Wenn jemand geht: die IT-Übergabe im Betrieb

Der Schlüssel liegt auf dem Tresen, die Arbeitskleidung ist zurück, alle geben sich die Hand. Die Übergabe gilt als erledigt.

Drei Monate später fällt auf, dass das Postfach noch Mails annimmt. Dass der Zugang zum Großhändler-Portal weiter funktioniert. Dass das Konto im Warenwirtschaftssystem nie deaktiviert wurde, weil niemand wusste, dass es eines gibt.

Das ist kein Versäumnis einer einzelnen Person. Es liegt daran, dass ein Schlüsselkasten sichtbar ist und ein Benutzerkonto nicht. Was man sieht, holt man zurück. Was nur in einer Anmeldemaske existiert, bleibt liegen.

Die Übergabe entscheidet sich vor dem letzten Arbeitstag

Das BSI behandelt das Ausscheiden im Baustein ORP.2 Personal als Basis-Anforderung — also als das, was zuerst erfüllt sein muss. ORP.2.A2 verlangt, dass die Nachfolge rechtzeitig eingewiesen wird, und zwar idealerweise durch die ausscheidende Person selbst. Ist eine direkte Übergabe nicht möglich, muss sie stattdessen eine ausführliche Dokumentation anfertigen.

Dazu kommen zwei Punkte, die in kleinen Betrieben regelmäßig fehlen: eine Checkliste, damit alle anfallenden Aufgaben erledigt werden, und eine feste Person, die den Weggang begleitet. Das klingt nach Konzern. Es ist aber genau umgekehrt: Wo es keine Personalabteilung gibt, die das Verfahren ohnehin abarbeitet, trägt nur die Liste.

Auf die Liste gehört, was das BSI ausdrücklich nennt: Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen. Und es gehört darauf, was in der Regel vergessen wird — die Konten. ORP.4.A2 sagt dazu knapp, dass bei personellen Veränderungen die nicht mehr benötigten Benutzerkennungen und Berechtigungen entfernt werden müssen.

Das Postfach ist der Punkt, an dem es rechtlich wird

Hier hört die reine Technik auf. Ein Postfach auf einen Namen trägt personenbezogene Daten, und mit dem Ausscheiden fällt der Grund weg, den Namen weiter zu verwenden.

Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt hat dazu eine Handreichung veröffentlicht (Stand August 2025). Die Linie darin ist deutlich: Bei einem Postfach der Form [email protected] besteht nach dem Ausscheiden keine vertragliche Einbindung mehr, eine Erforderlichkeit der weiteren Verarbeitung ist nicht ersichtlich, und damit greift die Löschpflicht aus Art. 17 Abs. 1 lit. a DSGVO. Datenschutzrechtlich sei in der Regel die unverzügliche Deaktivierung des Postfachs geboten. Geschäftspartner merken das an der Unzustellbarkeitsmeldung und suchen sich einen neuen Kontakt.

Weiterleiten ist nicht der bequeme Ausweg

Die naheliegende Idee — alles auf die Nachfolge umleiten — ist genau die, von der beide hier herangezogenen Aufsichtsbehörden abraten.

Sachsen-Anhalt hält es für unzulässig, E-Mails an die Adresse der ausgeschiedenen Person einfach an ein Postfach der Vertretung weiterzuleiten oder ihr Zugriff auf das alte Postfach zu geben. Begründung: Auch wenn die private Nutzung verboten war, ist damit zu rechnen, dass private Nachrichten eingehen, und für deren Kenntnisnahme fehlt dem Arbeitgeber die Rechtsgrundlage.

Bremen formuliert es als Abwägung und kommt zum selben Ergebnis. Die Weiterleitung sei bei ausdrücklich verbotener Privatnutzung zwar grundsätzlich zulässig — aber Außenstehende wüssten von dieser Weisung nichts und schickten trotzdem Privates. Der Schlusssatz der Behörde: Von einer Weiterleitung ist abzuraten, weil im Postfach vertrauliche Nachrichten liegen können, etwa mit der Personalvertretung oder dem Betriebsarzt.

Was stattdessen empfohlen wird, ist unspektakulär und wirksam:

• Vorher ankündigen. Geschäftspartner erfahren den Wechsel und die neue Adresse, bevor die alte abgeschaltet wird.
• Gelegenheit zum Aufräumen geben. Die ausscheidende Person sortiert private Nachrichten aus und überführt betriebliche Vorgänge in die fachliche Ablage, wo sie ohnehin hingehören.
• Auf Funktionspostfächer umstellen. [email protected] löst das Problem an der Wurzel: kein Name, keine Schutzwürdigkeit, kein Bruch beim nächsten Wechsel. Sachsen-Anhalt nennt sie ausdrücklich als vorzugswürdig, vor allem dort, wo Adressen öffentlich auf der Webseite stehen.

In Microsoft 365 reicht „Anmeldung blockieren“ nicht

Wer Microsoft 365 nutzt, findet dort einen Schalter „Anmeldung blockieren“. Der klingt endgültig und ist es nicht sofort. Microsoft schreibt in der eigenen Anleitung, dass die Sperrung eines Kontos bis zu 24 Stunden dauern kann, und nennt den Weg, der sofort wirkt: das Kennwort zurücksetzen und anschließend „Abmelden von allen Sitzungen“ wählen.

Auch das greift nicht in derselben Sekunde. Ein Zugriffstoken gilt laut Microsoft eine Stunde; bis zur erneuten Anmeldeaufforderung vergeht also Zeit, abhängig davon, wie viel von dieser Stunde noch übrig ist.

Für das Postfach selbst gibt es zwei Wege, und beide haben eine Bedingung, die regelmäßig übersehen wird. Das Umwandeln in ein freigegebenes Postfach kostet keine Lizenz, solange das Postfach kleiner als 50 GB ist; darüber verlangt Microsoft wieder eine. Und: Weiterleitung wie freigegebenes Postfach funktionieren nur, solange das Benutzerkonto bestehen bleibt. Wer es löscht, schaltet beides mit ab.

Zu den Fristen, die dabei laufen: Wird die Lizenz entfernt oder gelöscht, bewahrt Microsoft E-Mails, Kontakte und Kalender 30 Tage lang auf und löscht sie dann endgültig. Nach dem Löschen des Kontos bleiben die Inhalte in OneDrive und Outlook ebenfalls 30 Tage erhalten. Bleibt das Konto bestehen und wird nur die Lizenz entzogen, bleibt der OneDrive-Inhalt auch darüber hinaus zugänglich.

Die Zugänge, die in keinem Verzeichnis stehen

Das Benutzerkonto im Betriebsnetz ist der einfache Teil. Aufwendig wird es bei allem, was daneben entstanden ist: das Händlerportal, die Anmeldung beim Zahlungsdienstleister, der Zugang zum Onlineshop, das Konto beim Energieversorger, die SIM-Karte, der Router im Baucontainer.

Diese Zugänge tauchen in keiner zentralen Liste auf, weil sie nie über eine zentrale Stelle eingerichtet wurden. Es ist derselbe Befund wie bei der Schatten-IT im Betrieb — und der beste Zeitpunkt, ihn aufzunehmen, ist die Kündigungsfrist, solange die Person noch da ist und antworten kann.

Drei Fragen bringen das meiste zutage: Wo meldest du dich an, was nicht über deinen Betriebszugang läuft? Welche Zugangsdaten hast du geteilt bekommen — und wer hat sie noch? Auf welche Rufnummer und welche Adresse laufen die Bestätigungscodes?

Die letzte Frage ist die unangenehmste. Läuft die Zwei-Faktor-Bestätigung eines Händlerkontos auf ein privates Handy, ist das Konto nach dem Weggang nicht mehr erreichbar. Wie man das grundsätzlich auflöst, steht in Passwörter im Betrieb.

Beim Diensthandy hängt die Rückgabe an einer Einstellung, die vor dem Zurücksetzen geändert werden muss — sonst ist das Gerät danach unbrauchbar. Der Ablauf dazu steht in Firmenhandy ohne Verwaltung.

Bei einer Trennung im Streit gilt eine andere Reihenfolge

Der Regelfall ist die einvernehmliche Trennung mit Kündigungsfrist. Dort ist Zeit für Übergabe, Ankündigung und Aufräumen.

Bei einer fristlosen und nicht einvernehmlichen Beendigung empfiehlt Sachsen-Anhalt, die Kommunikationspartner schnellstmöglich direkt zu informieren und das persönliche Postfach zu deaktivieren. Der Zugriff des Arbeitgebers auf möglicherweise private Inhalte ist dabei weitestgehend zu vermeiden; sobald ein privater Inhalt erkennbar ist, dürfen die Nachrichten grundsätzlich nicht zur Kenntnis genommen werden.

Muss trotzdem sortiert werden, nennt die Behörde einen Weg, der das Misstrauen aus der Sache nimmt: neutrale Dritte einbinden — Betriebsrat, Datenschutzbeauftragte oder eine Anwältin — und die Trennung von betrieblichen und privaten Unterlagen begleiten lassen.

Was jetzt zu tun ist

Warte nicht auf die nächste Kündigung. Setz dich hin und schreib die Liste, solange niemand geht.

1. Alle Konten je Person aufschreiben. Nicht nur die im Betriebsnetz, sondern auch die bei Lieferanten, Portalen und Diensten.
2. Namenspostfächer dort ersetzen, wo eine Funktion gemeint ist. Jedes info@, buchhaltung@ oder einkauf@ ist ein Wechsel weniger.
3. Die Reihenfolge festhalten: Kennwort zurücksetzen, aus allen Sitzungen abmelden, sperren, Geräte einziehen, Berechtigungen entziehen, Postfach deaktivieren.
4. Eine Person benennen, die diese Liste im Ernstfall abarbeitet.

Wenn dabei auffällt, dass niemand sagen kann, welche Konten überhaupt bestehen, ist das der eigentliche Befund — und der Grund, warum eine geordnete IT-Betreuung mit einer Bestandsaufnahme beginnt und nicht mit Technik.

Die Punkte zum Umgang mit Postfach, privaten Nachrichten und Arbeitsvertrag sind rechtlich geprägt und im Einzelfall auch arbeitsrechtlich zu bewerten. Die verbindliche Einordnung für deinen Betrieb gehört zu einer Anwältin oder einem Anwalt.