IT Glossary
Inaktive Konten gehören aktuellen Nutzern, die sich nicht mehr anmelden. Warum sie Sicherheits- und Lizenzrisiken bergen und wie sie sich abgrenzen.
November 2, 2026
Inaktive Konten (Dormant Accounts) sind Benutzerkonten, die einer legitimen, weiterhin beschäftigten Person gehören, aber seit einem festgelegten Zeitraum nicht genutzt wurden, zum Beispiel 30, 60 oder 90 Tage je nach System. Die Person arbeitet noch im Unternehmen und der Zugriff kann weiter gerechtfertigt sein, doch niemand meldet sich an. Genau diese Stille ist das Problem: Eine Übernahme bleibt unbemerkt, und das Konto belegt oft noch eine bezahlte Lizenz.
Die Kontrolle AC-2(3), Disable Accounts, in NIST SP 800-53 Rev. 5 behandelt Inaktivität als eigenen Auslöser: Sie sieht vor, dass Organisationen Konten innerhalb einer selbst definierten Frist deaktivieren, wenn sie während eines selbst definierten Zeitraums inaktiv waren, neben weiteren Bedingungen. Manche Konten sind bewusst inaktiv, etwa Notfallkonten oder Konten von Personen in langer Elternzeit. Sie sollten als Ausnahmen dokumentiert statt deaktiviert werden. Auch aus Sicht der DSGVO lohnt der Blick, denn ein inaktives Konto behält Zugriff auf personenbezogene Daten, die sein Besitzer gar nicht mehr braucht.
Ein Unternehmen mit 200 Mitarbeitenden prüft seine 60 SaaS-Anwendungen jedes Quartal. Mit einem Schwellenwert von 90 Tagen findet es zum Beispiel 85 inaktive Konten: Vertriebsmitarbeitende, die ein Prospecting-Tool nach einem Pilotprojekt nicht mehr nutzen, Designerinnen mit einem Platz in einer zweiten Design-Suite und eine Ingenieurin mit Admin-Rechten in einer Cloud-Konsole, die sie seit ihrem Teamwechsel nicht mehr geöffnet hat. Der letzte Fall ist schleichende Rechteausweitung, die als Inaktivität sichtbar wird.
Jedes Konto endet mit einer Entscheidung: behalten, deaktivieren oder entfernen. Corma führt ein Inventar der Konten und Lizenzen in jeder SaaS-Anwendung, automatisiert Access Reviews mit Auditnachweisen, in denen Führungskräfte inaktive Zugriffe bestätigen oder entziehen, und deprovisioniert anschliessend per Workflow, auch in Anwendungen ohne SCIM, sodass freigegebene Plätze in die Lizenzrückgewinnung fliessen.
Eine allgemeingültige Zahl gibt es nicht. Jede Organisation legt den Schwellenwert pro System fest, oft 30, 60 oder 90 Tage, mit kürzeren Fristen für privilegierte Zugriffe.
Ein inaktives Konto hat einen aktuellen Besitzer, der es nicht mehr nutzt. Ein verwaistes Konto hat keinen gültigen Besitzer mehr, meist weil die Person das Unternehmen verlassen hat.
Zuerst deaktivieren. Die Deaktivierung stoppt Anmeldungen und hält das Konto wiederherstellbar, die Löschung folgt nach der in der Zugriffsrichtlinie festgelegten Aufbewahrungsfrist.
Oft ja. In SaaS-Anwendungen mit Lizenzen pro Nutzer behalten inaktive Konten ihre bezahlte Lizenz, bis sie deaktiviert und der Platz freigegeben oder neu vergeben wird.
