Teure Nachlässigkeit: Deutsche Unternehmen zahlten wegen Verstößen gegen die DSGVO im Jahr 2020 knapp 48 Millionen Euro Strafe. Europaweit liegt die Summe sogar bei 158 Millionen Euro. Summen, die Unternehmen unter anderem verlieren, weil sie ehemaligen Mitarbeitern interne Geräte, Zugänge und Lizenzen nicht entziehen, wenn diese die Organisation verlassen. Denn Datenlücken oder sogar Datenklau durch mangelhaftes Offboarding sind ein großes Risiko. Im Gegensatz zum Onboarding messen Unternehmen dennoch dem Offboarding-Prozess nicht die gleiche Wichtigkeit bei. Dabei drohen Imageverlust, Rechtsstreitigkeiten und hohe Kosten durch Strafzahlungen – Entwicklungen, die vermeidbar sind. Und die Dringlichkeit ist so hoch wie nie.
Laut einer Microsoft-Studie ziehen 40 Prozent aller Arbeitnehmer weltweit momentan einen Jobwechsel in Betracht. Ein ausgearbeitetes Konzept, das alle wichtigen Schritte für jede Phase enthält, hilft, den Offboarding-Prozess erfolgreich zu meistern.
Tag 1: Der Eintritt
Genaugenommen beginnt das Offboarding schon am Tag des Firmeneintritts. Onboarding und Offboarding sind weniger als lineare Prozesse, sondern als Kreislauf zu sehen, in dem sie teils sogar parallel ablaufen.
- Im Bereich IT-Service Management stehen sowohl Client- als auch Lizenzmanagement auf der Agenda. Jedes Gerät, das die IT-Abteilung ausgibt, sollte registriert und inventarisiert sein. Das gleiche gilt für Softwarelizenzen, Programmzugänge samt Passwörtern und Freigabe-Berechtigungen. In dieser Phase legt die IT-Abteilung den Grundstein für ein ordentliches Offboarding, denn Assets und Lizenzen sind über die gesamte Lebenszyklus transparent sichtbar. Am Tag des Austritts muss die IT nicht erst den Bestand erfassen, sondern kann sich gleich um die Rückgabe aller Zugänge und Geräte kümmern – und zwar schnell und vollständig.
- Im Bereich Security steht in dieser Phase die ganzheitliche Verschlüsselung aller Geräte und die Protokollierung der Datenkommunikation im Vordergrund. Das größte Risiko geht dabei von Altgeräten ohne aktive Verwaltung, oder von verlorenen Geräten aus. Dem wirkt man mit einer umfangreichen Geräteverschlüsselung entgegen. Festplatten, Ordner, externe Datenträger – jedes Medium, das sensible oder hochsensible Daten speichert, benötigt ausreichende Verschlüsselung. Dann stellt auch ein Verlust eines Geräts kein Problem mehr dar.
- Genauso wie die Geräteverschlüsselung ist die Protokollierung der Datenkommunikation ab Tag eins ein wichtiges Thema. Der Grund: Abweichungen in der Datennutzung können ein Hinweis darauf sein, dass Mitarbeiter Unternehmensdaten – beispielsweise für spätere unerlaubte externe Verwendung – auf einen USB-Stick ziehen. Und das, obwohl Unternehmensdaten rechtlich geschützt sind. Doch eine Veränderung des Datenstroms (zum Beispiel ein paar Tage vor dem letzten Arbeitstag im Unternehmen) fällt nur auf, wenn der durchschnittliche Datenverbrauch bekannt ist. Auch hier ist demnach pro-aktive Vorsorge gefragt.
Tag X: Bekanntgabe des Weggangs
- Tag X – der Weggang eines Mitarbeiters wird bekannt. Dabei sind die Gründe des Weggangs für die IT unerheblich. Dennoch rückt ab diesem Tag die Beobachtung des Datenkonsums noch mehr in den Fokus. Steigt das Datenvolumen? Ist es nötig das Konto zu sperren, um Unternehmensdaten zu schützen? So ein drastischer Schritt ist meist nicht notwendig, trotzdem ist stets Vorsicht bei der Datenkommunikation geboten.
- In dieser Phase sollte auch eine erneute Begutachtung aller Geräte und Lizenzen erfolgen, um eine entsprechende Sperrung und Rückgabe zu planen. Denn die IT kann häufig schon im Voraus Zugänge zum Stichtag sperren und somit am Tag des Austritts schneller agieren. Auch hier sind Vorarbeit und Transparenz geboten. Das erleichtert auch eine vorzeitige Sperrung von Zugängen.
Wie wichtig das ist, zeigt folgendes Beispiel: Eine britische Firma kündigte knapp 200 Mitarbeitern, um Kosten zu sparen. Noch während der internen Bekanntgabe teilte eine Mitarbeiterin die Geschehnisse live auf Twitter – das Unternehmen musste hilflos zusehen, da nur diese Mitarbeiterin einen Zugang zu der Plattform hatte. Ein Problem, das bei pro-aktiven Management gar nicht erst in Erscheinung tritt und die Handlungsfähigkeit des Unternehmens sichert.
Tag 0: Der Austritt
- An Tag 0 verlässt der Mitarbeiter endgültig das Unternehmen. Hier gehört zum Standard-Prozedere die Abgabe aller Geräte, aber auch die Sperrung aller Zugänge sollte spätestens jetzt erfolgen. Idealerweise denkt die IT das Onboarding neuer Kandidaten gleich mit. Ein ordentliches digitales Übergabeprotokoll erleichtert das Onboarding (bei gleichbleibenden Stellenanforderungen) und eine Neuverwendung der Geräte. Ein solches Protokoll sollte eine Auflistung aller Geräte, Programme und Zugängen enthalten.
- Die IT-Verantwortlichen bereiten im nächsten Schritt die zurückgegebenen Geräte für die Wiederverwendung vor. Das stellt sicher, dass wirklich keine Daten mehr auf dem Rechner gespeichert sind. Als Bonus spart sich das Unternehmen durch die Wiederverwendung die hohen Kosten einer Neuanschaffung. Denn heute nutzen Mitarbeiter die ganze Bandbreite an unternehmenseigenen Gräten – vom Handy über den Laptop oder das Tablet, bis hin zum Bildschirm und anderer Hardware. Hier Wert auf Nachhaltigkeit und Wiederverwendung zu legen, lohnt sich allein schon aus Klimaschutz Gründen.
Dem Onboarding eines neuen Mitarbeiters steht dann nichts mehr im Wege – gewissenhaftes Offboarding macht es möglich. Noch viel wichtiger jedoch: Strategisches Offboarding schützt die Unternehmensdaten und bewahrt vor enormen Schaden – sowohl monetär als auch in puncto Image.
Offboarding-Prozess-Optimierung durch Automatisierung
Wie beschrieben, bedeutet der Weggang eines Mitarbeiters für die IT immer hohen Aufwand. Hochgerechnet auf das ganze Jahr und die Anzahl an scheidenden Mitarbeitern scheint eine gewissenhafte Umsetzung der Schritte nicht realisierbar. Doch wie kann die IT-Abteilung während des Prozesses den Überblick behalten und Ressourcen sparen? Dieser Beitrag gibt Aufschluss.
