Mitarbeiter verlässt das Unternehmen: Die IT-Checkliste für den letzten Arbeitstag

Ein Mitarbeiter verlässt Dein Unternehmen, gibt sein Notebook ab und verabschiedet sich. Damit ist sein IT-Zugang noch nicht automatisch beendet. Diese Mitarbeiter-Offboarding-Checkliste hilft Dir, die Übergabe vor dem letzten Arbeitstag vorzubereiten, zum vereinbarten Zeitpunkt umzusetzen und anschließend zu kontrollieren. Dazu gehören die Microsoft-365-Fristen, die über Postfach und OneDrive entscheiden.

Für wen? Geschäftsführung, Verwaltung und IT in kleinen und mittleren Unternehmen. Das Ergebnis: Ein nachvollziehbarer Auftrag mit Zuständigkeiten, gesperrten Zugängen und einer geprüften Datenübergabe. Die technische Umsetzung übernimmt Deine IT; Du steuerst mit dieser Liste die Vorbereitung.

Ein Beispiel: Das Notebook ist zurück, das Lieferantenportal noch offen

Stell Dir einen fiktiven Handwerksbetrieb vor: Ein Mitarbeiter im Einkauf geht am Freitag um 15 Uhr. Sein Notebook liegt im Büro. Die Kollegin übernimmt seine Bestellungen, findet aber die aktuelle Angebotsliste nicht. Gleichzeitig funktioniert sein separater Zugang zum Lieferantenportal weiter.

Das Beispiel zeigt zwei Aufgaben, die zusammengehören: unnötige Zugriffe beenden und die Arbeit für das verbleibende Team ermöglichen. Dafür brauchst Du weder das alte Benutzerpasswort noch eine pauschale Freigabe sämtlicher E-Mails.

Warum beim Austritt so leicht etwas offen bleibt

Zugänge entstehen über Jahre an vielen Stellen: im zentralen Konto, in Portalen, in geteilten Passwörtern und auf Geräten. Personal, Führungskraft und IT kennen jeweils nur einen Teil davon.

Hinzu kommt Microsoft 365: Anmeldung sperren, Lizenz entfernen und Konto löschen sind getrennte Schritte mit eigenen Fristen. In der falschen Reihenfolge können genau die Daten verloren gehen, die die Vertretung braucht.

Vor dem letzten Arbeitstag: Auftrag und Übergabe klären

1. Einen Verantwortlichen und einen Zeitpunkt festlegen

Lege einen zentralen Vorgang an, etwa ein Ticket. Darin stehen Name und Benutzerkennung, letzter Arbeitstag, genauer Sperrzeitpunkt, zuständige Führungskraft, IT-Ansprechpartner und Vertretung. Bei einer Freistellung kann der technische Austritt früher liegen als das Vertragsende. Den Zeitpunkt gibt die zuständige Stelle vor; die IT entscheidet ihn nicht selbst.

Verteile die Aufgaben: Personalverantwortliche melden den Austritt, die Führungskraft benennt die benötigten Geschäftsdaten, die IT setzt freigegebene Änderungen um. Eine Person hält offene Punkte nach.

2. Konten, Geräte und Abhängigkeiten sammeln

Prüfe die vorhandene Dokumentation zusammen mit Führungskraft und Mitarbeiter. Erfasse mindestens:

• Windows-/AD-Konto, Microsoft 365 und zusätzliche Administratorkonten;
• VPN, Fernwartung, Branchenprogramme und Cloud-Telefonie;
• Lieferanten-, Kunden- und Buchhaltungsportale sowie Passwortmanager;
• Notebook, Smartphone, Token, Schlüssel und weiteres Zubehör;
• gemeinsam genutzte Konten sowie Geräte, Dienste und Benachrichtigungen unter der persönlichen Kennung, etwa Scan-to-Mail am Multifunktionsdrucker oder Berichte der Datensicherung.

Ein Portal mit eigenem Login braucht einen eigenen Arbeitsschritt. Auch Wiederherstellungsadressen und Telefonnummern geschäftlicher Konten gehören auf die Liste.

Prüfe außerdem, ob im Benutzerprofil in Microsoft Entra ID die zuständige Führungskraft hinterlegt ist. Davon hängt ab, wer nach dem Löschen des Kontos automatisch Zugriff auf das OneDrive erhält (siehe „Häufige Fragen“).

3. Geschäftliche Daten rechtzeitig übergeben

Lass die Führungskraft festlegen, welche Projekte, Dateien, Termine und Kontakte die Vertretung benötigt. Übertrage benötigte Unterlagen möglichst noch gemeinsam in eine freigegebene Teamablage. Prüfe mit der Vertretung ein konkretes Dokument, im Beispiel die offene Angebotsliste: Lässt es sich öffnen und bearbeiten?

Für Postfachzugriffe und möglicherweise private Inhalte braucht es eine abgestimmte Freigabe; eine Adminberechtigung allein ist keine inhaltliche Freigabe (siehe „Aufbewahrung und private E-Mails“).

Zum vereinbarten Austritt: Zugänge sperren und Sitzungen beenden

Die zentrale Anmeldung ist der wichtigste Startpunkt. Microsoft beschreibt im Leitfaden zum Zugriffswiderruf diese Schritte:

1. Lokales Active Directory (nur hybride Umgebungen): Konto deaktivieren und das Kennwort zweimal zurücksetzen. Microsoft begründet das mit dem Pass-the-Hash-Risiko; ist das Konto sicher nicht kompromittiert, reicht einmal.
2. Microsoft Entra ID: Konto deaktivieren, damit keine neue Anmeldung möglich ist, und anschließend „Sitzungen widerrufen“.
3. Kontrolle: Die IT prüft den tatsächlichen Zustand auf beiden Seiten, statt bei zeitkritischen Sperren auf den nächsten Abgleich zu warten. Bei reinen Cloud-Konten entfällt Schritt 1.

Danach erhält die Person keine neuen Token mehr. Bereits ausgestellte Zugriffstoken gelten standardmäßig bis zu einer Stunde weiter, und eigene Sitzungen von Anwendungen kann Entra ID nicht direkt widerrufen. Eine sofortige Abmeldung überall ist also nicht garantiert.

Behandle außerdem VPN, Fernzugänge, Portale mit eigenem Login und separate Administratorkonten. Kläre MFA-Methoden, Sicherheitsschlüssel und Wiederherstellungsoptionen; ein zurückgegebener MFA-Token ersetzt die Kontosperre nicht. Die Nachfolge arbeitet mit eigenem Konto und gezielt vergebenen Rechten, nie mit dem alten Login. Im Handwerksbetrieb aus dem Beispiel gehört das Lieferantenportal genau hierher: Der Zugang des Einkäufers wird beim Portal deaktiviert, die Kollegin erhält einen eigenen.

E-Mails, OneDrive und Teams: Übergabe statt blindem Löschen

Postfach und Kalender

Lege Empfänger, Umfang und Ende eines freigegebenen Zugriffs fest. Eine abgestimmte Abwesenheitsnachricht kann auf die neue Kontaktperson verweisen. Prüfe wiederkehrende Termine und Raumreservierungen, damit die Nachfolge sie übernehmen oder neu organisieren kann.

Ein freigegebenes Exchange-Online-Postfach ist eine gängige Lösung. Laut Microsoft-Anleitung zur Postfachumwandlung gilt:

• E-Mails, Kalender und Posteingangsregeln bleiben erhalten. Prüfe deshalb vorhandene Regeln wie Weiterleitungen.
• Ohne Kennwortänderung funktionieren die alten Zugangsdaten weiter. Die Umwandlung ersetzt die Sperre nicht.
• Zum Umwandeln braucht das Postfach noch seine Lizenz. Danach kann sie entfallen, wenn das Postfach kleiner als 50 GB ist; mit Exchange Online Plan 2 sind 100 GB möglich.
• Ein automatisch erweiterbares Archiv oder eine Beweissicherung (Litigation Hold) setzt auch hier eine passende Exchange-Lizenz voraus.
• Das Benutzerkonto bleibt bestehen, denn es verankert das freigegebene Postfach.

Bei Exchange-Hybrid prüft die IT zusätzlich die lokale Konfiguration.

Aufbewahrung und private E-Mails

Kurze Orientierung, keine Rechtsberatung. Geschäftliche E-Mails können aufbewahrungspflichtig sein. Für empfangene und abgesandte Handels- oder Geschäftsbriefe nennt § 147 der Abgabenordnung grundsätzlich sechs Jahre, für Buchungsbelege acht Jahre, jeweils ab Ende des Kalenderjahres. Ob eine E-Mail dazugehört, hängt von ihrem Inhalt ab. Kläre vor dem Löschen eines Postfachs, ob eine E-Mail-Archivierung die betroffenen Nachrichten bereits geschützt abgelegt hat.

War die private Nutzung des betrieblichen Postfachs erlaubt oder über längere Zeit geduldet, wird es heikler. Die Orientierungshilfe der Datenschutzaufsichtsbehörden geht dann davon aus, dass der Arbeitgeber an das Fernmeldegeheimnis gebunden ist und grundsätzlich nur mit Einwilligung zugreifen darf. Das Papier stammt von 2016 und nennt selbst abweichende Gerichtsentscheidungen; abschließend geklärt ist die Frage nicht.

Auch bei rein betrieblicher Nutzung darf der Arbeitgeber laut Orientierungshilfe nur zugreifen, soweit es betrieblich erforderlich ist, und erkennbar private Nachrichten nicht weiter lesen. Für Abwesenheiten empfiehlt sie zuerst eine Abwesenheitsnachricht; eine automatische Weiterleitung aller Nachrichten ist kein sinnvoller Standard. Kläre offene Fragen mit Datenschutz und rechtlicher Beratung.

Dateien und Zuständigkeiten

Ein sichtbarer Link in Teams sagt noch nicht, wem die Datei gehört: Laut Microsoft-Support liegen Kanaldateien im SharePoint des Teams, Dateien aus Chats im OneDrive der hochladenden Person. Prüfe deshalb die tatsächlichen Ablageorte, Freigaben und Teambesitzer.

Für OneDrive gilt: Eine entfernte Lizenz ist keine Aufbewahrungslösung. Laut Microsoft-Dokumentation zu nicht lizenzierten Konten wird ein OneDrive ohne Lizenz standardmäßig nach 60 Tagen schreibgeschützt und nach 93 Tagen archiviert. In beiden Zuständen haben weder Admins noch Nutzer Zugriff auf die Inhalte, bis ein Admin etwa eine Lizenz zuweist oder das Archiv kostenpflichtig reaktiviert. Plane die Übergabe deshalb vor dem Lizenzentzug und dokumentiere Zielablage und Zugriffstest.

Nach dem Austritt: Geheimnisse, Geräte und Lizenzen kontrollieren

Entferne die Person aus gemeinsamen Passwortsammlungen. Ändere gemeinsam bekannte Zugangsdaten dort, wo sie weiter nutzbar wären; prüfe vorher abhängige Geräte und Anwendungen. Das Entziehen des Tresorzugriffs macht ein bereits bekanntes Passwort nicht unbekannt. Grundlagen findest Du im Ratgeber Passwortsicherheit im Unternehmen. Mit einem zentralen Passwort-Manager wie Managed Password entziehst Du einzelnen Mitarbeitenden den Tresorzugriff mit wenigen Klicks. Bereits bekannte Passwörter ändern musst Du trotzdem.

Dokumentiere zurückgegebene Geräte mit Inventarnummer und Zustand. Vor einer Neuvergabe werden benötigte Geschäftsdaten gesichert oder übergeben und Geräte nach dem freigegebenen Verfahren bereinigt. Bei privaten Geräten muss klar sein, welche geschäftlichen Bereiche entfernt werden dürfen. Der Ratgeber zu Mobile Device Management für KMU erklärt die organisatorischen Grundlagen.

Ein fehlendes oder ausgeschaltetes Gerät bleibt ein offener Punkt: Eine Kontosperre entfernt keine lokalen Dateien, und eine Fernlöschung über Microsoft Intune greift laut Microsoft erst, wenn das Gerät online ist. Ein nur versendeter Auftrag ist noch kein Nachweis.

Prüfe Lizenzen erst nach der Datenübergabe und der Klärung nötiger Aufbewahrung. Eine frei gewordene Lizenz kann neu zugewiesen werden; weniger zugewiesene Benutzer bedeuten nicht automatisch weniger vertragliche Kosten.

Mitarbeiter-Offboarding-Checkliste zum Übernehmen

Trage konkrete Namen statt Rollen ein und notiere Freigaben, Zeitpunkt und Nachweise im Ticket; ein Häkchen allein erklärt die Umsetzung nicht.

Prüfschritt	Zuständig	Wann
Sperrzeitpunkt freigegeben	Führungskraft	Vorher
Konten und Geräte erfasst	IT + Verwaltung	Vorher
Dienste auf Betriebskonto umgestellt	IT	Vorher
Datenübergabe freigegeben	Führungskraft	Vorher
Nachfolgezugriff getestet	Fachbereich	Vorher
AD-/Cloud-Konten gesperrt	IT	Austritt
Sitzungen und MFA geprüft	IT	Austritt
VPN und Portale behandelt	IT + Fachbereich	Austritt
Postfach und Termine geklärt	Führungskraft + IT	Austritt
Dateifreigaben geprüft	Fachbereich + IT	Austritt
Geräte zurückgenommen	Verwaltung	Austritt
Geteilte Zugänge geändert	IT + Fachbereich	Danach
Lizenzen und Verträge geprüft	IT + Einkauf	Danach
Abschluss dokumentiert	Koordination	Danach

Wann ist das Offboarding abgeschlossen?

Erst wenn die Zuständigen die Umsetzung bestätigt haben und jede offene Aufgabe einen Verantwortlichen und einen Termin hat, etwa ein fehlendes Smartphone oder ein nicht erreichbarer Portalbetreiber. Verwechsle eine geplante Maßnahme nicht mit einer erledigten. Für den Abschluss reichen knappe Angaben: Wer hat welches Konto wann gesperrt, wer hat die Übergabe geprüft, welche Ausnahme ist offen? Passwörter gehören nicht ins Ticket.

Typische Fehler beim Offboarding

Die Lizenz geht vor der Übergabe. Typisch ist dieser Ablauf: Die Lizenz wird am Austrittstag entzogen, bevor die Übergabe steht. Danach sucht die Vertretung Lieferantenangebote, die nur im Postfach der ausgeschiedenen Person lagen, im Handwerksbetrieb aus dem Beispiel etwa die Angebote hinter der Angebotsliste. Laut Microsoft-Übersicht bleiben E-Mails, Kontakte und Kalender nach dem Lizenzentzug 30 Tage erhalten und werden dann endgültig gelöscht. In dieser Zeit lässt sich die Lizenz wieder zuweisen, etwa um das Postfach noch umzuwandeln. Sicherer ist die Reihenfolge: erst Übergabe und Zugriffstest, dann die Lizenz.

Dienste laufen unter dem persönlichen Konto. Ein verbreitetes Muster: Das Konto einer ausgeschiedenen Person wird gesperrt und gelöscht. Wochen später fällt auf, dass der Multifunktionsdrucker gescannte Unterlagen nicht mehr per E-Mail verschickt und Berichte, etwa aus der Datensicherung, nicht mehr ankommen. Beides lief über die Zugangsdaten dieser Person. Stelle solche Geräte, Dienste und Benachrichtigungen vorher auf ein abgestimmtes Betriebskonto um und prüfe einen Testversand. Das gilt auch für geplante Datenexporte.

Nur an Microsoft 365 gedacht. Gehe die Liste aus Sicht des Arbeitsalltags durch: Wer bestellt Material, veröffentlicht Stellenanzeigen oder verwaltet die Telefonansage? Denke auch an Social-Media-Konten, Newsletter, Domainverwaltung und externe Dateifreigaben. Ist die ausscheidende Person dort der einzige Administrator, richte zuerst eine berechtigte Nachfolge ein.

Wann Hilfe von außen sinnvoll ist

Einen einzelnen Austritt kannst Du mit dieser Liste gut selbst steuern. Unterstützung lohnt sich, wenn im Haus niemand die Microsoft-365-Verwaltung sicher beherrscht, Austritte regelmäßig vorkommen oder ein lokales Active Directory dazukommt.

Wir betreuen über 1.500 Endgeräte und über 300 Server. Für Microsoft 365 übernehmen wir auf Wunsch die laufende Betreuung, von Benutzer-Ein- und -Austritten über Lizenzanpassungen bis zu Änderungen an Teams- und Freigabestrukturen, auch in bestehenden Umgebungen: Microsoft 365 einführen und betreuen lassen. Externe Freigaben sowie Gast- und anonyme Zugriffe in SharePoint, Teams und OneDrive prüft unser Berechtigungs- & Freigabemanagement für Microsoft 365 laufend. Mit einem Mobile Device Management kannst Du Unternehmensdaten von Mobilgeräten beim Austritt entfernen, je nach Gerätetyp und Registrierungsart.

Wie solche Aufgaben in eine laufende Betreuung passen, erklärt unser Leitfaden zu Managed Services; weitergehende Schutzmaßnahmen gehören zu unserer IT-Sicherheit.

Häufige Fragen

Wie lange lässt sich ein gelöschtes Benutzerkonto wiederherstellen?

In Microsoft 365 30 Tage. So lange bewahrt Microsoft die Inhalte von Postfach und OneDrive auf, und Du kannst das Konto samt Inhalten wiederherstellen. Konten, die aus einem lokalen Active Directory synchronisiert werden, löschst und wiederherstellst Du dort, nicht in Microsoft 365.

Bekommt die Führungskraft automatisch Zugriff auf das OneDrive?

Standardmäßig ja, sobald das Konto gelöscht wird, sofern die Führungskraft im Entra-ID-Profil hinterlegt ist. Fehlt sie, erhält ein festgelegter sekundärer Besitzer Zugriff. Ist keiner von beiden hinterlegt oder die Zugriffsdelegierung deaktiviert, hat niemand automatisch Zugriff. Die OneDrive-Aufbewahrung beträgt standardmäßig 30 Tage. Danach liegt das OneDrive 93 Tage im Papierkorb und lässt sich nur noch per PowerShell wiederherstellen.

Reicht eine Weiterleitung der E-Mails an die Vertretung?

Für neue Nachrichten an die alte Adresse kann eine gezielte Weiterleitung helfen; Microsoft nennt sie als Weg, die Adresse für Kunden und Partner erreichbar zu halten. Die Datenschutzaufsicht empfiehlt bei Abwesenheit zuerst eine Abwesenheitsnachricht. Für frühere geschäftliche E-Mails passt eher ein freigegebenes Postfach mit festgelegtem Personenkreis. Ein gelöschtes Konto empfängt keine E-Mails mehr.

Wann darf die Lizenz entfernt werden?

Erst nach Übergabe, Zugriffstest und Entscheidung über das Postfach. Sonst löscht Microsoft E-Mails, Kontakte und Kalender nach 30 Tagen endgültig. Ein freigegebenes Postfach unter 50 GB kommt nach der Umwandlung ohne Lizenz aus; ein OneDrive ohne Lizenz wird nach 60 Tagen schreibgeschützt und nach 93 Tagen archiviert.

Fazit

Ein sauberes Offboarding folgt einer klaren Reihenfolge: sofort sperren, Daten übergeben und testen, erst dann die Lizenz entfernen und zuletzt löschen, sofern kein freigegebenes Postfach am Konto hängt. Im Handwerksbetrieb aus dem Beispiel hätte das genügt: Portalzugang gesperrt, Angebotsliste in der Teamablage, Postfach übergeben, bevor die Lizenz wegfällt.

Du möchtest für Dein Unternehmen einen festen Offboarding-Ablauf vereinbaren? Vereinbare ein kostenloses Erstgespräch.