Verwaiste Konten finden und schließen — Anleitung für KMU

Ein Konto, das niemandem gehört, verhält sich völlig unauffällig. Es meldet sich nicht, es beschwert sich nicht, es fällt in keiner Übergabe auf. Es funktioniert einfach weiter — mit gültigem Passwort, oft mit denselben Rechten wie am letzten Arbeitstag seines früheren Besitzers.

Genau das macht verwaiste Konten zu einem der unangenehmsten Reste im IT-Betrieb: Sie sind nicht kaputt. Sie sind nur herrenlos.

Was ein verwaistes Konto ist

Ein verwaistes Konto ist ein funktionsfähiger Zugang, hinter dem keine aktive Person mehr steht. Vier Entstehungswege decken die meisten Fälle ab:

• Jemand ist ausgeschieden, aber die Fachanwendung stand auf keiner Checkliste.
• Ein Projektzugang für Externe wurde nie zurückgenommen, weil das Projekt nicht endete, sondern auslief.
• Ein Testkonto aus der Einführungsphase blieb bestehen.
• Ein Sammelkonto („info”, „scan”, „empfang”) gehört formal niemandem und wird von mehreren genutzt.

Warum das mehr ist als Ordnungsliebe

Ein unbeaufsichtigter Zugang mit gültigen Anmeldedaten ist ein bevorzugter Weg hinein: Für Angreifer ist es deutlich bequemer, ein bestehendes Konto zu übernehmen, als eine Sicherheitslücke auszunutzen. Auffallen würde es kaum — es gibt keine Person, der eine fremde Anmeldung auffallen könnte.

Dazu kommt die rechtliche Seite. Artikel 32 DSGVO verlangt, die Vertraulichkeit der Systeme dauerhaft sicherzustellen. Ein aktiver Zugang einer ausgeschiedenen Person ist damit schwer zu begründen — im Zweifel gegenüber einer Aufsichtsbehörde, die genau danach fragt. Für Unternehmen im Anwendungsbereich der NIS-2-Richtlinie kommt hinzu, dass Zugriffskontrolle ausdrücklich zu den geforderten Risikomanagementmaßnahmen zählt. Was das im Mittelstand konkret bedeutet, steht im NIS2-Check für den Mittelstand.

Und schließlich kostet jedes Konto Geld. Eine Microsoft-365-Lizenz für jemanden, der seit acht Monaten nicht mehr im Haus ist, fällt in keiner Rechnungsprüfung auf — sie sieht aus wie alle anderen. Bei einem Team von 40 Personen summieren sich fünf vergessene Lizenzen über ein Jahr auf einen vierstelligen Betrag.

Schritt 1: Im Verzeichnis suchen

Der erste Durchgang ist technisch und schnell erledigt:

1. Konten gegen den Personalbestand abgleichen. Jedes aktive Konto ohne aktives Arbeitsverhältnis ist ein Treffer. Das ist der zuverlässigste Filter, weil er nicht von Nutzungsdaten abhängt.
2. Anmeldeprotokolle auswerten. Konten ohne Anmeldung in den letzten 90 Tagen sind Kandidaten. Wichtig: Diese Auswertung setzt in Microsoft Entra ID mindestens die Lizenzstufe P1 voraus. Ohne sie bleibt diese Spalte leer — was kein Fehler ist, aber ehrlich benannt gehören sollte.
3. Gastkonten prüfen. Externe Beteiligte aus abgeschlossenen Projekten stehen selten auf einer Liste, die jemand pflegt.

Schritt 2: Dort suchen, wo es unbequem wird

Der zweite Durchgang ist der, der tatsächlich Arbeit macht — und der entscheidende: Fachanwendungen mit eigenen Konten. Die Branchensoftware, das Zeiterfassungssystem, das Portal des Lieferanten, die Altanwendung auf dem Server im Nebenraum.

Diese Systeme tauchen in keiner Verzeichnisauswertung auf, weil sie ihre Benutzer selbst verwalten. Es gibt hier keine Automatik, weder bei uns noch bei spezialisierten Anbietern. Was hilft, ist eine schlichte Zuordnung: Pro Anwendung eine verantwortliche Person, die weiß, wer dort ein Konto hat, und die es abschalten kann.

Diese Zuordnung ist einmalige Arbeit, meist an einem Vormittag erledigt. Ohne sie läuft jeder Austrittsprozess für genau diese Systeme ins Leere — er hat niemanden, den er fragen könnte.

Im kjello-Portal sind verwaiste Konten eine eigene Kennzahl. Ein Klick auf die Kachel filtert die Liste auf genau die Anwendungen, in denen ein Konto ohne aktive Person existiert — sortiert nach dem, was zuerst zu tun ist. Wie die Erfassung arbeitet, beschreibt das Hilfe-Center unter Verwaiste Konten & Schatten-IT.

Schritt 3: Sauber schließen statt schnell löschen

Beim Aufräumen gilt eine Reihenfolge, die vor bösen Überraschungen schützt:

Welche Fristen dabei gelten, hängt an den Aufbewahrungspflichten: Handels- und Steuerunterlagen binden Daten sechs bis zehn Jahre, während personenbezogene Daten ohne Zweck zu löschen sind. Beides muss ein Löschkonzept sauber trennen.

Schritt 4: Dafür sorgen, dass keine neuen entstehen

Aufräumen ist eine Momentaufnahme. Damit die Liste nicht in sechs Monaten wieder gleich aussieht, braucht es zwei Dinge:

Ein Austrittsprozess, der einen Nachweis verlangt. Nicht „Häkchen gesetzt”, sondern „Zugang entzogen, von dieser Person, an diesem Tag, auf diesem Weg”. Solange ein Nachweis fehlt, ist der Austritt nicht abgeschlossen. In kjello bleibt ein Offboarding genau deshalb sichtbar offen, bis für jede Anwendung ein Beleg vorliegt — inklusive der Fachanwendungen, bei denen ein Mensch bestätigen muss. Die Details stehen unter Onboarding & Offboarding automatisieren.

Eine regelmäßige Bestätigung bestehender Zugriffe. Sie sammelt ein, was trotz Prozess entsteht: den Zugang aus einer Vertretung, das Konto aus einer Testphase, die Freigabe für ein Projekt, das seit Monaten ruht. Microsoft bietet dafür in der Governance-Ausbaustufe von Entra ID Zugriffsüberprüfungen an; für Fachanwendungen ohne moderne Anbindung führt kein Weg an einer benannten Person mit einer Frist vorbei.

Der Aufwand, ehrlich gerechnet

Der erste Durchgang kostet je nach Größe einen halben bis ganzen Tag — der Großteil davon entfällt auf die Fachanwendungen, nicht auf das Verzeichnis. Danach ist der laufende Aufwand gering, sofern der Prozess trägt.

In kjello ist die Übersicht Teil des Portals (29 €/User/Monat, Preise). Nachweispflicht beim Austritt und die regelmäßige Bestätigung gehören zum Security-Paket mit 10 €/User/Monat zusätzlich. Betrieben wird es von hagel IT: Die Erfassung läuft täglich, Erinnerungen gehen an die Verantwortlichen — und wenn nach zwei Wochen niemand reagiert hat, meldet sich ein Mensch. Was das für Ihre Sicherheit und Compliance bedeutet, sehen Sie am schnellsten an der Zahl, die nach drei Monaten in der Kachel „verwaiste Konten” steht.