Probleme · Ablage, Dokumente & Zusammenarbeit
Microsoft-365-Offboarding: Was gehört auf die Checkliste?
Kurz gesagt
Beim Microsoft-365-Offboarding beendest du zuerst den Zugriff: Anmeldung blockieren, Sitzungen widerrufen, Admin-Rollen und Geräte behandeln. Dann übergibst du E-Mail, OneDrive, Eigentümerschaften in Teams und Gruppen sowie Flows und Verbindungen. Lizenz entfernen und Konto löschen sind eigene Schritte, die erst nach fachlicher Freigabe folgen.
Für wen das gilt
Für KMU, in denen Mitarbeitende austreten und Personalverantwortung, Vorgesetzte und IT den Ablauf gemeinsam regeln müssen. Das Thema gehört zum Zeitdieb Ablage, Dokumente & Zusammenarbeit.
Zwei Ziele gelten gleichzeitig: Der Zugriff der austretenden Person endet rechtzeitig, und geschäftlich benötigte Informationen bleiben kontrolliert verfügbar. Wer das Konto löscht, bevor E-Mail, OneDrive, Teams, Gruppen, Geräte und Automationen geprüft sind, erzeugt unnötigen Zeitdruck.
Auf einen Blick: Was die Person in Microsoft 365 besitzt
| Bereich | Was du prüfst |
|---|---|
| E-Mail und Kalender | freigegebenes Postfach, Weiterleitung oder automatische Antwort, mit Dauer |
| OneDrive | Zugriff für eine berechtigte Person, relevante Inhalte gezielt übernehmen |
| Teams und Gruppen | Mitgliedschaften und Eigentümerschaften, private und freigegebene Kanäle |
| SharePoint | Websites, Listen, Bibliotheken, wichtige Freigabelinks |
| Power Automate und Power Apps | Besitz, Mitbesitz, Verbindungen, fachliche Stellvertretung |
| Gemeinsame Postfächer, Verteiler | Mitgliedschaften entfernen oder übertragen |
| Geräte, Sitzungen, Admin-Rollen | sperren, widerrufen, entfernen |
Eine Zahl mit Herkunft: Microsoft erlaubt für OneDrive-Dateien gelöschter Benutzer eine Aufbewahrung von 30 bis 3650 Tagen, einstellbar im SharePoint Admin Center (Microsoft-Dokumentation, im Ursprungsartikel geprüft im September 2026). Die Frist beginnt mit der Kontolöschung.
Aus der Praxis
Drei Stellen werden beim Austritt am häufigsten übersehen:
- Flows: Ein produktiver Flow kann an Identität, Verbindungen oder Berechtigungen der austretenden Person hängen. Ein Besitzerwechsel ersetzt nicht automatisch jede Verbindung. Teste den Ablauf nach der Übergabe mit einem realistischen Fall. Wie du solche Abhängigkeiten früh vermeidest, steht in Wer ist zuständig, wenn ein Power-Automate-Flow ausfällt?.
- Links: Wer eine Datei kopiert, erhält nicht automatisch jeden Link, Workflow, jede Metadaten-Angabe oder Berechtigung.
- Eigentümerschaften: Dateien in Teams-Kanälen liegen in SharePoint. Die austretende Person kann trotzdem Eigentümerin eines Teams, einer Gruppe oder einer Website sein. Setz neue Eigentümer, bevor das Konto verschwindet.
Ein Team-Eigentümer erhält übrigens nicht automatisch Zugriff auf persönliche Chats. Für eine rechtliche Sicherung braucht es ein festgelegtes Vorgehen über Compliance oder eDiscovery.
Ehrlich gesagt
Ein standardisierter Ablauf reduziert Auslassungen, ersetzt aber keine Einzelfallprüfung. Bei administrativen Rollen, laufenden Rechtsfällen, privaten Geräten oder ungeklärtem Dateneigentum gehört die zuständige Fachstelle dazu. Fristen, Lizenzfolgen und Funktionen hängen von Mandant, Lizenz und den aktuellen Microsoft-Bedingungen ab.
Und: Ein Konto soll nicht bestehen bleiben, nur weil die Übergabe ungeklärt ist. Gelöscht wird es aber erst, wenn sie abgeschlossen ist.
So gehst du vor
1. Vorbereiten
- Austrittsdatum bestätigen und Freigaben klären.
- Konto, Rollen und Besitz inventarisieren (Tabelle oben).
- Übergabe festlegen und künftige Eigentümer bestimmen.
- Klären, wer nach dem Austritt Anfragen bearbeitet.
2. Zugriff beenden
- Anmeldung blockieren und aktive Sitzungen widerrufen.
- Firmengeräte zurücknehmen oder sperren.
- Admin-Rollen und privilegierte Zugänge entfernen.
- Externe Weiterleitungen, Freigaben und App-Zustimmungen prüfen.
- Zeitpunkt und ausführende Person dokumentieren.
3. Inhalte übergeben
- E-Mail-Vorgehen einrichten und befristen.
- OneDrive-Zugriff für eine berechtigte Person; nicht pauschal alles kopieren, sondern Ziel, Berechtigung und Struktur festlegen.
- Eigentümerschaften in Teams und Gruppen ersetzen.
- Flows und Verbindungen übertragen und testen.
4. Bereinigen
Vor der Löschung prüfst du: Zugriff vollständig beendet? Inhalte übergeben? Eigentümer und Verbindungen ersetzt? Aufbewahrung oder Löschung rechtlich geklärt? Mandanteneinstellungen für OneDrive, Exchange und Purview geprüft? Kontolöschung fachlich freigegeben? Dann Lizenz und Konto entfernen, Übergangslösungen terminieren, Fristen dokumentieren.
Wie du eine Wiederherstellung prüfst, zeigt Microsoft-365-Backup: Wie teste ich die Wiederherstellung?. Wer welche Rechte hat, regelst du am besten schon vorher: Wie plane ich Berechtigungen in Microsoft 365 richtig?. Was BITS für einen sauberen Ablauf verrechnet, steht auf der Preisseite.
Häufige Fragen
Reicht es, das Passwort zu ändern?
Nein. Ein Kennwortwechsel beendet nicht zwingend jede aktive Sitzung. Blockiere die Anmeldung und widerrufe die Sitzungen. In einer Hybridumgebung mit lokalem Active Directory änderst du das Konto an der führenden Quelle und lässt es synchronisieren.
Was passiert mit dem Postfach?
Ein Benutzerpostfach lässt sich unter den von Microsoft beschriebenen Voraussetzungen in ein freigegebenes Postfach umwandeln, oder du richtest eine Weiterleitung ein. Lege Zweck, Zugriff und Dauer fest und bestimme, wer die Übergangslösung beendet.
Wie lange bleiben OneDrive-Dateien nach dem Löschen erhalten?
Das hängt von deiner Mandanteneinstellung ab. Microsoft erlaubt im SharePoint Admin Center eine Aufbewahrung von 30 bis 3650 Tagen für OneDrive-Dateien gelöschter Benutzer, gezählt ab der Kontolöschung. Prüfe den tatsächlichen Wert vorher.
Kann ich mich auf die Wiederherstellungsfenster von Microsoft verlassen?
Nicht als Archivstrategie. Aufbewahrung, Papierkorb, Wiederherstellungsfenster und Backup lösen unterschiedliche Aufgaben. Ein Backup bietet einen zusätzlichen Weg, wenn Produkt, Datenquelle, Zeitraum und Zielart das unterstützen.
Wer entscheidet, welche Daten übergeben werden?
Die fachlich verantwortliche Stelle. Die IT zeigt Speicherorte und Berechtigungen auf, entscheidet aber nicht allein über geschäftliche oder gesetzliche Relevanz. Aufbewahrungs- und Löschpflichten sind separat zu beurteilen.
