Ein Mitarbeiter geht: Wer schließt eigentlich alle Türen?

Bei der Übernahme eines Betriebs prüften wir turnusmäßig die Zugänge auf der Firewall. Von den dort hinterlegten Benutzern waren drei seit Jahren nicht mehr im Unternehmen. Der älteste seit sieben.

Alle drei hätten sich jederzeit ins Firmennetz einwählen können. Dabei hatte niemand etwas falsch gemacht: Die Austritte waren sauber abgewickelt, die Benutzerkonten längst gelöscht. Nur führte die Firewall ihre eigene Benutzerliste, und die stand auf keiner Checkliste — weil beim Einrichten des Zugangs vor Jahren jemand anderes zuständig gewesen war.

Genau das ist das Muster beim IT-Offboarding: Ein deaktiviertes Benutzerkonto schließt nur die Türen, die daran hängen. Und das sind weniger, als man denkt.

Aus zwei Gründen. Er hat oft eigene Zugangsdaten auf der Firewall, unabhängig vom gerade deaktivierten Benutzerkonto. Und er taucht in keinem der Werkzeuge auf, mit denen sonst gearbeitet wird — er lebt in einem Gerät, das man selten öffnet.

Auch wenn der Zugang an die zentrale Anmeldung gekoppelt ist, lohnt sich der Blick: Ob ein deaktiviertes Konto tatsächlich abgewiesen wird, hängt an der Konfiguration und ist keine Selbstverständlichkeit. Nachsehen dauert zwei Minuten, die Annahme kann Jahre halten.

Deshalb steht die Firewall bei uns inzwischen an erster Stelle jeder Offboarding-Liste — und wird zusätzlich einmal jährlich unabhängig davon geprüft.

Aus dem, was wir bei Übernahmen und Prüfungen finden, grob nach Häufigkeit sortiert:

• VPN- und Fernzugriffszugänge, siehe oben
• Zugänge zu Diensten außerhalb der zentralen Anmeldung: Lieferantenportale, Banking, Versandsoftware, Bewertungsportale, Social-Media-Konten
• Das Firmenhandy, zurückgegeben, aber nie zurückgesetzt — mit allem, was darauf gespeichert ist
• Weiterleitungen, die sich jemand irgendwann auf eine private Adresse eingerichtet hat. Das Konto ist gesperrt, die Regel läuft weiter, solange das Postfach existiert
• Geteilte Passwörter, die niemand ändert, weil „die kennen eh alle": WLAN, Zeiterfassung, das Portal beim Steuerberater
• Fernwartungssoftware auf dem privaten Rechner aus der Homeoffice-Zeit
• Zutritts- und Schließmedien, wenn das Schließsystem digital und getrennt verwaltet wird

Nichts davon ist raffiniert. Diese Zugänge bleiben offen, weil sie in unterschiedlichen Systemen liegen und niemand die vollständige Liste hat.

Beides, in der richtigen Reihenfolge — denn beim Austritt treffen zwei berechtigte Anforderungen aufeinander. Zugänge sollten sofort geschlossen werden, weil jeder offene ein Risiko ist. Daten dürfen nicht sofort gelöscht werden, weil geschäftliche Korrespondenz aufbewahrungspflichtig ist und Kollegen an laufende Vorgänge müssen.

Aufgelöst wird das so: Zugänge sperren am letzten Arbeitstag. Daten geordnet übergeben. Postfach umwandeln oder archivieren. Konto erst danach löschen.

Wer sofort löscht, verliert Korrespondenz — dazu haben wir einen eigenen Beitrag zur E-Mail-Archivierung geschrieben. Wer nur deaktiviert und es dabei belässt, sammelt Karteileichen, die Lizenzkosten verursachen und bei einem späteren Vorfall als offene Konten dastehen.

Offboarding passiert selten und meist unter Zeitdruck. Genau die Kombination, bei der Wissen im Kopf nicht funktioniert: Wer es zweimal im Jahr macht, erinnert sich beim dritten Mal an vier von neun Punkten — und weiß nicht, welche fünf fehlen.

Eine brauchbare Liste ist deshalb kurz, betriebsspezifisch und wird abgehakt. Sie enthält nicht, was theoretisch möglich wäre, sondern welche Systeme bei Ihnen eigene Zugänge führen. Das aufzuschreiben ist einmalige Arbeit von etwa zwei Stunden; danach dauert ein Austritt zwanzig Minuten statt eines halben Tages mit ungutem Gefühl.

Nebenbei bekommen Sie die Onboarding-Liste geschenkt: Es ist dieselbe Aufstellung, andersherum gelesen.

Wir erstellen die Liste für Ihren Betrieb, aus Ihren tatsächlich vorhandenen Systemen — nicht als Vorlage aus dem Internet, in der die Hälfte nicht zutrifft und ein Drittel fehlt. Danach arbeiten Sie sie selbst ab oder geben uns Bescheid, wenn jemand geht.

Und falls Sie wissen wollen, ob aus früheren Austritten noch etwas offen ist: Genau das prüfen wir am Anfang. Die Firewall zuerst. Wie das ins Gesamtbild passt, steht auf unserer Übersicht zur IT-Sicherheit im Mittelstand.