IT-Checkliste für neue und ausscheidende Mitarbeiter

Warum brauchen Ein- und Austritte eine IT-Checkliste?

Ein- und Austritte sind in einem kleinen Betrieb selten genug, dass niemand die Handgriffe auswendig kennt, und häufig genug, dass Fehler sich summieren. Beim Eintritt heißt das: Der neue Kollege sitzt am ersten Tag vor einem Rechner ohne Konto und arbeitet mit dem Zugang eines anderen. Beim Austritt bleibt das Postfach offen, das Firmenhandy liegt in einer Schublade, und das Passwort für das Lieferantenportal kennt die ausgeschiedene Kollegin noch immer.

Das BSI verlangt deshalb im IT-Grundschutz geregelte Verfahren für beide Fälle. Neue Mitarbeitende müssen eingearbeitet und über bestehende Regelungen informiert werden; eine Checkliste und ein fester Ansprechpartner, im Baustein „Pate“ genannt, sollten dafür etabliert werden. Beim Weggang müssen Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen eingezogen werden, und für die dabei anfallenden Aufgaben soll ebenfalls eine Checkliste existieren. Der zugehörige Baustein zum Identitäts- und Berechtigungsmanagement ergänzt: Berechtigungen nur nach tatsächlichem Bedarf, und nicht mehr benötigte Kennungen müssen bei personellen Veränderungen entfernt werden.

Welcher Schritt kommt wann?

Was gehört auf die Checkliste für neue Mitarbeiter?

• Konto nach Rolle: Benutzername nach festem Schema, Gruppen und Verteiler nach Abteilung, Vorgesetzte im Benutzerprofil eintragen. Der Eintrag hilft später beim Austritt: Microsoft gibt dem eingetragenen Vorgesetzten nach dem Löschen eines Kontos standardmäßig Zugriff auf dessen OneDrive.
• Lizenz: den Plan, den die Rolle braucht, nicht automatisch den teuersten. Welcher das ist, steht im Ratgeber Microsoft 365 Business Basic, Standard oder Premium.
• MFA: Die Registrierung des zweiten Faktors gehört in den ersten Tag, am besten gemeinsam am Arbeitsplatz. Warum das für alle Konten gilt, erklärt der Ratgeber Microsoft 365 absichern.
• Gerät nach Standard: Laptop oder PC mit aktuellem Betriebssystem, Verschlüsselung, Virenschutz, Fernwartungswerkzeug und den Programmen der Rolle. Ein fester Standard spart Zeit und macht Geräte austauschbar.
• Rechte nach Rolle: Zugriff auf Laufwerke, Ordner und Fachanwendungen nach dem Bedarf der Aufgabe. Kopieren Sie nicht einfach die Rechte eines Kollegen — der hat oft mehr, als die neue Rolle braucht.
• Passwortmanager: Konto im Firmen-Tresor anlegen und die Sammlungen der Abteilung freigeben. Gemeinsame Zugänge gibt es nur über den Tresor. Mehr dazu im Ratgeber Passwortmanager im Unternehmen.
• Telefon: Nebenstelle einrichten, Name im Telefonbuch hinterlegen, Durchwahl in Signatur und Verteiler aufnehmen.
• E-Mail-Signatur: einheitlich mit Name, Funktion, Durchwahl und den Angaben, die in allen Signaturen des Betriebs stehen.
• Sicherheitseinweisung: Phishing erkennen, Umgang mit Passwörtern und MFA, und wen man bei einem Verdacht sofort anruft. Das BSI verlangt, neue Mitarbeitende über bestehende Regelungen zu informieren.
• Drittportale: Zugänge zu Lieferanten-, Hersteller- oder Behördenportalen, die die Rolle braucht — mit persönlichem Konto, wo der Anbieter das zulässt, und dokumentiert im Tresor.

Was gehört auf die Checkliste für ausscheidende Mitarbeiter?

• Konto am letzten Arbeitstag sperren: Anmeldung blockieren, nicht löschen. Im Microsoft Entra Admin Center unter Entra ID > Benutzer > Alle Benutzer beim Benutzer unter Kontostatus auf Bearbeiten gehen, Konto aktiviert abwählen und speichern.
• Sitzungen widerrufen: Auf der Übersichtsseite des Benutzers Sitzungen widerrufen wählen. Sonst bleiben bereits angemeldete Apps und Browser eine Zeit lang verbunden.
• MFA-Methoden entfernen: Authentifizierungsadministratoren können eine erneute MFA-Registrierung anfordern und vorhandene App-Kennwörter löschen. Das private Smartphone ist dann kein zweiter Faktor mehr für das Firmenkonto.
• Postfach: in ein freigegebenes Postfach umwandeln oder eine Weiterleitung einrichten. Was dabei zu beachten ist, steht im nächsten Abschnitt.
• Daten übergeben: Dateien aus dem OneDrive an die Nachfolge oder in eine gemeinsame Ablage übertragen, bevor das Konto gelöscht wird.
• Lizenz freigeben: erst nach der Umwandlung des Postfachs und der Übergabe der Daten.
• Geräte zurücknehmen und zurücksetzen: Laptop, Smartphone, Token, Schlüssel und Ausweise einsammeln und vor der Weitergabe vollständig zurücksetzen. Firmendaten auf Mobilgeräten lassen sich auch aus der Ferne entfernen.
• Gemeinsam genutzte Passwörter ändern: alles, was die Person kannte, etwa WLAN, Router, gemeinsame Postfächer und Lieferantenportale.
• Drittportale: persönliche Konten bei Lieferanten, Herstellern und Behörden schließen oder auf die Nachfolge übertragen lassen.
• Telefon: Nebenstelle umleiten oder neu vergeben.
• Abschlussgespräch: Hinweis auf bestehende Verschwiegenheitspflichten; auch das steht im BSI-Baustein zum Personal.

Geht ausgerechnet die Person, die die IT betreut hat, reicht diese Liste nicht. Dann müssen zusätzlich alle Administratorzugänge, Fernwartungszugänge und Dienstkonten übernommen werden; dafür gibt es den Notfallplan beim Weggang des IT-Administrators.

Was passiert mit Postfach und Dateien nach dem Austritt?

Für das Postfach beschreibt Microsoft zwei Wege:

• Umwandlung in ein freigegebenes Postfach: Alle vorhandenen E-Mails und Kalendereinträge bleiben erhalten, und mehrere Personen können darauf zugreifen. Solange das Postfach kleiner als 50 GB ist, braucht es keine Lizenz. Umwandeln lässt es sich nur, solange dem Konto noch eine Lizenz zugewiesen ist. Das alte Benutzerkonto darf danach nicht gelöscht werden, weil es das freigegebene Postfach verankert.
• Weiterleitung: Nur neue E-Mails an die alte Adresse gehen an eine Kollegin oder einen Kollegen; ältere E-Mails bleiben, wo sie sind.

Beides berührt den Datenschutz, und es kommt darauf an, ob die private Nutzung des dienstlichen Postfachs erlaubt oder geduldet war. Die Datenschutzaufsichtsbehörden haben dazu im Januar 2016 eine Orientierungshilfe veröffentlicht, die sich auf die damals geltenden Gesetze bezieht; eine neuere Fassung der Datenschutzkonferenz gibt es nicht (Stand: September 2026). Ist private Nutzung verboten, darf der Arbeitgeber danach auf betriebliche E-Mails zugreifen, soweit es für betriebliche Zwecke erforderlich ist; erkennbar private E-Mails darf er nicht weiter lesen. Bei Abwesenheit gilt eine automatische Abwesenheitsnotiz als mildestes Mittel, eine Weiterleitung erst dann, wenn sie nicht ausreicht. Ist private Nutzung erlaubt, stufte die Orientierungshilfe den Arbeitgeber als Telekommunikationsanbieter ein: Zugriff auf das Postfach grundsätzlich nur mit vorher eingeholter Einwilligung, und nach ihrem Muster für eine Betriebsvereinbarung entfernen Beschäftigte ihre privaten E-Mails vor dem Ausscheiden selbst. Diese Einstufung ist inzwischen fraglich: Die Bundesnetzagentur erfasst Angebote zwischen Arbeitgeber und Arbeitnehmer in einem Hinweispapier vom Juli 2025 in der Regel nicht als Telekommunikationsdienst, auch wenn Beschäftigte den E-Mail-Dienst privat nutzen können.

Am saubersten ist eine schriftliche Regel, bevor der Fall eintritt: private Nutzung ja oder nein, und was mit dem Postfach beim Austritt geschieht. Dieser Artikel ersetzt keine Rechtsberatung; ob und wie Sie im Einzelfall auf ein Postfach zugreifen dürfen, klären Ihr Datenschutzbeauftragter oder ein Fachanwalt für Arbeitsrecht.

Dateien im OneDrive

Beim OneDrive kommt es auf die Reihenfolge an. Die Löschfrist beginnt erst, wenn das Konto gelöscht wird; das Sperren der Anmeldung oder das Entfernen der Lizenz startet sie nicht. Nicht lizenzierte OneDrive-Konten archiviert Microsoft allerdings am 93. Tag ohne Lizenz automatisch. Nach dem Löschen des Kontos erhält der im Profil eingetragene Vorgesetzte standardmäßig Zugriff und hat 30 Tage Zeit, die Dateien zu sichern; die Frist lässt sich im SharePoint Admin Center ändern. Einfacher ist es, die Übergabe vor dem letzten Tag zu erledigen: Dateien, die das Team braucht, gehören in eine gemeinsame Ablage und nicht in ein persönliches OneDrive.

Wer ist im Betrieb für Ein- und Austritte zuständig?

Die Checkliste nützt nur, wenn die IT rechtzeitig Bescheid bekommt. Legen Sie fest, wer einen Eintritt meldet, sobald der Vertrag unterschrieben ist, und wer einen Austritt meldet, sobald die Kündigung feststeht. Das BSI empfiehlt für den Weggang einen festen Ansprechpartner in der Personalabteilung; in kleinen Betrieben ist das meist die Geschäftsführung oder die Büroleitung.

• Eine Person verantwortlich: Eine Person hakt die Liste ab und bestätigt, dass alles erledigt ist, auch wenn andere einzelne Punkte umsetzen.
• Liste je Fall ablegen: Die abgehakte Liste mit Datum gehört in die Dokumentation. Wer später fragt, ob ein Konto wirklich gesperrt wurde, bekommt eine Antwort.
• Standard pflegen: Wenn ein neues Programm, ein neues Portal oder ein neues Gerät dazukommt, gehört es auf beide Listen.

Wer die Liste nicht selbst abarbeiten will, kann Ein- und Austritte an einen Dienstleister geben, etwa im Rahmen einer IT-Betreuung. Die rechtzeitige Meldung bleibt trotzdem Aufgabe des Betriebs: Ohne sie erfährt auch der Dienstleister nichts von einem Austritt.