Wenn ein Mitarbeiter das Unternehmen verlässt, wird an vieles gedacht. An die Rückgabe des Laptops, die Abmeldung aus IT-Systemen, den letzten Lohnlauf. Der Zugang zum Gebäude wird dagegen erschreckend oft vergessen.

Das Problem, das niemand sieht

In einer Studie des Gesamtverbands der Deutschen Versicherungswirtschaft wurden interne Täter als einer der häufigsten Schadensverursacher bei Einbrüchen und Diebstählen in Unternehmen identifiziert. Viele dieser Vorfälle gehen auf ehemalige Mitarbeiter zurück, die noch aktive Zugangsmittel besitzen. Wie ein realer Fall zeigt, wie gravierend dieses Risiko in der Praxis ist, beschreibt der Fall eines IT-Dienstleisters in Hannover-Ricklingen, bei dem ein ehemaliger Mitarbeiter noch Zugang zu Lagerräumen hatte.

Eine Chipkarte, die nicht zurückgegeben wurde. Ein Code, der nicht geändert wurde. Ein Transponder, dessen Sperrung vergessen wurde. Diese Lücken entstehen nicht aus böser Absicht, sondern weil Offboarding-Prozesse selten so strukturiert sind wie Onboarding-Prozesse.

Wie Zugangsmittel im Umlauf bleiben

Mechanische Schlüssel sind das offensichtlichste Problem. Sie können kopiert worden sein, bevor sie zurückgegeben wurden. Der einzige sichere Weg ist der Austausch des Schlosszylinders, was bei größeren Anlagen teuer und aufwändig ist.

Elektronische Transponder und Chipkarten sind einfacher zu sperren, aber nur wenn der Prozess das vorsieht. In der Praxis passiert die Sperrung oft mit Verzögerung: Die Personalakte wird abgeschlossen, der IT-Zugang wird deaktiviert, aber die Zutrittsmittel werden nicht zeitgleich eingezogen.

Mobile Credentials auf Smartphones sind technisch am einfachsten zu deaktivieren, setzen aber eine funktionierende Integration zwischen HR-System und Zutrittsverwaltung voraus.

Besonders kritisch: privilegierte Zugänge

Nicht jeder Mitarbeiteraustritt birgt dasselbe Risiko. Entscheidend ist, welchen Zugang die Person hatte. Ein Mitarbeiter mit Zugang nur zum allgemeinen Bürobereich hinterlässt eine andere Risikolage als ein Techniker mit Zugang zu Serverräumen, Tresorräumen oder Produktionsbereichen.

Privilegierte Zugänge sollten bei jedem Austritt als erste Priorität behandelt werden. Das setzt voraus, dass diese Zugänge im System explizit markiert und damit identifizierbar sind. Wer keine Übersicht darüber hat, wer welchen Zugang hat, kann beim Austritt nicht gezielt vorgehen.

Was ein strukturiertes Offboarding umfasst

Ein funktionierendes Offboarding für Zugangsmittel beginnt nicht am letzten Arbeitstag, sondern mit dem Beschluss, das Arbeitsverhältnis zu beenden. Konkret umfasst das: eine vollständige Liste aller Zugangsmittel des Mitarbeiters, eine definierte Frist für die Rückgabe physischer Mittel, die Sperrung im Zutrittssystem am letzten Arbeitstag und eine Dokumentation, die bestätigt, dass alle Schritte erfolgt sind.

Dieselbe Logik gilt übrigens für externe Dienstleister, deren Zugänge nach Auftragsende häufig ebenfalls nicht konsequent eingezogen werden. Wie das bei Fremdfirmen auf dem eigenen Gelände geregelt werden sollte, folgt denselben Prinzipien.

Bei fristlosen Kündigungen gilt dasselbe, nur sofort. Die Sperrung des Zugangs sollte parallel zur Deaktivierung des IT-Zugangs erfolgen, nicht nachgelagert.

Elektronische Systeme als Voraussetzung

Ein rein mechanisches Schließsystem macht strukturiertes Offboarding faktisch unmöglich. Schlüssel können nicht in Echtzeit gesperrt werden, ihre Rückgabe kann nicht automatisch bestätigt werden. Wer noch mit mechanischer Schließtechnik arbeitet und über eine Modernisierung nachdenkt, findet dort eine strukturierte Entscheidungsgrundlage.

Elektronische Zutrittssysteme mit zentraler Verwaltung sind die technische Voraussetzung für ein kontrollierbares Offboarding. Berechtigungen können in Sekunden gesperrt werden, ohne dass der Mitarbeiter anwesend ist. Die Sperrung ist revisionssicher dokumentiert. Und die Frage, ob ein ehemaliger Mitarbeiter noch Zugang hat, lässt sich mit einem Klick beantworten.

Voraussetzung ist, dass die Systeme entsprechend konfiguriert und in die HR-Prozesse eingebunden sind.

Quelle: BKA Bundeslagebild Wirtschaftskriminalität 2024, GDV Studie Innentäter 2024