Ein Mitarbeiter kündigt, die letzten Wochen sind geprägt von Übergabe, Verabschiedung und organisatorischem Alltag. Am letzten Arbeitstag wird das Postfach deaktiviert, die Lizenz eingespart, der Laptop eingesammelt. Für die Personalabteilung ist der Fall damit erledigt. Monate später sucht jemand im Projektteam nach der Korrespondenz zu einem wichtigen Auftrag – und findet nichts mehr. Das E-Mail-Konto wurde gelöscht, die Nachrichten sind weg, niemand hat sie vorher gesichert.
Dieses Szenario ist in Schweizer KMU keine Seltenheit. Offboarding, also der geordnete Austritt eines Mitarbeiters aus der IT-Landschaft, ist in den meisten Betrieben kein definierter Prozess. Es passiert nebenbei, meist durch eine einzelne Person, die gerade Zeit hat, und selten vollständig. Die Aufmerksamkeit liegt beim Onboarding neuer Mitarbeitender, beim Austritt hingegen wird vieles vergessen oder bewusst schnell erledigt, um Lizenzkosten zu sparen.
Das Problem hat zwei Ebenen, die oft vermischt werden, aber getrennt betrachtet werden müssen. Die erste ist der Datenverlust: Ein Postfach enthält nicht nur private Nachrichten, sondern oft auch Geschäftskorrespondenz, Vertragsdetails, Absprachen mit Kunden oder Lieferanten. Wird es gelöscht, ohne vorher gesichert worden zu sein, verschwindet dieses Wissen unwiederbringlich mit der Person. Die zweite Ebene ist die Sicherheit: Zugriffsrechte auf Netzlaufwerke, Cloud-Dienste, VPN-Zugänge oder Fachapplikationen werden bei Austritten selten vollständig aufgeräumt. Alte Konten bleiben aktiv, teils über Jahre, ohne dass jemand bemerkt, dass sie nicht mehr gebraucht werden.
Warum ist das teurer als gedacht? Weil die Konsequenzen meist erst sichtbar werden, wenn es zu spät ist. Die fehlende E-Mail taucht genau dann auf, wenn ein Kunde eine Zusage aus der Vergangenheit anzweifelt oder ein Projekt rekonstruiert werden muss. Der verwaiste Zugang fällt erst auf, wenn eine interne Prüfung oder ein Sicherheitsvorfall die Berechtigungen durchleuchtet. Beides lässt sich im Nachhinein kaum oder nur mit grossem Aufwand korrigieren. Die vermeintliche Ersparnis beim schnellen Löschen einer Lizenz steht in keinem Verhältnis zum Risiko, das dadurch entsteht.
Hinzu kommt, dass ein sauberer Offboarding-Prozess mehr verlangt als eine einzelne Checkliste. Es braucht eine klare Reihenfolge: Zuerst müssen relevante Daten gesichert werden, dann die Zugriffsrechte systematisch entzogen werden – nicht nur im Hauptsystem, sondern auch in Nebenanwendungen, Cloud-Diensten und gemeinsam genutzten Ordnern. Wer das manuell und ohne festen Ablauf macht, übersieht fast zwangsläufig etwas. Genau deshalb ist Offboarding kein Thema, das man „schnell nebenbei“ erledigt, sondern ein IT-Prozess, der strukturiert aufgesetzt und regelmässig überprüft werden muss.
Für padcom ist dieses Thema Teil der Datensicherung, die wir für unsere Kunden betreiben. Postfächer und relevante Geschäftsdaten werden automatisiert gesichert, bevor ein Konto deaktiviert wird, sodass Korrespondenz und Unterlagen auch nach dem Austritt eines Mitarbeiters verfügbar bleiben. Gleichzeitig sorgen wir dafür, dass Zugriffsrechte beim Austritt kontrolliert entzogen werden, statt irgendwo im System weiterzuleben. Für KMU bedeutet das: Der Austritt eines Mitarbeiters ist kein Risiko mehr für verlorene Daten oder offene Zugänge, sondern ein geregelter Ablauf im Hintergrund.
Häufige Fragen
Was passiert mit dem E-Mail-Postfach, wenn ein Mitarbeiter kündigt?
Das hängt davon ab, wie der Betrieb organisiert ist. Ohne definierten Prozess wird das Postfach oft gelöscht, sobald die Lizenz eingespart werden soll – damit verschwindet auch sämtliche darin enthaltene Geschäftskorrespondenz unwiederbringlich.
Wie lange sollten Daten ausgeschiedener Mitarbeiter aufbewahrt werden?
Eine pauschale Frist gibt es nicht, da dies von betrieblichen Anforderungen und branchenspezifischen Aufbewahrungspflichten abhängt. Entscheidend ist, dass geschäftsrelevante Daten vor der endgültigen Löschung eines Kontos gesichert werden, damit sie bei Bedarf später noch zugänglich sind.
Warum bleiben alte Benutzerkonten oft aktiv?
Weil das Entfernen von Zugriffsrechten in der Praxis oft an mehreren Stellen gleichzeitig erfolgen müsste – im Hauptsystem, in Cloud-Diensten, in Fachanwendungen und bei gemeinsam genutzten Ordnern. Ohne festen Ablauf wird meist nur ein Teil davon erledigt, der Rest gerät in Vergessenheit.
Ist ein verwaistes Benutzerkonto wirklich ein Sicherheitsrisiko?
Ja, denn jedes aktive Konto ist ein potenzieller Zugangspunkt ins Unternehmensnetzwerk, unabhängig davon, ob die zugehörige Person noch im Betrieb arbeitet. Je länger ein solches Konto unbemerkt bestehen bleibt, desto grösser wird das Risiko, dass es missbraucht wird.
Reicht es, beim Austritt den Laptop zurückzunehmen?
Nein, das Gerät ist nur ein Teil der Zugänge einer Person. Konten, Berechtigungen und gespeicherte Daten existieren meist unabhängig vom physischen Gerät weiter und müssen separat berücksichtigt werden.
Wenn Sie sich fragen, wie ein geordneter Umgang mit Mitarbeiterdaten und Zugängen in Ihrem Betrieb aussehen könnte, sprechen Sie mit uns. In einem kostenlosen und unverbindlichen Erstgespräch schauen wir gemeinsam, wo in Ihrem Unternehmen Handlungsbedarf besteht.
Autor: padcom News Team
Wie steht Ihre IT heute da?
Der IT-Sicherheitscheck gibt Ihnen in wenigen Minuten eine Einschätzung mit Punktzahl und einen Bericht dazu. Kostenlos, ohne Verkaufsgespräch. Wir führen ihn gemeinsam mit Landtwing Informatik durch.
Nächster Schritt
Fragen zu diesem Thema? Sprechen wir darüber.
Besprechen Sie Ihre Situation direkt mit uns – im kostenlosen und unverbindlichen Erstgespräch. Online-Termin wählen, und wir melden uns pünktlich bei Ihnen.