Wenn ein Mitarbeiter geht: die IT-Übergabe, an die keiner denkt
Von Manuel Forche · Lesezeit etwa 5 Minuten
Ein Betrieb im Kreis Viersen rief mich an, weil der Zugang zum Google-Unternehmensprofil nicht mehr funktionierte. Nach einer halben Stunde war klar: Das Profil lief auf die private Google-Adresse eines Mitarbeiters, der zwei Jahre zuvor gegangen war. Er hatte nichts Böses getan – er hatte es damals eingerichtet, weil er sich auskannte. Wiederhergestellt war der Zugang nach fünf Wochen.
Solche Fälle sind der Normalzustand, nicht die Ausnahme. Und sie fallen fast immer erst auf, wenn es zu spät ist.
Woran es liegt
In kleinen Betrieben wächst die IT nebenbei. Jemand richtet etwas ein, weil es gebraucht wird – ein Google-Konto, ein WLAN-Passwort, einen Zugang zum Hosting, ein Abo für eine Software. Niemand dokumentiert das, weil es zu dem Zeitpunkt selbstverständlich ist.
Das Problem entsteht erst beim Austritt, und dann gleich zweifach. Zum einen fehlen Zugänge, die niemand sonst hat. Zum anderen bleiben Zugänge bestehen, die längst weg gehören: Das Postfach läuft weiter, weil sich niemand traut, es zu löschen. Der Zugang zur Warenwirtschaft ist noch aktiv. Der ehemalige Mitarbeiter ist noch in der WhatsApp-Gruppe.
Beides ist selten böswillig und trotzdem ein Risiko – arbeitsrechtlich, datenschutzrechtlich und ganz praktisch, wenn eine Kundenanfrage in ein Postfach läuft, das niemand mehr liest.
Die Liste, die du vorher brauchst
Am letzten Arbeitstag ist es zu spät, sie zu erstellen. Diese Liste gehört angelegt, wenn niemand kündigt – dann ist sie in einer Stunde fertig.
- Auf wen laufen die Konten?Domain, Hosting, Google-Unternehmensprofil, Social-Media-Seiten, Softwareabos. Alles sollte auf eine Firmenadresse laufen, nicht auf eine private.
- Wer hat welchen Zugriff?Eine simple Tabelle: System, Person, Rolle. Klingt nach Bürokratie, spart im Ernstfall Tage.
- Wo liegen die Passwörter?Ein Passwortmanager für den Betrieb, nicht ein Zettel im Schreibtisch und nicht der Browser eines Einzelnen.
- Welche Geräte sind unterwegs?Laptop, Diensthandy, Tablet, Zugangskarte. Mit Seriennummer, sonst diskutiert man später.
- Was passiert mit dem Postfach?Umleitung auf eine Person, automatische Antwort, Löschung nach Ablauf der Aufbewahrungsfristen. Vorher festlegen, nicht im Einzelfall entscheiden.
Der Ablauf am Austrittstag
Wenn die Liste steht, ist der Rest eine halbe Stunde Arbeit. In dieser Reihenfolge: Zugänge deaktivieren statt löschen – Daten bleiben so erhalten, der Zugriff endet trotzdem. Postfach umleiten und mit einer automatischen Antwort versehen, die einen echten Ansprechpartner nennt. Geräte entgegennehmen und quittieren. Zugriffsrechte auf gemeinsame Ablagen entziehen. Externe Zugänge prüfen, an die niemand denkt: Steuerberaterportal, Lieferantenportale, Bewertungsplattformen.
Erst nach ein paar Wochen, wenn sicher ist, dass nichts fehlt, wird endgültig gelöscht – unter Beachtung der Aufbewahrungsfristen. Bei geschäftlicher Korrespondenz können das mehrere Jahre sein, hier lohnt eine kurze Rücksprache mit dem Steuerberater.
Ein Punkt zum Datenschutz: Ein Postfach eines ausgeschiedenen Mitarbeiters darf nicht einfach von jemand anderem gelesen werden, wenn dort auch private Nachrichten liegen könnten. Sauber ist die Umleitung mit Hinweis an die Absender, nicht das Durchstöbern. Wer private Nutzung erlaubt hat, sollte diesen Punkt vorher klären – dazu berate ich unter temq.de.
Warum das gerade kleine Betriebe trifft
In Viersen und Umgebung arbeite ich fast ausschließlich mit Betrieben zwischen zwei und fünfundzwanzig Leuten. Dort gibt es keine Personalabteilung, die eine Checkliste abarbeitet, und keine IT-Abteilung, die Konten sperrt. Es gibt den Chef, der ohnehin zu viel zu tun hat, und den Austritt kommt meist zum ungünstigsten Zeitpunkt.
Deshalb ist die Liste im Vorfeld so viel wert. Sie kostet einmal eine Stunde und funktioniert danach jahrelang. Ich lege sie bei neuen Kunden im Kreis Viersen fast immer im ersten Monat an – nicht weil es spannend wäre, sondern weil es der Punkt ist, an dem später am meisten schiefgeht.
Häufige Fragen
Darf ich das Postfach eines ausgeschiedenen Mitarbeiters lesen?
Nicht ohne Weiteres, vor allem dann nicht, wenn private Nutzung erlaubt war. Sauber ist eine Umleitung mit automatischer Antwort, die einen neuen Ansprechpartner nennt. Wie das in deinem Betrieb geregelt sein sollte, hängt von euren Vereinbarungen ab.
Wann darf ich das Konto löschen?
Erst nach Ablauf der Aufbewahrungsfristen für geschäftliche Korrespondenz – das können mehrere Jahre sein. Praktikabel ist: Zugriff sofort deaktivieren, Daten aufbewahren, Löschung später und dokumentiert.
Was, wenn Konten auf eine private Adresse laufen?
Dann brauchst du die Mitwirkung der Person – solange das Verhältnis gut ist, ist das unproblematisch. Deshalb: nicht warten. Übertrage solche Konten jetzt auf eine Firmenadresse, nicht im Kündigungsgespräch.
Brauche ich dafür einen Passwortmanager?
Ja, und zwar einen für den Betrieb, nicht die im Browser gespeicherten Passwörter einzelner Personen. Brauchbare Lösungen für kleine Teams kosten wenige Euro pro Person und Monat und lösen das Problem dauerhaft.
Wie lange dauert es, so eine Liste anzulegen?
Für einen Betrieb mit fünf bis zehn Leuten etwa eine bis zwei Stunden, wenn man einmal systematisch durchgeht. Der Aufwand fällt einmal an, die Pflege danach sind ein paar Minuten pro Ein- oder Austritt.
Wenn du nicht sicher bist, auf wen eure Konten eigentlich laufen: Genau das schauen wir uns im Erstgespräch an. Erfahrungsgemäß findet sich in jedem Betrieb mindestens ein Zugang, von dem der Chef nichts wusste.
IT-Berater aus Viersen, hauptberuflich IT Director für Digitalisierung bei einem Modeunternehmen am Niederrhein. Bei 4che begleitet er kleine Betriebe in der Region. Mehr über meine Arbeitsweise
Stand: August 2026. Zu arbeits- und datenschutzrechtlichen Fragen beim Austritt berate ich unter temq.de; verbindliche arbeitsrechtliche Auskünfte gibt ein Fachanwalt.
Themen: IT-Betreuung · Zugänge · Kreis Viersen