Ein zuverlässiges Offboarding in Microsoft 365 entzieht alle Zugriffe einer ausgeschiedenen Person am letzten Arbeitstag automatisch und vollständig — Anmeldung, Postfach, geteilte Dateien und Verknüpfungen zu externen Diensten eingeschlossen. Eine manuelle Checkliste, die von der Erinnerung einer einzelnen Person abhängt, leistet das erfahrungsgemäß nicht zuverlässig.
Wie lange behalten ehemalige Mitarbeitende tatsächlich noch Zugriff?
Offboarding ist in den meisten Unternehmen kein System, sondern eine Aufgabe, die an einer Person hängt: Die Personalabteilung meldet den letzten Arbeitstag, die IT deaktiviert das Konto — im besten Fall am selben Tag, häufig erst Tage oder Wochen später, wenn die Meldung überhaupt ankommt. Was dabei regelmäßig übersehen wird: Das Deaktivieren des Hauptkontos beendet nicht jeden Zugriff. Geteilte Ordner, in denen die Person Mitglied war, App-Verknüpfungen oder Zugriffsrechte auf externe Dienste bleiben oft bestehen, weil niemand eine vollständige Liste davon führt.
Besonders kritisch wird es, wenn eine Trennung nicht einvernehmlich verläuft. Dann zählt jede Stunde zwischen Kündigung und Zugriffsentzug — und genau in dieser Phase versagen rein manuelle Prozesse am häufigsten, weil sie auf reibungslose Zusammenarbeit zwischen den Beteiligten angewiesen sind.
Warum eine Checkliste allein nicht ausreicht
Eine schriftliche Offboarding-Checkliste ist ein guter erster Schritt, löst das Kernproblem aber nicht: Sie hängt weiterhin daran, dass eine Person sie zum richtigen Zeitpunkt vollständig abarbeitet. Urlaub, Krankheit oder Zeitdruck reichen aus, damit ein Punkt übersehen wird. Hinzu kommt ein zweites, oft unterschätztes Problem: Wiederkehrende Berechtigungsprüfungen werden häufig bestätigt, ohne dass der tatsächliche Zugriffsumfang für die verantwortliche Führungskraft überhaupt sichtbar ist. Der Prozess wirkt damit formal korrekt, greift inhaltlich aber nicht.
Ein weiterer blinder Fleck betrifft externe Dienste, die Mitarbeitende im Alltag mit ihrem Firmenkonto verknüpft haben — von Projektwerkzeugen bis zu Cloud-Speichern Dritter. Diese Verknüpfungen tauchen in keiner klassischen Offboarding-Checkliste auf, weil sie außerhalb der eigenen Microsoft-365-Umgebung liegen, bleiben aber bestehen, solange niemand sie gezielt sucht und entfernt.
Was es kostet, wenn Sie nichts tun
Ein ehemaliger Mitarbeitender mit fortbestehendem Zugriff ist ein Risiko, das sich nicht in Wahrscheinlichkeiten zeigt, sondern in offenen Fragen: Wer kann heute noch auf welche Kundendaten zugreifen, obwohl er längst nicht mehr im Unternehmen ist? Bei einem TISAX- oder ISO-27001-Audit ist ein dokumentierter Offboarding-Prozess ein Standardpunkt — fehlt der Nachweis, verzögert sich die Zertifizierung. Und im Streitfall einer Trennung erhöht jeder Tag mit fortbestehendem Zugriff das Risiko, dass Daten abgezogen oder Kundenkontakte mitgenommen werden.
Was sich ändert, wenn Offboarding automatisiert abläuft
Mit einem automatisierten Offboarding-Prozess wird der Zugriffsentzug an ein festes Ereignis gekoppelt — den hinterlegten letzten Arbeitstag — und läuft dann ohne manuellen Zwischenschritt: Anmeldung gesperrt, Postfach weitergeleitet oder archiviert, Mitgliedschaften in geteilten Bereichen entfernt, Zugriffsrechte auf verknüpfte Dienste geprüft. Der Prozess hängt damit nicht mehr davon ab, ob am betreffenden Tag jemand daran denkt.
Der Nexus.365 Security Scan zeigt zunächst, wie viele ehemalige Mitarbeitende aktuell noch aktive oder teilaktive Zugriffe besitzen — häufig eine überraschend hohe Zahl. Die Einrichtung des automatisierten Ablaufs läuft anschließend als Modul „On- und Offboarding" in Nexus.365 Basics, zum Festpreis.
Häufige Fragen zum Thema
Wie automatisiere ich das Offboarding in Microsoft 365?+
Über eine feste Regel, die an den hinterlegten letzten Arbeitstag gekoppelt ist und Anmeldung, Postfach und Zugriffsrechte automatisch entzieht, statt auf eine manuelle Meldung zu warten.
Welche Zugriffe hat ein ehemaliger Mitarbeitender noch, wenn nur das Konto deaktiviert wurde?+
Häufig Mitgliedschaften in geteilten Ordnern und Teams sowie Verknüpfungen zu externen Diensten. Diese werden durch das reine Deaktivieren nicht automatisch entfernt.
Wie oft sollten Zugriffsrechte im Unternehmen geprüft werden?+
Regelmäßig, mindestens vierteljährlich, und mit einer Prüfung, die inhaltlich stattfindet statt als Formalie.
Was gilt bei einer nicht einvernehmlichen Trennung?+
Hier gilt eine kürzere Frist: Der Zugriffsentzug erfolgt im besten Fall vor oder zeitgleich mit der Mitteilung an die betroffene Person, nicht danach.
Wie viele Ehemalige haben heute noch Zugriff?
Der Nexus.365 Security Scan beantwortet genau das — read-only, ohne Eingriff in den laufenden Betrieb. Festpreis und Enddatum stehen vor Beginn fest.
Security Scan starten