Offboarding beendet Zugriffe, übergibt Arbeitswissen und führt Geräte kontrolliert in den Bestand zurück. Ein Austritt ist erst abgeschlossen, wenn Konten, Daten, Berechtigungen und Verantwortlichkeiten geklärt sind. Eine deaktivierte E-Mail-Adresse allein reicht nicht.

Der Ablauf sollte zwischen Personalverantwortung, Führung, IT und betroffener Fachabteilung abgestimmt sein. Bei einem normalen Austritt kann die Übergabe vorbereitet werden. Bei einer sofortigen Trennung müssen Zugriffe und Kommunikation zeitlich enger koordiniert sein.

Der Austritt braucht einen eindeutigen Auslöser

Die IT muss verbindlich erfahren, wer wann austritt und welche Sonderfälle gelten. Ein Ticket oder ein standardisierter Auftrag verhindert, dass eine beiläufige Nachricht den ganzen Prozess trägt.

Der Auftrag sollte enthalten:

  • letzte Arbeitszeit und Zeitpunkt der Zugriffssperre,
  • zuständige Führungskraft und Stellvertretung,
  • bekannte Geräte, Konten und besondere Rollen,
  • gewünschte Datenübergabe,
  • Umgang mit E-Mail, Kalender und Telefonnummer,
  • externe Partner oder Kunden, die informiert werden müssen.

Identitäten und Zugriffe zuerst behandeln

Ein zentrales Benutzerkonto ist nur ein Teil der Zugriffsfläche. Zum Inventar gehören Cloud-Dienste, VPN, Passwortmanager, Code-Repositories, soziale Netzwerke, Buchhaltung, externe Portale, API-Schlüssel, lokale Konten und gemeinsam genutzte Zugangsdaten.

Persönliche Konten werden deaktiviert oder entzogen. Geteilte Geheimnisse werden geändert, wenn die austretende Person sie kannte. Aktive Sitzungen und Wiederherstellungswege müssen ebenfalls berücksichtigt werden. Zwei-Faktor-Authentifizierung hilft wenig, wenn eine alte vertrauenswürdige Telefonnummer oder ein privates Gerät im Konto verbleibt.

Die CISA beschreibt in ihren Offboarding-Empfehlungen dieselben Grundelemente: Systemzugriffe beenden, Geräte und Ausweise zurücknehmen sowie Übergabe und Abschluss dokumentieren.

Geräte kontrolliert zurücknehmen

Zu jedem Gerät sollte bekannt sein, wem es zugewiesen ist und in welchem Zustand es zurückkommt. Bei Macs gehören dazu:

  • Seriennummer und Zubehör,
  • lokaler Benutzer und Administratorrechte,
  • FileVault- und Recovery-Status,
  • MDM-Zuweisung und Gerätestatus,
  • Aktivierungssperre und private Apple Accounts,
  • geschäftliche Daten, die noch nicht übergeben wurden.

Managed Apple Accounts und eine saubere Geräteverwaltung reduzieren die Abhängigkeit von privaten Konten. Nach der Übergabe wird das Gerät gemäss dokumentiertem Prozess gesichert, gelöscht, geprüft und für den nächsten Zero-Touch-Rollout vorbereitet.

Arbeitsdaten gehören in den Betrieb

Geschäftliche Dokumente dürfen nicht in einem persönlichen Postfach oder privaten Cloud-Speicher verschwinden. Vor dem Austritt wird geklärt, welche laufenden Vorgänge, Kundendaten, Entscheidungen und Fristen übergeben werden müssen.

Eine pauschale Kopie sämtlicher Daten ist aber ebenfalls falsch. Aufbewahrung, Datenschutz, Geschäftsinteressen und arbeitsrechtliche Vorgaben müssen berücksichtigt werden. E-Mail-Weiterleitungen sollten zeitlich begrenzt, transparent und für den konkreten Zweck eingerichtet werden.

Abschluss nachweisen

Eine Checkliste sollte pro System bestätigen, was erledigt wurde. Dazu gehören auch Ausnahmen: ein Konto, das aus rechtlichen Gründen erhalten bleibt, ein Gerät auf dem Postweg oder eine noch offene Datenübergabe. Solche Punkte erhalten einen Verantwortlichen und eine Frist.

Nach dem Austritt lohnt ein kurzer Kontrolllauf: Gibt es noch aktive Sitzungen, Weiterleitungen, Gruppenmitgliedschaften oder Gerätezugriffe? Erst dieser Abgleich schliesst den Prozess.

Merksatz

Offboarding ist die kontrollierte Rückgabe von Zugriff, Geräten und Wissen an das Unternehmen. Ein klarer Auslöser, vollständiges Inventar und dokumentierter Abschluss verhindern, dass ehemalige Berechtigungen unbemerkt weiterleben.