IT-Offboarding: Checkliste für den Austritt von Mitarbeitenden

Das IT-Grundschutz-Kompendium des BSI (Edition 2023) regelt den Austritt in der Basis-Anforderung ORP.2.A2 „Geregelte Verfahrensweise beim Weggang von Mitarbeitenden“. Zuständig sind Vorgesetzte und IT-Betrieb. Verlangt wird unter anderem:

• Nachfolgende werden rechtzeitig eingewiesen. Ist eine direkte Übergabe nicht möglich, dokumentieren die Ausscheidenden ihre Aufgaben ausführlich.
• Alle im Rahmen der Tätigkeit erhaltenen Unterlagen, Schlüssel und Geräte sowie Ausweise und Zutrittsberechtigungen werden eingezogen.
• Vor der Verabschiedung wird noch einmal auf die Verschwiegenheitsverpflichtungen hingewiesen.
• Notfall- und andere Ablaufpläne werden aktualisiert, alle betroffenen Stellen wie IT-Abteilung oder Sicherheitspersonal informiert.
• Für die anfallenden Aufgaben soll es eine Checkliste geben, und eine feste Ansprechperson der Personalabteilung soll den Weggang begleiten.

Für Konten und Rechte gilt ORP.4.A2: Bei personellen Veränderungen müssen nicht mehr benötigte Benutzendenkennungen und Berechtigungen entfernt werden. Nach ORP.4.A3 ist dokumentiert, welche Kennungen, Gruppen und Rechteprofile bestehen. Diese Dokumentation ist die Grundlage, um beim Austritt nichts zu übersehen.

Reihenfolge und Phasen in diesem Dokument sind eine Empfehlung von TOMORIS. Verbindlich sind Ihre eigenen Regelungen und Verträge; Fristen in Microsoft 365 stammen aus der Dokumentation von Microsoft (Stand siehe Quellen).

• Nachfolge oder Vertretung ist benannt und eingewiesen; wo keine direkte Übergabe möglich ist, liegt eine Dokumentation der Aufgaben vor (ORP.2.A2, ORP.2.A3).
• Alle Konten der Person sind erfasst: Microsoft 365 und Entra ID, lokale Anmeldung, Fachanwendungen, VPN, Cloud-Dienste und Portale von Lieferanten (Grundlage ist die Dokumentation nach ORP.4.A3).
• Erhöhte Rechte sind bekannt: Administrationsrollen, Berechtigungen auf fremde Postfächer, Besitz von Teams, Gruppen und SharePoint-Websites.
• Gemeinsam genutzte Zugangsdaten, die die Person kennt, sind aufgelistet, damit sie nach dem Austritt geändert werden.
• Dienstliche Daten liegen in der vorgesehenen gemeinsamen Ablage und nicht nur lokal oder im persönlichen OneDrive.
• Für das Postfach ist entschieden: Umwandlung in ein freigegebenes Postfach oder Weiterleitung an eine Kollegin oder einen Kollegen.
• Für den OneDrive ist festgelegt, wer die Inhalte übernimmt. In Microsoft Entra ID ist die vorgesetzte Person eingetragen; sie erhält beim Löschen des Kontos standardmäßig Zugriff.
• Ausgegebene Geräte, Sicherheitsschlüssel, Schlüssel, Ausweise und Zutrittsmittel stehen in einer Liste zum Abhaken.
• Notfallpläne, Kontaktlisten und Bereitschaftspläne sind aktualisiert (ORP.2.A2).
• Betroffene Stellen wie IT, Empfang, Gebäudeverwaltung und externe Dienstleister kennen den Austrittstermin (ORP.2.A2).

1. 1

   Kennwort zurücksetzen und abmelden

   Im Microsoft 365 Admin Center das Kennwort zurücksetzen und die Person von allen Sitzungen abmelden. Laut Microsoft verhindert das Zurücksetzen die Anmeldung sofort, eine Anmeldesperre kann dagegen bis zu 24 Stunden brauchen. Ein Zugriffstoken gilt bis zu einer Stunde weiter.

2. 2

   Anmeldung sperren und Sitzungen widerrufen

   Die Anmeldung blockieren, im Microsoft Entra Admin Center also „Konto aktiviert“ deaktivieren und danach „Sitzungen widerrufen“ wählen. Damit erhält die Person für keine an Entra ID angebundene Anwendung mehr neue Token.

3. 3

   Lokales Active Directory nicht vergessen

   Werden Konten aus einem lokalen Active Directory synchronisiert, das Konto auch dort deaktivieren und das Kennwort zurücksetzen. Microsoft empfiehlt, es zweimal zurückzusetzen, um das Risiko von Pass-the-Hash zu mindern; ist das Konto sicher nicht kompromittiert, genügt einmal.

4. 4

   Mobile Geräte löschen und blockieren

   Für dienstlich genutzte Smartphones im Exchange Admin Center die Firmendaten aus der Ferne löschen und den Zugriff blockieren, bei Verwaltung mit Intune über Intune. Eine Löschung greift nur, wenn das Gerät online ist; offline bleiben lokal gespeicherte Daten erreichbar.

5. 5

   Geräte, Schlüssel und Ausweise einziehen

   Notebook, Smartphone, Sicherheitsschlüssel, Schlüssel, Ausweise und Zutrittsberechtigungen zurücknehmen und in der Liste abhaken (ORP.2.A2). Zutrittsberechtigungen im Schließ- oder Zutrittssystem sperren.

6. 6

   Anwendungen außerhalb von Entra ID

   Anwendungen mit eigener Anmeldung oder eigenen Sitzungen einzeln sperren. Microsoft weist darauf hin, dass Entra ID von Anwendungen ausgestellte Sitzungstoken nicht widerrufen kann; die automatische Aufhebung der Bereitstellung schließt diese Lücke, wo die Anwendung sie unterstützt.

7. 7

   Gemeinsame Zugangsdaten ändern

   Kennwörter gemeinsam genutzter Konten und Zugänge ändern, die die Person kannte. Die Liste aus der Vorbereitung dient als Vorlage.

Vor der Verabschiedung noch einmal auf bestehende Verschwiegenheitsverpflichtungen hinweisen (ORP.2.A2).

• Postfach in ein freigegebenes Postfach umgewandelt, bei Bedarf mit Weiterleitung, bevor die Lizenz entzogen wird.
• Besprechungen der Person abgesagt, damit Teilnehmende sie entfernen können und gebuchte Räume und Geräte wieder frei sind.
• OneDrive-Inhalte von der zuständigen Person gesichtet und übernommen.
• Lizenz entzogen oder einer anderen Person zugewiesen.
• Berechtigungen auf gemeinsame Ressourcen entfernt: Gruppen, Teams, SharePoint-Websites, Berechtigungen auf fremde Postfächer (ORP.4.A2).
• Konto gelöscht, sobald es nicht mehr für Postfach oder Weiterleitung gebraucht wird; synchronisierte Konten im lokalen Active Directory löschen, nicht in Microsoft 365.
• Dokumentation der Kennungen und Rechteprofile aktualisiert (ORP.4.A3).

Endet das Arbeitsverhältnis kurzfristig oder ist ein Missbrauch der Zugangsdaten zu befürchten, empfehlen wir, die Zugänge zeitgleich mit dem Gespräch zu sperren und die Übergabe danach zu organisieren. Microsoft nennt die Beendigung eines Arbeitsverhältnisses ausdrücklich als Anlass, alle Zugriffe zu widerrufen, und empfiehlt bei Verdacht auf ein kompromittiertes Konto, die Anmeldung zu blockieren.

• Konto in Microsoft Entra ID deaktivieren und Sitzungen widerrufen; bei Synchronisation zusätzlich im lokalen Active Directory deaktivieren und das Kennwort zweimal zurücksetzen.
• In Entra ID registrierte Geräte der Person deaktivieren.
• Fernzugänge wie VPN sowie Anwendungen mit eigener Anmeldung einzeln sperren.
• Mobile Geräte mit Firmendaten löschen und blockieren.
• Zugangsdaten gemeinsam genutzter Konten ändern.

Connect-MgGraph -Scopes "User.ReadWrite.All","Directory.AccessAsUser.All"
$User = Get-MgUser -Search UserPrincipalName:'name@firma.at' -ConsistencyLevel eventual
Update-MgUser -UserId $User.Id -AccountEnabled:$false
Revoke-MgUserSignInSession -UserId $User.Id
Get-MgUserRegisteredDevice -UserId $User.Id -All | ForEach-Object {
    Update-MgDevice -DeviceId $_.Id -AccountEnabled:$false
}

Halten Sie für jeden Austritt fest, wer welchen Punkt wann erledigt hat. So lässt sich später nachweisen, dass Zugänge rechtzeitig entzogen wurden.