IT-Offboarding

Was ist IT-Offboarding?

IT-Offboarding ist der Prozess, jeden Zugriff, jedes Konto, jede Lizenz und jedes Gerät zu entfernen, das eine ausscheidende Person hält, zum Zeitpunkt des Vertragsendes. Es ist die Austrittsphase des Identitätslebenszyklus und die einzige mit einer harten Frist: Anders als beim Onboarding ist eine Verspätung hier ein Sicherheitsvorfall und keine blosse Unannehmlichkeit.

Was ein vollständiges IT-Offboarding umfasst

• Das Verzeichniskonto deaktivieren, was föderierte Zugriffe sofort beendet.
• Konten in jeder Anwendung mit eigener Anmeldung entfernen, ob föderiert oder nicht.
• OAuth-Berechtigungen, API-Schlüssel, persönliche Zugriffstoken und Eigentümerschaften an Dienstkonten widerrufen.
• Dateieigentum, geteilte Bereiche, Kalender und Postfachdelegationen vor der Löschung übertragen.
• Die frei gewordenen Lizenzen zurückholen sowie Gerät und etwaigen Hardware-Sicherheitsschlüssel einsammeln.

Warum der SaaS-Bestand der schwierige Teil ist

Das Verzeichniskonto zu deaktivieren dauert Sekunden und erzeugt ein falsches Gefühl von Vollständigkeit. Jede nicht am Identitätsanbieter angebundene Anwendung läuft weiter: Die lokale Anmeldung authentifiziert weiterhin, die OAuth-Berechtigung erneuert sich weiterhin, das API-Token ruft weiterhin auf. In einem Bestand von 100 oder mehr Tools sind die Anwendungen ausserhalb von Single Sign-On meist in der Überzahl, und genau sie übersieht eine aus dem Gedächtnis geschriebene Checkliste.

Beispiele und Anwendungsfälle

Ein Entwickler geht an einem Freitag. Sein AD-Konto wird um 17:00 Uhr deaktiviert und das Ticket geschlossen. Am Montag zieht sein persönliches Zugriffstoken weiterhin aus einem privaten Repository, sein Figma-Platz wird weiterhin abgerechnet und Überwachungsalarme laufen weiterhin an seine Adresse. Nichts davon stand auf der Checkliste, weil nichts davon im Verzeichnis lag. Das Offboarding aus einem lebenden Anwendungsinventar statt aus einer starren Liste aufzubauen schliesst diese Lücke, und genau das automatisiert Corma über den gesamten Bestand.

Verwandte Begriffe

• Automatisiertes On- und Offboarding für HR-Teams
• Automatisiertes Provisioning und Onboarding
• Volle Transparenz gegen Schatten-IT

FAQ

Wie schnell muss ein IT-Offboarding erfolgen?

Die Zugriffe müssen zum Vertragsende enden, nicht am nächsten Werktag. Bei unfreiwilligen Austritten wird der Entzug mit dem Zeitpunkt abgestimmt, zu dem die Person informiert wird.

Was wird beim Offboarding am häufigsten übersehen?

OAuth-Berechtigungen und API-Token. Sie überleben ein deaktiviertes Verzeichniskonto und tauchen auf einer manuell geschriebenen Checkliste fast nie auf.

Wer verantwortet das IT-Offboarding?

HR löst es mit dem Austrittsdatum aus, die IT führt es aus, die Sicherheit prüft es nach. Der Nachweis der Durchführung ist das, was prüfende Stellen nach ISO 27001 und NIS2 verlangen.

Sollten Konten gelöscht oder deaktiviert werden?

Zuerst deaktivieren, damit Daten und Eigentümerschaften übertragen werden können, danach gemäss Aufbewahrungsrichtlinie löschen. Ein sofortiges Löschen zerstört Nachweise und verwaist geteilte Inhalte.

Demo anfragen