IT-Offboarding-Checkliste: Zugänge, Daten und Geräte übergeben
Beim IT-Offboarding werden digitale Zugänge beendet, betriebliche Daten an die richtigen Verantwortlichen übergeben und Geräte für ihren nächsten Einsatz vorbereitet. Mit einem klaren Ablauf bleibt die Arbeit des Teams erreichbar, während die IT jeden technischen Schritt nachvollziehen kann.
Diese Checkliste hilft beim Organisieren. Die konkreten Geräteaktionen, Aufbewahrungsentscheidungen und Zeitpunkte richten sich nach euren Systemen und internen Vorgaben. Lass die zuständigen Administratoren diese Schritte ausführen und prüfe die aktuelle Anleitung des jeweiligen Anbieters.
1. Systemliste und Zuständigkeiten vorbereiten
Erstelle eine Liste der tatsächlich verwendeten Systeme. Beginne mit dem zentralen Identitätsanbieter und ergänze Anwendungen mit eigenem Login. Frage die Führungskraft nach Fachanwendungen, Kundenportalen und gemeinsam verwalteten Konten. Ein Lizenzverzeichnis kann helfen, deckt aber nicht automatisch jeden Zugang ab.
| Bereich | Was du erfasst | Verantwortlich |
|---|---|---|
| Identität | Zentrales Konto, SSO, MFA-Geräte, Wiederherstellungswege | Identity-Administration |
| Zusammenarbeit | E-Mail, Kalender, Chat, Dokumentablage und Aufgabenboards | Systemverantwortliche |
| Fachanwendungen | CRM, Buchhaltung, HR, Support und externe Portale | Jeweilige Anwendungsadministration |
| Technische Zugänge | VPN, Git, Cloud, SSH-Schlüssel und persönliche API-Tokens | IT / Plattformverantwortliche |
| Ausstattung | Notebook, Mobilgerät, Security-Key, Datenträger und Zubehör | Geräteverwaltung |
Lege für jede Zeile fest: zuständige Person, geplante Aktion, Zeitpunkt und Kontrolle. Besprich den Zeitpunkt des Zugriffsentzugs mit den dafür zuständigen Personen. Bei einem regulären Austritt kann er anders liegen als bei einer kurzfristigen Freistellung. Vermeide einen pauschalen Automatismus, der die abgestimmte Übergabe unterbricht.
2. Betriebliche Daten und Eigentümerschaften übergeben
Prüfe vor Löschungen, welche Arbeitsunterlagen das Team weiterhin benötigt und welche Aufbewahrungsregeln gelten. Benenne dafür eine fachlich verantwortliche Person. Halte fest, welche Ordner, Projekte und Aufgaben übergehen und welche Zugriffsrechte die übernehmende Person braucht. Ein vollständiger Zugriff auf alles ist keine sinnvolle Standardlösung.
- Aktuelle Projektunterlagen in die vorgesehene Teamablage übernehmen.
- Eigentümerschaften von Kalendern, Formularen, Boards, Automationen und Repositories prüfen.
- Nächste Termine und offene Kunden- oder Lieferantenaufgaben zuordnen.
- Eine abgestimmte Lösung für das Postfach und eingehende Anfragen festlegen.
- Aufbewahrung und spätere Löschung mit dem zuständigen internen Prozess abgleichen.
- Die übernehmende Person prüft, ob sie die benötigten Dateien öffnen und bearbeiten kann.
Microsoft beschreibt für Microsoft 365 unter anderem die Übergabe von OneDrive- und Postfachinhalten sowie die gesonderte Behandlung von Lizenzen und Benutzerkonten. Die konkrete Reihenfolge hängt von der benötigten Weiterverwendung ab. Prüfe deshalb die aktuelle Microsoft-Anleitung zum Entfernen ehemaliger Mitarbeiter, bevor du Konten oder Lizenzen entfernst.
Dokumentiere neben der Dateiablage auch den Arbeitskontext: Wofür wird die Datei verwendet? Welche Version ist aktuell? Wer entscheidet über den nächsten Schritt? Technische Datenübertragung und fachliche Wissensübergabe ergänzen sich.
3. Zugriffsentzug planen und nachprüfen
Bearbeite zum abgestimmten Zeitpunkt das zentrale Konto und die einzelnen Anwendungen. Prüfe aktive Sitzungen, unabhängige Logins und persönliche Tokens ausdrücklich. Entferne außerdem nicht mehr benötigte Gruppenmitgliedschaften und delegierte Rechte nach dem vorgesehenen Administrationsprozess.
Ein gesperrtes zentrales Konto ist nicht automatisch der Nachweis, dass jede Anwendungssitzung beendet wurde. Microsoft erläutert, dass Anwendungen eigene Sitzungen verwenden können und der wirksame Entzug vom jeweiligen Verfahren abhängt. Nutze daher pro Anwendung die vorgesehene Deaktivierung und Kontrolle statt eines einzigen allgemeinen Häkchens.
| Aufgabe | Ergebnis für das Protokoll |
|---|---|
| Zentrales Konto bearbeiten | Zeitpunkt und Status dokumentiert |
| Aktive Sitzungen prüfen und beenden | Systembezogener Status oder offener Nachprüftermin |
| Eigenständige SaaS-Konten bearbeiten | Verantwortliche bestätigen die Deaktivierung |
| Persönliche Tokens und Schlüssel prüfen | Benannte Berechtigungen entfernt oder rotiert |
| Gemeinsam verwendete Geheimnisse behandeln | Abhängigkeiten geklärt, erforderliche Rotation erfolgt |
Persönliche Zugangsdaten werden nicht an den Nachfolger weitergegeben. Er erhält eigene Konten und passende Berechtigungen. Bei technischen Konten prüfst du zunächst ihre Funktion und Abhängigkeiten: Ein unbekannter Token kann eine Integration oder einen regelmäßigen Datenlauf betreiben. Ordne solche Dienste einem verantwortlichen Team zu, bevor du ihre Konfiguration änderst.
4. Geräterückgabe und technische Vorbereitung trennen
Gleiche die Ausstattung mit dem Inventar ab und dokumentiere den Empfang mit dem kostenlosen Arbeitsmittelprotokoll. Notiere Gerätekennung, Zubehör, Zustand und offene Rückgaben. Bei Versand wird der tatsächliche Eingang separat bestätigt.
Für die technische Vorbereitung braucht jedes Gerät eine eigene Entscheidung: Welche betrieblichen Daten müssen zunächst übernommen werden? Welche Verwaltungsaktion ist vorgesehen? Wer prüft das Ergebnis? Eine Lösch- oder Zurücksetzungsaktion wird erst ausgelöst, wenn Datenübergabe und Freigaben geklärt sind.
Bei privat genutzten Geräten und Geräten im Privatbesitz klärst du den erlaubten Umfang gesondert. Behandle sie nicht pauschal wie ein vollständig verwaltetes Firmengerät. Halte außerdem fest, ob ein Gerät erreichbar ist und die geplante Aktion tatsächlich ausgeführt wurde. Ein ausgelöster Auftrag und ein überprüftes Ergebnis sind zwei verschiedene Statuswerte.
5. Mit einem überprüfbaren Abschluss enden
Nutze für den Abschluss diese kurze Vorlage: System oder Gerät – geplante Aktion – zuständige Person – ausgeführt am – kontrolliert am – Ergebnis – offener Punkt. Keine Passwörter oder Tokens in die Checkliste aufnehmen; ein Verweis auf den vorgesehenen sicheren Ablageort genügt.
Prüfe zum Schluss, ob die übernehmende Person ihre nächsten Aufgaben erledigen kann, Zugänge entsprechend dem Plan bearbeitet wurden und Geräte einen aktuellen Inventarstatus haben. Noch ausstehende Versandteile, Löschaufträge oder manuelle SaaS-Deaktivierungen erhalten einen konkreten Nachprüftermin. Die übergeordnete Offboarding-Checkliste führt diese Punkte mit HR und Führungskraft zusammen.
Häufige Fragen zum IT-Offboarding
Reicht es, den Laptop zurückzunehmen?
Nein. Geräteempfang, Datenübergabe und Zugriffsentzug sind eigene Aufgaben. Auch ein zurückgegebener Laptop sagt nichts über noch aktive Cloud-Zugänge aus.
Wann wird ein Konto gelöscht?
Erst nach der Entscheidung über benötigte Arbeitsdaten, Abhängigkeiten und Aufbewahrung. Sperren, Lizenzänderung und Löschen haben je nach System unterschiedliche Folgen.
Wie werden offene Punkte behandelt?
Mit einem konkreten Verantwortlichen, nächstem Schritt und Termin. Markiere einen Auftrag nicht als abgeschlossen, solange die Ausführung noch ungeprüft ist.