Offboarding: Was am letzten Arbeitstag passieren muss

Lena

Abschiede laufen in vielen Firmen gleich: Blumen, Kuchen, eine Karte. Und erst eine Woche später fragt jemand, ob die Kollegin eigentlich noch an ihre Mails kommt.

Jonas

Genau da beginnt das Thema Offboarding, also der geregelte Austritt. Der Mensch geht, aber sein Konto, sein Laptop und seine Zugänge bleiben oft einfach stehen.

Jonas

Kurz vorweg: Alles, was wir heute sagen, hat die Redaktion von kjello recherchiert und geprüft.

Lena

Dann bitte gleich konkret. Was riskiere ich als Geschäftsführung, wenn das liegen bleibt?

Jonas

Vier Dinge. Erstens können Daten abfließen, weil ein altes Konto noch funktioniert.

Jonas

Zweitens zahlen Sie weiter Lizenzen für jemanden, der nicht mehr da ist. Drittens gehen Kundenmails ins Leere oder landen bei niemandem.

Jonas

Viertens haben Sie Pflichten zum Aufbewahren und zum Löschen. Und für die steht am Ende die Geschäftsführung gerade, nicht die IT.

Lena

Und was nehme ich aus dieser Folge mit?

Jonas

Drei typische Fälle, an denen es im Alltag hakt. Und am Ende eine Abfolge mit klarer Zuständigkeit für Personal, Führungskraft und IT, die Sie so übernehmen können.

Lena

Fangen wir beim Konto an. Wie sieht der typische Fehler aus?

Jonas

Ein typischer Fall: Ein Vertriebsmitarbeiter kündigt, sein letzter Tag ist ein Freitag. Das Personal weiß es seit Wochen, die IT erfährt es am Montag danach, eher zufällig.

Jonas

Übers Wochenende konnte er sich weiter anmelden. Vom Handy, vom Laptop zu Hause, aus jedem beliebigen Browser.

Lena

Jetzt mal ehrlich: Die meisten gehen doch im Guten. Ist das nicht sehr theoretisch?

Jonas

Meistens gehen sie im Guten, ja. Aber für den Schaden braucht es keine böse Absicht.

Jonas

Es reicht, dass die Kundenliste weiter auf den privaten Rechner synchronisiert. Oder dass ein Fremder das alte Kennwort kennt und ein Konto benutzt, auf das niemand mehr achtet.

Lena

Gut. Was genau muss also am letzten Tag passieren, und wann?

Jonas

Am letzten Arbeitstag, nach Dienstschluss, wird das Kennwort zurückgesetzt. Danach wird die Person aus allen laufenden Sitzungen abgemeldet.

Jonas

Microsoft beschreibt genau das als ersten Schritt, wenn jemand das Unternehmen verlässt. Wichtig für Ihre Planung sind dabei zwei Zeiten.

Jonas

Nach dem Abmelden kann es bis zu einer Stunde dauern, bis wirklich jede Sitzung zu ist. Eine reine Sperre des Kontos kann sogar bis zu vierundzwanzig Stunden brauchen.

Lena

Also nicht am Montag mal eben sperren und denken, damit ist es erledigt.

Jonas

Richtig. Die Sperre allein wirkt zu spät, deshalb kommt zuerst das neue Kennwort.

Lena

Und wenn es nicht im Guten endet? Bei einer fristlosen Kündigung habe ich keinen geplanten letzten Tag.

Jonas

Dann dreht sich die Reihenfolge um. Die IT setzt das Kennwort zurück und beendet die Sitzungen, während das Gespräch läuft, nicht danach.

Jonas

Dafür muss die IT vorher Bescheid wissen, mit Uhrzeit. Das ist der eine Fall, in dem die Geschäftsführung selbst anruft.

Lena

Und damit ist der Mensch draußen?

Jonas

Aus Microsoft 365, ja. Aber fast jede Firma hat Zugänge daneben: das Lieferantenportal, das Konto beim Onlineshop, die Seite in den sozialen Medien, manchmal das Onlinebanking.

Jonas

Das Bundesamt für Sicherheit in der Informationstechnik nennt genau das als Schwachstelle. Liegen Zugänge verstreut, lassen sie sich beim Ausscheiden nicht in einem Arbeitsschritt sperren.

Lena

Wer soll diese Liste denn kennen? Ich weiß selbst nicht, wo mein Einkauf überall angemeldet ist.

Jonas

Das weiß die Führungskraft am besten, nicht die IT. Deshalb gehört die Frage, wo die Person überall angemeldet ist, in das erste Gespräch nach der Kündigung.

Jonas

Und wo mehrere sich ein Kennwort teilen, etwa beim Konto im Onlineshop, wird dieses Kennwort am letzten Tag geändert. Sonst hat die Person den Zugang einfach im Kopf mitgenommen.

Jonas

Dasselbe gilt für alles Körperliche: Schlüssel, Zutrittskarte, der Code der Alarmanlage. Wer den Code kennt, kann die Anlage sonst auch nach dem Austritt ausschalten.

Lena

Und wer ist wofür zuständig?

Jonas

Das Personal meldet das Austrittsdatum an Führungskraft und IT, sobald es feststeht. Die Führungskraft liefert die Liste der Zugänge, die IT setzt am letzten Tag alles um.

Jonas

Der IT-Grundschutz des Bundesamts sieht ausdrücklich vor, dass alle betroffenen Stellen vom Ausscheiden erfahren, auch die IT. Und er empfiehlt eine feste Ansprechperson im Personal, die den Austritt begleitet.

Lena

Zweiter Punkt, und da wird es für mich heikel: das Postfach. Die Kunden schreiben ja weiter an die alte Adresse.

Jonas

Ein typischer Fall: Eine Projektleiterin geht, ihr Konto wird am nächsten Tag gelöscht. Drei Wochen später fragt ein Kunde nach, warum auf seine Anfrage niemand reagiert hat.

Jonas

Seine Mail ist nie angekommen. Microsoft schreibt dazu klar: Ist das Konto gelöscht, werden Mails an diese Adresse nicht mehr empfangen.

Lena

Also nicht löschen. Sondern was?

Jonas

Es gibt zwei Wege. Der erste ist eine Weiterleitung, dann gehen neue Mails an die alte Adresse direkt an die Nachfolge.

Jonas

Das gilt aber nur für neue Mails, nicht für die alten. Der zweite Weg ist ein gemeinsames Postfach, dann sehen mehrere Personen auch die alten Mails und Termine.

Lena

Und was kostet mich das?

Jonas

Ein gemeinsames Postfach braucht bei Microsoft keine eigene Lizenz, solange es kleiner als fünfzig Gigabyte ist. Ist es größer, braucht es wieder eine.

Jonas

Für beide Wege gilt: Das Konto selbst muss bestehen bleiben. Erst das Konto hält die Weiterleitung oder das gemeinsame Postfach zusammen.

Lena

Moment, darf ich als Arbeitgeber überhaupt in das Postfach einer Ausgeschiedenen schauen? Da liegen doch auch private Mails.

Jonas

Die Datenschutzaufsicht von Bund und Ländern hat dazu zweitausendsechzehn eine Orientierungshilfe veröffentlicht. Danach dürfen Sie auf betriebliche Mails zugreifen, soweit es für betriebliche Zwecke erforderlich ist.

Jonas

Sobald eine Mail erkennbar privat ist, dürfen Sie sie nicht weiter lesen. Und bei Abwesenheit gilt dort eine Abwesenheitsnotiz als das mildere Mittel gegenüber einer Weiterleitung.

Lena

Das klingt nach Juristerei. Wie löse ich das praktisch?

Jonas

Indem die Person vor ihrem letzten Tag die privaten Mails selbst entfernt. So sieht es das Muster der Aufsicht vor, mit angemessener Zeit dafür.

Lena

Und was steht in so einer Abwesenheitsnotiz?

Jonas

Drei Dinge: dass die Person nicht mehr im Haus ist, wer jetzt zuständig ist, und wie man diese Person erreicht. Mehr braucht es nicht.

Jonas

Rechtlich offen ist ein Punkt: der Fall, dass private Nutzung erlaubt war. Einige Aufsichtsbehörden sehen den Arbeitgeber dann nicht mehr ans Fernmeldegeheimnis gebunden, ein höchstes Gericht hat das aber nicht geklärt.

Lena

Fernmeldegeheimnis, das ist das Briefgeheimnis für Telefon und Mail?

Jonas

Genau. Die Datenschutzregeln gelten aber in jedem Fall, ein Blick ins Postfach braucht also immer einen betrieblichen Grund.

Jonas

Deshalb gehört die Privatnutzung in eine schriftliche Regelung oder Betriebsvereinbarung. Fehlt die, holen Sie Ihre Datenschutzberatung dazu, bevor jemand das Postfach öffnet.

Lena

Dann die andere Richtung: Kann ich das Postfach nicht einfach ganz löschen? Datenschutz heißt doch Daten weg.

Jonas

Nicht ganz. Die DSGVO verlangt Löschen, wenn der Zweck entfallen ist, macht aber eine Ausnahme für gesetzliche Pflichten zum Aufbewahren.

Jonas

Und die gibt es. Nach Handelsgesetzbuch und Abgabenordnung heben Sie empfangene und abgesandte Geschäftsbriefe sechs Jahre auf, und eine Mail, die ein Geschäft betrifft, zählt dazu.

Jonas

Buchungsbelege haben seit zweitausendfünfundzwanzig acht Jahre, Bücher und Jahresabschlüsse zehn. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem der Brief kam oder rausging.

Lena

Das heißt, wer das Postfach vorschnell löscht, vernichtet womöglich Unterlagen, die er aufheben muss.

Jonas

Richtig, und das geht schneller, als man denkt. Nimmt man nur die Lizenz weg, hält Microsoft Mails, Kontakte und Kalender dreißig Tage vor, danach sind sie endgültig weg.

Lena

Und die Dateien der Person, also das, was in OneDrive liegt?

Jonas

Die gehören ebenfalls vorher übergeben. Microsoft rät, der Nachfolge den Zugriff zu geben, bevor das Konto gelöscht wird, denn danach bleiben nur dreißig Tage.

Jonas

Ein kleiner Punkt, der oft vergessen wird: offene Termine absagen. Hat die Person Besprechungsräume gebucht, bleiben die sonst blockiert.

Lena

Dritter Fall: Laptop und Handy. Da höre ich oft den Satz, den Laptop bringe ich nächste Woche vorbei.

Jonas

Ein typischer Fall: Der Laptop kommt drei Wochen später, das Diensthandy gar nicht. Auf beiden liegen Firmenmails, Kundendaten und gespeicherte Kennwörter.

Jonas

Der IT-Grundschutz des Bundesamts sieht vor, dass beim Ausscheiden alle Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsrechte eingezogen werden. Und rechtlich kann der Eigentümer die Herausgabe seiner Sache verlangen.

Lena

Und wenn das Handy privat ist? Viele lesen ihre Firmenmails auf dem eigenen Telefon.

Jonas

Dann wird nur das Firmenkonto vom Gerät entfernt, nicht das ganze Telefon gelöscht. Microsoft hat dafür eine eigene Variante, die nur die Daten des Kontos löscht.

Jonas

Beim Firmenhandy werden die Firmendaten gelöscht und das Gerät gesperrt. Danach kann es sich nicht mehr mit Microsoft 365 verbinden.

Lena

Wer sorgt dafür, dass die Geräte wirklich zurückkommen?

Jonas

Die Führungskraft, am letzten Tag, gegen Unterschrift. Das Personal führt dafür eine Liste, was ausgegeben wurde und was zurückkam.

Jonas

Fehlt ein Gerät, erfährt es die IT noch am selben Tag. Dann wird es aus der Ferne gesperrt und gelöscht, statt drei Wochen zu warten.

Lena

Und der Laptop, der zurückkommt, geht der direkt an die nächste Person?

Jonas

Erst nachdem geprüft ist, ob darauf noch Dateien liegen, die nirgends sonst gespeichert sind. Danach wird er vollständig zurückgesetzt und neu eingerichtet.

Lena

Jetzt das Thema, bei dem ich als Kaufmännische hellhörig werde: Lizenzen.

Jonas

Ein typischer Fall: Die IT nimmt der ausgeschiedenen Person die Lizenz weg, und alle denken, die Kostenfrage ist erledigt. Das ist sie nicht.

Jonas

Die Lizenz ist dann nur frei, aber weiter gebucht. Bezahlt wird, bis jemand die Anzahl im Abo verringert oder die Lizenz einer neuen Person gibt.

Lena

Also muss jemand aktiv entscheiden: neu besetzen oder abbestellen.

Jonas

Genau, und das ist eine Entscheidung der Führung, nicht der IT. Kommt eine Nachfolge, geht die Lizenz an sie, kommt keine, wird sie abbestellt.

Jonas

Das gilt nicht nur für Microsoft. Jedes Programm, das je Nutzer abgerechnet wird, gehört auf dieselbe Liste wie die Zugänge.

Lena

Und das Wissen im Kopf der Person? Das nimmt sie ja auch mit.

Jonas

Dafür wird die Nachfolge rechtzeitig eingewiesen, am besten von der Person selbst. Geht das nicht, schreibt sie eine ausführliche Übergabe, so sieht es der IT-Grundschutz vor.

Jonas

Und vor der Verabschiedung erinnert jemand noch einmal an die Verschwiegenheit. Das ist ein Satz im Abschlussgespräch, aber er gehört dazu.

Lena

Dann bitte zum Schluss die Abfolge. Was lege ich morgen im Haus fest?

Jonas

Erstens: Sobald eine Kündigung feststeht, meldet das Personal das Datum an Führungskraft und IT. Die Führungskraft liefert die Liste mit Zugängen, Geräten, Programmen und geteilten Kennwörtern.

Jonas

Zweitens: Am letzten Tag nach Dienstschluss wird das Kennwort zurückgesetzt, jede Sitzung beendet und jedes geteilte Kennwort geändert. Die Geräte kommen gegen Unterschrift zurück.

Jonas

Drittens: Das Konto wird erst gelöscht, wenn Postfach und Dateien übergeben sind. Und die Führung entscheidet, ob die Lizenz weitergegeben oder abbestellt wird.

Lena

Das ist machbar. Und wenn ich das nicht selbst nachhalten will?

Jonas

Wer mit kjello arbeitet, meldet den Austritt per Klick im Portal. Dann werden sämtliche Zugänge samt Microsoft-Konto und Lizenz entzogen, und das Gerät wird zurückgeholt.