M365-Offboarding: Zugänge schliessen, Daten erhalten

Ein Austritt ist erst abgeschlossen, wenn Zugänge wirksam gesperrt, geschäftliche Daten übergeben und alle Schritte nachvollziehbar dokumentiert sind. Wer nur das Kennwort ändert oder die Lizenz entfernt, lässt leicht aktive Sitzungen, Weiterleitungen, Geräte oder gemeinsam genutzte Ressourcen zurück.

Der Ablauf beginnt vor dem letzten Arbeitstag

Personalverantwortliche, Führungskraft und IT sollten einen verbindlichen Zeitpunkt für die Sperrung festlegen. Bei einem regulären Austritt kann die Übergabe vorbereitet werden; bei einer sofortigen Trennung muss der Zugriff ohne Vorwarnung entzogen werden können. Eine zentrale Checkliste verhindert, dass Einzelaufgaben zwischen HR, IT und Fachbereich verloren gehen.

Erfassen Sie vorab mindestens:

Benutzerkonto, Rollen und administrative Berechtigungen
registrierte Geräte, mobile Apps und aktive Sitzungen
Postfach, Kalender, OneDrive und persönliche Ablagen
Mitgliedschaften in Teams, Microsoft-365-Gruppen und Verteilerlisten
Freigaben, Gastzugänge, gemeinsam verwendete Konten und Drittanwendungen
Verantwortlichkeiten für Automationen, Formulare und technische Integrationen

Entscheidend ist die Eigentümerschaft. Daten und Prozesse dürfen nicht dauerhaft an einer persönlichen Identität hängen. Benennen Sie deshalb vor dem Austritt eine verantwortliche Person für Postfachinhalte, Dateien, Gruppen und automatisierte Abläufe.

Zugriff in der richtigen Reihenfolge entziehen

Sperren Sie zuerst die Anmeldung und widerrufen Sie anschliessend bestehende Sitzungen. Eine Kennwortänderung allein beendet nicht zwingend alle bereits ausgestellten Anmeldetoken. Prüfen Sie danach, ob privilegierte Rollen, App-Berechtigungen oder registrierte Authentifizierungsmethoden entfernt werden müssen.

Ein robuster Ablauf umfasst typischerweise:

Anmeldung blockieren: Das Benutzerkonto bleibt für die geordnete Datenbehandlung erhalten, kann aber nicht mehr interaktiv genutzt werden.
Sitzungen widerrufen: Bestehende Zugriffe auf Browsern, Mobilgeräten und Anwendungen werden neu zur Authentifizierung gezwungen.
Rollen und Gruppen prüfen: Administrative Rollen und sensible Gruppenmitgliedschaften werden explizit entfernt.
Geräte behandeln: Firmengeräte werden eingezogen und zurückgesetzt. Bei privaten Geräten kommt nur eine gezielte Entfernung geschäftlicher Daten infrage, sofern die Verwaltung dies unterstützt.
Drittanwendungen berücksichtigen: SaaS-Dienste, VPN, Passwortmanager und Fachanwendungen liegen oft ausserhalb von Microsoft 365 und brauchen eigene Schritte.

Bei Konten mit administrativen Rechten ist besondere Sorgfalt nötig. Für die tägliche Arbeit und für Administration sollten getrennte Identitäten verwendet werden. So lässt sich beim Austritt klar erkennen, welche Zugänge betroffen sind.

Geschäftsdaten erhalten, nicht alles aufbewahren

Postfach und OneDrive enthalten häufig operative Informationen, aber auch Inhalte, die nicht unbegrenzt gespeichert werden dürfen. Legen Sie mit den zuständigen Stellen fest, welche Daten aus geschäftlichen, gesetzlichen oder vertraglichen Gründen benötigt werden und wer darauf zugreifen darf. Aufbewahrung ist eine Governance-Entscheidung, kein Nebenprodukt einer noch laufenden Lizenz.

Microsoft beschreibt mehrere Wege, um E-Mail und Dateien eines ehemaligen Mitarbeitenden zugänglich zu machen. Welche Variante passt, hängt unter anderem von Datenmenge, Aufbewahrungsanforderungen und benötigten Funktionen ab. Ein freigegebenes Postfach kann beispielsweise für die Weiterführung einer Funktionsadresse sinnvoll sein. Das zugehörige Benutzerkonto darf dabei nicht gelöscht werden. Ein freigegebenes Postfach ohne eigene Lizenz ist zudem auf 50 GB beschränkt; Archivierung, Hold-Funktionen oder mehr Speicher können eine passende Exchange-Lizenz erfordern. Für OneDrive sollte eine definierte Person Zugriff erhalten und relevante Dateien in eine Team- oder SharePoint-Ablage überführen.

Verlassen Sie sich nicht auf eine pauschale Aufbewahrungsfrist. Für OneDrive lässt sich die Aufbewahrung nach dem Löschen eines Benutzerkontos tenantweit auf 30 bis 3650 Tage einstellen; die Frist beginnt mit der Kontolöschung. Microsoft nennt für E-Mail, Kontakte und Kalender nach dem Entfernen der Lizenz grundsätzlich 30 Tage, sofern keine geeignete Aufbewahrungs- oder Hold-Konfiguration greift. Prüfen und sichern Sie die benötigten Daten deshalb vor Lizenz- oder Kontolöschung und kontrollieren Sie die tatsächlich konfigurierte Frist.

Vermeiden Sie eine dauerhafte Schattenablage unter dem Namen der ausgeschiedenen Person. Das erschwert Berechtigungsprüfungen und macht Wissen erneut von einem Einzelkonto abhängig.

Weiterleitungen und Abwesenheitsnotizen begrenzen

Eine automatische Antwort kann Kontakte auf eine neue Ansprechperson hinweisen. Eine Weiterleitung sämtlicher Nachrichten ist dagegen nicht immer angemessen: Sie kann vertrauliche oder private Inhalte an Personen übertragen, die dafür keine Berechtigung haben. Definieren Sie Empfänger, Zweck und Laufzeit, und prüfen Sie den Entscheid mit Datenschutz- oder Rechtsverantwortlichen, wenn sensible Kommunikation betroffen ist.

Dasselbe gilt für Stellvertretungen und Kalenderzugriffe. Übernehmen Sie nur, was für den Geschäftsbetrieb erforderlich ist, und entfernen Sie temporäre Berechtigungen nach der Übergangsphase wieder.

Exit-Fähigkeit beginnt bei offenen Datenwegen

Ein sauberes Offboarding zeigt, wie portabel Ihre Arbeitsumgebung tatsächlich ist. Können Sie E-Mails, Kontakte, Kalender und Dokumente in dokumentierten, verbreiteten Formaten exportieren? Sind Schnittstellen und Zuständigkeiten bekannt? Oder bleiben wichtige Abläufe in persönlichen Konten, proprietären Workflows und undokumentierten Apps eingeschlossen?

Offene Formate, standardisierte Schnittstellen und nachvollziehbare Exporte ersetzen M365 nicht. Sie erhalten aber Ihre Wahlfreiheit. Wo immer möglich, sollten geschäftskritische Dokumente ohne Spezialsoftware lesbar, Automationen dokumentiert und Datenbestände einem klaren System of Record zugeordnet sein. Das erleichtert nicht nur einen späteren Plattformwechsel, sondern bereits die Übergabe zwischen Mitarbeitenden.

Abschluss mit Nachweis

Dokumentieren Sie Zeitpunkt, ausführende Person und Ergebnis jedes Schritts. Prüfen Sie nach der Sperrung die Anmeldeprotokolle auf unerwartete Aktivitäten und bestätigen Sie, dass übergebene Daten für die neue verantwortliche Person zugänglich sind. Erst danach werden nicht mehr benötigte Lizenzen entfernt und Konten gemäss der festgelegten Aufbewahrungsregel gelöscht.

Ein wiederholbarer Prozess ist verlässlicher als eine lange, aber selten gepflegte Liste. Testen Sie ihn bei jedem Austritt und aktualisieren Sie ihn, wenn neue Dienste, Apps oder Gerätetypen hinzukommen.

Wenn Sie Identitäten, Geräte und Datenübergaben als zusammenhängenden Prozess organisieren möchten, finden Sie weitere Informationen unter Modern Workplace.

Wir sind für Sie da.