Wenn der IT-Administrator geht: Notfallplan für Zugänge und Wissen

Warum ist die Kündigung des IT-Administrators ein Risiko?

Wenn in einem Betrieb ohne IT-Abteilung eine einzige Person die Technik betreut, geht mit ihr mehr als eine Arbeitskraft. Sie kennt die Passwörter, weiß, warum der Server nachts neu startet, und hat die Verträge mit den Herstellern abgeschlossen. Nichts davon ist Böswilligkeit. Es ist die normale Folge davon, dass jahrelang niemand sonst zuständig war.

Microsoft nennt genau diesen Fall als einen der Gründe für Notfallkonten: Die letzte Person mit globalen Administratorrechten verlässt die Organisation. Ohne vorbereiteten Zugang kann der Betrieb seine eigene Microsoft-365-Umgebung dann womöglich nicht mehr verwalten.

Wie viel Zeit Ihnen bleibt, bestimmt die Kündigungsfrist. Ohne abweichende Regelung im Arbeits- oder Tarifvertrag kann ein Arbeitnehmer nach § 622 Abs. 1 BGB mit einer Frist von vier Wochen zum Fünfzehnten oder zum Ende eines Kalendermonats kündigen. In einer vereinbarten Probezeit sind es nach § 622 Abs. 3 BGB nur zwei Wochen. Resturlaub und Überstunden verkürzen die Zeit, in der die Person tatsächlich im Haus ist. Planen Sie deshalb vom ersten Tag an.

Notfallplan in vier Phasen: Was ist wann zu tun?

Der Notfallplan folgt dem Kalender der Kündigung. Die Tabelle zeigt die Phasen im Überblick, die folgenden Abschnitte die Einzelheiten.

Der Plan unterstellt niemandem etwas. Er stellt sicher, dass der Betrieb auch dann handlungsfähig bleibt, wenn der Administrator krank wird, früher geht oder eine Frage schlicht nicht mehr beantworten kann.

Welche Zugänge müssen Sie sofort sichern?

Am Tag der Kündigung geht es um eine Frage: Kann der Betrieb seine Systeme selbst verwalten, falls der Administrator morgen nicht mehr kommt? Prüfen Sie dafür diese Zugänge — durch eine erfolgreiche Anmeldung, nicht durch einen Zettel:

• Notfallkonto („Break-Glass“): Microsoft empfiehlt mindestens zwei Notfallkonten mit der Rolle Globaler Administrator. Es sind reine Cloud-Konten mit der Endung .onmicrosoft.com, an keine einzelne Person gebunden und mit einer phishing-resistenten Anmeldung wie einem FIDO2-Sicherheitsschlüssel geschützt. Die Zugangsdaten gehören an einen sicheren Ort, zu dem mehrere berechtigte Personen Zugang haben.
• Domain und Registrar: Klären Sie, auf wen Ihre Domain registriert ist und bei welchem Anbieter sie verwaltet wird. Der Kundenzugang beim Anbieter muss auf den Betrieb laufen, nicht auf die private E-Mail-Adresse des Administrators. Für einen Providerwechsel bei .de-Domains beauftragt der Inhaber beim bisherigen Provider ein Providerwechsel-Passwort, die sogenannte AuthInfo. Der bisherige Provider prüft dabei, ob der Auftrag vom Domaininhaber kommt — auch deshalb sollte die Domain auf den Betrieb registriert sein.
• Microsoft-365-Administration: Wer hat heute welche Administratorrolle? Microsoft rät, so wenige globale Administratoren wie möglich zu haben und im Alltag Rollen mit den geringsten nötigen Rechten zu vergeben.
• Firewall und Router: Administratorzugang, VPN-Konfiguration und gegebenenfalls das Lizenzportal des Herstellers.
• Server und Speichersysteme: Domänenadministrator, lokale Administratorkonten, Virtualisierung und Netzwerkspeicher.
• Datensicherung: Zugang zur Backup-Software, die Speicherorte und das Passwort oder der Schlüssel, mit dem die Sicherungen verschlüsselt sind.
• Herstellerportale: Virenschutz-Konsole, Fernwartungskonten, Telefonanlage, Branchensoftware und Zertifikate. Prüfen Sie jeweils, an welcher E-Mail-Adresse das Konto hängt.

Wie eine Datensicherung aufgebaut sein sollte, die eine solche Prüfung besteht, beschreibt der Ratgeber zum Backup-Konzept nach 3-2-1.

Wie sichern Sie das Wissen vor dem letzten Arbeitstag?

Das BSI verlangt in seinem IT-Grundschutz, dass Nachfolger rechtzeitig eingewiesen werden, idealerweise durch die ausscheidende Person selbst. Ist eine direkte Übergabe nicht möglich, muss die ausscheidende Person eine ausführliche Dokumentation anfertigen. Für einen kleinen Betrieb heißt das konkret:

• Dokumentation: Netzplan, Server und Dienste, Datensicherung und Wiederherstellung, wiederkehrende Aufgaben. Was hineingehört, beschreibt der Ratgeber zur IT-Dokumentation.
• Übergabegespräche: Feste Termine mit dem Nachfolger oder dem Dienstleister, jeweils zu einem Thema. Die Ergebnisse werden schriftlich festgehalten.
• Laufende Projekte: Stand, nächste Schritte, offene Bestellungen und Ansprechpartner bei Lieferanten.
• Verträge und Lizenzen: Vertragspartner, Kundennummern, Laufzeiten, Kündigungsfristen und Verlängerungstermine.
• Wiederkehrende Termine: Ablauf von Zertifikaten, Verlängerung der Domain, Wartungsfenster und Lizenzverlängerungen.
• Was nirgends steht: geplante Aufgaben und Skripte, Portweiterleitungen, Sonderlösungen für einzelne Mitarbeiter.

Lassen Sie sich die wichtigen Dinge zeigen, nicht nur erzählen. Eine Wiederherstellung, die der Administrator vorführt und die der Nachfolger danach allein wiederholt, ist mehr wert als zehn Seiten Beschreibung.

Wenn Zugänge bisher in Notizen oder im Kopf lagen, ist jetzt der Zeitpunkt für einen gemeinsamen Tresor. Wie die Umstellung gelingt, steht im Ratgeber zum Passwortmanager im Unternehmen.

Was muss am letzten Arbeitstag passieren?

1. 01

   Geräte und Token zurücknehmen

   Notebook, Smartphone, Sicherheitsschlüssel, Hardware-Token, Schlüssel und Zutrittskarten. Das BSI zählt Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen ausdrücklich zu dem, was beim Weggang einzuziehen ist.

2. 02

   Anmeldemethoden umstellen

   Wo Anmeldungen mit einem zweiten Faktor auf dem Smartphone des Administrators bestätigt werden, registrieren Sie vorher eine neue Methode auf einem Firmengerät. Erst danach wird die alte entfernt.

3. 03

   Persönliche Konten sperren

   Microsoft 365, Windows-Domäne, VPN und Fernwartung. Sperren Sie zunächst, statt zu löschen: Postfach und Dateien werden für die Übergabe oft noch gebraucht.

4. 04

   Passwörter ändern

   Alle Passwörter, die der Administrator kannte: Administrator- und Dienstkonten, Firewall, Router, WLAN, Herstellerportale und der Hauptzugang zum Passwort-Tresor. Microsoft rät außerdem, die Zahlenkombinationen von Safes, in denen Notfallzugänge verwahrt werden, zu ändern, wenn jemand mit Zugang die Organisation verlässt.

5. 05

   Fernzugänge entfernen

   VPN-Zugänge, Fernwartungskonten und private Geräte, die Zugriff auf Firmensysteme hatten.

6. 06

   Übergabe festhalten

   Ein kurzes Protokoll: was übergeben wurde, welche Zugänge geändert sind und was noch offen ist.

Viele dieser Schritte gelten für jeden Mitarbeiter, der den Betrieb verlässt. Die allgemeine Liste steht in der IT-Checkliste für ausscheidende Mitarbeiter. Beim Administrator ist sie nur länger, weil er mehr Zugänge hatte.

Wer übernimmt die IT, bis ein Nachfolger da ist?

Ob zum letzten Arbeitstag schon ein Nachfolger eingestellt ist, ist offen. Für die Zeit dazwischen braucht es eine Lösung, und zwar eine, die schon während der Kündigungsfrist anläuft.

Das BSI sieht dafür eine klare Regel vor: Lässt sich für einzelne Mitarbeitende keine kompetente Vertretung benennen oder schulen, muss frühzeitig entschieden werden, ob externes Personal hinzugezogen werden kann. Frühzeitig heißt hier: solange der Administrator noch da ist. Dann kann ein Dienstleister die Umgebung aufnehmen und seine Fragen direkt stellen.

• Dienstleister zur Überbrückung: Er übernimmt Betrieb und Störungen, bis eine neue Kraft eingearbeitet ist, und übergibt dann an sie.
• Dienstleister dauerhaft: Die Stelle wird nicht nachbesetzt, der Betrieb geht an einen Dienstleister.
• Hybrid: Eine interne Ansprechperson für den Alltag, der Dienstleister für Betrieb, Sicherheit und Vertretung.

Welche Variante sich rechnet, zeigt der Vergleich interne IT-Kraft oder externer Dienstleister. Wie wir eine Umgebung übernehmen, wenn ein Administrator ausscheidet, beschreibt die Seite zur IT-Betreuung.

Wie beugen Sie vor, damit der nächste Weggang kein Notfall wird?

Der beste Notfallplan ist der, den Sie nicht brauchen. Diese Punkte sorgen dafür, dass das Wissen nicht an einer Person hängt:

• Zweiter Zugang: Ein zweiter Administrator im Haus oder ein Dienstleister mit dokumentiertem Zugang, der die Umgebung kennt.
• Notfallkonten: Mindestens zwei, eingerichtet und getestet. Microsoft empfiehlt, sie mindestens alle 90 Tage zu prüfen und zusätzlich nach Personalwechseln in der IT.
• Passwort-Tresor: Alle Zugänge in einem gemeinsamen Tresor mit nachvollziehbaren Berechtigungen, nicht in den Notizen einer Person.
• Laufende Dokumentation: gepflegt als Teil der Arbeit, nicht erst geschrieben, wenn jemand geht.
• Konten auf den Betrieb: Herstellerportale, Domain und Lizenzen mit einer Funktionsadresse des Betriebs registrieren, nicht mit einer persönlichen.
• Vertretungsregel: Das BSI verlangt praktikable Vertretungsregelungen für alle wesentlichen Aufgaben. Die IT gehört dazu.