Offboarding-Nachweis: belegen, dass der Zugang wirklich endet
Beim Austritt reicht eine abgehakte Checkliste nicht. Wie Sie einen prüffähigen Offboarding-Nachweis je Anwendung erzeugen — für Audit, Versicherung und Datenschutz-Aufsicht.
- Ein Offboarding-Nachweis dokumentiert je Anwendung, wer wann auf welchem Weg den Zugang entzogen hat — im Unterschied zur Checkliste, die nur belegt, dass jemand ein Häkchen gesetzt hat.
- Verlangt wird der Nachweis nicht unter diesem Namen, sondern über die Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO und die Anforderung ORP.4.A2 des BSI-IT-Grundschutzes, nach der bei personellen Veränderungen nicht mehr benötigte Kennungen und Berechtigungen entfernt werden müssen.
- Prüffähig wird der Nachweis erst, wenn er nachträglich nicht mehr veränderbar ist und offene Punkte im selben Dokument benennt.
- Der schwierige Teil sind Fachanwendungen ohne Schnittstelle: Dort kann nur ein Mensch entziehen und bestätigen — mit Frist und Notiz, wie entzogen wurde.
- Nachgefragt wird der Nachweis selten im Alltag und fast immer dann, wenn es unangenehm ist: bei Audit, Cyber-Versicherung oder nach einem Vorfall.
Die Frage nach dem Offboarding-Nachweis kommt nie am Tag des Austritts. Sie kommt Monate später — vom Wirtschaftsprüfer, vom Cyber-Versicherer, von einem Kunden im Sicherheitsfragebogen oder, im schlechtesten Fall, nach einem Vorfall: Können Sie belegen, dass diese Person in jeder Anwendung keinen Zugang mehr hat?
Die meisten Unternehmen können an dieser Stelle eine ausgefüllte Checkliste vorlegen. Das ist etwas anderes als ein Nachweis.
Offboarding-Nachweis und Checkliste — der Unterschied
Ein Offboarding-Nachweis ist die Dokumentation je Anwendung, dass der Zugang einer ausgeschiedenen Person tatsächlich beendet wurde — mit Anwendung, Art des Entzugs, Zeitpunkt und handelnder Person. Eine Checkliste dokumentiert dagegen eine Absicht: Jemand hat eine Liste abgearbeitet. Der Nachweis dokumentiert eine Handlung: In dieser Anwendung wurde an diesem Tag von dieser Person auf diesem Weg der Zugang beendet.
Der Unterschied entscheidet sich früher, als die meisten denken — nämlich daran, wo der Austritt überhaupt ausgelöst wird. Läuft er über eine Mail an die IT, entsteht nie mehr als eine Absichtserklärung. Wird er dort angestoßen, wo der Austritt ohnehin erfasst wird, fällt der Nachweis als Nebenprodukt an; genau dafür ist das Offboarding aus HR-Sicht gedacht.
Der Unterschied wird an zwei Stellen praktisch relevant:
- Vollständigkeit. Eine Checkliste kennt nur die Anwendungen, die beim Erstellen bekannt waren. Systeme, die ein Team später selbst eingeführt hat, stehen nicht darauf — und werden folglich nicht abgehakt.
- Prüfbarkeit. Ein Häkchen lässt sich nicht überprüfen. Ein Eintrag mit Zeitstempel, Methode und handelnder Person schon.
Die gute Nachricht: Wer bereits mit einer Offboarding-Checkliste nach DSGVO arbeitet, hat den schwierigen Teil hinter sich. Offen bleibt nur, woher die Liste kommt und was am Ende dokumentiert wird. Dieselbe Logik gilt übrigens spiegelbildlich beim Eintritt — die IT-Onboarding-Checkliste beschreibt, wie derselbe Datensatz beim Start einmal sauber angelegt wird.
Welche Regelwerke einen Nachweis verlangen
In keinem Gesetz steht das Wort „Offboarding-Nachweis“. Die Pflicht entsteht trotzdem, und zwar an drei Stellen, die im Mittelstand regelmäßig geprüft werden.
Die Rechenschaftspflicht der DSGVO. Artikel 5 Absatz 2 verlangt, dass der Verantwortliche die Einhaltung der Datenschutzgrundsätze nachweisen können muss. Das Wort ist präzise gewählt: nachweisen, nicht behaupten. Wer nach einem Vorfall erklärt, die Zugänge seien selbstverständlich gesperrt worden, aber nichts vorlegen kann, hat aus Sicht der Aufsicht keinen Nachweis geführt.
Der BSI-IT-Grundschutz. Der Baustein ORP.4 verlangt in Anforderung A2 ausdrücklich, dass bei personellen Veränderungen nicht mehr benötigte Benutzendenkennungen und Berechtigungen entfernt werden; Anforderung A3 fordert zusätzlich, dass die Dokumentation der Rechtevergabe regelmäßig darauf geprüft wird, ob sie den tatsächlichen Stand widerspiegelt (BSI, ORP.4 Identitäts- und Berechtigungsmanagement). Genau dieser Abgleich scheitert ohne Belege je Austritt, weil niemand rekonstruieren kann, warum eine Kennung noch existiert.
Der Personal-Baustein ORP.2. Anforderung A2 „Geregelte Verfahrensweise beim Weggang von Mitarbeitenden“ verlangt, dass alle betroffenen Stellen im Unternehmen über das Ausscheiden informiert werden und Unterlagen, Schlüssel, Geräte und Zutrittsberechtigungen eingezogen werden; eine Checkliste dafür wird empfohlen (BSI, ORP.2 Personal). Der Nachweis ist der Schritt danach: Er belegt, dass die empfohlene Checkliste nicht nur existiert, sondern gewirkt hat.
Für regulierte Unternehmen kommt die Dokumentationspflicht aus NIS-2 hinzu; wen das betrifft, klärt der NIS2-Check für den Mittelstand.
Was in einen prüffähigen Nachweis gehört
Ein belastbarer Offboarding-Nachweis enthält je Anwendung sechs Angaben:
| Angabe | Beispiel |
|---|---|
| Anwendung | RIS Befundung (Fachanwendung Radiologie) |
| Art des Zugriffs | ohne Schnittstelle, manuell verwaltet |
| Aktion | Zugang entzogen |
| Methode | durch verantwortliche Person bestätigt |
| Zeitpunkt | 22.07.2026, 09:14 Uhr |
| Handelnde Person | die für die Anwendung verantwortliche Person, namentlich im Export |
Dazu gehört zwingend ein Abschnitt offene Punkte im selben Dokument. Ein Nachweis, der nur das Gelungene zeigt, ist im Audit nichts wert — die erste Frage lautet ohnehin, wie mit dem Rest umgegangen wurde.
Und er braucht ein Format, das jemand ohne Zugang zu Ihren Systemen lesen kann: Ein Auditor bekommt keinen Portal-Zugang, ein Versicherer keinen Datenbankauszug. Weitergereicht wird am Ende ein PDF mit Kopfdaten, Anwendungsliste, offenen Punkten und Erstellungszeitpunkt.
Die drei Wege, wie ein Zugang endet
Für die Praxis lohnt es, Anwendungen danach zu unterscheiden, wie ein Entzug überhaupt möglich ist. Wir haben das in der Übersicht zum Berechtigungsmanagement ausführlicher beschrieben; für den Nachweis zählt vor allem die dritte Gruppe:
- Anwendungen mit Schnittstelle — der Entzug läuft automatisch, das Ergebnis wird protokolliert. Aufwand: null.
- Anwendungen hinter der zentralen Anmeldung — der Zugriff endet mit dem gesperrten Konto. Microsoft beschreibt die automatisierte Bereitstellung und Entfernung von Benutzerkonten als eigene Governance-Funktion. Aufwand: einmalige Einrichtung.
- Anwendungen ohne Schnittstelle — hier gibt es keine Automatisierung. Es gibt nur einen Menschen, der etwas tut, und die Frage, ob er es bestätigt hat.
Der dritte Fall entscheidet, ob Ihr Nachweis trägt. Alles andere erledigt Technik.
Vom Austritt zum Beleg: der Ablauf
Ein Nachweis entsteht nicht, weil jemand am Ende ein Dokument schreibt. Er entsteht, weil der Austritt an der richtigen Stelle beginnt und jede Station eine Spur hinterlässt.
Weil die Personaldaten aus dem HR-System kommen, muss niemand eine zweite Liste pflegen. Der Austritt startet als Datensatz, nicht als Mail — und alles Weitere hängt an diesem Datensatz.
Die Anwendungsliste kommt dabei nicht aus einer gepflegten Vorlage, sondern aus dem, was tatsächlich existiert — auch Konten, die nie jemand vorgesehen hat, im Portal als „entdeckt“ markiert. Genau die fehlen auf jeder Checkliste.
- Austritt erfassen. Person, letzter Arbeitstag, Vorgesetzte. Ausgelöst in HR, nicht per Zuruf an die IT.
- Zugriffsliste erzeugen. Alle bekannten Konten und Anwendungen dieser Person, automatisch zusammengestellt statt aus dem Gedächtnis.
- Automatisch entziehen, was automatisch geht. Zentrale Anmeldung, Geräte, Bundles — Ergebnis wird protokolliert.
- Aufgaben verteilen, wo nur Menschen entziehen können. Jede Fachanwendung bekommt eine verantwortliche Person und eine Frist.
- Belege einsammeln und exportieren. Jede Bestätigung wird zum Eintrag; am Ende steht ein PDF mit allen Angaben und den offenen Punkten.
Der Aufwand steckt in Schritt vier, und er lässt sich nicht wegautomatisieren — nur ordentlich verteilen. Wie so eine Aufgabenverteilung im Alltag aussieht, zeigt das Self-Service-Portal.
Der Zustand, der bewusst offen hält
Der wirksamste Mechanismus ist unbequem und genau deshalb wirksam: Ein Austritt wird nicht abgeschlossen, solange ein Nachweis fehlt.
In kjello gibt es dafür einen eigenen Zustand zwischen Schonfrist und Abschluss. Er prüft, ob für jedes bekannte Konto ein Eintrag vorliegt. Fehlt einer, bleibt der Vorgang offen und die verantwortliche Person wird täglich erinnert. Nach 14 Tagen wird zusätzlich eskaliert — der Vorgang bleibt trotzdem offen. Eine Eskalation macht das Offene laut, nicht erledigt.
Aus der Zugriffsliste wird damit eine Fortschrittsanzeige. Offene Punkte stehen oben, bereits belegte darunter — man sieht in zwei Sekunden, woran der Austritt hängt. Für die Verantwortlichen sieht das unspektakulär aus, und das ist Absicht: eine Zeile mit Anwendung und Frist, ein Knopf „Bestätigen“, ein Feld für die Notiz, wie entzogen wurde. Aus dieser Notiz entsteht der Nachweis. Die Schritt-für-Schritt-Anleitung steht im Hilfe-Center unter Offboarding-Nachweis.
Das Muster dahinter ist aus anderen Bereichen des IT-Betriebs bekannt: Etwas gilt als erledigt, weil es einmal eingerichtet wurde, und niemand prüft nach.
Wir sehen es jede Woche: Backups, die seit Monaten niemand geprüft hat. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist.
Jens HagelGründer & Geschäftsführer
Beim Offboarding ist es dieselbe Mechanik, nur mit kürzerem Zeithorizont: Alle denken, die Zugänge sind zu. Geprüft hat es niemand, weil es keinen Ort gibt, an dem die Prüfung sichtbar geworden wäre.
Warum unveränderlich der entscheidende Punkt ist
Ein Nachweis, den man nachträglich bearbeiten kann, beweist nichts — er zeigt nur den letzten Bearbeitungsstand. Belastbar wird er unter drei Bedingungen:
- Nur anhängen, nie ändern. Einträge werden hinzugefügt, bestehende bleiben unangetastet. Das gehört technisch abgesichert, nicht per Richtlinie geregelt.
- Verweis auf das Protokoll. Jeder Eintrag zeigt auf eine Zeile im Audit-Protokoll, in der dieselbe Handlung unabhängig festgehalten ist.
- Auch der Export ist protokollpflichtig. Wer wann welchen Nachweis gezogen hat, gehört ebenfalls dokumentiert.
Das klingt nach Formalismus, ist aber genau der Unterschied zwischen einem Dokument, das im Audit trägt, und einer PDF-Datei, die jemand vorgestern erzeugt hat. Wie sich Protokolle, technische Maßnahmen und Nachweise ins Gesamtbild fügen, zeigt der Beitrag zur IT-Sicherheits-Checkliste für KMU.
Ein Austritt, der sich selbst auf „erledigt“ setzt, obwohl für zwei Anwendungen kein Beleg vorliegt, erzeugt ein Papier, das der Wirklichkeit widerspricht. Das ist im Audit schlechter als gar kein Prozess — denn es beweist, dass der Prozess falsche Ergebnisse liefert.
Wer den Nachweis verlangt — und wann
- ISO-27001-Auditoren greifen sich konkrete Austritte heraus und lassen sich zeigen, wie die Zugriffsrechte zurückgenommen wurden — Stichprobe statt Prozessbeschreibung.
- Cyber-Versicherer fragen im Antrag nach dem Prozess und im Schadensfall nach dem Beleg. Zwischen beiden Zeitpunkten liegt der Unterschied zwischen einer Zusage und einer Leistung.
- Datenschutz-Aufsichtsbehörden interessieren sich nach einer Meldung dafür, ob die Zugriffe angemessen begrenzt waren — Artikel 32 DSGVO ist dabei die übliche Grundlage.
- Kunden mit eigenen Anforderungen legen in Ausschreibungen Sicherheitsfragebögen bei. Dort steht die Frage inzwischen fast immer.
Allen vier Anlässen ist gemeinsam, dass sie nicht angekündigt werden. Ein Nachweis, den man erst auf Nachfrage zusammensucht, ist im Zweifel eine Rekonstruktion — und als solche erkennbar.
Wenn jemand neu anfängt: Laptop da, E-Mail eingerichtet, Telefon läuft. Wenn jemand geht: Zugänge zu. Mehr wollen wir gar nicht.
Was das im Alltag bedeutet
Der Aufwand liegt nicht beim Nachweis selbst — der entsteht nebenbei. Er liegt in der einmaligen Vorarbeit: Welche Fachanwendungen gibt es, und wer ist jeweils verantwortlich? Das ist ein Vormittag, kein Projekt.
Der häufigste Einwand lautet, das lasse sich intern lösen. Kann es auch — solange die eine Person da ist, die weiß, welche Fachanwendung wem gehört. Fällt sie aus, kündigt oder ist im Urlaub, fehlt genau die Information, die der Nachweis später abbilden soll. Ein dokumentierter Prozess ist an dieser Stelle kein Formalismus, sondern die Versicherung gegen Personenabhängigkeit.
In kjello gehören das Zugriffs-Register und der Nachweis-Export zum Portal — 29 € pro Nutzer und Monat, netto, ohne Zusatzmodul (Preise). Bei 40 Mitarbeitenden sind das 1.160 € im Monat für die gesamte Plattform samt Support; erweiterter Virenschutz (EDR) kostet optional 10 € pro Nutzer und Monat zusätzlich, für den Nachweis braucht es ihn nicht. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Zum Betrieb gehören auch die Erinnerungen an die Verantwortlichen und die Eskalation, wenn nichts passiert.
30 Minuten, kostenlos, ohne Vertriebsdruck: Wir schauen uns Ihren heutigen Offboarding-Ablauf an und zeigen, wo der Nachweis abreißt.
Gespräch vereinbarenWie das Portal insgesamt arbeitet, sehen Sie unter Sicherheit & Compliance oder im Produktüberblick. Wie Ein- und Austritt als ein zusammenhängender Ablauf funktionieren, steht auf der Seite Onboarding und Offboarding automatisieren.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was ist ein Offboarding-Nachweis?
Reicht eine ausgefüllte Offboarding-Checkliste als Nachweis?
Ist ein Offboarding-Nachweis gesetzlich vorgeschrieben?
Wer verlangt einen Offboarding-Nachweis?
Wie lange muss ein Offboarding-Nachweis aufbewahrt werden?
Was passiert, wenn eine Anwendung keinen automatischen Entzug erlaubt?
Austritt mit Nachweis
In kjello schließt ein Austritt erst, wenn für jede Anwendung ein Beleg vorliegt — als PDF, das auch ohne Portal-Zugang lesbar ist.
