Beratung anfragen

Ratgeber · IT-Sicherheit

Wenn ein Mitarbeiter geht: die IT-Checkliste

Das Onboarding ist meist gut geregelt – jemand kommt, bekommt Rechner, Konto und Zugänge. Der umgekehrte Weg wird selten so sorgfältig behandelt. Das Ergebnis sind Konten, die jahrelang weiterleben, und Zugänge, an die sich niemand erinnert.

Von Dipl.-Ing. Mohamed Khater, Gründer und Geschäftsführer, seit 1992 · · 6 Minuten Lesezeit

Warum das regelmäßig schiefgeht

Bei einer Übernahme sehen wir fast immer dasselbe Bild: aktive Konten von Menschen, die seit Jahren nicht mehr im Haus sind. Manchmal mit gültigem Passwort, manchmal mit Fernzugriff, gelegentlich mit Verwaltungsrechten.

Der Grund ist selten Nachlässigkeit, sondern fehlende Zuständigkeit. Die Personalabteilung meldet das Ausscheiden, jemand deaktiviert das Windows-Konto – und niemand ist dafür verantwortlich, an die Zugänge zu denken, die außerhalb davon liegen: das Portal des Steuerberaters, der Zugang zum Warenwirtschaftssystem des Lieferanten, das Konto beim Telefonanbieter, der Schlüssel für die Fernwartung.

Dazu kommt eine Frage, die schnell unangenehm wird: Wem gehört das Postfach nach dem Ausscheiden? Eine dauerhafte Weiterleitung an den Nachfolger ist bequem und datenschutzrechtlich heikel, weil auch private Nachrichten mitlaufen. Die saubere Lösung ist ein Abwesenheitshinweis mit Verweis auf eine Sammeladresse – und das Postfach danach zu sperren, aber für die Aufbewahrungsfristen zu erhalten.

Werkzeug

Die Checkliste zum Abhaken

Gehen Sie die Punkte am letzten Arbeitstag durch. Ausdrucken, unterschreiben, zur Personalakte – dann ist im Zweifel belegt, was wann geschehen ist.

Ihre Eingaben bleiben in diesem Browserfenster. Es wird nichts gespeichert und nichts übertragen.

Vor dem letzten Arbeitstag

Was sich schlecht nachholen lässt, wenn die Person das Haus verlassen hat.

Konten und Zugänge

Deaktivieren statt löschen – Aufbewahrungsfristen und spätere Rückfragen.

E-Mail und Telefon

Hier liegt der häufigste datenschutzrechtliche Fehler.

Geräte und Schlüssel

Danach dokumentieren

Der Teil, der im Streitfall zählt.

Noch nichts abgehakt.

Drei Fälle, die anders laufen

Nicht jedes Ausscheiden ist einvernehmlich und angekündigt.

  • Fristlose Trennung. Zugänge werden vor dem Gespräch gesperrt, nicht danach. Das klingt hart, ist aber die einzige Reihenfolge, die funktioniert – und schützt auch die ausscheidende Person vor dem Verdacht, etwas mitgenommen zu haben.
  • Langzeiterkrankung oder Elternzeit. Kein Offboarding, aber dieselbe Frage nach Vertretung und Postfach. Zugänge bleiben bestehen, sollten aber auf Zwei-Faktor-Absicherung geprüft werden.
  • Externe und Freiberufler. Werden regelmäßig vergessen, weil sie in keiner Personalliste stehen. Führen Sie eine eigene Übersicht über alle Zugänge, die nicht zu Beschäftigten gehören – einschließlich der Ihres IT-Dienstleisters.

Häufige Fragen

Was uns dazu oft gefragt wird

Dürfen wir das Postfach an den Nachfolger weiterleiten?
Eine dauerhafte Weiterleitung an eine einzelne Person ist heikel, weil private Nachrichten mitlaufen, die an die alte Adresse gehen. Sauberer ist ein Abwesenheitshinweis mit Verweis auf eine Sammeladresse. Ist private Nutzung im Betrieb erlaubt oder geduldet, wird die Frage noch enger – dann sollten Sie das arbeitsrechtlich klären lassen.
Sollen wir das Konto löschen oder deaktivieren?
Zuerst deaktivieren. Ein gelöschtes Konto nimmt oft Berechtigungen, Dateizuordnungen und Postfachinhalte mit, die später gebraucht werden. Löschen Sie erst nach Ablauf der Aufbewahrungsfristen – und dann bewusst.
Wie finden wir Zugänge, von denen wir nichts wissen?
Über drei Wege: die Abrechnungen der letzten zwölf Monate durchsehen, das Postfach nach Registrierungsbestätigungen durchsuchen und im Übergabegespräch ausdrücklich danach fragen. Vollständigkeit erreicht man nur, wenn Zugänge von Anfang an zentral erfasst werden.
Was ist mit dem Zugang unseres IT-Dienstleisters?
Der gehört auf dieselbe Liste. Wechseln Sie den Dienstleister, müssen dessen Zugänge genauso entzogen werden wie die eines ausscheidenden Mitarbeiters. Ein Dienstleister, der Ihnen diese Frage nicht von sich aus beantwortet, sagt Ihnen damit schon etwas.

Dipl.-Ing. Mohamed Khater

Dipl.-Ing. Mohamed Khater hat die INFONET Computer GmbH 1992 in Köln gegründet. Diese Liste ist aus Übernahmen entstanden: Bei fast jeder neuen Betreuung finden wir aktive Konten von Menschen, die längst nicht mehr im Haus sind.

Weiterlesen

Kostenloser Sicherheits-Check

Wer hat bei Ihnen eigentlich Zugriff?

Wir sehen uns Konten, Berechtigungen und Fernzugänge an und sagen Ihnen, welche davon niemand mehr braucht. Erfahrungsgemäß ist das der Termin mit den meisten Überraschungen.

Anfrage senden 0221 984300-0 anrufen

0221 984300-0Zentrale und Support-Hotline

[email protected]Antwort innerhalb von 4 Stunden an Werktagen

Robert-Perthel-Straße 7250739 Köln – Bilderstöckchen

Mo–Fr 09:00–18:00 UhrNotfallsupport nach Vereinbarung auch außerhalb