Mitarbeiter-Onboarding und -Offboarding: Checkliste für mehr IT-Sicherheit

Ein sicheres Mitarbeiter-Onboarding und -Offboarding gehört zu den wichtigsten organisatorischen Maßnahmen der IT-Sicherheit. Neue Mitarbeitende benötigen rechtzeitig funktionierende Arbeitsgeräte, Benutzerkonten und Zugriffsrechte. Verlässt eine Person das Unternehmen, müssen diese Zugänge zuverlässig entzogen, Arbeitsmittel zurückgegeben und Unternehmensdaten geschützt werden.

Cloud-Dienste, Homeoffice, mobile Endgeräte und zahlreiche Software-as-a-Service-Anwendungen machen diese Prozesse zunehmend komplex. Ein deaktiviertes Benutzerkonto allein reicht häufig nicht mehr aus: Aktive Sitzungen, Zugriffstokens, Zertifikate oder externe Plattformkonten können weiterhin bestehen.

Unternehmen sollten Eintritte, interne Stellenwechsel und Austritte deshalb als zusammenhängenden Joiner-Mover-Leaver-Prozess behandeln. Klare Verantwortlichkeiten, verbindliche Zeitpunkte und dokumentierte Checklisten helfen dabei, Sicherheitslücken zu vermeiden.

Klare Verantwortlichkeiten schaffen

Damit Mitarbeiter-Onboarding und -Offboarding zuverlässig funktionieren, müssen Personalabteilung, Führungskräfte, IT und Informationssicherheit zusammenarbeiten.

Die Personalabteilung meldet den Eintritt, Wechsel oder Austritt rechtzeitig. Die zuständige Führungskraft legt fest, welche Systeme und Informationen für die jeweilige Tätigkeit benötigt werden. Die IT richtet Konten und Geräte ein beziehungsweise entzieht die Zugänge. Informationssicherheit und Datenschutz geben die organisatorischen und technischen Rahmenbedingungen vor.

Ein festgelegter Prozess verhindert, dass einzelne Anwendungen, Geräte oder Berechtigungen übersehen werden. Die Anforderungen des BSI zum Identitäts- und Berechtigungsmanagement bieten dafür eine geeignete Orientierung.

Mitarbeiter-Onboarding: IT-Sicherheit von Anfang an

Beim Mitarbeiter-Onboarding sollte zunächst geklärt werden, welche Systeme, Anwendungen und Informationen die neue Person für ihre Tätigkeit tatsächlich benötigt. Dabei gilt das Prinzip der minimalen Rechtevergabe: So wenige Berechtigungen wie möglich, so viele wie nötig.

Benutzerkonten sollten rollenbezogen eingerichtet und von der zuständigen Führungskraft freigegeben werden. Persönliche Konten sind gemeinsam genutzten Benutzerkonten vorzuziehen. Administrative Rechte sollten nur vergeben werden, wenn sie für die jeweilige Aufgabe erforderlich sind.

Zugriffsrechte sollten außerdem nicht unbegrenzt bestehen bleiben. Regelmäßige Kontrollen helfen dabei, nicht mehr benötigte oder versehentlich zu weitreichende Berechtigungen zu erkennen.

Sichere Anmeldung mit MFA und Passkeys

Für geschäftliche Benutzerkonten sollte grundsätzlich eine Multi-Faktor-Authentifizierung aktiviert werden, sofern der jeweilige Dienst sie unterstützt. Besonders wichtig ist sie für:

• E-Mail-Konten
• Cloud-Dienste
• VPN- und Remote-Zugänge
• administrative Benutzerkonten
• Passwortmanager
• Entwicklungs- und Verwaltungsplattformen

Wo es technisch möglich ist, sollten phishing-resistente Verfahren wie Passkeys oder FIDO2-Sicherheitsschlüssel eingesetzt werden. Sie bieten einen besseren Schutz vor gefälschten Anmeldeseiten als ausschließlich codebasierte Verfahren.

Mit NIST SP 800-63B-4 liegt seit 2025 eine aktualisierte Richtlinie zur sicheren Authentisierung und Verwaltung von Authentisierungsmitteln vor.

Arbeitsgeräte sicher vorbereiten

Firmenrechner, Smartphones und Tablets sollten vor ihrer Übergabe sicher konfiguriert und mit aktuellen Sicherheitsupdates ausgestattet werden. Zu einer sicheren Grundkonfiguration gehören je nach Gerät und Einsatzbereich unter anderem:

• Festplatten- beziehungsweise Gerätespeicherverschlüsselung
• automatische Bildschirmsperre
• Endpoint-Schutz oder Endpoint Detection and Response
• zentral verwaltete Sicherheitsrichtlinien
• automatische Installation von Sicherheitsupdates
• geregelte Datensicherung
• eingeschränkte lokale Administratorrechte
• sichere Trennung geschäftlicher und privater Daten

Mobile Device Management beziehungsweise Unified Endpoint Management erleichtert die zentrale Verwaltung von Notebooks und mobilen Endgeräten. Damit können Sicherheitsrichtlinien durchgesetzt, Gerätezustände kontrolliert und Unternehmensdaten bei Verlust oder Diebstahl geschützt werden. Das BSI stellt hierfür einen Mindeststandard für Mobile Device Management bereit.

Security Awareness beim Mitarbeiter-Onboarding

Technische Maßnahmen allein reichen nicht aus. Neue Kolleginnen und Kollegen sollten bereits beim Onboarding für typische Cybergefahren sensibilisiert werden.

Dazu gehören insbesondere:

• sicherer Umgang mit Passwörtern, Passkeys und MFA
• Erkennen von Phishing und Social Engineering
• sicherer Umgang mit E-Mails, Links und Dateianhängen
• Schutz vertraulicher und personenbezogener Informationen
• Regeln für Homeoffice und mobiles Arbeiten
• Umgang mit privaten Geräten und Speichermedien
• Meldewege bei Sicherheitsvorfällen

Neue Mitarbeitende müssen wissen, an wen sie sich bei einer verdächtigen E-Mail, einem verlorenen Gerät oder einem möglichen Datenschutzvorfall wenden können. Die Sensibilisierung sollte nach dem Onboarding regelmäßig aufgefrischt werden.

Mitarbeiter-Onboarding und -Offboarding bei einem Stellenwechsel

Auch ein interner Stellen- oder Abteilungswechsel gehört in den Prozess. Ändert sich die Tätigkeit einer Person, können bisherige Berechtigungen überflüssig werden oder ein Sicherheitsrisiko darstellen.

Deshalb sollten die vorhandenen Zugriffsrechte systematisch überprüft werden. Nicht mehr benötigte Rechte sind zu entfernen, bevor oder sobald die neuen Berechtigungen erteilt werden. Besonders wichtig ist die Kontrolle von administrativen Rechten, Gruppenmitgliedschaften, Cloud-Rollen, Verteilerlisten und Zugängen zu vertraulichen Informationen.

Ein Stellenwechsel sollte nicht dazu führen, dass sich im Laufe der Zeit immer mehr Berechtigungen ansammeln. Auch die durchgeführten Änderungen müssen dokumentiert und von der zuständigen Stelle bestätigt werden.

Mitarbeiter-Offboarding: Zugänge konsequent entziehen

Beim Mitarbeiter-Offboarding müssen sämtliche Benutzerkonten, Berechtigungen und Authentisierungsmittel berücksichtigt werden. Neben dem zentralen Unternehmensaccount können beispielsweise Zugänge zu E-Mail, VPN, Cloud-Diensten, Fachanwendungen oder externen Plattformen bestehen.

Zugänge müssen zu dem verbindlich festgelegten Zeitpunkt entzogen werden, ab dem die Person sie nicht mehr benötigt. Dieser Zeitpunkt entspricht nicht zwangsläufig dem formalen Ende des Arbeitsverhältnisses. Bei einer Freistellung oder einem sicherheitskritischen Austritt kann eine sofortige Sperrung erforderlich sein.

Die Personalabteilung, die Führungskraft und die IT sollten den Zeitpunkt deshalb im Voraus eindeutig abstimmen.

Konten, Sitzungen und Tokens widerrufen

Das Deaktivieren des zentralen Benutzerkontos ist ein wichtiger Schritt, reicht jedoch nicht aus. Je nach IT-Umgebung müssen zusätzlich aktive SSO- und Cloud-Sitzungen, OAuth- und Refresh-Tokens, API- und Zugriffsschlüssel, SSH-Schlüssel, App-Passwörter, Wiederherstellungscodes, Passkeys, Security Keys, MFA-Geräte, Smartcards, Zertifikate sowie VPN- und E-Mail-Profile widerrufen oder beendet werden. Gemeinsame Konten und Passwörter sollten vermieden und bei Kenntnis durch die ausscheidende Person geändert werden. Eine PKI- oder Zertifikatsverwaltung unterstützt den kontrollierten Lebenszyklus von Zertifikaten. Konten werden zunächst gesperrt und erst nach Ablauf der Aufbewahrungsfristen gelöscht; der gesamte Prozess muss dokumentiert und kontrolliert werden.

Geräte und Arbeitsmittel zurückfordern

Alle Arbeitsmittel sind spätestens zum Austrittszeitpunkt zurückzugeben, darunter Notebooks, Smartphones, Tablets, Speichermedien, Tokens, Smartcards, Schlüssel, Ausweise und weitere Geräte. Nach Rückgabe müssen sie inventarisiert und geprüft werden. Vor Wiederverwendung oder Entsorgung sind Unternehmensdaten sicher zu entfernen oder zu sichern.

Unternehmensdaten und Verantwortlichkeiten übergeben

Geschäftliche Daten müssen im Unternehmen verbleiben und rechtzeitig an Nachfolge oder zuständige Teams übergeben werden. Informationen dürfen nicht nur lokal oder in persönlichen Postfächern liegen, sondern müssen zentral gespeichert und klar zugeordnet sein. Dabei ist festzuhalten, welche Aufgaben offen sind, wo Dokumente liegen, wer Verantwortung übernimmt, welche externen Kontakte betroffen sind und wie mit gemeinsamen Ressourcen, Verteilerlisten und Funktionskonten umzugehen ist.

Private Daten und E-Mail-Postfächer berücksichtigen

Ist private Nutzung erlaubt, muss der Umgang mit privaten Daten vor dem Austritt geregelt sein. Dazu gehören Vorgaben, ob private Inhalte entfernt werden dürfen, wie geschäftliche Kommunikation übergeben wird, wer Zugriff erhält, wie lange Daten gespeichert werden und wann Konten gelöscht werden. Ein vollständiger Postfachzugriff ist zu vermeiden und muss auf das notwendige Maß beschränkt, begründet und dokumentiert sein. Dabei gelten die Grundsätze der DSGVO, insbesondere Datenminimierung und Speicherbegrenzung. Die Regelung ist mit Datenschutz, HR und gegebenenfalls Recht abzustimmen.

Verschwiegenheitspflichten bleiben bestehen

Beim Austritt ist erneut auf fortgeltende Verschwiegenheits-, Geheimhaltungs- und Datenschutzpflichten hinzuweisen, die auch nach dem Ende des Arbeitsverhältnisses bestehen und vertragliche sowie gesetzliche Vorgaben zum Schutz von Geschäfts- und personenbezogenen Daten umfassen.

Checkliste: Mitarbeiter-Onboarding und -Offboarding

Die folgenden Punkte können als Grundlage für eine unternehmensspezifische Checkliste verwendet werden.

Checkliste für das Mitarbeiter-Onboarding

• Eintrittstermin und Verantwortlichkeiten festlegen
• benötigte Benutzerkonten und Zugriffsrechte bestimmen
• Berechtigungen durch die Führungskraft freigeben lassen
• persönliche Benutzerkonten einrichten
• MFA beziehungsweise phishing-resistente Anmeldeverfahren aktivieren
• Passkeys, Security Keys oder andere Authentisierungsmittel registrieren
• Arbeitsgeräte sicher konfigurieren und aktualisieren
• Verschlüsselung, Bildschirmsperre und Endpoint-Schutz aktivieren
• Geräte in MDM beziehungsweise UEM aufnehmen
• sichere Nutzung von Passwortmanager und Cloud-Diensten erklären
• in IT-Systeme und Sicherheitsrichtlinien einweisen
• zu Phishing, Social Engineering und Datenschutz sensibilisieren
• Regeln für Homeoffice und mobile Arbeit vermitteln
• Ansprechpartner und Meldewege für Sicherheitsvorfälle erklären
• ausgegebene Geräte und Zugangsmittel dokumentieren
• Abschluss des Onboardings bestätigen

Checkliste für einen Stellen- oder Abteilungswechsel

• neue Rolle und benötigte Berechtigungen festlegen
• bisherige Zugriffsrechte vollständig überprüfen
• nicht mehr benötigte Rechte und Gruppenmitgliedschaften entfernen
• administrative Berechtigungen gesondert kontrollieren
• neue Berechtigungen genehmigen und einrichten
• Cloud-Rollen, Verteiler und externe Plattformen aktualisieren
• Geräte, Zertifikate und Tokens bei Bedarf anpassen
• Änderungen dokumentieren und bestätigen lassen

Checkliste für das Mitarbeiter-Offboarding

• Austritts- beziehungsweise Sperrzeitpunkt verbindlich festlegen
• zentrale Benutzerkonten deaktivieren
• E-Mail-, Cloud-, VPN- und externe Zugänge sperren
• aktive Sitzungen beenden
• OAuth-Tokens, API-Schlüssel und persönliche Zugriffstokens widerrufen
• Passkeys, Security Keys, MFA-Token und Wiederherstellungscodes entfernen
• Smartcards sowie Benutzer- und Gerätezertifikate widerrufen
• gemeinsam verwendete Zugangsdaten ändern
• administrative und privilegierte Zugänge gesondert kontrollieren
• Geräte, Speichermedien, Schlüssel und Firmenausweise zurückfordern
• Zutrittsberechtigungen deaktivieren
• geschäftliche Daten und Dokumentationen übergeben
• offene Projekte und Verantwortlichkeiten übertragen
• Umgang mit E-Mail-Postfach und privaten Daten klären
• Aufbewahrungs- und Löschfristen berücksichtigen
• auf weiterhin geltende Verschwiegenheitspflichten hinweisen
• Umsetzung dokumentieren und abschließend kontrollieren

Die Prozesse sollten nicht nur für fest angestellte Mitarbeitende gelten. Auch Praktikanten, Auszubildende, Zeitarbeitskräfte, freie Mitarbeitende und externe Dienstleister benötigen ein geregeltes Onboarding, eine regelmäßige Überprüfung ihrer Berechtigungen und ein vollständiges Offboarding.

Mitarbeiter-Onboarding und -Offboarding sicher gestalten

Ein strukturiertes Mitarbeiter-Onboarding und -Offboarding ist ein wesentlicher Bestandteil einer modernen IT-Sicherheitsstrategie. Beim Onboarding stehen sichere Arbeitsgeräte, angemessene Berechtigungen, zuverlässige Authentisierungsverfahren und die Sensibilisierung der neuen Mitarbeitenden im Mittelpunkt.

Bei einem internen Wechsel müssen alte Berechtigungen konsequent entfernt und neue Rechte gezielt vergeben werden. Beim Offboarding sind neben Benutzerkonten und Geräten auch aktive Sitzungen, Tokens, Zertifikate, externe Anwendungen und Unternehmensdaten zu berücksichtigen.

Klare Verantwortlichkeiten, verbindliche Zeitpunkte und dokumentierte Kontrollen helfen Unternehmen dabei, den gesamten Identitätslebenszyklus sicher zu gestalten und unnötige Sicherheitsrisiken zu vermeiden.