementsystem, falls noch nicht geschehen.
• Wochen 5 und 6: Überprüfen Sie die Kundenkommunikation. Finden Sie heraus, bei welchen Kundenbeziehungen der Großteil der Dokumentation in einem einzelnen Postfach liegt. Richten Sie Shared Mailboxes oder CRM-Protokollierung für die risikoreichsten Konten ein.
• Wochen 7 und 8: Schreiben Sie das Onboarding, das Sie sich gewünscht hätten. Nutzen Sie die Erkenntnisse der vorangegangenen Wochen als Grundlage. Wenden Sie das Verfahren ab dem ersten Tag beim nächsten Neueinsatz an und erstellen Sie daraus eine Übergabevorlage für alle bestehenden Mitarbeitenden.

Die meisten Schritte sind organisatorisch. Eine Tabelle, ehrliche Gespräche mit dem Team und einige Stunden Ihres IT-Dienstleisters erledigen den Großteil.

Häufige Fragen

Wie lange sollte ein Mitarbeiter IT-Offboarding in kleinen Unternehmen dauern?

Mit guter Onboarding-Hygiene und zentraler Identität dauert der IT-Teil des Offboardings etwa 60 bis 90 Minuten. Ohne diese Basis kann derselbe Prozess zwei bis drei Wochen verstreichen.

Wie finde ich SaaS-Tools, die mein Team ohne mein Wissen angemeldet hat?

Der schnellste Weg ist die Sichtung der letzten drei Monatsabrechnungen aller geschäftlich genutzten Karten. Viele Schatten-SaaS tauchen als wiederkehrende Buchung auf.

Kann ich ein privates Gerät nach dem Austritt löschen?

Sie können nur Unternehmensdaten entfernen und nur, wenn diese Möglichkeit während der Beschäftigung eingerichtet wurde. Mobile Device Management oder managed App Access erlauben selektives Entfernen von E-Mails, Dateien und Anmeldeinformationen ohne Eingriff in private Daten. Ohne zuvor eingerichtete Maßnahmen sind Ihre Optionen begrenzt.

Welche Rolle spielt Single Sign-on beim Offboarding?

Single Sign-on verbindet alle genutzten Tools mit einer zentralen Identität. Das Deaktivieren dieser Identität entzieht den Zugriff überall. Ohne Single Sign-on müssen Sie sich in jeder Plattform separat einloggen und den Nutzer löschen.

Sollte ich Mitarbeitende nur Firmenhardware nutzen lassen?

Soweit praktikabel, ja. Bei privaten Geräten ist zumindest eine Registrierung in einem Managementsystem oder managed App Access die nächstbeste Lösung. Ein privates Gerät mit gespeicherten Unternehmenszugängen und ohne Management stellt das höchste Risiko beim Offboarding dar.

Quellen und weiterführende Links

• Microsoft Learn: What are lifecycle workflows in Microsoft Entra? — Erläuterung des Joiner / Mover / Leaver-Lebenszyklus und der automatisierbaren Workflows.
• Microsoft Learn: App Protection Policies overview (Intune) — Wie managed App Access auf privaten Geräten funktioniert und wie selektive Löschung von Unternehmensdaten möglich ist.

Wenn Ihr Offboarding schwieriger erscheint als nötig, ist das ein klares Zeichen dafür, dass Ihr Onboarding Aufmerksamkeit braucht. Ihr IT-Dienstleister sollte Sie bei beiden Enden des Lebenszyklus begleiten und helfen, lose Stellen zu schließen. Falls Sie keinen IT-Partner haben, bieten wir gern Unterstützung an.