Das Deaktivieren eines Kontos im Verzeichnisdienst (Entra ID / Active Directory) sperrt die Anmeldung, aber nicht zwingend die Stellvertretungen, Weiterleitungsregeln, OAuth-Anwendungen oder die Mitgliedschaft in Teams-Kanälen, die dieser Mitarbeiter angesammelt hatte. Offboarding Express prüft genau, was über den Verzeichnisdienst hinaus noch aktiv ist.
Ein deaktiviertes Konto ist nicht dasselbe wie ein Mitarbeiter, der vollständig von Ihren Systemen getrennt ist
Das Sperren der Anmeldung im Verzeichnisdienst beendet den direkten Zugriff, aber die Stellvertretungen, die er auf freigegebenen Postfächern innehatte, oder die Weiterleitungsregeln, die er eingerichtet hatte, können unabhängig vom Konto aktiv bleiben.
Ein Mitarbeiter kann Drittanwendungen (Kalender, CRM, Browsererweiterungen) autorisiert haben, die unabhängig von seinem Benutzerkonto weiterhin Zugriff auf die Daten des Unternehmens behalten.
Die Mitgliedschaft in Teams, Kanälen und den zugehörigen freigegebenen Dateien besteht oft noch lange nach dem letzten Arbeitstag fort, ohne dass irgendein Alarm darauf hinweist.
Ohne systematische Kontrolle bei jedem Ausscheiden häufen sich diese verbliebenen Zugriffe über die Jahre an und werden zu vergessenen Einfallstoren, die vom Verzeichnisdienst aus unsichtbar sind.
Eine Prüfmaschine über mehrere Schnittstellen hinweg, dieselbe wie beim SYAGA-Audit für Microsoft 365, angewandt auf das Ausscheiden eines Mitarbeiters
Name des ausgeschiedenen (oder gerade ausscheidenden) Mitarbeiters und das vorgesehene Datum der Zugriffsbeendigung. Auf Kundenseite ist keine Installation erforderlich.
Unsere Prüfmaschine fragt die Schnittstellen von Microsoft Graph, Exchange Online, Teams und Purview ab, um Stellvertretungen auf freigegebenen Postfächern, automatische Weiterleitungsregeln, OAuth-Einwilligungen und Mitgliedschaften in Teams-Kanälen aufzuspüren.
Sensible Kennungen werden vor jeder Analyse pseudonymisiert. Keine Rohdaten werden auf unseren Servern kopiert oder aufbewahrt: Nur das Messergebnis wird übermittelt.
Sie erhalten einen Bericht, der jeden geprüften Bereich mit seinem Status (getrennt / aktiv / zu prüfen) auflistet, sowie die Empfehlungen, um das, was noch offen ist, endgültig zu schließen.
Ein konkreter Bericht über den tatsächlichen Zugriffsstatus eines Kontos, jenseits des im Verzeichnisdienst angezeigten Status
Detaillierter Status (getrennt / aktiv / zu prüfen) für jeden der am betroffenen Konto geprüften Bereiche.
Technische Spur der durchgeführten Prüfung, nützlich bei einer internen Kontrolle oder einem Vorfall im Zusammenhang mit einem früheren Konto.
Priorisierte Liste der Maßnahmen, die auf Kundenseite umzusetzen sind, um als aktiv identifizierte Zugriffe endgültig zu beenden.
Die Zugriffsverwaltung beim Ausscheiden eines Mitarbeiters findet sich in den gängigen Sicherheitsregelwerken
Geeignete technische und organisatorische Maßnahmen, um die Sicherheit personenbezogener Daten zu gewährleisten. Der wirksame Entzug der Zugriffe eines ausgeschiedenen Mitarbeiters trägt unmittelbar zu dieser Sicherheitspflicht bei.
Die Leitfäden der ANSSI zur IT-Hygiene empfehlen eine sorgfältige Verwaltung von Konten und Zugriffsrechten, einschließlich ihres vollständigen Entzugs beim Ausscheiden von Mitarbeitern.
Die Verwaltung der Zugriffsrechte über den gesamten Lebenszyklus eines Mitarbeiters, einschließlich ihres Entzugs am Vertragsende, gehört zu den organisatorischen Maßnahmen, die die Norm abdeckt.
Eine systematische Überprüfung verbliebener Zugriffe beim Ausscheiden eines Mitarbeiters fügt sich in einen allgemeinen Ansatz des Cyber-Risikomanagements ein, ohne für sich allein eine spezifische regulatorische Pflicht darzustellen.
In jedem Fall ein individuelles Angebot - kein hier angezeigter Preis ist im Voraus festgelegt
Ein einzelnes Ausscheiden, auf Anfrage
Häufige Ausscheidefälle, eingebunden in Ihren HR-/IT-Prozess
Mehrere Mandanten, Tochtergesellschaften, große Mengen
Zwei französische Behörden regeln dieses Thema: die ANSSI auf Seiten der Informationssicherheit, die CNIL auf Seiten des Datenschutzes. Hier steht, was sie tatsächlich sagen, ohne Übertreibung.
Es ist kein Gesetz, das eine bezifferte Frist festlegt (eine Pflicht der Art „48 Stunden, um die Zugriffe zu trennen“ gibt es nicht). Es ist eine Ergebnispflicht, getragen von zwei offiziellen Regelwerken: Das Ausscheiden oder der Stellenwechsel eines Mitarbeiters muss den Entzug seiner Zugriffe nach sich ziehen, ohne ungerechtfertigte Verzögerung. Ein wichtiger Unterschied, den man im Auge behalten sollte, um empfohlene bewährte Verfahren nicht mit einer gesetzlichen Pflicht zu verwechseln.
Der Leitfaden zur IT-Hygiene der ANSSI (Agence nationale de la sécurité des systèmes d'information) widmet diesem Thema eine ganze Maßnahme, ohne Unterscheidung nach Unternehmensgröße:
Ein kostenloses Unterstützungsangebot („Aidant cyber“) gibt es sogar speziell für Strukturen ohne eigene IT-Abteilung, also für die Mehrheit der Kleinst- und Kleinunternehmen sowie mittleren Unternehmen.
Die CNIL (Commission nationale de l'informatique et des libertés) ordnet dasselbe Thema dem Datenschutz zu, in ihrem eigenen Merkblatt zur Verwaltung von Berechtigungen:
Dieses Merkblatt richtet sich an jede Stelle, die personenbezogene Daten verarbeitet: in der Praxis jedes Unternehmen, das Mitarbeiter, Kunden oder Interessenten in seinen IT-Werkzeugen führt.
Die Maßnahme Nr. 6 des Leitfadens listet auf, was ein Verfahren beim Ausscheiden mindestens abdecken muss (genauer Wortlaut):
Die ANSSI empfiehlt ein aktuelles Verzeichnis der Konten mit erweiterten Rechten (Administrator, Zugriff auf die Verzeichnisse anderer), denn sie sind die bevorzugten Ziele von Angreifern:
Konkret: Das Administratorkonto der Website, des beruflichen Postfachs oder der Online-Buchhaltungssoftware verdient bei jedem Ausscheiden eine systematische Überprüfung, selbst in einer kleinen Struktur.
Weder die ANSSI noch die CNIL legen eine bezifferte Frist fest (keine gesetzlichen „48 Stunden“ oder „7 Tage“). Beide Texte verwenden eine Ergebnispflicht: Die Rechte müssen „beim Ausscheiden“ (ANSSI) oder „sobald“ die Person nicht mehr berechtigt ist, und spätestens „am Ende ihres Vertrags“ (CNIL) entzogen werden. Es ist eine Empfehlung zur Sicherheit und zum Datenschutz, getragen von zwei offiziellen Behörden, kein Gesetzesartikel mit einer genauen Zahl, die einzuhalten wäre. Die CNIL nennt im Übrigen als zu vermeidenden Fehler: „vergessen, die Benutzerkonten von Personen zu löschen, die die Organisation verlassen oder ihre Funktion gewechselt haben.“
Über den allgemeinen Grundsatz hinaus finden Sie hier die genau erwarteten Maßnahmen, wer sie bestätigt und in welchem Rhythmus, wie in den offiziellen Texten beschrieben.
Die ANSSI empfiehlt, in Abstimmung mit der Personalabteilung ein förmliches Verfahren für das Ausscheiden festzulegen, das mindestens Folgendes abdeckt:
Die CNIL ordnet den Entzug von Zugriffen ihrem Merkblatt zur Verwaltung von Berechtigungen zu, das festhält, dass jede Rechtevergabe von einem Verantwortlichen bestätigt worden sein muss:
In einer kleinen Struktur ohne eigene IT-Abteilung fällt diese Rolle in der Praxis der Geschäftsleitung oder der Person zu, die die Zugriffe auf die digitalen Werkzeuge des Unternehmens verwaltet.
Es ist der einzige bezifferte Turnus, der in den eingesehenen offiziellen Texten zu finden ist: Die CNIL empfiehlt eine regelmäßige Überprüfung der Berechtigungen in einer genau bestimmten Mindesthäufigkeit:
Diese Überprüfung ermöglicht es insbesondere, nach dem Ausscheiden eines Mitarbeiters vergessene Zugriffe aufzuspüren, jene, die beim Verfahren zum Ausscheiden durch die Maschen des Netzes geschlüpft sind.
Die DSGVO verpflichtet den Verantwortlichen, „alle zweckdienlichen Vorkehrungen“ zu treffen, um die Sicherheit der Daten zu wahren (Artikel 32). Es ist eine echte gesetzliche Pflicht, aber in Form angemessener Maßnahmen formuliert: Sie gibt für sich genommen nicht an, wie beim Ausscheiden eines Mitarbeiters vorzugehen ist. Erst die oben genannten Empfehlungen von ANSSI und CNIL liefern die konkrete Gebrauchsanweisung.
Kein Text schreibt eine Frist in Stunden vor, um die Zugriffe eines ausgeschiedenen Mitarbeiters zu trennen: weder gesetzliche „48 Std.“ noch „24 Std.“. Es gibt dagegen zwei genaue und belegte Anforderungen: die Zugriffe „beim Ausscheiden“ entziehen, ohne zu warten (ANSSI), und sämtliche Berechtigungen mindestens einmal jährlich überprüfen (CNIL), um nachzuholen, was vergessen wurde. Genau diese doppelte Kontrolle, unmittelbar nach jedem Ausscheiden und im Zeitverlauf überprüfbar, bietet Offboarding Express.
Einfache Antworten, jede gestützt auf eine überprüfbare offizielle Quelle (ANSSI, CNIL)
Zu diesem Thema gibt es keinen einzelnen Gesetzesartikel, der alles auflistet. Es sind zwei französische Behörden, die ANSSI für die Informationssicherheit und die CNIL für den Datenschutz, die offizielle Empfehlungen veröffentlichen. Hier steht, was sie tatsächlich sagen, ohne Übertreibung.
Kontaktieren Sie uns, um ein individuelles Angebot zu erhalten.