Konten
Microsoft 365 und Software
E-Mail, Teams, OneDrive und SharePoint, dazu Warenwirtschaft, Buchhaltung, Branchensoftware und weitere Cloud-Dienste. Jedes Konto braucht eine Entscheidung: sperren, übergeben oder löschen.
- IT-Sicherheit
- IT-Sicherheit
- Mail Archivierung
- VPN Firewall
- Mail Security
- Mobile Security
- Server & Netzwerk
- Server & Netzwerk
- IT Dienstleister
- Netzwerke und Infrastruktur
- Server und Monitoring
- Cloudsysteme
- ERP
- ERP allgemein
- Sage 50 Handwerk
- Microtech
- Telefonanlagen
- Telefonanlagen
- Xelion Cloud Telefonanlage
- IT Dienstleister
- IT Dienstleistungen
- IT Beratung
- MS 365
- EC-Gerät
- Über Uns
- Kontakt
- Telekom
- Aktuelles
- Blog und Ratgeber
SYTO Ratgeber · IT-Sicherheit
Mitarbeiter geht, Zugänge bleiben: IT-Berechtigungen beim Mitarbeiteraustritt sauber übergeben
Wenn jemand das Unternehmen verlässt, bleiben oft mehr Zugänge offen, als allen bewusst ist: das Microsoft-365-Konto, das Firmenhandy, der VPN-Zugang, Passwörter für Lieferantenportale oder das Bankkonto. Dieser Ratgeber zeigt, welche Zugänge dazugehören, in welcher Reihenfolge sie übergeben und gesperrt werden und wie dabei keine E-Mails und Dateien verloren gehen.
Das Wichtigste auf einen Blick
Sechs Punkte, die bei jedem Austritt gelten, ob geplant oder kurzfristig.
- Ein Austritt ist auch ein Sicherheitsthema. Jeder Zugang, der nach dem letzten Arbeitstag offen bleibt, kann missbraucht werden, selbst ganz ohne böse Absicht.
- Dazu gehören nicht nur das E-Mail-Konto, sondern auch Firmenhandy, Laptop, VPN, Fernzugänge, Branchensoftware, Lieferanten- und Bankportale, Social-Media-Konten, Schlüssel und Zutrittskarten.
- Die Reihenfolge zählt: Wissen und Daten vor dem letzten Tag übergeben, am letzten Tag die Anmeldung sperren und Geräte einsammeln, danach Lizenzen und Konten geordnet abbauen.
- Microsoft beschreibt für das Ausscheiden eines Mitarbeiters ein Vorgehen in sieben Schritten, von der Sperre der Anmeldung bis zur Löschung des Kontos. Nach dem Löschen bleiben die Inhalte in OneDrive und Outlook 30 Tage lang wiederherstellbar.
- Gemeinsam genutzte Passwörter sind das größte Risiko. Wer sie kannte, kennt sie auch nach dem Austritt. Deshalb werden sie nach jedem Austritt geändert.
- Für Unternehmen unter NIS2 gehören die Sicherheit des Personals und Konzepte für die Zugriffskontrolle ausdrücklich zu den Risikomanagementmaßnahmen.
Welche Zugänge beim Austritt geregelt werden müssen
Die meisten denken zuerst an das E-Mail-Konto. Tatsächlich hängen an einer Person oft ein Dutzend Zugänge, verteilt über Geräte, Programme und Portale.
Geräte
Laptop, Handy und Tablet
Firmengeräte kommen zurück, werden gesperrt und zurückgesetzt. Bei zentral verwalteten Geräten lassen sich Firmendaten aus der Ferne entfernen, ohne private Daten anzufassen.
Außerhalb der IT
Portale, Schlüssel und Passwörter
Lieferanten- und Bankportale, Social-Media-Konten, Telefonanlage, Alarmanlage, Schlüssel und Zutrittskarten. Gerade hier fehlt oft eine Übersicht, wer welchen Zugang hat.
Warum ein fester Ablauf so viel ausmacht
Austritte verlaufen selten nach Plan. Mal endet ein Vertrag regulär, mal geht es plötzlich, und gerade dann bleibt im Alltag einiges liegen. Ein fester Ablauf sorgt dafür, dass nichts von der Tagesform abhängt und jeder weiß, wer was erledigt.
Genauso wichtig ist die Übergabe. Kunden schreiben weiter an die alte Adresse, Dateien liegen im persönlichen OneDrive, und Termine laufen ins Leere. Wer das vorher regelt, verliert keine Anfragen und keine Daten.
Belegt beim Hersteller
Microsoft nennt für das Ausscheiden eines Mitarbeiters sieben Schritte: Anmeldung verhindern, Postfachinhalt sichern, mobile Geräte zurücksetzen und blockieren, E-Mails weiterleiten oder in ein freigegebenes Postfach umwandeln, Zugriff auf OneDrive und Outlook übertragen, Lizenz entfernen und das Konto löschen.
Belegt beim Hersteller
Nach dem Löschen eines Kontos bewahrt Microsoft 365 die Inhalte in OneDrive und Outlook 30 Tage lang auf, so lange lässt sich das Konto wiederherstellen. Wird nur die Lizenz entfernt, bleiben E-Mails, Kontakte und Kalender ebenfalls 30 Tage erhalten und werden danach endgültig gelöscht.
Interaktiver Austritts-Fahrplan
Ihr persönlicher Fahrplan für den nächsten Austritt
Wählen Sie aus, welche Zugänge die ausscheidende Person hatte. Der Fahrplan ordnet die Aufgaben danach, ob sie vor dem letzten Tag, am letzten Tag oder in den Wochen danach anstehen. Ihre Auswahl bleibt in Ihrem Browser.
Welche Zugänge hatte die Person?
Aufgaben in Ihrem Fahrplan: 5
Vor dem letzten Tag
- Microsoft-365-KontoPostfach, OneDrive und Teams-Dateien sichten und an die Nachfolge übergeben
- Firmenhandy oder TabletRückgabe vereinbaren und dienstliche Daten sichern
- Laptop oder PCLokale Dateien in die gemeinsame Ablage verschieben
- VPN und FernzugriffBestehende Zugänge und Zertifikate auflisten
- Branchensoftware und WarenwirtschaftOffene Vorgänge, Aufträge und Freigaben übergeben
- Gemeinsam genutzte PasswörterListe aller geteilten Zugänge erstellen, etwa für Router, WLAN und Portale
- Lieferanten-, Bank- und BehördenportaleZugänge auflisten und Vollmachten prüfen
- Social Media und WebsitePrüfen, wer Administratorrechte hat
- TelefonieRufumleitungen und Ansagen planen
- Schlüssel und ZutrittAusgegebene Schlüssel und Karten auflisten
Am letzten Tag
- Microsoft-365-KontoAnmeldung sperren, Passwort zurücksetzen und alle Sitzungen abmelden
- Firmenhandy oder TabletGerät einsammeln und aus der Geräteverwaltung lösen oder zurücksetzen
- Laptop oder PCGerät einsammeln und vom Firmennetz trennen
- VPN und FernzugriffVPN-Zugang und Zertifikate sperren, Fernwartungsfreigaben entfernen
- Branchensoftware und WarenwirtschaftBenutzer sperren oder deaktivieren
- Lieferanten-, Bank- und BehördenportalePersönliche Zugänge der Person sperren lassen
- Social Media und WebsiteRechte der Person entziehen
- TelefonieNebenstelle umleiten und App-Zugang sperren
- Schlüssel und ZutrittSchlüssel und Karten zurücknehmen, Codes der Alarmanlage ändern
In den Wochen danach
- Microsoft-365-KontoPostfach weiterleiten oder in ein freigegebenes Postfach umwandeln, Lizenz entfernen, Konto nach Prüfung löschenMicrosoft 365 bei SYTO
- Firmenhandy oder TabletRufnummer und Mobilfunkvertrag umschreiben oder kündigenMobile Security
- Laptop oder PCGerät sicher zurücksetzen, bevor es neu vergeben wird
- VPN und FernzugriffProtokolle auf Anmeldeversuche nach dem Austritt prüfenVPN und Firewall
- Branchensoftware und WarenwirtschaftLizenz neu zuordnen und Rechte der Nachfolge prüfenERP-Software
- Gemeinsam genutzte PasswörterAlle geteilten Passwörter ändern und an einer sicheren Stelle neu ablegen
- Lieferanten-, Bank- und BehördenportaleVollmachten und Ansprechpartner bei Banken und Lieferanten aktualisieren
- Social Media und WebsiteZugangsdaten ändern und eine zweite Person mit Adminrechten festlegen
- TelefonieDurchwahl neu vergeben oder abschaltenTelefonanlagen
- Schlüssel und ZutrittZutrittsliste aktualisieren
Der Fahrplan ist eine Orientierung und ersetzt keine Prüfung Ihrer Systeme. Arbeits- und datenschutzrechtliche Fragen, etwa zum Umgang mit dem Postfach, klären Sie bitte mit Ihrer Rechtsberatung und Ihrem Datenschutzbeauftragten.
So begleiten wir einen Austritt in Ihrem Betrieb
Ein sauberer Austritt beginnt nicht am letzten Tag. Mit diesen fünf Schritten bleibt nichts offen, und das Wissen bleibt im Unternehmen.
Schritt 1
Checkliste für Ihren Betrieb erstellen
Wir erfassen einmal, welche Konten, Geräte und Portale es bei Ihnen gibt und wer dafür zuständig ist. Daraus entsteht eine feste Liste, die bei jedem Austritt gilt.
IT-Beratung bei SYTOSchritt 2
Übergabe vor dem letzten Tag
Postfach, Dateien und laufende Vorgänge gehen an die Nachfolge. Kunden erfahren rechtzeitig, wer künftig zuständig ist.
Microsoft 365 bei SYTOSchritt 3
Sperren am letzten Tag
Anmeldung, VPN und Fernzugänge werden gesperrt, Geräte eingesammelt und aus der Verwaltung gelöst. Bei einer kurzfristigen Trennung kommt dieser Schritt an den Anfang.
Mobile SecuritySchritt 4
Aufräumen in den Wochen danach
Lizenzen werden neu verteilt, gemeinsam genutzte Passwörter geändert und Konten nach Prüfung gelöscht. Innerhalb der 30-Tage-Frist lässt sich ein Microsoft-365-Konto bei Bedarf noch wiederherstellen.
Mail SecuritySchritt 5
Dokumentieren und prüfen
Jeder Schritt wird festgehalten. Das hilft bei Rückfragen und ist für Unternehmen unter NIS2 ein Baustein der nachweisbaren Zugriffskontrolle.
Beitrag: Ist mein Unternehmen von NIS2 betroffen?
Häufige Fragen zu IT-Zugängen beim Mitarbeiteraustritt
Kurze, ehrliche Antworten auf die Fragen, die Betriebe uns rund um Austritte und Zugänge am häufigsten stellen.
Spätestens mit Ende des letzten Arbeitstags. Bei einer Trennung im Streit oder einer sofortigen Freistellung gehört die Sperre an den Anfang, noch bevor die Person informiert wird. Die Übergabe der Daten erledigt dann die Administration.
Geschäftliche E-Mails lassen sich weiterleiten oder in ein freigegebenes Postfach umwandeln, damit keine Anfragen verloren gehen. Ob dabei private E-Mails betroffen sein können, hängt von den Regeln zur privaten Nutzung im Betrieb ab. Das klärt man am besten vorher mit dem Datenschutzbeauftragten.
Die Dateien sollten vor dem Löschen des Kontos an die Nachfolge übertragen werden. Microsoft bewahrt die Inhalte nach dem Löschen des Kontos 30 Tage lang auf, danach sind sie endgültig weg.
Bei zentral verwalteten Geräten lassen sich gezielt nur die Firmendaten entfernen. Wurde das Gerät auch privat genutzt, sichert die Person ihre privaten Daten vorher selbst. Danach wird das Gerät zurückgesetzt und kann neu vergeben werden.
Alle Passwörter, die die Person kannte und die auch andere nutzen, etwa für WLAN, Router, Portale oder Social Media. Persönliche Konten werden ohnehin gesperrt. Ein Passwortmanager mit Freigaben macht diesen Schritt deutlich leichter.
Die NIS2-Richtlinie nennt unter den Risikomanagementmaßnahmen ausdrücklich die Sicherheit des Personals und Konzepte für die Zugriffskontrolle. Für betroffene Unternehmen gehört ein geregelter Austrittsprozess deshalb zur nachweisbaren Informationssicherheit.
Machen wir Ihren Austrittsprozess sicher
Wir erstellen mit Ihnen eine Checkliste für alle Zugänge in Ihrem Betrieb und übernehmen auf Wunsch die Sperren und Übergaben bei jedem Austritt. Das Gespräch ist unverbindlich.
Oder rufen Sie uns an: 06128 99 99 080
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Arbeits- und datenschutzrechtliche Fragen zum Austritt klären Sie bitte mit Ihrer Rechtsberatung und Ihrem Datenschutzbeauftragten.