Offboarding von Mitarbeitenden ist oft kein Abschiedsritual. Es ist ein Sicherheitsproblem.

Warum kritische Fehler beim Mitarbeiteraustritt nicht allein durch eine Checkliste vermieden werden, sondern in der Zeitspanne zwischen bestätigtem Abgang und gelöschtem letzten Zugriff.

Stellen Sie sich vor: Ein Mitarbeitender verlässt das Unternehmen am Freitagnachmittag. Die Personalabteilung hat den Austritt dokumentiert, die Abmeldung im Personalinformationssystem ist erfolgt, das Zeugnis liegt vor im Entwurf. Was in diesem Moment noch nicht passiert ist: Sein Account im Lagerverwaltungssystem läuft weiter. Seine Zugangsdaten zur Produktionssteuerung sind aktiv. Und das geteilte Tablet in der Schicht kennt seinen PIN noch am Montagmorgen.

Diese Konstellation ist kein Ausnahmefall. Ursache ist ein strukturelles Handoff-Problem, das sich zwischen HR und IT wiederholt, solange beide Bereiche ihre Austrittslogiken nicht synchronisieren. Der eigentliche Risikopunkt beim Offboarding ist nicht die fehlende Empfangsbestätigung für den Schlüsselanhänger. Er ist die Zeitspanne zwischen dem Moment, an dem ein Austritt systemübergreifend gilt, und dem Moment, an dem alle Zugriffsrechte tatsächlich entzogen sind. Als Deprovisioning Latency lässt sich diese Zeitspanne beschreiben: je länger sie dauert, desto größer das Angriffsfenster.

Der Verizon Data Breach Investigations Report 2025 stellt fest, dass gestohlene Zugangsdaten in 22 Prozent aller dokumentierten Datenschutzverstöße eine Rolle spielen, während der menschliche Faktor insgesamt in 60 Prozent aller Sicherheitsvorfälle auftaucht. Keine abstrakten Statistiken sind das: Hinter jedem dieser Fälle steht eine reale Zugriffsberechtigung, die zu lang aktiv blieb.

Das Prozess-Argument und seine Lücke

Oft lautet das Argument, das Unternehmen zurückhalten: Wir haben doch Prozesse dafür. Entscheidend ist dabei nicht, ob ein Prozess existiert, sondern ob er in der Lücke zwischen Austritts-Bestätigung und System-Deaktivierung greift. In vielen Organisationen informiert HR zunächst die Gehaltsabrechnung, dann die direkte Führungskraft, dann irgendwann die IT. Zeit kostet jede Übergabe. Sicherheit kostet jede Stunde.

Einfach formuliert ist das Prinzip, das hier Orientierung gibt: Erst Zugriff entziehen, dann alles andere. Wer diese Reihenfolge umdreht oder parallelisiert, akzeptiert ein Fenster, das nicht sein muss. Gleichzeitig erreichen sollte der Austritt alle relevanten Stellen, HR, IT und Gehaltsabrechnung. Nicht sequenziell. Nicht auf Zuruf. Systemübergreifend und dokumentiert sollte der Austritt deshalb ablaufen, weil Compliance-Pflichten wie DSGVO, ISO 27001, SOC 2 und NIS2 genau das verlangen: zeitnahes, nachweisbares Deprovisioning. Informelle Absprachen akzeptieren Auditoren nicht. Sie wollen Belege.

Verwaiste Konten und ihre unsichtbare Gefahr

Besonders schwierig wird die Situation dort, wo Identitäten nicht in zentralen Verzeichnisdiensten geführt werden. In Schicht, Produktion und auf der Verkaufsfläche teilen gewerbliche Mitarbeitende häufig Geräte und arbeiten mit lokalen Konten, die außerhalb von Active Directory oder LDAP existieren. Wenn ein Mitarbeiter aus diesem Bereich das Unternehmen verlässt, gibt es kein automatisches Signal an das zentrale Identity-Management. Verwaiste Konten entstehen still. Sichtbar werden sie erst dann, wenn jemand danach sucht, oder wenn sie missbraucht werden.

Hinzu kommt: 97 Prozent der Sicherheitsverantwortlichen, die in einer Delinea-Studie befragt wurden, sagen, dass Identitäts- und Zugangskontrolle direkt ihre Cyberversicherung beeinflusst. Lückenhafte Deprovisioning-Dokumentation ist damit nicht nur ein operatives Risiko, sondern ein betriebswirtschaftliches. Wer keinen klaren Nachweis für den vollständigen Entzug von Zugriffsrechten führen kann, verhandelt seine Versicherungskonditionen auf schlechterem Terrain, als es sein müsste.

Was mit dem Mitarbeitenden geht: Wissen, das niemand sichert

Neben dem Sicherheitsaspekt gibt es eine zweite Ressource, die beim Offboarding systematisch verloren geht: Wissen. Nur rund 30 Prozent der ausscheidenden Mitarbeitenden nehmen durchschnittlich an einem Exit-Interview teil. Wer dieses Gespräch überspringt oder auf einen Standardbogen reduziert, verschenkt die Möglichkeit zu verstehen, warum jemand geht, was ihn gebunden hätte und welches implizite Wissen er mitnimmt. Für Schichtbetriebe und Logistikzentren, wo Erfahrung oft nicht in Dokumenten steckt, sondern in den Köpfen der Belegschaft, ist das besonders folgenreich: Mit der Person verlässt das Wissen das Gebäude.

Ähnlich verhält es sich mit dem Wissenstransfer. Wo er nicht explizit organisiert wird, endet er zufällig: im letzten Gespräch zwischen Tür und Angel, in einem übergebenen Heft, das niemand liest, in einem Übergabeordner, der zwei Wochen nach dem letzten Arbeitstag niemanden mehr interessiert. Eine strukturierte Übergabe, rechtzeitig angesetzt und mit ausreichend Zeit für den scheidenden Mitarbeitenden, sichert nicht nur operatives Wissen, sondern signalisiert auch, dass das Unternehmen den Abgang ernst nimmt. In einem vernünftigen Verhältnis stehen hier Aufwand und Ertrag.

Der Rest der Belegschaft

Das unterschätzte Thema beim Offboarding ist der Blick, den die verbleibende Belegschaft darauf wirft. An ihr letztes Kapitel erinnern sich ausscheidende Mitarbeitende nicht nur selbst. Sie erzählen es weiter: in Gesprächen mit ehemaligen Kolleginnen und Kollegen, auf Bewertungsplattformen, im privaten Netzwerk. Gut offboarden schützt den Ruf nach außen. Wer die letzten Wochen als administrative Pflichterfüllung behandelt, riskiert, dass genau diese Wahrnehmung nach außen getragen wird. Wie das Unternehmen mit dem Abgang umgeht, ob der Austritt würdevoll gestaltet wird, ob Kolleginnen und Kollegen verabschiedet werden, ob die Transition strukturiert oder hastig wirkt: all das sehen sie. Diese Signale formen das Bild, das Mitarbeitende von ihrer eigenen zukünftigen Position im Unternehmen entwickeln. Kein isolierter Vorgang ist das Offboarding deshalb. Täglich gelebt und bewertet wird es als Teil der Unternehmenskultur.

Sechs Schritte, eine Reihenfolge

Was folgt daraus für die Praxis? Am ersten Punkt, an dem jede Verbesserung ansetzen sollte, steht der Handoff zwischen HR und IT. Nicht sequenziell, sondern parallel: Austritt bestätigen, alle relevanten Stellen gleichzeitig informieren, Zugriffsrechte sofort entziehen. Danach folgt die Einsammlung von Firmeneigentum, dann das Exit-Gespräch, der Wissenstransfer und abschließend die Gehaltsabrechnung, in dieser Reihenfolge, mit nachvollziehbaren Belegen für jeden Schritt.

Für Bereiche mit gewerblichen Mitarbeitenden bedeutet das zusätzliche Aufmerksamkeit: Wer außerhalb zentraler Verzeichnisdienste geführt wird, braucht einen eigenen Deprovisioning-Pfad. Geteilte Geräte, lokale Zugangsdaten, Schichtpläne mit personalisierten PINs: All das muss in einer Austritts-Checkliste enthalten sein, die nicht nur auf Büroarbeitsplätze zugeschnitten ist.

Oft ist kein Umbau nötig. Nur eine andere Reihenfolge.

Erfreulich ist, dass die meisten Unternehmen keinen grundlegenden Umbau ihrer Prozesse brauchen. Ein gemeinsamer Prozess von HR und IT ist das Offboarding, kein sequenzieller. Und dass der erste Schritt nicht das Rückgabegespräch ist, sondern der Entzug des Zugriffs.

Wer Offboarding als das behandelt, was es wirklich ist, als einen sicherheitsrelevanten, compliance-pflichtigen und kulturell bedeutsamen Übergang, macht aus dem letzten Kapitel eines Arbeitsverhältnisses etwas, das dem Rest des Unternehmensalltags gerecht wird. Und das im Gedächtnis bleibt.