30 Okt. Ex-Mitarbeiter behalten digitale Zugänge: Ein unterschätztes Sicherheitsrisiko
Wenn Mitarbeiter ein Unternehmen verlassen, beginnt ein oft unterschätzter Prozess: die vollständige Rücknahme aller digitalen Zugriffsrechte. Doch wie eine aktuelle Erhebung zeigt, scheitert genau dieser Schritt in erschreckend vielen Fällen. Das Ergebnis: Ehemalige Angestellte behalten funktionierende Logins zu Unternehmensystemen – und nutzen diese mitunter sogar aktiv weiter. Für IT-Sicherheitsverantwortliche ist das ein Albtraum, der in der Praxis jedoch offenbar alltägliche Realität ist.
Die Zahlen sprechen eine deutliche Sprache
Lediglich 49 Prozent der befragten Unternehmen bestätigen, dass sie beim Ausscheiden eines Mitarbeiters tatsächlich alle digitalen Zugänge deaktivieren. Das bedeutet im Umkehrschluss: Bei mehr als der Hälfte aller Unternehmen bleiben ehemalige Mitarbeiter mit zumindest einem Teil ihrer alten Zugangsdaten im System – ob gewollt oder nicht. Diese Lücke ist keine Kleinigkeit, sondern ein potenzielles Einfallstor für Datenmissbrauch, Industriespionage oder schlicht ungewollten Datenzugriff.
Noch alarmierender ist das Verhalten auf der anderen Seite: 54 Prozent der befragten Ex-Mitarbeiter gaben an, nach ihrem Ausscheiden noch funktionierende Zugänge genutzt zu haben. Ob aus Bequemlichkeit, Neugierde oder mit konkreter Absicht – der Zugriff auf Unternehmensdaten durch Personen, die längst kein aktives Arbeitsverhältnis mehr haben, ist in jedem Fall ein massives Sicherheitsproblem und in vielen Fällen auch rechtlich problematisch.
Warum passiert das überhaupt?
Die Ursachen für das mangelhafte Offboarding digitaler Zugänge sind vielfältig. In vielen Unternehmen fehlt es schlicht an klar definierten Prozessen für den Austritt von Mitarbeitern. Während die Rückgabe von Firmeneigentum wie Laptops, Ausweisen oder Firmenwagen oft reibungslos funktioniert, geraten digitale Zugänge häufig in Vergessenheit – besonders dann, wenn Mitarbeiter Zugang zu einer Vielzahl von Cloud-Diensten, SaaS-Applikationen oder externen Plattformen hatten.
Ein weiterer Faktor ist die zunehmende Komplexität moderner IT-Landschaften. Unternehmen nutzen heute Dutzende, manchmal Hunderte verschiedener digitaler Werkzeuge. Von Projektmanagement-Tools über Kommunikationsplattformen bis hin zu spezialisierten Fachanwendungen – der Überblick über alle aktiven Zugänge eines einzelnen Mitarbeiters ist ohne strukturierte Prozesse und geeignete Werkzeuge kaum zu behalten. IT-Abteilungen und HR-Teams arbeiten zudem oft nicht eng genug zusammen, um sicherzustellen, dass beim Ausscheiden einer Person alle relevanten Systeme informiert werden.
Hinzu kommt, dass nicht alle Zugänge zentral verwaltet werden. Manche Mitarbeiter richten sich eigenständig Accounts bei externen Diensten ein und nutzen dabei teilweise sogar ihre dienstliche E-Mail-Adresse als Identifikationsmerkmal. Diese Schatten-IT entzieht sich häufig vollständig der Kontrolle der IT-Abteilung – und damit auch jeglichem strukturierten Offboarding.
Welche Risiken entstehen durch verwaiste Zugänge?
Die Konsequenzen aktiver oder passiver Zugänge ehemaliger Mitarbeiter können gravierend sein. Im harmlosesten Fall entstehen lediglich Compliance-Probleme, etwa wenn personenbezogene Daten durch nicht mehr autorisierte Personen einsehbar bleiben. In schwerwiegenderen Szenarien können ehemalige Mitarbeiter – bewusst oder unbewusst – auf vertrauliche Informationen zugreifen, diese kopieren oder sogar an Wettbewerber weitergeben.
Aber auch ohne böswillige Absicht sind verwaiste Accounts ein Risiko. Nicht mehr aktiv verwaltete Zugänge können von Cyberkriminellen als leichtes Angriffsziel genutzt werden. Ein inaktiver Account, dessen Passwort nie geändert wurde und für den keine Zwei-Faktor-Authentifizierung eingerichtet ist, stellt eine erhebliche Schwachstelle in der Sicherheitsarchitektur eines Unternehmens dar. Angreifer nutzen solche Konten gezielt, weil sie oft weniger überwacht werden als aktive Benutzerkonten.
Datenschutzrechtlich betrachtet ist die Situation ebenfalls heikel. Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen zu einem sorgsamen Umgang mit personenbezogenen Daten. Wenn ehemalige Mitarbeiter weiterhin Zugang zu solchen Daten haben, kann das zu empfindlichen Bußgeldern führen – ganz zu schweigen von Reputationsschäden im Falle eines öffentlich bekannten Datenschutzvorfalls.
Was Unternehmen jetzt tun sollten
Die Lösung liegt in einem strukturierten und konsequent umgesetzten Offboarding-Prozess, der digitale Zugänge explizit und vollständig berücksichtigt. Konkret bedeutet das: Jedes Unternehmen sollte über eine aktuelle und vollständige Übersicht aller Systeme und Dienste verfügen, zu denen Mitarbeiter Zugang haben. Diese Übersicht muss beim Ausscheiden einer Person systematisch abgearbeitet werden.
Technische Maßnahmen können dabei entscheidend helfen. Identity- und Access-Management-Systeme (IAM) ermöglichen es, alle Zugänge eines Nutzers zentral zu verwalten und mit einem einzigen Schritt zu deaktivieren. Single Sign-On (SSO) in Kombination mit einem zentralen Verzeichnis wie Active Directory oder einem modernen Cloud-Verzeichnis kann sicherstellen, dass das Deaktivieren eines einzigen Kontos automatisch den Zugang zu allen angebundenen Diensten sperrt.
Darüber hinaus empfiehlt sich eine enge Zusammenarbeit zwischen HR, IT und den jeweiligen Fachabteilungen. Ein klarer Prozess, der festlegt, wer wann welche Schritte einleitet und dokumentiert, sorgt dafür, dass beim Offboarding nichts vergessen wird. Regelmäßige Audits bestehender Zugriffsrechte helfen zudem dabei, verwaiste Accounts frühzeitig zu identifizieren und zu schließen – unabhängig davon, ob gerade jemand das Unternehmen verlässt.
Fazit
Die vorliegenden Zahlen machen deutlich, dass das Thema digitales Offboarding in vielen Unternehmen noch immer stiefmütterlich behandelt wird. Wenn nur knapp die Hälfte der Unternehmen konsequent alle Zugänge deaktiviert und gleichzeitig mehr als die Hälfte der Ex-Mitarbeiter diese Lücken aktiv nutzt, besteht dringender Handlungsbedarf. Digitale Zugänge sind genauso wertvolles und schützenswertes Unternehmenseigentum wie physische Ressourcen – und sollten entsprechend behandelt werden. Wer jetzt in strukturierte Offboarding-Prozesse und geeignete IAM-Lösungen investiert, schützt nicht nur seine Daten, sondern auch seinen Ruf und seine Wettbewerbsfähigkeit.
Quelle: Sicherheitsrisiko: Arbeitgeber löschen häufig nicht die digitalen Zugänge ihrer Ex-Mitarbeiter
Dieser Beitrag wurde mit KI-Unterstützung erstellt.