Wenn ein Mitarbeiter ein Unternehmen verlässt, gibt es in der Regel eine bewährte Checkliste, die abgearbeitet werden muss. Laptops werden zurückgegeben, die Gehaltsabrechnung wird aktualisiert, Austrittsgespräche finden statt, und die Vorgesetzten beginnen mit der Planung der Arbeitsübergabe. Schon bald hat sich jeder wieder auf Neues konzentriert, und die Aufmerksamkeit richtet sich auf die Besetzung der freien Stelle.
Hinter den Kulissen sollte jedoch ein weiterer Prozess ablaufen. Benutzerkonten müssen deaktiviert, Berechtigungen entzogen, der Zugriff auf freigegebene Laufwerke überprüft und Anwendungen von Drittanbietern aktualisiert werden. Auch wenn diesen Aufgaben selten dieselbe Aufmerksamkeit geschenkt wird wie dem Personalprozess, sind sie doch ebenso wichtig. Jedes Konto, das aktiv bleibt, und jede übersehene Berechtigung schafft eine weitere Möglichkeit, dass sensible Informationen in die falschen Hände geraten.
Das Offboarding wird oft als reine Verwaltungsaufgabe betrachtet, doch aus Sicht der Cybersicherheit ist es eine der wichtigsten Kontrollmaßnahmen, über die ein Unternehmen verfügt. Die Qualität dieses Prozesses entscheidet darüber, ob ehemalige Mitarbeiter das Unternehmen lediglich mit ihren Erinnerungen verlassen oder ob sie noch lange nach ihrem Ausscheiden weiterhin Zugriff auf Systeme und Informationen haben.
Zugriffsrechte neigen dazu, sich auszuweiten
Die meisten Mitarbeiter treten einer Organisation nicht mit Zugriff auf alle Systeme bei, die sie jemals benötigen werden. Zugriffsrechte werden nach und nach hinzugefügt, wenn Mitarbeiter ihre Rolle wechseln, an Projekten mitarbeiten, zusätzliche Aufgaben übernehmen oder für Kollegen einspringen. Im Laufe mehrerer Jahre kann es leicht vorkommen, dass jemand Zugriff auf Dutzende verschiedener Anwendungen, freigegebener Ordner und Cloud-Plattformen erhält, ohne dass jemand inne hält, um zu prüfen, ob all dies noch erforderlich ist.
Übermäßige oder veraltete Zugriffsrechte stellen in jeder Phase ein Sicherheitsrisiko dar, weshalb die Berechtigungen regelmäßig überprüft werden sollten. Wenn eine Person das Unternehmen verlässt, ohne dass ihre Zugriffsrechte entzogen werden, erhöht sich dieses bestehende Risiko noch weiter.
Die Entziehung von Zugriffsrechten ist oft weitaus komplizierter als deren Erteilung, insbesondere in Organisationen, die auf zahlreiche Geschäftsanwendungen und Tools für die Zusammenarbeit angewiesen sind. Manche Berechtigungen lassen sich problemlos widerrufen, während andere leicht übersehen werden, da sie von verschiedenen Teams verwaltet werden oder außerhalb zentraler Identitätssysteme liegen.
Eine Studie von IBM verdeutlicht, warum dies von Bedeutung ist. Der „Cost of a Data Breach Report“ des Unternehmens ergab, dass gestohlene oder kompromittierte Zugangsdaten den häufigsten ersten Angriffsvektor darstellten und für 16 % der Sicherheitsvorfälle verantwortlich waren, was unterstreicht, wie wertvoll legitime Konten für Angreifer sind. Wenn ein Konto nicht ordnungsgemäß deaktiviert wurde oder wenn Berechtigungen auch nach dem Ausscheiden einer Person bestehen bleiben, können diese Zugangsdaten einen direkten Zugang zum Unternehmen ermöglichen.
Was geschieht, wenn die Zugriffsrechte nicht entzogen werden?
Lücken beim Offboarding sind in der Regel das Ergebnis mehrerer kleiner Versäumnisse, die für sich genommen unbedeutend erscheinen, in ihrer Gesamtheit jedoch weitaus schwerwiegender werden.
Ein Microsoft 365-Konto wird möglicherweise deaktiviert, doch der Zugriff auf eine Projektmanagement-Plattform wird dabei vergessen. Ein Auftragnehmer hat seinen Auftrag abgeschlossen, doch sein Konto bleibt aktiv, da niemand daran denkt, es zu löschen. Ein gemeinsames Postfach bleibt zugänglich, oder Administratorrechte, die im Rahmen eines kurzfristigen Projekts gewährt wurden, werden nie widerrufen. Keine dieser Situationen ist ungewöhnlich, insbesondere in größeren Unternehmen, in denen Mitarbeiter täglich Dutzende verschiedener Systeme nutzen.
Erlangt ein Angreifer Zugriff auf eines dieser vergessenen Konten, muss er sich nicht erst durch mehrere Sicherheitsebenen kämpfen. Er erhält sofort alle Berechtigungen, über die der betreffende Benutzer noch verfügt – sei es der Zugriff auf vertrauliche Dokumente, Kundendaten, Finanzsysteme oder die interne Kommunikation. Was als routinemäßige Aufgabe im Rahmen der Mitarbeiterabmeldung begann, kann sich schnell zu einem weitaus schwerwiegenderen Sicherheitsvorfall entwickeln.
Interne Bedrohungen sind nicht immer vorsätzlich
Der Begriff „Insider-Bedrohung“ lässt oft an jemanden denken, der vor seinem Ausscheiden aus einem Unternehmen absichtlich Informationen entwendet. Zwar kommen solche Vorfälle tatsächlich vor, doch sie stellen nur einen Teil des Gesamtbildes dar.
Viele Insider-Risiken entstehen, weil alltägliche Abläufe nicht ordnungsgemäß abgeschlossen wurden. Ein ehemaliger Mitarbeiter hat möglicherweise weiterhin Zugriff auf ein gemeinsames Laufwerk, weil die Zugriffsrechte nie entzogen wurden, oder ein befristet beschäftigter Auftragnehmer behält möglicherweise noch Monate nach Abschluss eines Projekts Zugriff auf Cloud-Anwendungen. In manchen Fällen bemerkt gar niemand, dass ein Konto noch existiert, bis ungewöhnliche Aktivitäten festgestellt werden.
Genau das macht das Offboarding zu einem so wichtigen Bestandteil der Cybersicherheit. Das Ziel besteht darin, sicherzustellen, dass Mitarbeiter nur Zugriff auf die Informationen haben, die sie tatsächlich benötigen, und zwar nur so lange, wie sie diese benötigen.
Das Offboarding ist eine gemeinsame Verantwortung
Die effektivsten Offboarding-Prozesse bringen die Personalabteilung, die IT, die Sicherheitsabteilung und die Vorgesetzten zusammen, sodass jeder seine Rolle bei der Aufhebung von Zugriffsrechten, dem Schutz von Daten und der Minimierung unnötiger Risiken versteht.
Die Personalabteilung ist oft als Erste darüber informiert, wenn jemand das Unternehmen verlässt, weshalb eine rechtzeitige Kommunikation von entscheidender Bedeutung ist. Führungskräfte haben den besten Überblick über die Systeme und Informationen, auf die ein Mitarbeiter Zugriff hat, während IT- und Sicherheitsteams dafür verantwortlich sind, Konten zu deaktivieren, Berechtigungen zu entziehen und zu überprüfen, ob der Zugriff auf allen Plattformen widerrufen wurde. Wenn diese Teams isoliert voneinander arbeiten, kann es viel leichter passieren, dass etwas übersehen wird.
Die Herausforderung hat sich noch weiter verschärft, da Unternehmen zunehmend auf cloudbasierte Anwendungen umsteigen. Die Mitarbeiter nutzen mittlerweile eine Vielzahl von Tools für die Zusammenarbeit, Kundenbeziehungsmanagementsystemen, Finanzplattformen und Spezialsoftware, von denen viele nicht einheitlich verwaltet werden. Ohne einen klaren Offboarding-Prozess kann es leicht vorkommen, dass Konten aktiv bleiben, weil niemand bemerkt hat, dass sie überhaupt existieren.
Bessere Gewohnheiten beim Offboarding entwickeln
Technologie kann Teile des Offboarding-Prozesses automatisieren, ersetzt jedoch keine gute Unternehmensführung. Unternehmen benötigen nach wie vor eine klare Zuständigkeit für den Offboarding-Prozess, einheitliche Verfahren zur Löschung von Konten und Berechtigungen sowie regelmäßige Überprüfungen der Zugriffsrechte, um sicherzustellen, dass die Benutzerrechte weiterhin den aktuellen Rollen und Verantwortlichkeiten entsprechen.
Dies beginnt damit, dass man sich zunächst einen Überblick darüber verschafft, auf welche Ressourcen die Mitarbeiter überhaupt Zugriff haben. Regelmäßige Zugriffsprüfungen helfen dabei, nicht mehr benötigte Berechtigungen zu identifizieren, während die Führung eines genauen Bestandsverzeichnisses der Anwendungen es erheblich erleichtert, Zugriffsrechte zu entziehen, wenn ein Mitarbeiter das Unternehmen verlässt. Automatisierte Arbeitsabläufe können zudem dazu beitragen, dass Aufgaben nicht vergessen werden, insbesondere in größeren Organisationen, in denen mehrere Teams beteiligt sind.
Das Offboarding sollte nicht nur eine Aufgabe sein, die am letzten Arbeitstag eines Mitarbeiters erledigt wird. Regelmäßige Überprüfungen inaktiver Konten, privilegierter Benutzer und Drittsysteme können Konten aufdecken, die übersehen wurden, und so die Wahrscheinlichkeit verringern, dass vergessene Zugriffsrechte zu einem zukünftigen Sicherheitsproblem werden.
Das Offboarding als Bestandteil Ihrer Sicherheitskultur
Mitarbeiter müssen verstehen, warum das Offboarding wichtig ist und wie scheinbar routinemäßige Abläufe langfristige Auswirkungen auf die Sicherheit haben können.
Führungskräfte müssen sich bewusst sein, wie wichtig es ist, die IT-Abteilung unverzüglich zu benachrichtigen, bevor jemand das Unternehmen verlässt. Projektverantwortliche sollten regelmäßig überprüfen, wer Zugriff auf gemeinsam genutzte Arbeitsbereiche und Anwendungen hat. Mitarbeiter sollten sich nicht scheuen, auf Konten oder Berechtigungen hinzuweisen, die nicht mehr angemessen erscheinen, insbesondere nach organisatorischen Veränderungen oder lang andauernden Projekten.
Durch die Schaffung dieses Bewusstseins gelingt es Unternehmen, das Offboarding nicht mehr nur als administrativen Vorgang zu betrachten. Stattdessen wird es zu einer weiteren Möglichkeit, Angriffsmöglichkeiten einzudämmen und sensible Informationen während des gesamten Mitarbeiterlebenszyklus zu schützen.
Genau hier kommt regelmäßigen Schulungen zur Sensibilisierung für Sicherheitsfragen eine wichtige Rolle zu. Anstatt sich allein auf Richtlinien zu verlassen, müssen die Mitarbeiter verstehen, wie mangelhafte Kommunikation, vergessene Berechtigungen und unvollständige Abmeldeprozesse echte Sicherheitsrisiken verursachen können.
„Cyber Police“ ist die Live-Action-Serie von MetaCompliance zur Sensibilisierung für Cybersicherheit, die moderne Cyberbedrohungen anhand realistischer Geschichten aus dem Arbeitsalltag anschaulich darstellt. Mithilfe professioneller Schauspieler, glaubwürdiger Charaktere und inszenierter Angriffe zeigt die Serie, wie scheinbar routinemäßige Geschäftsprozesse – wie das Ausscheiden von Mitarbeitern, die Verwaltung von Benutzerzugriffen und das Entziehen von Berechtigungen – Cyberkriminellen Angriffsmöglichkeiten eröffnen können und wie kleine Unachtsamkeiten schnell zu schwerwiegenden Sicherheitsvorfällen eskalieren können.
Indem die Mitarbeiter diese Situationen im Kontext mitverfolgen, gewinnen sie ein besseres Verständnis dafür, warum jede Phase des Offboarding-Prozesses von Bedeutung ist und wie ihr eigenes Handeln dazu beiträgt, die Sicherheit des Unternehmens zu gewährleisten.
Cyber Police macht das Thema Sicherheitsbewusstsein zu etwas, mit dem sich die Mitarbeiter wirklich auseinandersetzen
Anstatt sich allein auf Theorie zu stützen, versetzt jede Folge die Zuschauer in realistische Situationen am Arbeitsplatz und zeigt, wie alltägliche Entscheidungen, Kommunikation und Geschäftsprozesse das Cyberrisiko beeinflussen können.
Die Reihe deckt alle Themen ab – von Phishing und Ransomware bis hin zu Insider-Bedrohungen, Deepfakes und KI-gestützten Angriffen – und regt zur Diskussion an, festigt sicheres Verhalten und hilft den Mitarbeitern, das Gelernte in der Praxis anzuwenden.
Besuchen Sie unsere „Cyber Police“-Seite, um eine kostenlose Folge anzusehen, die gesamte Serie zu entdecken oder mit unserem Team darüber zu sprechen, wie Sie in Ihrem Unternehmen ein storybasiertes Schulungsprogramm zur Sensibilisierung für Cybersicherheit einführen können.
Erfahren Sie mehr über Cyber Police und entdecken Sie, wie geschichtenbasierte Sensibilisierungsschulungen Unternehmen dabei helfen, nachhaltige Sicherheitsverhalten zu etablieren, die über die reine Einhaltung von Vorschriften hinausgehen.
Häufig gestellte Fragen zum Ausscheiden aus dem Unternehmen
Was versteht man unter einer internen Bedrohung?
Eine Insider-Bedrohung ist jedes Sicherheitsrisiko, das von einer Person ausgeht, die über legitimen Zugriff auf die Systeme oder Daten eines Unternehmens verfügt. Dazu können aktuelle Mitarbeiter, Auftragnehmer, Zeitarbeitskräfte oder ehemalige Mitarbeiter gehören, deren Zugriffsrechte noch nicht entzogen wurden. Während manche Insider-Bedrohungen vorsätzlich erfolgen, entstehen viele davon dadurch, dass Konten, Berechtigungen oder Zugriffsrechte bestehen bleiben, obwohl sie nicht mehr benötigt werden.
Warum ist das Offboarding für die Cybersicherheit wichtig?
Das Offboarding ist mehr als nur ein Personalprozess. Es trägt dazu bei, sicherzustellen, dass Mitarbeiter und Auftragnehmer nach ihrem Ausscheiden aus einem Unternehmen keinen Zugriff mehr auf Systeme, Anwendungen und Daten haben. Bleiben Konten aktiv oder werden Berechtigungen nicht entzogen, können sie zu einem leichten Ziel für Angreifer werden oder Möglichkeiten für unbefugten Zugriff eröffnen.
Welche Risiken gehen von inaktiven Benutzerkonten aus?
Inaktive Konten können Angreifern einen Zugang zu einem Unternehmen verschaffen, wenn sie kompromittiert werden. Da diese Konten oft weniger Beachtung finden als aktive Benutzer, bleiben verdächtige Aktivitäten möglicherweise unbemerkt, während Angreifer vorhandene Berechtigungen nutzen, um auf Systeme, Daten oder gemeinsam genutzte Ressourcen zuzugreifen.
Wie können Unternehmen ihren Offboarding-Prozess verbessern?
Ein solider Offboarding-Prozess sollte die Deaktivierung von Benutzerkonten, die Aufhebung des Zugriffs auf alle Unternehmenssysteme, die Überprüfung von Berechtigungen, die Rückforderung von Unternehmensgeräten sowie die regelmäßige Überprüfung inaktiver Konten umfassen.
Eine klare Kommunikation zwischen der Personalabteilung, den Führungskräften, der IT-Abteilung und den Sicherheitsteams trägt ebenfalls dazu bei, dass nichts übersehen wird.
Inwiefern hilft Cyber Police den Mitarbeitern dabei, Insider-Bedrohungen zu verstehen?
„Cyber Police“ veranschaulicht anhand realistischer Geschichten aus dem Arbeitsalltag, wie alltägliche Geschäftsprozesse Sicherheitsrisiken mit sich bringen können. Indem Szenarien wie vergessene Konten, mangelhafte Kommunikation und unvollständige Abmeldung in dramatischer Form dargestellt werden, erhalten die Mitarbeiter ein besseres Verständnis dafür, wie interne Bedrohungen entstehen und warum gute Sicherheitsgewohnheiten über die Abwehr von Phishing-E-Mails hinausgehen.