Wenn jemand geht: Was passiert mit Konten und Arbeit?
Wenn ein Kollege geht, muss sein Zugriff beendet und seine Arbeit übergeben werden. Legen Sie fest, wer welche Aufgabe wann erledigt und wie Sie den Abschluss prüfen.
Wenn jemand geht, legen Sie fest, wer den Zugriff beendet und wer die unerledigte Arbeit übernimmt. Für beides brauchen Sie eine eigene Bestätigung. Die Löschung eines Kontos sagt wenig darüber aus, ob die Anfragen von Kunden morgen die richtige Person erreichen oder ein Kollege den gemeinsamen Bericht bearbeiten kann.
Beginnen Sie mit der Arbeit, die weiterlaufen muss
Stellen Sie sich einen Kollegen vor, der Kundenanfragen beantwortet und einen Wochenbericht erstellt. Vor einem geplanten Ausscheiden ermittelt die Führungskraft die offenen Anfragen, den nächsten Berichtstermin und die Person, die übernimmt. Diese Nachfolgeperson braucht die relevanten Unterlagen über ihr eigenes berechtigtes Konto.
Die Führungskraft entscheidet, welche Arbeit eine neue zuständige Person braucht. Die Personalabteilung bestätigt den genehmigten Zeitpunkt und mögliche Einschränkungen. Die Verantwortlichen der einzelnen Systeme legen die Zugriffsänderungen und die Aufbewahrung oder Übertragung nötiger Materialien fest. In einem kleinen Unternehmen kann eine Person mehrere Rollen übernehmen. Halten Sie die Entscheidungen trotzdem ausdrücklich fest.
Bei einem dringenden sicherheitsbedingten Ausscheiden folgen Sie dem genehmigten Verfahren Ihrer Organisation. Verzögern Sie die Eindämmung des Zugriffs nicht, um zuerst eine ordentliche Übergabe abzuschließen.
Zugriff beenden und Arbeit erhalten sind verschiedene Schritte
Die Anmeldung zu sperren, ein Konto zu löschen, Aufzeichnungen aufzubewahren und einer anderen Person Zugriff zu geben, hat jeweils andere Folgen. Wählen Sie die Schritte nach dem gewünschten Ergebnis und in der passenden Reihenfolge für den jeweiligen Dienst und die Umstände.
Die Anleitung von Microsoft für ausgeschiedene Mitarbeitende behandelt zum Beispiel die Anmeldesperre, die Aufbewahrung von Postfachinhalten, die Kontinuität des E-Mail-Verkehrs, den Zugriff der Nachfolgeperson, Lizenzen und die Löschung getrennt. Diese Anleitung gilt für Microsoft 365. Sie zeigt, warum die einzelne Anweisung „Benutzer löschen“ wichtige Fragen offenlässt.
Die Aufbewahrung einer Aufzeichnung berechtigt nicht automatisch eine andere Person, sie zu lesen. Klären Sie, welche geschäftlichen Unterlagen die Nachfolgeperson braucht und wer die Übertragung oder den Zugriff genehmigen kann. Persönliche Inhalte werden nicht für alle zugänglich, nur weil ihre Besitzerin oder ihr Besitzer geht.
Für die Kundenanfragen im Beispiel vereinbaren Sie, welche Unterhaltungen die Nachfolgeperson braucht und wie neue Anfragen sie erreichen. Legen Sie beim Bericht fest, wo er liegt, wer dafür zuständig ist und ob seine Aktualisierung noch vom Konto der ausscheidenden Person abhängt. Kopieren Sie nicht standardmäßig ein ganzes Postfach. Wenn Datenschutz, Aufbewahrung, Ermittlungen oder arbeitsrechtliche Pflichten die Entscheidung beeinflussen, sollten die Verantwortlichen Rat für den konkreten Fall einholen.
Prüfen Sie die Dienste hinter der zentralen Anmeldung
Eine zentrale Anmeldung kann die Zugriffsverwaltung erleichtern. Klären Sie aber, was ihre Deaktivierung in jedem relevanten Dienst tatsächlich ändert. Manche Anwendungen haben separat verwaltete Konten. Fragen Sie die Systemverantwortlichen nach aktiven Sitzungen, Zugriffstoken und Automatisierungen, sofern diese genutzt werden. Die passende Maßnahme hängt vom jeweiligen Dienst ab.
Die NCSC-Anleitung zur sicheren SaaS-Nutzung behandelt den Nutzerlebenszyklus für interne und externe Personen, verwaltete Identitätsquellen und, wo möglich, Automatisierung. Sie berücksichtigt auch Anwendungen mit direkter Anmeldung. Nutzen Sie das als Anlass, die beteiligten Anwendungen zu prüfen, und gehen Sie nicht davon aus, dass eine Änderung der Anmeldung alles erledigt.
„Zugriff entzogen“ und „Arbeit übergeben“ müssen getrennt bestätigt werden. Das eine kann erledigt sein, während das andere noch offen ist.
Halten Sie eine kurze, überprüfbare Dokumentation fest
Notieren Sie für jeden relevanten Dienst die verantwortliche Person, die Zugriffsmaßnahme, den genehmigten Ablageort für erforderliche Arbeit, den vereinbarten Zeitpunkt und den Nachweis des Abschlusses. Halten Sie auch offene Entscheidungen und die zuständige Person fest. Passwörter und andere Zugangsdaten gehören nicht in diese Dokumentation.
Das öffentliche Offboarding-Handbuch von GitLab zeigt, wie eine Organisation die Koordination durch People Operations, Übergabegespräche der Führungskräfte und die Zuständigkeit für Systemzugriffe aufteilt. Die Abschlussnachweise unterscheiden zwischen entzogenem Zugriff und der Bestätigung, dass jemand nie Zugriff hatte. Die Werkzeuge und Fristen gelten für GitLab. Entscheidend ist hier, zu wissen, wer jeden Punkt bestätigt.
Bitten Sie die Systemverantwortlichen um einen administrativen Nachweis der vereinbarten Änderung. Lassen Sie dann die berechtigte Nachfolgeperson die normale Aufgabe ausführen: die zugewiesene Anfrage finden oder den Bericht mit dem eigenen Konto öffnen und bearbeiten. Testen Sie niemals, indem Sie sich als die ausscheidende Person anmelden oder ihr Passwort weitergeben.
Eine Aktualisierung durch die Personalabteilung oder eine abgeschlossene Automatisierung ist nützlich, belegt aber nicht den Zustand jeder Anwendung. Lassen Sie offene Punkte sichtbar, bis die zuständige Person sie bestätigt.
Wenn sich Zuständigkeiten oder Zugriffsrechte in einem bestehenden System nur schwer klären lassen, können wir über dieses System und die zu übernehmende Arbeit sprechen. Unsere Leistungen umfassen Software, Infrastruktur und E-Mail. Den Umfang stimmen wir auf Ihre Situation ab.
Fragen zu Konten und Arbeitsübergaben
Ist eine Anmeldesperre dasselbe wie die Löschung des Kontos?
Nein. Anmeldesperre, Löschung, Aufbewahrung und Übertragung haben unterschiedliche Folgen. Fragen Sie die Systemverantwortlichen, welche Maßnahmen für den jeweiligen Dienst die vereinbarten Entscheidungen zu Zugriff und Übergabe umsetzen.
Wie erhält die nächste Person die Arbeit ohne das alte Passwort?
Vereinbaren Sie, welche geschäftlichen Unterlagen sie braucht und wer den Zugriff oder die Übertragung genehmigt. Die Systemverantwortlichen richten die passende Änderung ein. Die Nachfolgeperson prüft die Arbeit mit dem eigenen berechtigten Konto.
Beendet das Abschalten der zentralen Anmeldung den Zugriff auf alle Anwendungen?
Gehen Sie nicht davon aus. Fragen Sie die Verantwortlichen, was die Änderung in jedem relevanten Dienst bewirkt, einschließlich separat verwalteter Konten, aktiver Sitzungen, Token und Automatisierungen, sofern vorhanden.
Wer bestätigt, dass die Übergabe abgeschlossen ist?
Die Verantwortlichen jedes Systems bestätigen die vereinbarten Zugriffsänderungen. Die Führungskraft und die berechtigte Nachfolgeperson prüfen, ob die nötige Arbeit weitergehen kann. Halten Sie offene Punkte und die für ihre Klärung zuständige Person fest.