TOOLBOX · DOWNLOAD
IT-Offboardingohne offeneZugänge.
Wenn Mitarbeitende das Unternehmen verlassen, bleiben oft Konten, Freigaben und Geräte zurück, die niemand mehr im Blick hat. Diese Checkliste ordnet den Austritt in drei Phasen: vor dem letzten Arbeitstag, am letzten Tag und danach. Sie stützt sich auf die Anforderungen ORP.2.A2 und ORP.4.A2 des IT-Grundschutz-Kompendiums des BSI und nennt für Microsoft 365 die Schritte und Fristen aus der Dokumentation von Microsoft, damit kein Zugang offen bleibt und keine Daten verloren gehen.
Kostenloses PDF · Checkliste
IT-Offboarding: Checkliste für den Austritt von Mitarbeitenden
- Format
- PDF, A4
- Umfang
- 8 Seiten
- Größe
- 117 KB
- Stand
- 25.10.2026
- Quellen
- 11
FÜR WEN
Für wen
das gedacht ist.
Konten, Geräte, Daten und Rechte geordnet beenden, nach BSI IT-Grundschutz und mit den Schritten für Microsoft 365.
- HR und Personalverantwortliche, die Austritte begleiten
- IT-Leitung und Administration von Microsoft 365 und Microsoft Entra ID
- Führungskräfte, die Übergabe, Nachfolge und Vertretung organisieren
7 ABSCHNITTE
Was drin
steht.
Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.
- 01
Was beim Austritt geregelt sein muss
Die Anforderungen des BSI IT-Grundschutz-Kompendiums an den Weggang von Mitarbeitenden und an Berechtigungen.
- 02
Der Ablauf auf einen Blick
Drei Phasen vom Bekanntwerden des Austritts bis zur Löschung des Kontos.
- 03
Vor dem letzten Arbeitstag
Übergabe, Vertretung und eine vollständige Liste aller Zugänge, bevor der Zeitdruck beginnt.
- 04
Am letzten Arbeitstag: Zugänge beenden
Kennwort zurücksetzen, Anmeldung sperren, Sitzungen widerrufen, Geräte und Zutrittsmittel einziehen.
- 05
Nach dem Austritt: Postfach, OneDrive und Lizenz
Was Microsoft 365 mit Postfach, OneDrive und Konto macht und welche Fristen dabei laufen.
- 06
Sonderfall: Austritt mit sofortiger Wirkung
Bei kurzfristiger Trennung oder befürchtetem Missbrauch zuerst sperren, dann übergeben.
- 07
Wer macht was
Aufgaben von Personalabteilung, Vorgesetzten, IT-Betrieb und Gebäudeverwaltung beim Austritt.
AUSZUG
Am letzten Arbeitstag: Zugänge beenden
Kennwort zurücksetzen und abmelden
Im Microsoft 365 Admin Center das Kennwort zurücksetzen und die Person von allen Sitzungen abmelden. Laut Microsoft verhindert das Zurücksetzen die Anmeldung sofort, eine Anmeldesperre kann dagegen bis zu 24 Stunden brauchen. Ein Zugriffstoken gilt bis zu einer Stunde weiter.
Anmeldung sperren und Sitzungen widerrufen
Die Anmeldung blockieren, im Microsoft Entra Admin Center also „Konto aktiviert“ deaktivieren und danach „Sitzungen widerrufen“ wählen. Damit erhält die Person für keine an Entra ID angebundene Anwendung mehr neue Token.
Lokales Active Directory nicht vergessen
Werden Konten aus einem lokalen Active Directory synchronisiert, das Konto auch dort deaktivieren und das Kennwort zurücksetzen. Microsoft empfiehlt, es zweimal zurückzusetzen, um das Risiko von Pass-the-Hash zu mindern; ist das Konto sicher nicht kompromittiert, genügt einmal.
Mobile Geräte löschen und blockieren
Für dienstlich genutzte Smartphones im Exchange Admin Center die Firmendaten aus der Ferne löschen und den Zugriff blockieren, bei Verwaltung mit Intune über Intune. Eine Löschung greift nur, wenn das Gerät online ist; offline bleiben lokal gespeicherte Daten erreichbar.
Geräte, Schlüssel und Ausweise einziehen
Notebook, Smartphone, Sicherheitsschlüssel, Schlüssel, Ausweise und Zutrittsberechtigungen zurücknehmen und in der Liste abhaken (ORP.2.A2). Zutrittsberechtigungen im Schließ- oder Zutrittssystem sperren.
Anwendungen außerhalb von Entra ID
Anwendungen mit eigener Anmeldung oder eigenen Sitzungen einzeln sperren. Microsoft weist darauf hin, dass Entra ID von Anwendungen ausgestellte Sitzungstoken nicht widerrufen kann; die automatische Aufhebung der Bereitstellung schließt diese Lücke, wo die Anwendung sie unterstützt.
Gemeinsame Zugangsdaten ändern
Kennwörter gemeinsam genutzter Konten und Zugänge ändern, die die Person kannte. Die Liste aus der Vorbereitung dient als Vorlage.
Vor der Verabschiedung noch einmal auf bestehende Verschwiegenheitsverpflichtungen hinweisen (ORP.2.A2).
QUELLEN
Belegt,
nicht behauptet.
- BSI IT-Grundschutz-Kompendium, Baustein ORP.2 Personal (Edition 2023) (öffnet in neuem Tab)ORP.2.A2 Geregelte Verfahrensweise beim Weggang von Mitarbeitenden, ORP.2.A3 Vertretungsregelungen, gelesen am 25.10.2026
- BSI IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023) (öffnet in neuem Tab)ORP.4.A2 Entzug von Berechtigungen, ORP.4.A3 Dokumentation der Kennungen und Rechteprofile
- Microsoft Learn: Entfernen ehemaliger Mitarbeitender und Schützen von Daten (Übersicht) (öffnet in neuem Tab)Schritte 1 bis 7, Aufbewahrung von Postfach und OneDrive nach Lizenzentzug und Löschung
- Microsoft Learn: Schritt 1, Anmeldung verhindern und Zugriff auf Microsoft 365 blockieren (öffnet in neuem Tab)Kennwort zurücksetzen, von allen Sitzungen abmelden, Sperre bis zu 24 Stunden
- Microsoft Learn: Schritt 3, Mobilgerät ehemaliger Mitarbeitender löschen und blockieren (öffnet in neuem Tab)
- Microsoft Learn: Schritt 4, E-Mails weiterleiten oder in ein freigegebenes Postfach umwandeln (öffnet in neuem Tab)50-GB-Grenze, Konto bleibt bestehen, Besprechungen absagen
- Microsoft Learn: Widerrufen des Benutzerzugriffs in Microsoft Entra ID (öffnet in neuem Tab)Token-Laufzeit, Sitzungstoken, Active Directory zweimal zurücksetzen, Geräte deaktivieren, Löschen nur online
- Microsoft Learn: OneDrive-Aufbewahrung und -Löschung (öffnet in neuem Tab)Zugriff der vorgesetzten Person, 30 Tage Aufbewahrung, 93 Tage Papierkorb, Archiv ab dem 93. Tag ohne Lizenz
- Microsoft Learn: Nicht lizenzierte OneDrive-Benutzerkonten verwalten (öffnet in neuem Tab)Schreibschutz ab Tag 60, Archiv ab Tag 93, Löschrisiko nach 365 unbezahlten Tagen
- Microsoft Learn: Kein vorläufig gelöschtes Postfach nach Entfernen der Lizenz (öffnet in neuem Tab)Postfach wird sofort getrennt und nach 30 Tagen gelöscht
- Microsoft Learn: Wiederherstellen oder Entfernen eines kürzlich gelöschten Benutzers (öffnet in neuem Tab)30 Tage wiederherstellbar
Diese Checkliste ist eine Empfehlung von TOMORIS und ersetzt keine arbeits- oder datenschutzrechtliche Beratung. Bezeichnungen, Schritte und Fristen in Microsoft 365 können sich ändern; maßgeblich ist die aktuelle Dokumentation von Microsoft.
TOOLBOX
Passend
dazu.
IT-Onboarding und -Offboarding
Alle IT-Schritte beim Eintritt und Austritt von Mitarbeitenden, kurz erklärt.
Mehr erfahrenLeast Privilege
Das Prinzip der minimalen Rechte: nur die Berechtigungen, die eine Aufgabe wirklich braucht.
Mehr erfahrenMicrosoft Entra ID
Microsofts Dienst für Identitäten und Zugriffe: Benutzer, Anmeldungen, Anwendungen und Richtlinien.
Mehr erfahrenIT-Asset-Management
Hardware, Software, Lizenzen und Cloud-Abos über den ganzen Lebenszyklus erfassen und verwalten.
Mehr erfahren
IHR NÄCHSTER SCHRITT
Vom Papier
in die Praxis.
Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.