Wenn ein Mitarbeiter geht: die Liste der Zugänge

Die Folge beschreibt das BSI gleich mit: In so einem Fall können „bei Ausscheiden von Mitarbeitenden aus der Institution nicht in einem Arbeitsschritt alle Zugänge gesperrt werden“.

Deshalb braucht es eine Liste. Hier ist sie, zum Abhaken, mit dem, was das BSI verlangt, und mit einer Rechtsfrage zum Postfach, bei der die naheliegende Antwort die falsche ist.

Das BSI formuliert es als Basis-Anforderung in ORP.4.A2: „Bei personellen Veränderungen MÜSSEN die nicht mehr benötigten Benutzendenkennungen und Berechtigungen entfernt werden.“

Das gilt auch für die Versetzung. Das BSI nennt ausdrücklich die Gefahr, dass Leute beim Wechsel in eine andere Abteilung ihre alten Rechte behalten und „mit der Zeit umfangreiche Gesamtberechtigungen ansammeln“.

Und es gilt nur, wenn man weiß, was es gibt. ORP.4.A3 verlangt, dass dokumentiert wird, welche Kennungen angelegt wurden. Ohne diese Aufstellung gibt es keine Liste zum Abhaken.

Wer angemeldet ist, bleibt angemeldet, bis seine Sitzung abläuft. Microsoft schreibt über gestohlene Anmeldungen, ein Angreifer könne sich damit als das Opfer ausgeben, „until the token expires or is revoked“.

Für einen ausgeschiedenen Mitarbeiter gilt dasselbe. Ein Handy, auf dem Outlook noch angemeldet ist, bleibt angemeldet, auch wenn Sie das Passwort geändert haben.

Deshalb gehört das Widerrufen der Sitzungen als eigener Schritt auf die Liste. Wie das geht, hängt am System. In Microsoft 365 steht dafür beim Benutzer im Admin Center ein eigener Punkt. Er wirkt nicht sofort, laut Microsoft muss sich die Person spätestens nach einer Stunde neu anmelden.

Wichtig ist, dass es auf der Liste steht und abgehakt wird.

Hier liegt eine verbreitete Gewohnheit, und sie ist gut gemeint. Das Postfach des Ausgeschiedenen wird auf den Nachfolger umgeleitet, damit keine Kundenanfrage verloren geht.

Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt sieht das anders. In ihrem Papier zum Ausscheiden von Beschäftigten, Stand August 2025, schreibt sie:

„Demgemäß ist es auch nicht möglich, E-Mails an die Adresse der Ausgeschiedenen einfach an ein E-Mail-Postfach eines Vertreters oder Nachfolgers weiterzuleiten bzw. ihm Zugriff auf das Postfach des Ausgeschiedenen zu gewähren.“

Und das gilt auch dann, wenn private Mails im Betrieb verboten waren. Die Begründung der Behörde: Auch dann ist mit privaten Nachrichten zu rechnen, und für deren Kenntnisnahme fehlt die Rechtsgrundlage.

Was sie stattdessen für den Regelfall sagt: das Postfach „unverzüglich“ deaktivieren. Wer dann schreibt, bekommt eine Meldung, dass die Adresse nicht mehr zustellbar ist, und sucht sich einen neuen Kontakt.

Eine ganz kurze Übergangszeit hält die Behörde im Einzelfall für denkbar, vor allem wenn private Inhalte ausgeschlossen sind. Das nennt sie aber „vorrangig eine arbeitsrechtliche Fragestellung“.

Das Papier stammt aus Sachsen-Anhalt. Für Betriebe in Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz NRW zuständig.

Ob ein Arbeitgeber, der private Mails erlaubt, das Fernmeldegeheimnis wahren muss, ist nicht abschließend geklärt. Die Behörde schreibt selbst: „eine abschließende höchstrichterliche Klärung steht noch aus“.

Diesen Streit können Sie umgehen. Die Datenschutzkonferenz der Aufsichtsbehörden empfiehlt, die private Nutzung des dienstlichen Postfachs nicht zu erlauben. Wer privat schreiben will, nimmt seine eigene Webmail.

Das klärt die Frage nach dem Fernmeldegeheimnis. Das Weiterleiten an den Nachfolger bleibt nach Ansicht der Behörde aus Sachsen-Anhalt trotzdem heikel.

Deshalb kommen Funktionspostfächer dazu. Die Behörde schreibt, sie seien im Grundsatz „vorzuziehen“. Ein Postfach wie einkauf@ kann einfach jemand anderes weiterführen.

Beides muss man lange vor dem letzten Arbeitstag entscheiden. Deshalb steht es oben unter „Beim Einstellen“.

„Das Postfach müssen wir zehn Jahre aufheben“ ist ein verbreiteter Satz, und er stimmt so nicht.

Das Handelsgesetzbuch verlangt die Aufbewahrung von Handelsbriefen, und zwar sechs Jahre. Handelsbriefe sind nach § 257 Abs. 2 HGB aber „nur Schriftstücke, die ein Handelsgeschäft betreffen“. Nicht jede Mail ist also ein Handelsbrief. Welche es sind, sieht man im Voraus aber selten.

Buchungsbelege sind seit dem 1. Januar 2025 acht Jahre aufzubewahren, nicht mehr zehn. Zehn Jahre gelten für Handelsbücher, Inventare und Jahresabschlüsse.

Deshalb gehört das geschäftliche Postfach ins Archiv, bevor es abgeschaltet wird. Bis die Fristen abgelaufen sind, wird aus dem Archiv nichts gelöscht. Welche Mails bei Ihnen aufbewahrungspflichtig sind, klärt Ihr Steuerbüro.

Wie so ein Archiv in Microsoft 365 aussieht, steht auf unserer Seite zur E-Mail-Archivierung.

Bei einer fristlosen Trennung ohne Einvernehmen rät die Behörde, die Kommunikationspartner „schnellstmöglich direkt zu informieren“ und das persönliche Postfach zu deaktivieren. Auf private Inhalte soll der Arbeitgeber dann möglichst nicht zugreifen.

Wenn das Vertrauen weg ist, empfiehlt sie neutrale Dritte als Unterstützung, etwa den Betriebsrat, den Datenschutzbeauftragten oder einen Rechtsanwalt.

Die Liste oben kann jeder Betrieb selbst führen. Die meisten Punkte brauchen keinen Techniker, nur jemanden, der zuständig ist und am letzten Tag daran denkt.

Wenn Sie nicht wissen, wer bei Ihnen heute überhaupt noch reinkommt, gehen wir alle Zugänge einmal durch. Das beschreiben wir auf So rechnen wir ab. Und wie der Passwortmanager dabei mitspielt, steht in Passwortmanager im Team.