Mitarbeiterzugänge sicher deaktivieren: So geht’s

Ein ausgeschiedener Mitarbeiter muss kein böswilliger Angreifer sein, um zum Sicherheitsrisiko zu werden. Ein vergessenes Microsoft-365-Konto, ein noch aktiver VPN-Zugang oder eine private Weiterleitung im E-Mail-Postfach reichen aus, damit vertrauliche Daten unkontrolliert erreichbar bleiben. Mitarbeiterzugänge sicher deaktivieren ist deshalb keine reine IT-Aufgabe am letzten Arbeitstag. Es ist ein verbindlicher Geschäftsprozess für Datenschutz, Betriebsstabilität und nachvollziehbare Verantwortung.

Für mittelständische Unternehmen ist das Thema besonders relevant: Gewachsene IT-Landschaften enthalten häufig lokale Server, Cloud-Dienste, Fachanwendungen, mobile Geräte und externe Dienstleister. Oft weiß keine einzelne Stelle vollständig, welche Zugänge eine Person über die Jahre erhalten hat. Genau diese Lücke nutzen Angreifer aus – oder sie wird bei einer Datenschutzprüfung sichtbar.

Warum deaktivierte Zugänge ein Geschäftsrisiko sind

Das Risiko beginnt meist nicht mit einem spektakulären Hackerangriff, sondern mit einer kleinen Unterlassung. Ein ehemaliger Vertriebsmitarbeiter kann sich noch im CRM anmelden. Eine ausgeschiedene Buchhaltungskraft hat weiterhin Zugriff auf Rechnungen und Personalunterlagen. Ein Administrator verlässt das Unternehmen, doch sein persönliches Konto bleibt als einziger Zugang zu einer Firewall oder Backup-Konsole bestehen.

Der Verizon Data Breach Investigations Report 2024 ordnet 68 Prozent der untersuchten Sicherheitsvorfälle einem menschlichen Faktor zu. Dazu zählen unter anderem Fehlbedienung, Social Engineering und missbräuchlich verwendete Zugangsdaten. Für den Mittelstand folgt daraus eine klare Konsequenz: Identitäten und Berechtigungen gehören zu den wichtigsten Schutzgütern der IT.

Auch das Bundesamt für Sicherheit in der Informationstechnik betont in seinen Lageberichten regelmäßig, dass gestohlene oder missbrauchte Zugangsdaten ein zentraler Angriffsweg sind. Bleibt ein Konto aktiv, kann es für einen Angreifer besonders wertvoll sein: Es wirkt legitim, hat oft bereits passende Rechte und löst in der täglichen Überwachung weniger schnell Alarm aus als ein unbekannter Login.

Neben der IT-Sicherheit steht die DSGVO im Raum. Artikel 5 fordert Datenminimierung und Integrität, Artikel 32 angemessene technische und organisatorische Maßnahmen. Ein Zugang zu personenbezogenen Daten, für den nach dem Ausscheiden keine berufliche Notwendigkeit mehr besteht, lässt sich schwer begründen. Die Frage lautet daher nicht nur, ob ein ehemaliger Mitarbeiter Zugriff missbraucht. Entscheidend ist auch, ob das Unternehmen nachweisen kann, Zugriffe rechtzeitig und kontrolliert entzogen zu haben.

Mitarbeiterzugänge sicher deaktivieren beginnt vor dem Austritt

Ein sauberer Offboarding-Prozess braucht einen klaren Auslöser. Idealerweise informiert die Personalabteilung die IT frühzeitig über Kündigung, Vertragsende, Freistellung oder einen Rollenwechsel. Dabei müssen nicht alle Details offengelegt werden. Entscheidend sind Name, Austrittsdatum, letzter Arbeitstag, betroffene Rolle und die verantwortliche Führungskraft.

Bei regulären Austritten kann die Vorbereitung einige Tage vorher beginnen. Die IT erfasst vorhandene Konten, prüft die Datenübergabe und plant die Abschaltung zum festgelegten Zeitpunkt. Bei einer sofortigen Freistellung oder bei einem sicherheitsrelevanten Verdacht gilt ein anderer Maßstab: Zugänge müssen unmittelbar gesperrt werden, bevor weitere Schritte wie Geräteabgabe oder Gesprächsführung erfolgen.

Diese Abwägung ist wichtig. Ein Konto zu früh abzuschalten, kann die geordnete Übergabe von Kundenfällen oder Projektdaten behindern. Ein Konto zu spät abzuschalten, schafft ein vermeidbares Risiko. Ein abgestimmter Prozess mit Personalabteilung, Führungskraft und IT löst diesen Zielkonflikt ohne improvisierte Einzelentscheidungen.

Sperren statt nur löschen

Die erste Maßnahme ist in vielen Fällen die Sperrung des Benutzerkontos. Sie verhindert eine weitere Anmeldung, erhält aber Protokolle, E-Mails und geschäftliche Daten für die geregelte Übergabe. Eine sofortige Löschung ist selten sinnvoll. Sie kann Beweisinformationen vernichten, Aufbewahrungspflichten berühren oder wichtige Abläufe blockieren.

Nach einer definierten Frist sollte das Konto bereinigt oder gelöscht werden. Wie lang diese Frist ausfällt, hängt von Arbeitsrecht, steuerlichen und handelsrechtlichen Aufbewahrungspflichten, internen Richtlinien sowie dem konkreten System ab. Für personenbezogene Daten gilt dabei: Nicht alles darf pauschal archiviert werden. Das Unternehmen braucht einen dokumentierten Zweck und klare Löschfristen.

Besondere Aufmerksamkeit verdienen gemeinsame Funktionspostfächer. Ein ehemaliger Mitarbeiter darf nicht einfach durch eine automatische Weiterleitung weiter eingebunden bleiben. Besser ist eine zeitlich begrenzte Abwesenheitsnotiz mit neutralem Ansprechpartner. Geschäftliche Vorgänge werden an verantwortliche Kollegen übergeben, persönliche Inhalte bleiben geschützt.

Diese Systeme werden im Offboarding häufig übersehen

Ein einzelnes Active-Directory-Konto abzuschalten reicht in einer modernen IT-Umgebung nicht aus. Zugänge entstehen an vielen Stellen und werden nicht immer zentral verwaltet. Eine belastbare Offboarding-Prüfung umfasst mindestens folgende Bereiche:

• Identitäts- und E-Mail-Systeme wie Active Directory, Microsoft 365 oder vergleichbare Kollaborationsplattformen
• VPN, Remote-Desktop-Zugänge, WLAN, Firewall-Portale und Administrationsoberflächen
• Fachanwendungen wie ERP, CRM, Finanzbuchhaltung, Zeiterfassung und Personalsoftware
• Cloud-Speicher, Projektplattformen, Passwortmanager und externe SaaS-Dienste
• Diensthandys, Notebooks, lokale Benutzerprofile, Tokens, Zertifikate und Mehrfaktor-Authentisierung
• Externe Zugänge von Dienstleistern, Freelancern oder ehemaligen Administratoren

Besonders kritisch sind privilegierte Rechte. Ein ausgeschiedener IT-Mitarbeiter darf nicht als verstecktes Notfallkonto in einer Firewall, einem Backup-System oder einem Cloud-Mandanten fortbestehen. Notfallzugänge sind sinnvoll, müssen aber dem Unternehmen gehören, stark geschützt, dokumentiert und regelmäßig überprüft werden. Persönliche Administratorenkonten sind dafür ungeeignet.

Praxisfall: Ein übersehener Zugang zur Backup-Konsole

In einem anonymisierten Praxisfall aus einem mittelständischen Dienstleistungsunternehmen mit rund 90 Beschäftigten war ein ehemaliger Administrator zwar im zentralen Verzeichnisdienst deaktiviert worden. Sein Konto in der Cloud-Backup-Konsole blieb jedoch aktiv, weil diese Anwendung Jahre zuvor separat eingerichtet worden war.

Bei einer Sicherheitsanalyse fiel der Zugang durch die Abweichung zwischen Personalstatus und Benutzerliste auf. Der frühere Mitarbeiter hatte keinen missbräuchlichen Zugriff vorgenommen. Trotzdem bestand ein erhebliches Risiko: Über die Konsole wären Sicherungen einsehbar, löschbar oder im schlimmsten Fall bei einem Angriff gezielt beeinträchtigbar gewesen.

Die Lösung bestand nicht allein in der Kontolöschung. Das Unternehmen führte eine zentrale Berechtigungsübersicht ein, ersetzte persönliche Administratorkonten durch dokumentierte Rollen, aktivierte Mehrfaktor-Authentisierung und definierte einen verbindlichen Austritts-Workflow. Der entscheidende Gewinn war Transparenz: Die Geschäftsführung konnte erstmals nachvollziehen, wer auf welche kritischen Systeme zugreifen darf.

Dokumentation macht Sicherheit prüfbar

Ein guter Prozess endet nicht mit der technischen Sperrung. Er benötigt einen Nachweis. Für jeden Austritt sollte festgehalten werden, welche Systeme geprüft wurden, welche Konten wann gesperrt oder gelöscht wurden, welche Geräte zurückgegeben wurden und wer die Durchführung bestätigt hat.

Diese Dokumentation muss nicht unnötig kompliziert sein. Eine standardisierte Checkliste in einem Ticketsystem oder einem geschützten Prozessdokument reicht häufig aus, wenn Verantwortlichkeiten, Zeitpunkte und Ausnahmen klar erkennbar sind. Wichtig ist, dass die Checkliste nicht nur existiert, sondern verbindlich genutzt wird.

Protokolle helfen zusätzlich bei der Kontrolle. Gab es nach der Sperrung noch Anmeldeversuche? Wurden ungewöhnliche Datenmengen kurz vor dem Austritt heruntergeladen? Solche Fragen sollten nicht aus Misstrauen gegenüber jedem Mitarbeiter entstehen, sondern aus einem angemessenen Schutzinteresse. Die Auswertung muss verhältnismäßig erfolgen und arbeitsrechtliche sowie datenschutzrechtliche Anforderungen berücksichtigen.

Rollenwechsel sind fast so kritisch wie Austritte

Nicht nur das Verlassen des Unternehmens erfordert Aufmerksamkeit. Auch ein Wechsel von der Buchhaltung in den Vertrieb, von einer operativen Rolle in die Führungsebene oder von der IT in eine Fachabteilung kann zu überhöhten Berechtigungen führen. In der Praxis werden neue Rechte oft ergänzt, alte Rechte jedoch nicht entzogen.

Das Prinzip der geringsten Berechtigung ist hier der Maßstab: Jeder Beschäftigte erhält nur die Zugriffe, die für die aktuelle Aufgabe erforderlich sind. Regelmäßige Berechtigungsprüfungen, etwa quartalsweise für kritische Systeme und mindestens jährlich für alle wesentlichen Anwendungen, reduzieren schleichend gewachsene Risiken.

Für kleinere Unternehmen ohne eigene IT-Sicherheitsabteilung ist ein betreuter Prozess besonders hilfreich. Managed Monitoring kann Anmeldeereignisse und auffällige Konten sichtbar machen. Managed Backup und Managed Firewall lassen sich so verwalten, dass administrative Zugriffe klar dokumentiert und nicht von einzelnen Personen abhängig sind. Entscheidend bleibt jedoch die Verantwortung im Unternehmen: Technik kann prüfen und alarmieren, die Entscheidung über Rollen und Berechtigungen braucht einen klaren Eigentümer.

Ein verlässlicher Offboarding-Prozess schafft mehr als Datenschutzkonformität. Er verhindert Betriebsunterbrechungen, schützt Kunden- und Unternehmensdaten und bewahrt die Handlungsfähigkeit, wenn Personalwechsel unter Zeitdruck stattfinden. Wer seine Zugänge regelmäßig prüft, muss im Ernstfall nicht erst suchen, wer noch Zugriff hat. Genau diese Klarheit ist ein wirksamer Schutz für den laufenden Betrieb.