Mitarbeiter kündigt: Zugänge zu Microsoft 365, Google und Tools sicher entziehen

Am letzten Arbeitstag gibt ein Mitarbeiter Laptop, Schlüssel und Firmenhandy ab. Das E-Mail-Postfach bleibt aber noch erreichbar, ein privates Handy ist weiterhin als zweiter Faktor hinterlegt und ein wichtiges Kunden-Tool kennt nur sein Passwort. Genau solche Lücken entstehen oft nicht aus Nachlässigkeit, sondern weil die Übergabe schnell gehen muss. Mit einer klaren Offboarding-Checkliste sicherst du Geschäftszugänge, Wissen und den laufenden Betrieb gleichzeitig.

Offboarding beginnt nicht erst nach der Kündigung

Sobald feststeht, wann das Arbeitsverhältnis endet, solltest du die Zugänge planen. Dabei geht es nicht darum, jemandem grundsätzlich zu misstrauen. Es geht darum, klare Zuständigkeiten wiederherzustellen: Wer darf nach dem letzten Arbeitstag noch auf Kundendaten, Dokumente, E-Mails und Firmenkonten zugreifen?

Lege eine verantwortliche Person fest. In kleinen Unternehmen ist das oft die Geschäftsführung, manchmal unterstützt durch einen externen IT-Dienstleister. Wichtig ist, dass nicht nur die Person selbst Zugänge abschaltet, die bisher mit dem Mitarbeiter zusammengearbeitet hat. Gerade bei Microsoft 365, Google Workspace, Buchhaltung oder Hosting braucht es meist Administratorrechte.

Erstelle frühzeitig eine Liste aller Dienste, die der Mitarbeiter genutzt hat. Frage nicht nur: „Welche Programme nutzt du täglich?“ Prüfe auch Einladungen, geteilte Postfächer, gespeicherte Browser-Logins, private Geräte und Notfallzugänge.

Die Vorbereitung: Wissen und Eigentum sichern

Vor dem letzten Arbeitstag sollte klar sein, welche Aufgaben offen sind und wo wichtige Informationen liegen. Sonst wird ein deaktiviertes Konto schnell zum Betriebsproblem.

Besonders wichtig sind:

• Kundenkontakte, Angebote und laufende Vorgänge im CRM
• Dateien in OneDrive, SharePoint, Google Drive oder geteilten Teamordnern
• Zugänge zu Online-Banking, Buchhaltung, Zahlungsdiensten und Rechnungsportalen
• Administrationskonten für Website, Domain, Hosting, Newsletter und Social Media
• Zugangsdaten für Fachsoftware, Projekttools, Zeiterfassung und Telefonanlage
• Wiederherstellungscodes, Hardware-Sicherheitsschlüssel und hinterlegte Notfallkontakte
• Vertragsunterlagen, Lizenzdaten und Dokumentation zu wiederkehrenden Abläufen

Bitte den Mitarbeiter, Arbeitsdateien rechtzeitig in vereinbarte Teamordner zu verschieben. Persönliche Ordner in OneDrive oder Google Drive sind kein guter dauerhafter Ablageort für Geschäftsunterlagen. Prüfe außerdem, ob wichtige Dateien nur lokal auf dem Laptop gespeichert sind.

Bei Passwörtern gilt: Lass dir keine Listen per E-Mail oder Chat schicken. Werden Zugangsdaten im Team benötigt, gehören sie in einen Passwort-Manager mit getrennten Berechtigungen. Wie das sicher funktioniert, erklärt unser Beitrag „Passwörter im Team sicher teilen (nicht per Chat)“.

Am letzten Arbeitstag: Zugänge gezielt entziehen

Der beste Zeitpunkt für die technische Sperrung hängt von der Situation ab. Bei einem regulären Ausscheiden erfolgt sie häufig zum Ende des Arbeitstags. Bei einer sofortigen Freistellung oder einem erhöhten Konfliktrisiko müssen Zugänge früher gesperrt werden. Wichtig ist: Die Entscheidung sollte arbeitsrechtlich und organisatorisch zum Einzelfall passen.

Gehe die wichtigsten Bereiche nacheinander durch und halte fest, was erledigt wurde.

Microsoft 365 und Google Workspace

Bei Microsoft 365 und Google Workspace reicht es nicht, nur das Passwort zu ändern. Sperre die Anmeldung vollständig oder entferne das Nutzerkonto nach einer Übergangsphase. Vor einer endgültigen Löschung musst du Daten und Zuständigkeiten sichern.

Prüfe insbesondere:

• Kontoanmeldung deaktivieren
• Aktive Sitzungen und angemeldete Geräte abmelden
• Mehrfaktor-Anmeldung zurücksetzen und registrierte Methoden entfernen
• Passkeys, Sicherheitsschlüssel und Authenticator-Einträge prüfen
• E-Mail-Weiterleitungen, automatische Antworten und Postfachregeln kontrollieren
• Zugriffsrechte auf Teams, SharePoint, OneDrive, Google Drive und geteilte Laufwerke entfernen
• Freigegebene Kalender, Gruppen, Verteiler und gemeinsame Postfächer prüfen
• Lizenz und kostenpflichtige Zusatzdienste neu zuweisen oder beenden
• Eigentum an Dateien, Terminen oder Formularen an eine zuständige Person übertragen

Eine automatische E-Mail-Antwort kann sinnvoll sein, etwa mit einer neutralen Kontaktadresse für Kunden. Sie sollte keine unnötigen Details über das Ausscheiden enthalten. Eine dauerhafte automatische Weiterleitung aller persönlichen E-Mails ist dagegen heikel. Kläre vorab, welche Nachrichten geschäftlich erforderlich sind und wie du datenschutzkonform damit umgehst.

Wenn der Mitarbeiter als Administrator eingetragen war, ist besondere Sorgfalt nötig. Prüfe, ob mindestens zwei vertrauenswürdige Personen Administratorrechte besitzen. Entferne erst dann die Rechte des ausscheidenden Mitarbeiters. Ein einzelnes Administratorkonto ist ein vermeidbares Risiko.

Fachtools, Zahlungsdienste und externe Plattformen

Viele kleine Unternehmen arbeiten mit einer Mischung aus Cloud-Diensten. Einige davon tauchen in keiner zentralen Benutzerverwaltung auf. Deshalb lohnt sich ein Blick in die Kreditkartenabrechnung, den Passwort-Manager und die Liste installierter Anwendungen.

Kontrolliere unter anderem:

• Buchhaltung, Lohnabrechnung und Rechnungstools
• CRM, Ticketsystem, Projektmanagement und Zeiterfassung
• Website, Domain, Hosting, DNS und Shop-System
• Newsletter, Terminbuchung und Videokonferenzen
• Social-Media-Konten und Werbekonten
• Telefonanlage, VoIP, Mobilfunkanbieter und Fernwartung
• Online-Banking, Zahlungsanbieter und Einkaufsplattformen
• Cloud-Speicher, Backup-Dienste und Passwort-Manager

Ändere nicht pauschal jedes Passwort, wenn der Zugriff sauber über persönliche Konten und Rollen geregelt ist. Entferne zuerst das persönliche Benutzerkonto oder die Berechtigung. Gemeinsame Logins sind dagegen ein Warnsignal: Ändere dort das Passwort sofort und lege anschließend persönliche Zugänge an.

Wenn ein Mitarbeiter Passkeys genutzt hat, entferne seine registrierten Passkeys aus den jeweiligen Konten. Ein Passkey kann auf einem privaten Smartphone, Tablet oder Computer gespeichert sein und sollte deshalb wie ein persönlicher Zugang behandelt werden. Für künftige Fälle hilft es, bei wichtigen Firmenkonten zusätzliche, zentral verwaltete Wiederherstellungsmöglichkeiten zu hinterlegen. Was beim Gerätewechsel wichtig ist, liest du in „Passkeys auf ein neues Handy übertragen: Sicher wechseln ohne Kontosperre“.

Geräte, Browser und private Smartphones prüfen

Ein zurückgegebenes Gerät ist nicht automatisch sicher. Melde Firmenlaptops und Smartphones aus wichtigen Diensten ab, prüfe lokale Benutzerkonten und sichere geschäftliche Daten. Erst danach wird das Gerät für eine neue Person vorbereitet oder zurückgesetzt.

Kontrolliere:

• Gerätesperre, Verschlüsselung und aktuelle Updates
• Lokale Benutzerkonten und Administratorrechte
• Browserprofile, gespeicherte Passwörter und aktive Sitzungen
• Synchronisierte Dateien und lokale Downloads
• VPN-Zugänge, Fernwartungssoftware und Zertifikate
• Firmen-SIM, eSIM und Rufumleitungen
• Hardware-Sicherheitsschlüssel und Zugangskarten

Bei privaten Smartphones gilt: Entferne den geschäftlichen Zugriff, statt das ganze Gerät zu löschen. Prüfe, ob Outlook, Teams, Google Drive, Slack oder andere Apps noch angemeldet sind. Wenn eine Geräteverwaltung eingesetzt wird, kann das Firmenkonto gezielt entfernt werden. Dokumentiere, was du getan hast.

Auch Browser-Erweiterungen verdienen einen Blick. Manche Erweiterungen dürfen Webseiten lesen, Eingaben verändern oder auf gespeicherte Daten zugreifen. Unser Ratgeber „Browser-Erweiterungen prüfen: Welche Berechtigungen sind gefährlich?“ zeigt, worauf du achten solltest.

Danach: Kontrolle statt blindes Vertrauen

Nach dem Offboarding sollte eine zweite Person die wichtigsten Schritte prüfen. Besonders bei Administratorrechten, Zahlungsfreigaben und Domains lohnt sich das Vier-Augen-Prinzip. Suche außerdem nach ungewöhnlichen Anmeldehinweisen oder offenen Freigaben.

Eine kurze Nachkontrolle nach einigen Tagen hilft, übersehene Abhängigkeiten zu finden. Kommen E-Mails an eine alte Adresse? Fehlt jemandem Zugriff auf eine Kundendatei? Läuft ein Tool noch auf einer privaten Kreditkarte? Solche Probleme lassen sich besser geordnet lösen, wenn das ehemalige Konto bereits gesperrt ist.

Bewahre die Offboarding-Checkliste mit Datum, Verantwortlichkeit und den erledigten Punkten auf. Sie ist keine Überwachungsliste, sondern ein Nachweis für einen sauberen Ablauf.

Checkliste für dein Offboarding

• Austrittsdatum, zuständige Person und Zeitpunkt der Sperrung festlegen
• Geschäftsdaten, offene Aufgaben und Kundenkontakte übergeben
• Microsoft-365- oder Google-Konto sperren
• Aktive Sitzungen, 2-Faktor-Methoden, Passkeys und Sicherheitsschlüssel entfernen
• Dateien, Kalender, Gruppen und Eigentümerschaften übertragen
• E-Mail-Regeln, Weiterleitungen und automatische Antworten prüfen
• Zugänge zu Fachtools, Hosting, Domain, Social Media und Zahlungsdiensten entfernen
• Gemeinsame Passwörter ändern und künftig durch persönliche Zugänge ersetzen
• Laptop, Smartphone, SIM, Hardware-Schlüssel und Zugangskarten zurücknehmen
• Browserprofile, lokale Daten, VPN und Fernwartung prüfen
• Administratorrechte und Notfallzugänge im Vier-Augen-Prinzip kontrollieren
• Vorgang dokumentieren und nach einigen Tagen nachprüfen

Ein sauberer Offboarding-Prozess schützt nicht nur vor unberechtigten Zugriffen. Er verhindert auch, dass wichtige Arbeit, Kundenwissen oder Zugänge plötzlich verschwinden. Für den Schutz einzelner Konten bleibt die Zwei-Faktor-Authentifizierung ein zentraler Baustein. Wer Sicherheitsabläufe im Unternehmen systematisch vertiefen will, findet passende Seminare bei cmt.de.