Zum Inhalt
Kontakt

Identity Lifecycle · Leaver

IT-Offboarding: Zugriff endet, Wissen bleibt

Am letzten Arbeitstag soll der Zugang zuverlässig enden – zu E-Mail, Dateien, Anwendungen und Geräten. Gleichzeitig müssen Postfach und Dokumente geordnet übergeben werden. Wir setzen das technisch um und stimmen die Schritte vorher mit Personalabteilung, Führungskraft und Datenschutz ab.

Zum AblaufKontakt aufnehmen

Ablauf

Drei Austritte, drei Reihenfolgen

Die nötigen Schritte ähneln sich – die Reihenfolge nicht. Wählen Sie eine Variante: Gemeinsame Schritte bleiben stehen, was sich ändert, wird sichtbar.

Kündigung mit Frist. Es bleibt Zeit, Übergaben vorzubereiten und Zugänge schrittweise zu beenden.

  1. Austritt an die IT melden – mit festem AnsprechpartnerPersonalabteilungMit dem letzten Arbeitstag, sobald er feststeht – das BSI empfiehlt dafür eine Checkliste (ORP.2).
  2. Umgang mit Postfach, Dateien und Fristen ist vorab geregeltDatenschutzWas mit Postfach und Dateien geschieht, ist keine Entscheidung für den letzten Tag.
  3. Vertretung festlegen, Aufgaben übergebenFührungskraft
  4. Projekt- und Teamzugänge schrittweise beendenITEinige Tage vor dem Austritt.
  5. Konto in Microsoft Entra ID deaktivieren, Sitzungen widerrufenITAm letzten Arbeitstag – beides zusammen.
  6. Konten in Fachanwendungen mit eigener Anmeldung sperrenIT
  7. Geräte zurücknehmen, sperren oder Unternehmensdaten löschenIT
  8. Postfach umwandeln oder weiterleiten, Dateizugriff übertragenITFür die vereinbarte Zeit.
  9. Lizenzen freigebenIT
  10. Konto nach vereinbarter Frist löschenITEin gelöschtes Konto ist laut Microsoft 30 Tage wiederherstellbar.
  11. Dokumentieren: was, wann, auf wessen VeranlassungIT

Zugang endet planbar, Arbeitsstände bleiben erhalten.

Alle Szenarien als Text

Geplanter Austritt – Kündigung mit Frist. Es bleibt Zeit, Übergaben vorzubereiten und Zugänge schrittweise zu beenden.

  1. Austritt an die IT melden – mit festem Ansprechpartner: Mit dem letzten Arbeitstag, sobald er feststeht – das BSI empfiehlt dafür eine Checkliste (ORP.2).
  2. Umgang mit Postfach, Dateien und Fristen ist vorab geregelt: Was mit Postfach und Dateien geschieht, ist keine Entscheidung für den letzten Tag.
  3. Vertretung festlegen, Aufgaben übergeben
  4. Projekt- und Teamzugänge schrittweise beenden: Einige Tage vor dem Austritt.
  5. Konto in Microsoft Entra ID deaktivieren, Sitzungen widerrufen: Am letzten Arbeitstag – beides zusammen.
  6. Konten in Fachanwendungen mit eigener Anmeldung sperren
  7. Geräte zurücknehmen, sperren oder Unternehmensdaten löschen
  8. Postfach umwandeln oder weiterleiten, Dateizugriff übertragen: Für die vereinbarte Zeit.
  9. Lizenzen freigeben
  10. Konto nach vereinbarter Frist löschen: Ein gelöschtes Konto ist laut Microsoft 30 Tage wiederherstellbar.
  11. Dokumentieren: was, wann, auf wessen Veranlassung

Zugang endet planbar, Arbeitsstände bleiben erhalten.

Sofortiger Austritt – Freistellung oder Kündigung mit sofortiger Wirkung. Zuerst wird gesperrt, dann übergeben – deshalb muss der Umgang mit Daten vorher geregelt sein.

  1. Austritt an die IT melden – mit festem Ansprechpartner: Sofort, telefonisch – nicht per Ticket am nächsten Morgen.
  2. Umgang mit Postfach, Dateien und Fristen ist vorab geregelt: Liegt bereits vor; im Ernstfall wird nicht improvisiert.
  3. Konto in Microsoft Entra ID deaktivieren, Sitzungen widerrufen: Zuerst. Bereits ausgestellte Zugriffstoken gelten laut Microsoft bis zum Ablauf, standardmäßig eine Stunde.
  4. Konten in Fachanwendungen mit eigener Anmeldung sperren: Direkt danach – die Sperre im Verzeichnis erreicht sie nicht.
  5. Geräte zurücknehmen, sperren oder Unternehmensdaten löschen: Löschen funktioniert nur, wenn das Gerät online ist.
  6. Vertretung festlegen, Arbeitsstände sichten und übergeben: Erst jetzt, ohne Beteiligung der ausgeschiedenen Person.
  7. Postfach umwandeln oder weiterleiten, Dateizugriff übertragen
  8. Lizenzen freigeben
  9. Konto nach vereinbarter Frist löschen
  10. Dokumentieren: was, wann, auf wessen Veranlassung: Gerade hier: Zeitpunkte festhalten.

Anmeldung und neue Token sind gesperrt, bevor die Übergabe beginnt.

Austritt in hybrider Umgebung – Konten entstehen im lokalen Active Directory und werden mit Microsoft Entra ID synchronisiert. Die Sperre muss im Active Directory beginnen – und kommt erst mit der Synchronisierung in der Cloud an.

  1. Austritt an die IT melden – mit festem Ansprechpartner
  2. Umgang mit Postfach, Dateien und Fristen ist vorab geregelt
  3. Vertretung festlegen, Aufgaben übergeben
  4. Konto im lokalen Active Directory deaktivieren: Microsoft empfiehlt zusätzlich, das Kennwort zurückzusetzen – zweimal, wenn eine Kompromittierung nicht ausgeschlossen ist.
  5. Synchronisierung abwarten oder anstoßen: Entra Connect synchronisiert standardmäßig alle 30 Minuten.
  6. Konto in Microsoft Entra ID deaktivieren, Sitzungen widerrufen: Sitzungen in Microsoft Entra ID widerrufen.
  7. Konten in Fachanwendungen mit eigener Anmeldung sperren
  8. Geräte zurücknehmen, sperren oder Unternehmensdaten löschen
  9. Postfach umwandeln oder weiterleiten, Dateizugriff übertragen
  10. Lizenzen freigeben
  11. Konto nach vereinbarter Frist löschen: Synchronisierte Konten werden im lokalen Active Directory gelöscht.
  12. Dokumentieren: was, wann, auf wessen Veranlassung

Sperre an der führenden Stelle, Cloud-Sitzungen beendet, keine Lücke durch die Synchronisierung.

Zugriff sperren

Deaktivieren reicht nicht: Sitzungen und Geräte gehören dazu

Wer ein Konto nur deaktiviert, beendet nicht zwingend alle bestehenden Sitzungen. Laut Microsoft Learn bleiben bereits ausgestellte Zugriffstoken bis zu ihrem Ablauf gültig – standardmäßig etwa eine Stunde. Schneller geht es nur bei Anwendungen, die die fortlaufende Zugriffsevaluierung unterstützen: Sie beenden Sitzungen nach einem Widerruf nahezu sofort. Deshalb gehören mehrere Schritte zusammen:

  • Im Active Directory: Konto deaktivieren und das Kennwort zurücksetzen – Microsoft empfiehlt zweimal, wenn eine Kompromittierung nicht ausgeschlossen ist.
  • In Microsoft Entra ID: Konto deaktivieren, Anmeldesitzungen widerrufen, registrierte Geräte deaktivieren.
  • Auf Geräten: Bei verwalteten Geräten Unternehmensdaten entfernen oder das Gerät zurücksetzen – das funktioniert nur, wenn das Gerät online ist.
  • In Fachanwendungen: Konten mit eigener Anmeldung gesondert sperren.

In hybriden Umgebungen ist die Reihenfolge wichtig: Die Sperre im lokalen Active Directory erreicht Microsoft Entra ID erst mit der nächsten Synchronisierung.

Nachprüfen

Ist der Zugang wirklich zu?

Wählen Sie, was beim Austritt erledigt ist. Das Modell zeigt, welcher Zugriff danach noch möglich ist – und warum. Die Regeln folgen der Microsoft-Anleitung zum Widerrufen des Benutzerzugriffs.

Konto

Werden Konten aus dem lokalen Active Directory synchronisiert, ist das Active Directory die führende Stelle.

Sitzungen
Zeitpunkt

Zugriffstoken von Microsoft Entra ID gelten standardmäßig eine Stunde.

Fachanwendungen
Gerät

Restzugriff

Restzugriff möglich

Zugriffe sind noch für eine begrenzte Zeit möglich – oder bis ein fehlender Schritt nachgeholt ist.

  • Bereits ausgestellte Zugriffstoken bleiben bis zum Ablauf gültig – standardmäßig eine Stunde.

Vereinfachtes Lernmodell nach der Microsoft-Anleitung zum Widerrufen des Zugriffs – keine Nachbildung von Microsoft Entra ID. Nicht abgebildet: Anmeldeverfahren im Detail, kontinuierliche Zugriffsauswertung, Anwendungen mit eigenen Sitzungstoken (deren Ende hängt von der Anwendung ab).

Modellregeln als Text

Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Zugang beendet → Restzugriff möglich → Daten außerhalb der Kontrolle → Zugang weiterhin offen).

  • Zugang weiterhin offen, wenn Konto: Noch aktiv – Das Konto ist aktiv: Anmeldung mit Kennwort jederzeit möglich.
  • Restzugriff möglich, wenn Konto: Im lokalen AD deaktiviert, Synchronisierung steht aus und Zeitpunkt: Direkt nach den Schritten – Bis zur nächsten Synchronisierung kennt Microsoft Entra ID die Sperre nicht (Entra Connect: standardmäßig alle 30 Minuten). Je nach Anmeldeverfahren sind Cloud-Anmeldungen bis dahin möglich.
  • Restzugriff möglich, wenn Konto: In Microsoft Entra ID deaktiviert oder Im lokalen AD deaktiviert, Synchronisierung steht aus oder Im lokalen AD deaktiviert und synchronisiert und Zeitpunkt: Direkt nach den Schritten – Bereits ausgestellte Zugriffstoken bleiben bis zum Ablauf gültig – standardmäßig eine Stunde.
  • Restzugriff möglich, wenn Konto: In Microsoft Entra ID deaktiviert oder Im lokalen AD deaktiviert, Synchronisierung steht aus oder Im lokalen AD deaktiviert und synchronisiert und Sitzungen: Nicht widerrufen – Microsoft empfiehlt, nach dem Deaktivieren auch die Sitzungen zu widerrufen; erst danach können laut Microsoft keine neuen Token mehr ausgestellt werden.
  • Zugang weiterhin offen, wenn Fachanwendungen: Eigene Anmeldung, nicht gesperrt – Die Fachanwendung hat eine eigene Anmeldung. Die Sperre im Verzeichnis erreicht sie nicht – Microsoft empfiehlt, die Bereitstellung auch dort aufzuheben.
  • Daten außerhalb der Kontrolle, wenn Gerät: Verwaltet, Löschauftrag – Gerät offline – Der Löschauftrag wird erst ausgeführt, wenn das Gerät wieder online ist.
  • Daten außerhalb der Kontrolle, wenn Gerät: Unternehmensdaten auf nicht verwaltetem Gerät – Auf einem nicht verwalteten Gerät kann die IT keine Unternehmensdaten entfernen.

Vereinfachtes Lernmodell nach der Microsoft-Anleitung zum Widerrufen des Zugriffs – keine Nachbildung von Microsoft Entra ID. Nicht abgebildet: Anmeldeverfahren im Detail, kontinuierliche Zugriffsauswertung, Anwendungen mit eigenen Sitzungstoken (deren Ende hängt von der Anwendung ab).

Daten übergeben

Postfach, Dateien, Lizenzen: was nach dem Austritt passiert

Microsoft beschreibt die technischen Möglichkeiten in der Anleitung „Entfernen eines ehemaligen Mitarbeiters“. Welche davon Sie nutzen, legen Sie vorher fest.

  1. Postfach

    Umwandlung in ein freigegebenes Postfach oder Weiterleitung an eine Vertretung – für eine vereinbarte Zeit.

  2. OneDrive-Dateien

    Zugriff auf die Dateien wird einer anderen Person übertragen, damit Arbeitsstände nicht verloren gehen.

  3. Lizenzen

    Lizenzen werden freigegeben. Laut Microsoft bleiben E-Mail-Daten danach 30 Tage erhalten. Ein OneDrive ohne Lizenz wird standardmäßig nach 60 Tagen schreibgeschützt und nach 93 Tagen archiviert – danach kommt man nur noch über eine neue Lizenz, eine kostenpflichtige Reaktivierung oder – bis etwa Tag 275 ohne Lizenz – einen Export über die eDiscovery von Microsoft Purview an die Dateien. Deshalb vorher übergeben.

  4. Konto löschen

    Ein gelöschtes Konto lässt sich 30 Tage lang wiederherstellen. Synchronisierte Konten werden im lokalen Active Directory gelöscht.

  5. Aufbewahrung

    Müssen Daten länger erhalten bleiben, bietet Microsoft Purview Aufbewahrungsfunktionen – ob und wie lange, entscheiden Sie mit Ihrem Datenschutz.

Datenschutz

Vorab klären, nicht am letzten Tag

Beim Offboarding geht es um personenbezogene Daten: das Postfach einer Person, ihre Dateien, Protokolle über ihre Anmeldungen. Wer darauf zugreifen darf, wie lange etwas aufbewahrt und wann gelöscht wird, ist keine technische Frage.

Wir setzen die technischen Schritte um und dokumentieren sie. Die rechtliche Bewertung liegt bei Ihrer oder Ihrem Datenschutzbeauftragten bzw. Ihrer Rechtsberatung. Wo ein Betriebsrat besteht, ist er gegebenenfalls zu beteiligen.

Zu den Protokollen: Microsoft Entra ID bewahrt Überwachungs- und Anmeldeprotokolle je nach Lizenz nur 7 bzw. 30 Tage auf (Microsoft Learn). Wer Nachweise länger braucht, muss sie exportieren – auch das ist vorher festzulegen. Fristen und Löschregeln gehören in ein Aufbewahrungs- und Löschkonzept.

Automatisierung

Was sich beim Offboarding automatisieren lässt

Lizenzangaben nach Microsoft Learn, abgerufen am 2. November 2026 – maßgeblich ist Ihr Vertrag. Die Übersicht aller Bausteine mit Lizenzen steht unter HR-/IT-Übergaben automatisieren.

  1. Auslöser aus dem Personalsystem

    Mit HR-gesteuerter Bereitstellung deaktiviert die Kündigung im Personalsystem das Konto in Active Directory und Microsoft Entra ID. Ab Microsoft Entra ID P1.

  2. Lebenszyklus-Workflows

    Vorlagen für die Zeit vor, am und nach dem letzten Arbeitstag: Gruppen entfernen, Konto deaktivieren, Token widerrufen, Lizenzen entfernen, Konto löschen. Microsoft Entra ID Governance, Entra Suite oder Microsoft 365 E7.

  3. Sofortiger Austritt

    Für Kündigungen mit sofortiger Wirkung gibt es eine bedarfsgesteuerte Vorlage, die ohne Wartezeit läuft.

  4. Skripte

    Ohne Governance-Lizenz lassen sich die Schritte mit Microsoft Graph PowerShell und den Active-Directory-Cmdlets als geprüftes Skript abbilden.

Häufige Fragen zum Offboarding

Reicht es, das Kennwort zu ändern?

Nein. Bestehende Sitzungen und Token können weiter gelten. Zuverlässiger ist die Kombination aus Deaktivieren, Sitzungen widerrufen und Geräte sperren – siehe oben.

Was ist mit gemeinsam genutzten Passwörtern, die die Person kannte?

Gemeinsam genutzte Zugänge – etwa ein Lieferantenportal oder das WLAN-Passwort – bleiben gültig, auch wenn das Konto der Person gesperrt ist. Wer sie kannte, kennt sie weiter. Deshalb solche Passwörter nach dem Austritt ändern; das BSI verlangt einen Wechsel, wenn ein Passwort Unbefugten bekannt geworden ist (ORP.4.A8). Wie ein Passwortmanager dabei hilft, zeigt Zentrales Passwortmanagement.

Sollen wir das Konto sofort löschen?

Nicht unbedingt. Ein deaktiviertes Konto lässt Zeit für die Übergabe von Postfach und Dateien. Nach dem Löschen bleibt das Konto laut Microsoft 30 Tage wiederherstellbar. Die passende Frist legen Sie mit Ihrem Datenschutz fest.

Was passiert bei einem sofortigen Austritt?

Dann wird zuerst gesperrt – Konto, Sitzungen, Geräte – und erst danach übergeben. Dieser Ablauf sollte vorbereitet sein, damit niemand im Ernstfall improvisieren muss.

Darf die Führungskraft das Postfach einsehen?

Das ist eine rechtliche Frage, die wir nicht beantworten. Klären Sie sie vorab mit Ihrer oder Ihrem Datenschutzbeauftragten bzw. Ihrer Rechtsberatung – wir setzen die vereinbarte Lösung technisch um.

Offboarding verlässlich machen

Wir erarbeiten mit Ihnen einen Offboarding-Ablauf, der Sicherheit und geordnete Übergabe verbindet – und setzen ihn technisch um – einschließlich der Geräte in Ihrer Geräteverwaltung. Umfang und Vorgehen legen wir mit Ihnen fest. Telefon 07131-618726-0.

Offboarding anfragenAnrufenÜberblick Identity Lifecycle