Jeder neue Mitarbeitende, der in ein Unternehmen eintritt, und jede Person, die das Unternehmen verlässt, löst eine Reihe von IT-Aufgaben aus, die viele kleine und mittlere Unternehmen (KMU) spontan und ohne festgelegten Ablauf erledigen. E-Mail-Konten, Lizenzen, Geräte und Zugriffsberechtigungen werden häufig ohne einen klar definierten Prozess verwaltet. Die Folgen sind absehbar: fehlende Abstimmung, Verzögerungen und im schlimmsten Fall offene Sicherheitslücken. Ein nicht ordnungsgemäss abgeschlossener Austritt ist nicht nur ein betriebliches Problem, sondern auch ein Sicherheitsrisiko und kann unter Umständen einen meldepflichtigen Datenschutzvorfall gemäss DSGVO darstellen.
In diesem Artikel zeigen wir, weshalb Ein- und Austritte als wiederholbare Prozesse mit verbindlichen Fristen und klar definierten Ergebnissen behandelt werden sollten. Wir erläutern, welche konkreten Massnahmen bei einem Mitarbeitereintritt erforderlich sind, was ein Austrittsprozess einschliesslich der Sperrung sämtlicher Zugänge am selben Tag umfassen sollte und wann ein fehlerhafter Abschluss zu einem meldepflichtigen Vorfall bei der spanischen Datenschutzbehörde AEPD werden kann. Zudem zeigen wir auf, was vor der Vereinbarung verbindlicher Fristen schriftlich festgehalten werden sollte, welche Leistungen Sie von Ihrem IT-Support-Dienstleister erwarten können, wie Sie deren Einhaltung überprüfen und welche Fehler in KMU besonders häufig auftreten. Abschliessend erfahren Sie, welche nächsten Schritte Sie in Angriff nehmen sollten.
Warum jeder Mitarbeitereintritt und -austritt ein ganzes Paket an IT-Aufgaben auslöst
Die Einstellung eines neuen Mitarbeitenden bringt mehr Aufgaben mit sich, als zunächst vermutet wird. Es muss ein Benutzerkonto im Unternehmensverzeichnis erstellt, ein E-Mail-Postfach eingerichtet, eine Microsoft-365-Lizenz zugewiesen und die entsprechenden Gruppen und Berechtigungen in Teams und SharePoint festgelegt werden. Darüber hinaus müssen die IT-Geräte vorbereitet, ein Mobiltelefon oder eine SIM-Karte bereitgestellt sowie Zugänge zum ERP-, CRM- und Fakturierungssystem eingerichtet werden. Auch gemeinsame Ordner, VPN-Verbindungen, Telefonnebenstellen und Benutzerkonten in SaaS-Anwendungen müssen entsprechend konfiguriert werden.
Beim Austritt eines Mitarbeitenden steht im Wesentlichen dieselbe Aufgabenliste in umgekehrter Reihenfolge an: Benutzerkonto deaktivieren, aktive Sitzungen und Authentifizierungstokens widerrufen, Berechtigungen entziehen, Lizenzen neu zuweisen, Geräte zurückfordern und Zugänge zu externen Diensten sperren.
Improvisation kann teuer werden. Passwörter werden unter Mitarbeitenden geteilt, allgemeine Benutzerkonten haben keine eindeutig zugewiesene verantwortliche Person, neue Mitarbeitende werden nur teilweise eingerichtet und Lizenzen werden noch Monate nach dem Austritt weiterbezahlt.
Dabei ist eine wichtige Unterscheidung zu beachten: Die Sperrung sämtlicher Zugänge noch am selben Tag ist eine in diesem Artikel empfohlene Best Practice. Sie stellt weder einen universell geltenden Standard noch eine ausdrücklich formulierte gesetzliche Verpflichtung dar.
Die zentrale Aussage ist einfach: Weder der Eintritt noch der Austritt eines Mitarbeitenden ist eine einmalige Einzelaufgabe. Beide Vorgänge sind wiederholbare Prozesse mit klar definierten Ausgangslagen, zugewiesenen Verantwortlichkeiten, verbindlichen Fristen und nachvollziehbar archivierten Nachweisen. Diese Prozesse sollten durch einen professionellen IT-Support-Dienstleister für Unternehmen betreut werden. Die entsprechenden Leistungen und Verpflichtungen müssen dabei schriftlich vereinbart sein.
Diese vertraglichen Regelungen beeinflussen auch die tatsächlichen Kosten des externen IT-Supports für KMU: Was nicht ausdrücklich als Leistung vereinbart wurde, muss später häufig zusätzlich bezahlt werden.
Welche konkreten Massnahmen gehören zum Eintritt eines Mitarbeitenden?
Sind sämtliche Aufgaben systematisch erfasst, wird der Mitarbeitereintritt zu einem klar strukturierten und überprüfbaren Ablauf statt zu einer Aneinanderreihung einzelner Aufgaben.
Identität und Zugriffsberechtigungen
Erstellen Sie das Benutzerkonto im Unternehmensverzeichnis (beispielsweise Entra ID bei Microsoft 365). Stellen Sie sicher, dass bereits bei der ersten Anmeldung eine Multi-Faktor-Authentifizierung (MFA) erforderlich ist. Weisen Sie die Zugriffsberechtigungen entsprechend der jeweiligen Funktion zu und nicht nach Gewohnheit. Persönliche Benutzerkonten dürfen nicht gemeinsam genutzt werden.
Die Norm ISO/IEC 27002 sieht formelle, dokumentierte und kontrollierte Verfahren für die Vergabe von Zugriffsrechten vor (Anhang 9 der ISO 27002).
E-Mail und Anwendungen
Richten Sie das E-Mail-Postfach und die geschäftliche E-Mail-Adresse ein. Fügen Sie Mitarbeitende ausschliesslich den Gruppen, Kanälen, Arbeitsbereichen und SharePoint-Websites hinzu, die sie für ihre jeweilige Funktion tatsächlich benötigen.
Passen Sie die Lizenz an die jeweilige Funktion an. Für nicht benötigte Funktionen zu bezahlen, verursacht vermeidbare Kosten.
IT-Ausstattung
Stellen Sie das Gerät mit einem vorbereiteten Systemabbild, einer verschlüsselten Festplatte und einer Anbindung an die zentrale Geräteverwaltung beziehungsweise Fernüberwachung bereit.
Dokumentieren Sie die Geräteübergabe mit einem Übergabeprotokoll, das von der empfangenden Person unterzeichnet wird.
Operative Zugänge und Zugänge zu externen Diensten
Richten Sie VPN-Verbindungen, Firewall-Regeln, interne Anwendungen, Telefonie und externe Kommunikationsplattformen für die Kundenbetreuung ein.
Jeder Zugang muss einer konkreten Person zugeordnet und mit dem entsprechenden Erstellungsdatum dokumentiert werden.
Kriterien für einen vollständig abgeschlossenen Mitarbeitereintritt
Schliessen Sie den Vorgang mit einer datierten Checkliste ab, in der für jeden einzelnen Punkt die verantwortliche Person aufgeführt ist.
So lässt sich jederzeit nachvollziehen, welche Leistungen erbracht wurden, wann dies geschehen ist und an wen die entsprechenden Geräte und Zugänge übergeben wurden.
Ohne diese Checkliste gilt der Eintrittsprozess als nicht vollständig abgeschlossen.
Was muss ein Mitarbeiteraustritt umfassen, einschliesslich der Sperrung sämtlicher Zugänge am selben Tag?
Beim Austritt eines Mitarbeitenden wird dieselbe Aufgabenliste in umgekehrter Reihenfolge abgearbeitet – allerdings unter erheblichem Zeitdruck.
Benutzerkonten und aktive Sitzungen
Deaktivieren Sie das Benutzerkonto im Unternehmensverzeichnis und widerrufen Sie sämtliche Authentifizierungstokens und aktiven Sitzungen. Ein Passwortwechsel allein reicht nicht aus: Ohne die Abmeldung bestehender Sitzungen können beispielsweise ein Mobiltelefon oder ein E-Mail-Programm noch während Wochen Zugriff ermöglichen.
Entfernen Sie zudem die auf dem privaten Gerät hinterlegten MFA-Methoden und ändern Sie die Passwörter gemeinsam genutzter Konten.
Geschäftliche E-Mail-Adresse
Legen Sie bereits vor dem Austritt fest, ob das E-Mail-Postfach deaktiviert, in ein freigegebenes Postfach umgewandelt oder mit einer automatischen Antwort und einer zeitlich begrenzten Stellvertretung versehen werden soll.
Halten Sie schriftlich fest, wer künftig die eingehenden Nachrichten bearbeitet.
Lizenzen
Weisen Sie die Lizenz noch am Austrittstag einer anderen Person zu oder kündigen Sie sie entsprechend.
Geräte und Arbeitsmaterialien
Fordern Sie Laptops, Mobiltelefone, Ausweise, Schlüssel und Authentifizierungstokens zurück. Dokumentieren Sie die Rückgabe mit einem Rückgabeprotokoll, das auch den Zustand der Geräte festhält.
Führen Sie vor einer erneuten Zuweisung eine sichere Datenlöschung und eine Neuinstallation des Systems durch. Wird ein Gerät nicht zurückgegeben, veranlassen Sie die Fernlöschung und dokumentieren Sie diese Massnahme.
Externe Dienste und personenbezogene Daten
Entziehen Sie sämtliche Berechtigungen und Benutzerkonten, die für externe Dienste eingerichtet wurden. Übertragen Sie die Inhaberschaft jener Konten, die weiterhin benötigt werden, auf eine andere verantwortliche Person.
Dokumentieren Sie ausserdem, auf welche Kunden- und Partnerdaten die betreffende Person Zugriff hatte. Dieser Punkt ist für die anschliessende Risikobeurteilung entscheidend. Eine lückenlose Nachvollziehbarkeit ist ebenso wichtig wie bei einem IT-Dienstleisterwechsel ohne Datenverlust oder Betriebsunterbrüche.
Ein nicht ordnungsgemäss abgeschlossener Mitarbeiteraustritt als möglicher meldepflichtiger Vorfall
Ein noch aktives Benutzerkonto eines ehemaligen Mitarbeitenden stellt nicht automatisch eine Datenschutzverletzung dar. Es handelt sich jedoch um eine Risikosituation, auf die der Leitfaden der spanischen Datenschutzbehörde AEPD zu Datenschutzverletzungen (Juni 2021) aufmerksam macht. Dieser definiert, was als Verletzung des Schutzes personenbezogener Daten gilt: jeder Vorfall, bei dem Daten unbefugt vernichtet, verloren, verändert oder offengelegt werden, und regelt den Umgang mit solchen Vorfällen. Wird das Konto nach dem Austritt tatsächlich genutzt, ist der Vorfall nicht mehr hypothetisch.
Artikel 33 der DSGVO verpflichtet Unternehmen, Datenschutzverletzungen, die ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellen, der AEPD zu melden. Artikel 34 verpflichtet sie dazu, die betroffenen Personen zu informieren, wenn ein hohes Risiko besteht. Die allgemeine Meldefrist beträgt 72 Stunden.
Folgende Szenarien können einen Austritt zu einem meldepflichtigen Vorfall machen: ein übernommenes Benutzerkonto, bei dem weder das Passwort geändert noch die Multi-Faktor-Authentifizierung (MFA) angepasst wurde; ein vergessener Fernzugriff oder eine weiterhin aktive VPN-Verbindung; ein früheres E-Mail-Postfach mit Kundendaten, auf das weiterhin zugegriffen werden kann; ein nicht zurückgegebenes Gerät mit heruntergeladenen Informationen, wobei eine überprüfte externe Datensicherung (Offsite-Backup) den Schaden begrenzen kann; sowie Zugriffsberechtigungen, die bei der erneuten Zuweisung eines Geräts übernommen werden, ohne dass zuvor eine Datenlöschung durchgeführt wurde.
Es gibt keine öffentlich zugänglichen Daten, die beziffern, welcher Anteil der Sicherheitsvorfälle in KMU auf ehemalige Mitarbeitende zurückzuführen ist. Deshalb werden an dieser Stelle bewusst keine Zahlen genannt. Der Zusammenhang zwischen einem nicht ordnungsgemäss abgeschlossenen Austritt und einer möglichen meldepflichtigen Datenschutzverletzung ist eine begründete Schlussfolgerung aus dem Geltungsbereich des Leitfadens und keine Aussage der AEPD.
Was vor der Vereinbarung verbindlicher Fristen schriftlich festgehalten werden muss
Dieses Risiko wird durch klare Prozesse und nicht durch Vertrauen allein beherrscht. Bevor Sie verbindliche Fristen einfordern, müssen Sie schriftlich festlegen, was gemessen wird und auf welcher Grundlage. Ohne ein zentrales, laufend aktualisiertes Inventar aller Benutzerkonten, Lizenzen, Geräte und Zugriffsberechtigungen gibt es weder eine Grundlage für entsprechende Forderungen noch eine Möglichkeit, zu überprüfen, ob ein Eintritt oder Austritt vollständig abgeschlossen wurde.
Der Vertrag muss festlegen, was unter einem Austritt zu verstehen ist: die betroffene Person, das Datum und die Uhrzeit des Inkrafttretens, wer den Austritt genehmigt, der offizielle Meldekanal und die vereinbarten Servicezeiten. Auf dieser Grundlage werden die Fristen vereinbart: Ein Eintritt muss innerhalb einer konkret festgelegten Anzahl von Arbeitstagen abgeschlossen sein und ein Austritt noch am selben Arbeitstag, sofern die Anfrage vor einer bestimmten Uhrzeit eingeht. Ausnahmen (nicht zurückgegebenes Arbeitsmaterial, Zugänge zu externen Diensten) müssen so formuliert werden, dass sie die vereinbarte Verpflichtung eingrenzen, ohne sie auszuhöhlen.
Für jeden abgeschlossenen Vorgang ist ein Nachweis erforderlich: ein Eintrittsprotokoll mit Checkliste, ein Austrittsprotokoll mit Nachweisen über das deaktivierte Benutzerkonto, widerrufene Sitzungen, freigegebene Lizenzen und zurückgegebenes Arbeitsmaterial sowie eine schriftliche Bestätigung an die verantwortliche Person im Unternehmen.
Ein direkter Ansprechpartner für Störungsfälle, ein monatlicher Bericht über die Einhaltung der Fristen und eine Überprüfungsklausel, die der vereinbarten Verpflichtung Nachdruck verleiht, sollten ebenfalls vorgesehen werden. Bei der Evaluation eines IT-Support-Dienstleisters für Unternehmen helfen diese Fragen, einen strukturiert arbeitenden Anbieter von einem rein reaktiv handelnden Dienstleister zu unterscheiden. Es empfiehlt sich, diese Punkte vor der Vertragsunterzeichnung zu prüfen und zunächst zu klären, wann der externe IT-Support ausgelagert werden sollte.
Welche Leistungen Sie von Ihrem IT-Support-Dienstleister konkret verlangen sollten
Auf dieser Grundlage sollten Sie folgende konkrete Leistungen verlangen:
Zentrales Inventar und Berechtigungsmatrix nach Rollen. Ein Inventar aller Benutzerkonten, Lizenzen, Geräte und Zugriffsberechtigungen, das mindestens einmal jährlich überprüft wird und innerhalb weniger Minuten Auskunft darüber gibt, über welche Zugänge eine Person bei ihrem Eintritt verfügte und welche davon nach ihrem Austritt noch bestehen.
Dokumentierte Sperrung sämtlicher Zugänge am selben Tag. Benutzerkonten werden deaktiviert, Sitzungen und Authentifizierungstokens widerrufen sowie Cloud- und Fernzugriffe gesperrt. Alle Massnahmen müssen mit entsprechenden Nachweisen dokumentiert und archiviert werden. Eine mündliche Bestätigung per Telefon oder Messenger ist kein ausreichender Nachweis.
Lizenzverwaltung als wirtschaftlicher Bestandteil. Ein monatlicher Vergleich zwischen den gebuchten Lizenzen und der tatsächlichen Anzahl Mitarbeitender, ergänzt durch Vorschläge zur Neuzuweisung oder Kündigung nicht mehr benötigter Lizenzen. Diese Leistung kann sich finanziell unmittelbar auszahlen.
Rücknahme und sichere Aufbereitung der Geräte. Ein schriftlich festgelegtes Verfahren für die Rückgabe, sichere Datenlöschung, Neuinstallation und erneute Zuweisung der Geräte, mit lückenloser Nachverfolgbarkeit anhand der Seriennummer. Wird das Arbeitsmaterial nicht zurückgegeben, muss die Fernlöschung dokumentiert werden.
Nachvollziehbarkeit und Verantwortlichkeiten. Tickets mit Datum, verantwortlicher Person und dokumentiertem Ergebnis, unterzeichnete Protokolle und eine namentlich festgelegte Ansprechperson, die dafür verantwortlich ist, wenn ein Zugang nicht rechtzeitig gesperrt wird.
Ein IT-Dienstleister, der von Beginn an nach diesen Grundsätzen arbeitet, wie im Artikel über die ersten 30 Tage eines externen IT-Dienstleisters beschrieben, muss einen Mitarbeiteraustritt nur selten improvisieren.
Wie Sie überprüfen, ob der Prozess tatsächlich eingehalten wird
Die vereinbarten Leistungen einzufordern ist der erste Schritt. Der zweite besteht darin, ihre tatsächliche Umsetzung zu überprüfen. Das gelingt durch regelmässige Kontrollen anhand konkreter Nachweise.
Test des Eintrittsprozesses. Erstellen Sie ein fiktives Benutzerkonto ohne produktive Funktionen und messen Sie die Zeit vom Eingang der Anfrage bis zur vollständigen Bereitstellung des Geräts und der funktionierenden Zugänge. Vergleichen Sie die tatsächlich benötigte Zeit mit der vereinbarten Frist und prüfen Sie, ob das Protokoll Datum und verantwortliche Person enthält.
Test des Austrittsprozesses. Wählen Sie einen tatsächlichen Mitarbeiteraustritt aus dem Vormonat und überprüfen Sie, ob das Benutzerkonto heute noch aktiv ist, ob Sitzungen weiterhin geöffnet sind und ob die Rückgabe des Geräts dokumentiert wurde. Dies ist die unangenehmste, aber zugleich aufschlussreichste Überprüfung.
Vierteljährliche Überprüfung. Kontrollieren Sie Benutzerkonten ohne eindeutig zugewiesene verantwortliche Person, nicht zugewiesene Geräte und Anwendungen, in denen sich individuelle Benutzerkonten unkontrolliert vervielfacht haben. Ein Beispiel dafür ist die Zuweisung von Microsoft-365-Lizenzen für Unternehmen, bei der das Lizenzmodell regelmässig an die tatsächliche Anzahl Mitarbeitender angepasst werden sollte.
Abgleich mit den vertraglichen Vereinbarungen. Vergleichen Sie den Servicebericht mit den vereinbarten Fristen: Wie viele Austritte wurden verspätet abgeschlossen und welche Korrekturmassnahmen wurden umgesetzt?
Leitfaden für das Überprüfungsgespräch. Fragen Sie, wer einen Austritt genehmigt, innerhalb welcher Frist ein Zugang gesperrt wird, wie dies nachgewiesen wird, was bei Nichteinhaltung der Frist geschieht und welche Leistungen genau im vereinbarten Preis enthalten sind.
Mit diesen Nachweisen basiert die Überprüfung nicht mehr auf Versprechen.
Häufige Fehler bei der Verwaltung von Ein- und Austritten in KMU
Wenn die beschriebenen Kontrollen nicht erfolgreich sind, liegt häufig einer der folgenden fünf Fehler vor.
1. Den Austritt erst am letzten Arbeitstag melden.
Trifft die Meldung erst ein, wenn die betreffende Person das Büro bereits verlassen hat, muss der IT-Dienstleister unter erheblichem Zeitdruck arbeiten. Dadurch steigt die Wahrscheinlichkeit, dass einzelne Zugänge offen bleiben.
2. Lediglich das E-Mail-Konto deaktivieren.
Das Postfach wird geschlossen, während VPN-Verbindungen, Berechtigungen für gemeinsame Ordner und Benutzerkonten in externen Anwendungen weiterhin bestehen bleiben. Der Fall scheint abgeschlossen zu sein, ist es aber nicht.
3. Das Passwort ändern, ohne Sitzungen und Tokens zu widerrufen.
Dieser bereits im Abschnitt über den Austrittsprozess beschriebene Fehler kann dazu führen, dass bestehende Zugänge noch während Wochen aktiv bleiben.
4. Lizenzen nicht neu zuweisen und Arbeitsmaterial nicht zurücknehmen.
Das Gerät wird wieder ins Inventar aufgenommen und erneut verwendet, ohne zuvor sicher gelöscht worden zu sein. Dadurch bleiben möglicherweise Informationen des vorherigen Benutzers auf dem Gerät. Gleichzeitig werden die Lizenzen weiterhin bezahlt.
5. Gemeinsam genutzte und allgemeine Benutzerkonten beibehalten.
Solche Konten sind zwar praktisch, haben jedoch keine eindeutig identifizierbare verantwortliche Person und keine nachvollziehbare Nutzungshistorie. Beim Austritt gibt es deshalb keine konkrete Benutzeridentität, die deaktiviert werden kann, sondern lediglich ein Passwort, das von mehreren Personen verwendet wurde.
Was Sie jetzt gemeinsam mit Ihrem IT-Dienstleister unternehmen sollten
Übersetzen Sie diese Fehler in konkrete Anforderungen, bevor Sie den Vertrag mit Ihrem IT-Support-Dienstleister verlängern oder die weitere Zusammenarbeit bestätigen. Diese fünf Punkte sollten Sie noch in dieser Woche ansprechen.
1. Verlangen Sie einen schriftlich dokumentierten Prozess. Fordern Sie das entsprechende Dokument schriftlich an, wie im vorherigen Abschnitt beschrieben.
2. Vereinbaren Sie die Sperrung sämtlicher Zugänge am selben Tag. Legen Sie die Bedingungen schriftlich fest und überprüfen Sie anhand eines tatsächlichen Austritts aus dem Vormonat, wie weiter oben beschrieben, ob der Vorgang vollständig abgeschlossen wurde.
3. Verlangen Sie eine regelmässige Überprüfung aktiver Lizenzen und nicht eindeutig zugeordneter Benutzerkonten. Hier liegt ein erhebliches Einsparpotenzial, ohne die Sicherheit zu beeinträchtigen: Nicht benötigte Lizenzen und veraltete Zugänge, die niemand mehr überwacht, können entfernt werden.
4. Behalten Sie die gesetzlichen Rahmenbedingungen im Blick. Ein nicht ordnungsgemäss abgeschlossener Austritt kann eine Sicherheitslücke hinterlassen. Kommt es dadurch zu einem Datenschutzvorfall, greifen die Datenschutzbestimmungen und gegebenenfalls die Meldepflicht gegenüber der zuständigen Aufsichtsbehörde.
5. Machen Sie sich bewusst, wer letztlich die Verantwortung trägt. Wenn Ihr IT-Dienstleister keine verbindlichen Fristen zusichert und den vollständigen Abschluss nicht anhand konkreter Nachweise belegen kann, bleiben dieser Prozess und die damit verbundene Verantwortung bei Ihrem Unternehmen.
Fazit
Ein Eintritt und ein Austritt sind keine einzelnen Verwaltungsvorgänge, sondern klar definierte Pakete von IT-Aufgaben mit festgelegter Verantwortung, verbindlichen Fristen und nachvollziehbaren Nachweisen. Verlangen Sie einen schriftlich festgelegten Prozess, vereinbaren Sie die Sperrung sämtlicher Zugänge noch am Austrittstag und überprüfen Sie anhand tatsächlicher Fälle, ob Benutzerkonten deaktiviert, Sitzungen widerrufen und Geräte zurückgegeben werden. Denken Sie ausserdem daran, dass ein nicht ordnungsgemäss abgeschlossener Austritt zu einem meldepflichtigen Datenschutzvorfall führen kann.
Wenn Ihr IT-Dienstleister keine verbindlichen Fristen zusichert und die Ergebnisse nicht anhand konkreter Nachweise belegen kann, bleibt die Verantwortung bei Ihnen.
Beginnen Sie mit einem einzigen Mitarbeiteraustritt aus dem vergangenen Monat. Was Sie dabei feststellen, sagt Ihnen mehr als jedes Versprechen.
