Support & Automatisierung

IT-Offboarding

Overview

Offboarding ist das Gegenstück zum Onboarding und aus Sicherheitssicht der kritischere Prozess: Offene Konten ehemaliger Mitarbeitender sind ein klassisches Einfallstor. Zum IT-Offboarding gehören Anmeldung sperren, Sitzungen und Tokens widerrufen, Postfach und OneDrive-Daten übergeben, Geräte zurücknehmen oder löschen, Lizenzen freigeben, Gruppenmitgliedschaften entfernen und Zugänge zu Fremdsystemen schließen.

Microsoft beschreibt für Microsoft 365 sieben Schritte: Anmeldung verhindern, Postfach sichern, Mobilgeräte löschen und sperren, E-Mail weiterleiten oder in ein freigegebenes Postfach umwandeln, OneDrive- und Outlook-Daten übergeben, Lizenz entfernen und das Konto löschen. Nach dem Löschen bleiben OneDrive- und Postfachinhalte 30 Tage wiederherstellbar.

Im Identity-Management heißt dieser Schritt Leaver. Microsoft Entra Lifecycle Workflows automatisieren ihn anhand des Austrittsdatums (employeeLeaveDateTime) mit Aufgaben wie Konto deaktivieren, aus allen Gruppen und Teams entfernen, Lizenzen entfernen, Refresh Tokens widerrufen und Benutzer löschen.

How it works

Ein typischer Offboarding-Ablauf in einer Hybrid-Umgebung:

  1. Am letzten Arbeitstag: Konto in AD bzw. Entra ID deaktivieren, Kennwort ändern, alle Refresh Tokens widerrufen (in Entra: Sitzungen widerrufen).
  2. Postfach in ein freigegebenes Postfach umwandeln oder eine Weiterleitung bzw. automatische Antwort einrichten, Zugriff für die Nachfolge vergeben.
  3. OneDrive-Inhalte an die Führungskraft übergeben, bevor das Konto gelöscht wird.
  4. Gerät zurücknehmen, per Intune Wipe zurücksetzen oder bei privaten Geräten per Retire nur Unternehmensdaten entfernen, Autopilot-Registrierung bei Bedarf entfernen.
  5. Lizenzen freigeben, Gruppen, Teams-Besitz und Zugriffe auf Fachanwendungen und externe SaaS-Dienste entfernen.
  6. Nach Ablauf der Aufbewahrungsfrist Konto löschen und den Vorgang im Ticket dokumentieren.

Benefits

  • Zugriffe enden pünktlich, dadurch sinkt das Risiko von Datenabfluss durch ehemalige Mitarbeitende
  • Daten bleiben für die Nachfolge erreichbar, weil Postfach und OneDrive vor dem Löschen übergeben werden
  • Freigegebene Lizenzen senken laufende Kosten sofort
  • Ein protokollierter Ablauf belegt gegenüber Auditoren, dass Berechtigungen zeitnah entzogen wurden

Practical example

Ein Chemiehandel mit 120 Mitarbeitenden stellte bei einem Audit fest, dass mehrere Konten ausgeschiedener Mitarbeitender noch aktiv waren. Die IT führte eine Offboarding-Vorlage im Ticketsystem ein, die HR mit dem Austrittsdatum auslöst. Ein PowerShell-Skript sperrt das Konto, widerruft Sitzungen, wandelt das Postfach um und entfernt Gruppen, die Gerätelöschung erfolgt per Intune. Konten ehemaliger Mitarbeitender werden seitdem am letzten Arbeitstag gesperrt.

Things to keep in mind

  • Sperren und Sitzungen widerrufen gehören zusammen, weil eine reine Kennwortänderung bestehende Tokens nicht sofort beendet
  • Ein freigegebenes Postfach ohne Lizenz ist auf 50 GB begrenzt und darf nicht für die aktive Anmeldung genutzt werden, bei größeren Postfächern Lizenz oder Archiv prüfen
  • Lokale Konten, VPN-Zertifikate, Admin-Zugänge zu Firewalls und externen SaaS-Diensten in die Checkliste aufnehmen, sie hängen oft nicht an Entra ID
  • Bei fristloser Kündigung das Konto sofort sperren, nicht erst zum vertraglichen Austrittsdatum

Licensing & availability

Die Microsoft-365-Schritte (Sperren, Postfach umwandeln, Lizenz entfernen, Löschen) sind ohne Zusatzlizenz möglich. Intune Wipe und Retire setzen Intune Plan 1 voraus. Automatisierte Leaver-Workflows mit Entra Lifecycle Workflows erfordern Microsoft Entra ID Governance oder Microsoft Entra Suite. Stand: Oktober 2026.

Conclusion

Offboarding ist ein Sicherheitsprozess, kein Verwaltungsakt. Löse ihn verbindlich über HR aus und automatisiere mindestens Sperre, Token-Widerruf und Gruppenentfernung.

Further reading

Related articles