{"id":6404,"date":"2026-07-20T13:19:56","date_gmt":"2026-07-20T13:19:56","guid":{"rendered":"https:\/\/blog.tchop.io\/?p=6404"},"modified":"2026-07-20T13:19:57","modified_gmt":"2026-07-20T13:19:57","slug":"offboarding-von-mitarbeitenden-ist-oft-kein-abschiedsritual-es-ist-ein-sicherheitsproblem","status":"publish","type":"post","link":"https:\/\/blog.tchop.io\/de\/offboarding-von-mitarbeitenden-ist-oft-kein-abschiedsritual-es-ist-ein-sicherheitsproblem\/","title":{"rendered":"Offboarding von Mitarbeitenden ist oft kein Abschiedsritual. Es ist ein Sicherheitsproblem."},"content":{"rendered":"\n

Warum kritische Fehler beim Mitarbeiteraustritt nicht <\/em>allein durch eine Checkliste vermieden werden, sondern in der Zeitspanne zwischen best\u00e4tigtem Abgang und gel\u00f6schtem letzten Zugriff.<\/em><\/p>\n\n\n\n

Stellen Sie sich vor: Ein Mitarbeitender verl\u00e4sst das Unternehmen am Freitagnachmittag. Die Personalabteilung hat den Austritt dokumentiert, die Abmeldung im Personalinformationssystem ist erfolgt, das Zeugnis liegt vor im Entwurf. Was in diesem Moment noch nicht passiert ist: Sein Account im Lagerverwaltungssystem l\u00e4uft weiter. Seine Zugangsdaten zur Produktionssteuerung sind aktiv. Und das geteilte Tablet in der Schicht kennt seinen PIN noch am Montagmorgen.<\/p>\n\n\n\n

Diese Konstellation ist kein Ausnahmefall. Ursache ist ein strukturelles Handoff-Problem, das sich zwischen HR und IT wiederholt, solange beide Bereiche ihre Austrittslogiken nicht synchronisieren. Der eigentliche Risikopunkt beim Offboarding ist nicht die fehlende Empfangsbest\u00e4tigung f\u00fcr den Schl\u00fcsselanh\u00e4nger. Er ist die Zeitspanne zwischen dem Moment, an dem ein Austritt system\u00fcbergreifend gilt, und dem Moment, an dem alle Zugriffsrechte tats\u00e4chlich entzogen sind. Als Deprovisioning Latency<\/strong> l\u00e4sst sich diese Zeitspanne beschreiben: je l\u00e4nger sie dauert, desto gr\u00f6\u00dfer das Angriffsfenster.<\/p>\n\n\n\n

Der Verizon Data Breach Investigations Report 2025 stellt fest, dass gestohlene Zugangsdaten in 22 Prozent aller dokumentierten Datenschutzverst\u00f6\u00dfe eine Rolle spielen, w\u00e4hrend der menschliche Faktor insgesamt in 60 Prozent aller Sicherheitsvorf\u00e4lle auftaucht. Keine abstrakten Statistiken sind das: Hinter jedem dieser F\u00e4lle steht eine reale Zugriffsberechtigung, die zu lang aktiv blieb.<\/p>\n\n\n\n

Das Prozess-Argument und seine L\u00fccke<\/h2>\n\n\n\n

Oft lautet das Argument, das Unternehmen zur\u00fcckhalten: Wir haben doch Prozesse daf\u00fcr. Entscheidend ist dabei nicht, ob ein Prozess existiert, sondern ob er in der L\u00fccke zwischen Austritts-Best\u00e4tigung und System-Deaktivierung greift. In vielen Organisationen informiert HR zun\u00e4chst die Gehaltsabrechnung, dann die direkte F\u00fchrungskraft, dann irgendwann die IT. Zeit kostet jede \u00dcbergabe. Sicherheit kostet jede Stunde.<\/p>\n\n\n\n

Einfach formuliert ist das Prinzip, das hier Orientierung gibt: Erst Zugriff entziehen, dann alles andere.<\/strong> Wer diese Reihenfolge umdreht oder parallelisiert, akzeptiert ein Fenster, das nicht sein muss. Gleichzeitig erreichen sollte der Austritt alle relevanten Stellen, HR, IT und Gehaltsabrechnung. Nicht sequenziell. Nicht auf Zuruf. System\u00fcbergreifend und dokumentiert sollte der Austritt deshalb ablaufen, weil Compliance-Pflichten wie DSGVO, ISO 27001, SOC 2 und NIS2 genau das verlangen: zeitnahes, nachweisbares Deprovisioning. Informelle Absprachen akzeptieren Auditoren nicht. Sie wollen Belege.<\/p>\n\n\n\n

Verwaiste Konten und ihre unsichtbare Gefahr<\/h2>\n\n\n\n

Besonders schwierig wird die Situation dort, wo Identit\u00e4ten nicht in zentralen Verzeichnisdiensten gef\u00fchrt werden. In Schicht, Produktion und auf der Verkaufsfl\u00e4che teilen gewerbliche Mitarbeitende h\u00e4ufig Ger\u00e4te und arbeiten mit lokalen Konten, die au\u00dferhalb von Active Directory oder LDAP existieren. Wenn ein Mitarbeiter aus diesem Bereich das Unternehmen verl\u00e4sst, gibt es kein automatisches Signal an das zentrale Identity-Management. Verwaiste Konten entstehen still. Sichtbar werden sie erst dann, wenn jemand danach sucht, oder wenn sie missbraucht werden.<\/p>\n\n\n\n

Hinzu kommt: 97 Prozent der Sicherheitsverantwortlichen, die in einer Delinea-Studie befragt wurden, sagen, dass Identit\u00e4ts- und Zugangskontrolle direkt ihre Cyberversicherung beeinflusst. L\u00fcckenhafte Deprovisioning-Dokumentation ist damit nicht nur ein operatives Risiko, sondern ein betriebswirtschaftliches. Wer keinen klaren Nachweis f\u00fcr den vollst\u00e4ndigen Entzug von Zugriffsrechten f\u00fchren kann, verhandelt seine Versicherungskonditionen auf schlechterem Terrain, als es sein m\u00fcsste.<\/p>\n\n\n\n

Was mit dem Mitarbeitenden geht: Wissen, das niemand sichert<\/h3>\n\n\n\n

Neben dem Sicherheitsaspekt gibt es eine zweite Ressource, die beim Offboarding systematisch verloren geht: Wissen. Nur rund 30 Prozent der ausscheidenden Mitarbeitenden nehmen durchschnittlich an einem Exit-Interview teil. Wer dieses Gespr\u00e4ch \u00fcberspringt oder auf einen Standardbogen reduziert, verschenkt die M\u00f6glichkeit zu verstehen, warum jemand geht, was ihn gebunden h\u00e4tte und welches implizite Wissen er mitnimmt. F\u00fcr Schichtbetriebe und Logistikzentren, wo Erfahrung oft nicht in Dokumenten steckt, sondern in den K\u00f6pfen der Belegschaft, ist das besonders folgenreich: Mit der Person verl\u00e4sst das Wissen das Geb\u00e4ude.<\/p>\n\n\n\n

\u00c4hnlich verh\u00e4lt es sich mit dem Wissenstransfer. Wo er nicht explizit organisiert wird, endet er zuf\u00e4llig: im letzten Gespr\u00e4ch zwischen T\u00fcr und Angel, in einem \u00fcbergebenen Heft, das niemand liest, in einem \u00dcbergabeordner, der zwei Wochen nach dem letzten Arbeitstag niemanden mehr interessiert. Eine strukturierte \u00dcbergabe, rechtzeitig angesetzt und mit ausreichend Zeit f\u00fcr den scheidenden Mitarbeitenden, sichert nicht nur operatives Wissen, sondern signalisiert auch, dass das Unternehmen den Abgang ernst nimmt. In einem vern\u00fcnftigen Verh\u00e4ltnis stehen hier Aufwand und Ertrag.<\/p>\n\n\n\n

Der Rest der Belegschaft<\/h3>\n\n\n\n

Das untersch\u00e4tzte Thema beim Offboarding ist der Blick, den die verbleibende Belegschaft darauf wirft. An ihr letztes Kapitel erinnern sich ausscheidende Mitarbeitende nicht nur selbst. Sie erz\u00e4hlen es weiter: in Gespr\u00e4chen mit ehemaligen Kolleginnen und Kollegen, auf Bewertungsplattformen, im privaten Netzwerk. Gut offboarden sch\u00fctzt den Ruf nach au\u00dfen. Wer die letzten Wochen als administrative Pflichterf\u00fcllung behandelt, riskiert, dass genau diese Wahrnehmung nach au\u00dfen getragen wird. Wie das Unternehmen mit dem Abgang umgeht, ob der Austritt w\u00fcrdevoll gestaltet wird, ob Kolleginnen und Kollegen verabschiedet werden, ob die Transition strukturiert oder hastig wirkt: all das sehen sie. Diese Signale formen das Bild, das Mitarbeitende von ihrer eigenen zuk\u00fcnftigen Position im Unternehmen entwickeln. Kein isolierter Vorgang ist das Offboarding deshalb. T\u00e4glich gelebt und bewertet wird es als Teil der Unternehmenskultur.<\/p>\n\n\n\n

Sechs Schritte, eine Reihenfolge<\/h3>\n\n\n\n

Was folgt daraus f\u00fcr die Praxis? Am ersten Punkt, an dem jede Verbesserung ansetzen sollte, steht der Handoff zwischen HR und IT. Nicht sequenziell, sondern parallel: Austritt best\u00e4tigen, alle relevanten Stellen gleichzeitig informieren, Zugriffsrechte sofort entziehen. Danach folgt die Einsammlung von Firmeneigentum, dann das Exit-Gespr\u00e4ch, der Wissenstransfer und abschlie\u00dfend die Gehaltsabrechnung, in dieser Reihenfolge, mit nachvollziehbaren Belegen f\u00fcr jeden Schritt.<\/p>\n\n\n\n

F\u00fcr Bereiche mit gewerblichen Mitarbeitenden bedeutet das zus\u00e4tzliche Aufmerksamkeit: Wer au\u00dferhalb zentraler Verzeichnisdienste gef\u00fchrt wird, braucht einen eigenen Deprovisioning-Pfad. Geteilte Ger\u00e4te, lokale Zugangsdaten, Schichtpl\u00e4ne mit personalisierten PINs: All das muss in einer Austritts-Checkliste enthalten sein, die nicht nur auf B\u00fcroarbeitspl\u00e4tze zugeschnitten ist.<\/p>\n\n\n\n

Oft ist kein Umbau n\u00f6tig. Nur eine andere Reihenfolge.<\/h3>\n\n\n\n

Erfreulich ist, dass die meisten Unternehmen keinen grundlegenden Umbau ihrer Prozesse brauchen. Ein gemeinsamer Prozess von HR und IT ist das Offboarding, kein sequenzieller. Und dass der erste Schritt nicht das R\u00fcckgabegespr\u00e4ch ist, sondern der Entzug des Zugriffs.<\/p>\n\n\n\n

Wer Offboarding als das behandelt, was es wirklich ist, als einen sicherheitsrelevanten, compliance-pflichtigen und kulturell bedeutsamen \u00dcbergang, macht aus dem letzten Kapitel eines Arbeitsverh\u00e4ltnisses etwas, das dem Rest des Unternehmensalltags gerecht wird. Und das im Ged\u00e4chtnis bleibt.<\/p>\n","protected":false},"excerpt":{"rendered":"

Warum kritische Fehler beim Mitarbeiteraustritt nicht allein durch eine Checkliste vermieden werden, sondern in der Zeitspanne zwischen best\u00e4tigtem Abgang und gel\u00f6schtem letzten Zugriff. Stellen Sie…<\/p>\n","protected":false},"author":5,"featured_media":4864,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[173,637],"tags":[],"coauthors":[132],"class_list":["post-6404","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-internal-communication","category-interne-kommunikation"],"_links":{"self":[{"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/posts\/6404","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/comments?post=6404"}],"version-history":[{"count":4,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/posts\/6404\/revisions"}],"predecessor-version":[{"id":6409,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/posts\/6404\/revisions\/6409"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/media\/4864"}],"wp:attachment":[{"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/media?parent=6404"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/categories?post=6404"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/tags?post=6404"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/blog.tchop.io\/de\/wp-json\/wp\/v2\/coauthors?post=6404"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}