Sicheres User-Offboarding in M365: Best Practices und Überlegungen

Matthias Einig 22. August 2023 4 Min. Lesezeit

Sicheres User-Offboarding in M365: Best Practices und Überlegungen

Sicheres User-Offboarding in Microsoft 365 heißt, die Anmeldung des Ausgeschiedenen zu sperren, seine Lizenzen neu zuzuweisen oder zu kündigen, die von ihm verantworteten Ressourcen zu übergeben oder zu bereinigen und seine Daten so aufzubewahren oder zu löschen, wie es das Gesetz verlangt.

User-Offboarding ist ein entscheidender Schritt im User-Lifecycle-Management. Aus rechtlicher und Compliance-Sicht ist er vielleicht sogar der wichtigste. Ziel des User-Offboardings ist es, die Sicherheit zu wahren und unbefugten Zugriff auf die Daten einer Organisation zu verhindern, sobald ein Mitarbeiter das Unternehmen verlässt.

Warum ist User-Offboarding so wichtig? Mit unserem Partner Addhucate haben wir dieses Thema besprochen und einige umsetzbare Einblicke geteilt, wie sich User-Offboarding im Kontext von M365 sicher gestalten lässt. Sie können sich auch die Aufzeichnung des Webinars auf Deutsch ansehen.

Dieser Artikel fasst die wichtigsten Punkte aus dem Webinar zusammen und gibt eine Schritt-für-Schritt-Anleitung, wie Sie ein sicheres und effizientes User-Offboarding umsetzen.

Warum ist User-Offboarding so entscheidend?

Bei den vielen Offboarding-Szenarien, die entstehen können, wird das Mitarbeiter-Offboarding oft zu einer aufwendigen Aufgabe, die erhebliche Ressourcen der IT-Teams bindet. Unabhängig davon, wie und warum ein Mitarbeiter das Unternehmen verlässt, ist es entscheidend, das Ereignis als Sicherheits- und Zugriffsaufgabe zu behandeln.

Blog_user_offboarding_crucial_illustration

Der Offboarding-Prozess für eine Organisation, die Microsoft-Services nutzt, umfasst den Entzug des Zugriffs eines Benutzers (des ehemaligen Mitarbeiters) auf alle Microsoft-365-Anwendungen und -Services. Der Zugriff wird gesperrt, damit sich der ehemalige Mitarbeiter nicht erneut bei den Anwendungen und Services anmelden kann. Dazu gehört der Zugriff auf Teams, SharePoint, OneDrive und jede andere Anwendung, die der Benutzer im Lauf der Zeit genutzt hat.

Schritte für ein sicheres User-Offboarding

Grundsätzlich gibt es vier Kriterien, die beim Offboarding von Benutzern aus Microsoft-365-Anwendungen zu beachten sind: Lizenzen, Speicherplatz, sensible Daten und die Überwachung der Unternehmens- und Personalstrukturen.

Schritt 1: Lizenzen

Lizenzen werden nach dem Onboarding eines Benutzers fast immer vergessen, dabei sind sie über den gesamten Beschäftigungslebenszyklus hinweg ein wichtiger Punkt, besonders aus Kosten- und Effizienzsicht. Werden die Lizenzen voll genutzt, oder lassen sie sich herabstufen oder neu zuweisen, wenn sie nicht zum Bedarf passen? Im Kontext des Offboardings müssen Sie sich zuerst einen Überblick über Ihre Lizenzen verschaffen und entscheiden, ob Sie sie einem anderen Benutzer zuweisen oder vollständig kündigen, um die Lizenzgebühr für eine verwaiste Lizenz nicht weiter zu zahlen.

Lizenzen, die noch deaktivierten Konten zugewiesen sind, sollten Sie zuerst prüfen. Das Konto ist gesperrt, die Rechnung läuft weiter.

Blog_User-Offboarding_assigned_licenses

Schritt 2: Speicher

Wenn ein Mitarbeiter das Unternehmen verlässt und nicht ordnungsgemäß aus seinen Microsoft-365-Tools ausgegliedert wird, kann er verwaiste Ressourcen hinterlassen. In Teams wären das Teams mit Mitgliedern, die das Unternehmen längst verlassen haben. Das gilt ebenso für SharePoint-Sites, Dateien, M365-Gruppen, OneDrives sowie Flows und Apps in M365.

Diese verwaisten Ressourcen wiederum können unnötig Speicherplatz verbrauchen. Sie wären überrascht, wie schnell sich das summiert, wenn man es nicht regelmäßig prüft. Es geht also um den Speicherverbrauch und darum, auf SharePoint-Seite zu prüfen, ob es ungenutzte Dokumente und Seiten gibt, die Sie eventuell löschen und so Speicherplatz optimieren können.

Sobald Sie einen Überblick über Ihren M365-Speicher haben, können Sie auch die Daten archivieren, die Sie nicht mehr benötigen.

Schritt 3: Sensible Daten

Behalten Sie die sensiblen Daten Ihres Mitarbeiters im Blick und legen Sie rechtzeitig einen Archivierungs- und Löschplan fest. Sensible Mitarbeiterdaten wie Kontonummer, Wohnanschrift und Krankmeldungen werden aus rechtlichen Gründen gespeichert und nicht gelöscht. Ein User-Offboarding-Prozess muss sensible Daten berücksichtigen, um so eine vollständige Löschung zu vermeiden und wichtige Informationen bei Bedarf zu erhalten.

Schritt 4: Zugriff verwalten

In der Regel sind an einem Offboarding-Prozess mehrere verschiedene Parteien und Abteilungen direkt beteiligt oder haben ein Interesse daran. HR, IT, Einkauf und Ähnliche sind einige Beispiele, was den Prozess kompliziert macht, zumal es kaum einen Überblick gibt. Der Mitarbeiter hat womöglich viele verschiedene Programme genutzt, und manchmal weiß man nicht einmal im Detail, welche das sind und welchen Zugriff der Mitarbeiter hatte.

Blog_User-Offboarding_dashboard

Deshalb ist es wichtig, Ihre Unternehmens- und Mitarbeiterstrukturen genau zu überwachen, bei Änderungen sofort zu reagieren und den Zugriff zu verwalten, um Sicherheitsprobleme zu vermeiden.

Wie Rencore Governance beim sicheren User-Offboarding hilft

Mit Rencore Governance können unsere Kunden ihre eigenen Offboarding-Richtlinien definieren. So lassen sich Dinge, die übersehen worden sein könnten, leicht aufdecken, etwa das Entfernen von Lizenzen für deaktivierte Benutzer und die Überwachung auf verwaiste Ressourcen.

Sobald Rencore Governance erkennt, dass eine Offboarding-Aufgabe versäumt wurde, kann eine festgelegte Person automatisch benachrichtigt werden. Aktionen zur Behebung des Verstoßes lassen sich auch manuell und über Automationen auslösen. Aktionen wie das Deaktivieren und das Zuweisen aller Ressourcen eines deaktivierten Benutzers an einen zuständigen Vorgesetzten sind ebenfalls möglich. Außerdem sehen Sie im Voraus, welche weiteren Mitarbeiter noch im Team sind und einem neuen Vorgesetzten zugewiesen werden müssen.

Beim Offboarding von Benutzern sind zu jedem Zeitpunkt viele Personen beteiligt. Um sie alle auf dem Laufenden zu halten, erlaubt Rencore Governance den Nutzern, regelmäßige Berichte zu Offboarding-Themen zu erstellen und sie automatisch mit allen Beteiligten zu teilen.

Natürlich hat jedes Unternehmen eigene Prozesse und To-dos beim User-Offboarding. Mit Rencore Governance können jederzeit neue Richtlinien erstellt werden, die auf den internen Vorgaben des Unternehmens beruhen.

Fazit

Rencore Governance ist nicht bloß ein Automatisierungstool für das User-Offboarding. User-Offboarding ist einer unserer vielen Anwendungsfälle im Bereich Cloud Collaboration. Mit Rencore Governance und dem Offboarding-Dashboard-Überblick erhalten Sie sofort einen Überblick über alle offenen Offboarding-Aufgaben. Durch die fortlaufende Überwachung Ihres Tenants mit vorgefertigten Richtlinien kann Offboarding in wenigen Minuten geschehen.

Mehr erfahren

Häufige Fragen dazu

Was passiert mit der Microsoft-365-Lizenz eines Benutzers, wenn er das Unternehmen verlässt?

Entscheiden Sie das als Teil des Offboardings, nicht erst danach. Weisen Sie die Lizenz entweder einem anderen Benutzer zu oder kündigen Sie sie vollständig, damit Sie nicht weiter die Lizenzgebühr für eine verwaiste Lizenz zahlen. Prüfen Sie außerdem, ob die Lizenz voll genutzt wurde oder für die Rolle hätte herabgestuft werden können. Lizenzen werden nach dem Onboarding oft vergessen, deshalb gehören sie beim Austritt an den Anfang der Prüfung.

Was bleibt zurück, wenn ein Benutzer Microsoft 365 ohne sauberes Offboarding verlässt?

Verwaiste Ressourcen: Teams mit Mitgliedern, die das Unternehmen längst verlassen haben, SharePoint-Sites und Dateien, Microsoft-365-Gruppen, OneDrives sowie Flows und Apps in Microsoft 365. Sie verbrauchen weiter Speicher, und niemand prüft, ob sie noch gebraucht werden. Die Kosten werden leicht unterschätzt, weil sie sich langsam summieren. Eine regelmäßige Prüfung auf ungenutzte Dokumente, Seiten und Ressourcen ohne Eigentümer gehört deshalb zu jedem Offboarding-Prozess.

Reicht es für ein sicheres Offboarding, den Zugang eines Benutzers zu sperren?

Nein. Das Sperren verhindert, dass sich der ehemalige Mitarbeiter wieder bei Teams, SharePoint, OneDrive und anderen Anwendungen anmeldet, und ist der notwendige erste Schritt. Es regelt aber weder die Lizenz noch den Speicher und die Ressourcen, die zurückbleiben, noch die sensiblen Daten, die aufbewahrt oder gelöscht werden müssen, noch den Zugriff, den andere Beteiligte und Abteilungen erteilt haben. Behandeln Sie den Austritt als Sicherheits- und Zugriffsaufgabe, die alle vier Punkte abdeckt.

Wie behandle ich sensible Mitarbeiterdaten beim Offboarding?

Planen Sie das lange vor dem Austrittstag. Manche Mitarbeiterdaten wie Kontonummer, Wohnanschrift und Krankmeldungen werden aus rechtlichen Gründen gespeichert und nicht gelöscht, eine vollständige Löschung ist deshalb der falsche Standard. Klären Sie mit HR und Recht, was wie lange aufbewahrt werden muss und was gelöscht werden darf, und halten Sie den Archivierungs- und Löschplan schriftlich fest, damit der Offboarding-Prozess ihm folgt, statt zu improvisieren.

Decken Entra ID und das Microsoft-365-Admin-Center das User-Offboarding nicht schon ab?

Teilweise. Die Lebenszyklus-Workflows von Entra ID Governance können Aufgaben beim Austritt automatisieren, etwa das Konto deaktivieren und Lizenzen sowie Gruppenmitgliedschaften entfernen, und im Microsoft-365-Admin-Center lassen sich Konten neu zuweisen oder löschen. Was fehlt, ist die Sicht über alle Workloads hinweg. HR, IT, Einkauf und weitere Abteilungen sind beteiligt, und niemand sieht an einer Stelle, was dem Ausgeschiedenen in Teams, SharePoint, OneDrive, Flows und Apps alles gehörte oder ob es noch gebraucht wird. Ergänzen Sie die nativen Werkzeuge deshalb um einen Prozess, der diese Lücke schließt.

Lassen sich Offboarding-Aufgaben nach dem letzten Arbeitstag automatisch prüfen?

Ja, wenn die Prüfungen laufend stattfinden statt einmalig am letzten Tag. Kunden definieren in Rencore Governance ihre eigenen Offboarding-Richtlinien. Die Lösung zeigt dann, was übersehen wurde, etwa Lizenzen, die noch deaktivierten Benutzern zugewiesen sind, und verwaiste Ressourcen, und kann bei einer versäumten Offboarding-Aufgabe automatisch eine festgelegte Person benachrichtigen. Aktionen lassen sich manuell oder über Automationen auslösen, auch das Zuweisen der Ressourcen eines deaktivierten Benutzers an den Vorgesetzten. Regelmäßige Berichte zu Offboarding-Themen können mit allen Beteiligten geteilt werden.

Zuletzt aktualisiert am 12. November 2026

Über den Autor

Matthias Einig

Matthias ist ein ehemaliger Microsoft MVP (10 Jahre), Mitgründer und CEO von Rencore. Seine Mission: Unternehmen dabei zu unterstützen, die Kontrolle über ihre Microsoft-Collaboration-Technologie zu behalten. Dafür liefern Matthias und sein Team Einblicke, Beratung und konkrete Wege, das Wachstum der Plattform zu steuern. Er spricht auf Konferenzen und Community-Events auf der ganzen Welt und ist einer der Organisatoren des European Collaboration Summit.