IT-Offboarding-Checkliste 2026: vergessene App-Zugriffe, OAuth-Freigaben und API-Schlüssel (kostenlose Vorlage)

Wenn jemand das Unternehmen verlässt, deckt die HR-Checkliste den Laptop, den Ausweis und die letzte Gehaltsabrechnung ab. Die IT deaktiviert das E-Mail-Konto und hakt die Sache ab. Was meist überlebt, ist alles, was nie ein Passwort war: die OAuth-Freigabe, die jemand einem Reporting-Tool erteilt hat, der API-Schlüssel, der in ein Skript kopiert wurde, das persönliche Zugriffstoken in einer CI-Pipeline, die Zapier-Automatisierung, die unter dem eigenen Namen läuft, und die geteilten Admin-Passwörter, die die Person hundertmal gelesen hat.

Diese Checkliste konzentriert sich auf genau diese vergessene Ebene. Sie können die Vorlage herunterladen und sie unverändert für jeden Austritt verwenden.

Die kurze Antwort

Eine vollständige IT-Offboarding-Checkliste hat drei Ebenen: die Identität (SSO-Konto, Sitzungen, MFA), die delegierten Zugriffe (OAuth-Freigaben, API-Schlüssel, Tokens, Integrationen) und die geteilten Geheimnisse (Passwörter, die die Person sehen konnte). Die meisten Teams kümmern sich nur um die erste. Über die zweite und dritte behalten ehemalige Mitarbeitende, oder Angreifer, die deren Zugangsdaten gestohlen haben, monatelang Zugriff.

Warum "Konto deaktivieren" nicht reicht: der Fall ConnectWise im Oktober 2026

Am 16. Oktober 2026 veröffentlichte ConnectWise eine Sicherheitsmeldung über unbefugten Zugriff auf Anwendungsidentitäten, die mit seinem Dienst Cloud Backup (früher SkyKick) verbunden waren. Das Unternehmen deaktivierte am 17. Oktober um 07:00 UTC sieben Anwendungsidentitäten und widerrief die Zertifikate der betroffenen Verbindungen. Selbst dann warnte die eigene Meldung: "previously issued access tokens may remain usable until they expire or are otherwise invalidated." (Zuvor ausgestellte Zugriffstokens können bis zu ihrem Ablauf oder einer anderweitigen Ungültigmachung nutzbar bleiben.)

Dieser Satz fasst das ganze Problem des Offboardings in einer Zeile zusammen. Wer die Haustür abschließt, sammelt damit nicht die bereits verteilten Schlüssel ein. Die von ConnectWise empfohlenen Maßnahmen für Kunden lesen sich wie eine Offboarding-Checkliste: "application credentials and federation trusts" (Anwendungs-Zugangsdaten und Federation-Vertrauensstellungen), "consent grants" (Einwilligungsfreigaben) und "recent policy changes" (kürzliche Richtlinienänderungen) prüfen, nach "unauthorized mailbox forwarding and inbox rules" (unbefugten Postfach-Weiterleitungen und Posteingangsregeln) suchen, die "sign-ins" (Anmeldungen) ab Beginn des Vorfallszeitraums prüfen und "do not delete the application as the first response" (die Anwendung nicht als erste Reaktion löschen), damit Konfiguration und Beweise erhalten bleiben.

Eine ausscheidende Person ist dieselbe Situation im kleineren Maßstab: eine Identität mit delegierten Zugriffen, verteilt auf Tools, von denen Sie vielleicht nicht einmal wissen. (ConnectWise Trust Advisories, gelesen am 18. Oktober 2026.)

Kostenlose Vorlage herunterladen

Die Vorlage ist eine CSV-Datei, die sich direkt in Excel, Google Sheets, LibreOffice oder Numbers öffnen lässt. Jede Zeile ist eine Maßnahme, mit Phase, verantwortlicher Person, Frist relativ zum letzten Arbeitstag, Prüfmethode sowie Spalten zum Abhaken und Datieren.

IT-Offboarding-Checkliste als Vorlage herunterladen (CSV)

So verwenden Sie sie: Duplizieren Sie die Datei für jeden Austritt, löschen Sie die Zeilen für Tools, die Sie nicht nutzen, fügen Sie für jedes Tool aus Ihrer App-Bestandsliste eine Zeile hinzu und legen Sie die ausgefüllte Datei zur Personalakte. Eine ausgefüllte und datierte Checkliste ist außerdem genau das, was ein Auditor sehen möchte.

Die Checkliste, Phase für Phase

Vor dem letzten Arbeitstag: die Bestandsliste erstellen

Sie können nichts widerrufen, was Sie nicht erfasst haben. Beginnen Sie damit, sobald der Austritt feststeht.

• Erfassen Sie jede App, die die Person nutzt. Ihr SSO-Portal zeigt die mit dem Identitätsanbieter verbundenen Apps. Ergänzen Sie die Tools außerhalb von SSO: Abrechnung, Social-Media-Konten, den Domain-Registrar, Lieferantenportale, alles, wofür man sich mit einer geschäftlichen E-Mail-Adresse registriert hat.
• Erfassen Sie, was die Person besitzt, nicht nur, was sie nutzt. Geteilte Laufwerke und Dateien, Automatisierungen (Zapier, Make, Power Automate), geplante Skripte, Bots, Webhooks, DNS- und Domain-Einträge, Cloud-Ressourcen. Genau die Eigentümerschaft bricht weg, wenn das Konto gelöscht wird.
• Erfassen Sie die Geheimnisse, die die Person kennt. Jedes geteilte Passwort, jeden WLAN-Schlüssel, jeden Alarm- oder Türcode und jedes Notfallkonto (Break-Glass), auf das sie Zugriff hatte.
• Ermitteln Sie Admin-Rechte. Wenn ein Admin geht, ist das ein anderes Risikoniveau: Er hat möglicherweise API-Schlüssel, App-Registrierungen oder Dienstkonten angelegt, von denen sonst niemand weiß.

Letzter Arbeitstag: die Identität schließen

• Deaktivieren (sperren) Sie das SSO- oder Verzeichniskonto zum vereinbarten Zeitpunkt, statt es zu löschen.
• Widerrufen Sie aktive Sitzungen. In Microsoft Entra ID bietet die Benutzerseite die Aktion "Revoke sessions"; in Google Workspace können Sie den Benutzer auf seiner Seite in der Admin-Konsole von aktiven Sitzungen abmelden. Die Deaktivierung allein beendet eine bereits offene Sitzung nicht immer.
• Entfernen Sie registrierte MFA-Methoden und Passkeys und setzen Sie das Passwort zurück, damit ein zwischengespeichertes Passwort nicht wiederverwendet werden kann, falls das Konto je wieder aktiviert wird.
• Entfernen Sie die Person aus Gruppen und Verteilerlisten, aus VPN und Fernzugriff sowie aus dem Mobile Device Management, damit Unternehmensdaten von privaten Smartphones gelöscht werden können.
• Holen Sie Geräte und Hardware-Sicherheitsschlüssel zurück.

Anwendungen und OAuth-Freigaben: die delegierten Zugriffe

Mit OAuth erlaubt ein Benutzer einer App, in einer anderen zu handeln ("Diesem Tool erlauben, Ihr Google Drive zu lesen"). Solche Freigaben sind keine Passwörter, daher berührt ein Zurücksetzen des Passworts sie nicht zwingend. Widerrufen Sie sie ausdrücklich.

• Google Workspace: Auf der Seite des Benutzers in der Admin-Konsole listet der Sicherheitsbereich die verbundenen Anwendungen mit dem jeweils gewährten Zugriff auf. Entfernen Sie sie. Die domänenweite Ansicht finden Sie unter "Security", "API controls".
• Microsoft 365 / Entra ID: Prüfen Sie unter "Enterprise applications" die vom Benutzer erteilten Einwilligungen und unter "App registrations" jede Anwendung, die dem Benutzer gehört. Eine App-Registrierung im Besitz einer ausgeschiedenen Person enthält oft ein Client-Geheimnis, das sie weiterhin nutzen könnte.
• Slack, Teams, Notion und ähnliche Tools: Prüfen Sie Apps, Bots und Webhooks, die die Person installiert hat, und weisen Sie die, die Sie behalten, einem Team-Konto zu oder installieren Sie sie darunter neu.
• Postfach: Prüfen Sie Weiterleitungsregeln, Posteingangsregeln und delegierte Zugriffe. Eine Weiterleitungsregel an eine private Adresse ist einer der häufigsten Wege, auf denen nach einem Austritt weiter Daten abfließen.

API-Schlüssel, Tokens und SSH-Schlüssel

Das sind die Zugangsdaten, die am längsten überleben, weil sie dafür gemacht sind, ohne Anmeldung zu funktionieren.

• Cloud-Anbieter: Listen Sie in AWS IAM die Zugriffsschlüssel des Benutzers auf, deaktivieren Sie sie, prüfen Sie, dass nichts ausfällt, und löschen Sie sie dann. Der IAM Credential Report zeigt, wann jeder Schlüssel zuletzt verwendet wurde. Wenden Sie dieselbe Logik anderswo auf Schlüssel von Dienstkonten an.
• GitHub und GitLab: Entfernen Sie die Person aus der Organisation und prüfen Sie Deploy Keys und CI-Secrets in den Repositorys, die sie betreut hat. Deploy Keys und Repository-Secrets gehören zum Repository, nicht zur Person, und bleiben daher gültig, nachdem die Person entfernt wurde.
• SaaS-API-Schlüssel: Viele Tools (Zahlungen, E-Mail-Versand, Analytics, CRM) erlauben es Benutzern, in ihren Einstellungen API-Schlüssel zu erstellen. Finden Sie die von der ausgeschiedenen Person erstellten Schlüssel, rotieren Sie sie und legen Sie sie unter einem Dienstkonto neu an.
• Geheimnisse, die die Person kannte: Jeder Schlüssel, jedes Token und jeder Connection String, den sie in einer Konfigurationsdatei, einem Ticket oder einer Chatnachricht lesen konnte, muss rotiert werden, auch wenn er technisch dem Unternehmen gehört.

Geteilte Passwörter und der Passwort-Tresor

Das ist die Ebene, die niemand widerrufen kann: Sie können jemanden aus einem geteilten Tresor entfernen, aber nicht aus seinem Gedächtnis oder aus einem Export, den er erstellt hat.

• Entfernen Sie die Person aus geteilten Tresoren und Sammlungen in Ihrem Passwort-Manager und übertragen Sie die Eigentümerschaft der Einträge, die sie erstellt hat.
• Rotieren Sie die geteilten Zugangsdaten, die sie lesen konnte, beginnend mit den sensibelsten: Admin-Konsolen, Finanzen und Banking, Domain und DNS, Social-Media-Konten, Notfallkonten.
• Grenzen Sie die Liste mit Aktivitätsprotokollen ein. Wenn Ihr Passwort-Manager erfasst, welche Einträge jedes Mitglied geöffnet hat, rotieren Sie das, was die Person tatsächlich angesehen hat, statt jedes geteilten Passworts. Ohne Protokolle müssen Sie davon ausgehen, dass sie alles gesehen hat, worauf sie Zugriff hatte. Unser Leitfaden zum sicheren Teilen von Passwörtern erklärt, warum Chat und E-Mail die schlechtesten Orte für solche Geheimnisse sind.

Nach dem Austritt: die 30-Tage-Prüfung

• Prüfen Sie die Anmeldeprotokolle des deaktivierten Kontos und der geteilten Konten mindestens 30 Tage lang. Erfolgreiche Anmeldungen nach dem letzten Arbeitstag sind ein Alarmsignal.
• Prüfen Sie, ob Integrationen noch funktionieren, nachdem Schlüssel rotiert wurden: Eine ausgefallene nächtliche Synchronisierung findet man besser an Tag 2 als an Tag 30.
• Löschen Sie das Konto erst, wenn die Eigentümerübertragungen bestätigt sind und Ihre Aufbewahrungsfrist abgelaufen ist.
• Aktualisieren Sie die Bestandsliste mit allem, was Sie bei diesem Austritt entdeckt haben, damit der nächste schneller geht.

Wo Sie suchen sollten: vergessene Zugriffe nach Plattform

Häufige Fehler

• Das Konto am ersten Tag löschen. Dateien, Flows und Integrationen im Besitz des Kontos können mit ihm verschwinden oder stehen bleiben, und die benötigten Protokolle gehen ebenfalls verloren. Sperren Sie zuerst.
• Das Zurücksetzen des Passworts als Abschluss betrachten. OAuth-Freigaben, API-Schlüssel und persönliche Tokens hängen in vielen Tools nicht vom Passwort ab.
• Die Tools außerhalb von SSO vergessen. Social Media, der Registrar und kleine SaaS-Tools, die per Kreditkarte abonniert wurden, sind selten im Identitätsanbieter hinterlegt.
• Nichts rotieren, weil "wir ihnen vertrauen". Beim Offboarding geht es nicht um Vertrauen: Private Geräte und Konten ehemaliger Mitarbeitender können später kompromittiert werden, und jedes Geheimnis, das sie noch kennen, gehört dann dem Angreifer.
• Niemand ist für die Checkliste verantwortlich. HR, IT und die Führungskraft gehen jeweils davon aus, dass jemand anderes es erledigt hat. Schreiben Sie in jede Zeile einen Namen.

Tools wählen, die das Offboarding beschleunigen

Am schnellsten ist das Offboarding, wenn die Zugriffe von Anfang an zentralisiert waren: Apps hinter SSO, Provisionierung über SCIM, sodass die Deaktivierung der Identität den Benutzer überall entfernt, und geteilte Zugangsdaten in einem Passwort-Manager für Unternehmen statt in einer Tabelle oder im Chatverlauf. Wenn Sie Optionen vergleichen, behandelt unser Leitfaden zum besten Passwort-Manager für Unternehmen Admin-Funktionen und Preise, und der Leitfaden zur SCIM-Provisionierung mit Bitwarden zeigt, wie automatisches Deprovisioning in der Praxis aussieht. Zur Identitätsebene selbst lesen Sie was Single Sign-on ist und wo es aufhört.