Die Konten melden sich von selbst
Fast jeder Dritte kommt nach dem Ausscheiden noch an die digitalen Ressourcen seines früheren Arbeitgebers. Das ergibt eine Umfrage, die Censuswide im September für den HR-Dienstleister Deel unter 2.000 Vollzeitbeschäftigten in Deutschland durchgeführt hat. 32 Prozent nannten E-Mail-Postfächer, Cloudspeicher, Projektmanagement-Plattformen oder andere Werkzeuge, die nach dem letzten Arbeitstag weiter funktionierten. Nur 49 Prozent gaben an, dass alle ihre Zugänge vollständig deaktiviert wurden.
Eine Zahl wird dabei gern falsch gelesen. In mehreren Überschriften heißt es, 54 Prozent nutzten die alten Zugänge weiter. Das bezieht sich aber nur auf die Gruppe mit noch offenem Zugriff. Bezogen auf alle Befragten sind es rund 17 Prozent. Das ist immer noch jeder Sechste, aber eben nicht jeder Zweite.
Wie solche Lücken auffallen, zeigt eine zweite Umfrage aus dem September. Der US-amerikanische IT-Dienstleister Sagiss hat 1.000 Menschen befragt, die in den letzten fünf Jahren einen Job am Computer verlassen haben. 79 Prozent berichten, dass mindestens ein Zugang nach dem letzten Tag weiter funktionierte. Bei 25 Prozent synchronisierte sich das Firmenpostfach weiter auf ein Handy oder einen Rechner. Von denen mit offenem Zugang bemerkten 60 Prozent die Lücke nicht, weil sie danach gesucht hätten, sondern weil weiter Benachrichtigungen eintrafen, sie sich aus Gewohnheit anmeldeten oder ein früherer Kollege sie darauf ansprach oder irgendwo hinzufügte. Die Konten melden sich also von selbst.
Drei Probleme, eine Ursache
Die Berichterstattung behandelt das Thema als Sicherheitsrisiko. Das ist es auch. Bei Sagiss gaben 17 Prozent an, nach dem Ausscheiden noch Admin-Konten oder gemeinsam genutzte Firmenpasswörter gehabt zu haben.
Es ist aber auch ein Rechtsproblem. Die DSGVO verlangt in Artikel 5, personenbezogene Daten nur so lange zu speichern, wie es für ihren Zweck erforderlich ist, und in Artikel 32 angemessene technische und organisatorische Schutzmaßnahmen. Ein Postfach, das niemand mehr betreut, in dem aber weiter Kundenmails eingehen, erfüllt keine der beiden Anforderungen. Der IT-Grundschutz des BSI regelt im Baustein ORP.2 ausdrücklich das Vorgehen beim Weggang von Mitarbeitenden, einschließlich des Entzugs aller Zugangsberechtigungen.
Und es ist Verschwendung. Ein verwaistes Konto ist der reinste Fall von Datenhaltung ohne Zweck. Das Postfach wird gespeichert, in Backups dupliziert, auf Spam geprüft und auf Geräte synchronisiert, die längst niemandem mehr dienen. Oft kostet es außerdem eine monatliche Lizenz. Die Deel-Zahlen zeigen zudem, wie viel Privates in Firmensystemen landet: Knapp ein Drittel nutzt berufliche Logins auch privat, etwa um eigene Daten in der Firmencloud abzulegen. Auch diese Daten werden mitgesichert, ohne dass es dafür einen betrieblichen Grund gibt. Umgekehrt wandern Firmendaten nach draußen: Laut Sagiss lagen bei 71 Prozent nach dem Ausscheiden noch Firmendaten an Orten, die sie selbst kontrollierten, meist im privaten Postfach oder auf dem eigenen Rechner. 16 Prozent hatten sie in einem KI-Tool oder dessen Chatverlauf. Jede dieser Kopien wird weiter gespeichert, obwohl sie niemand mehr braucht.
Alle drei Probleme haben dieselbe Lösung. Ein Konto, das nicht mehr existiert, kann niemand missbrauchen, muss niemand schützen und belegt keinen Speicherplatz.
Auch Deine Website hat Altlasten
Das betrifft nicht nur Konzerne. Bei Sagiss hatten Beschäftigte kleiner Firmen mit weniger als 250 Mitarbeitenden häufiger noch Zugriff (82 Prozent) als in Unternehmen mit mehr als 1.000 Beschäftigten (70 Prozent). Bei Vertrags- und Zeitarbeitskräften waren es sogar 89 Prozent.
Genau das ist die typische Lage bei Websites. Die Agentur, die vor drei Jahren den Relaunch gemacht hat, hat womöglich noch einen Admin-Zugang zum CMS. Die frühere Aushilfe ist noch im Newsletter-Tool eingetragen, der Freelancer noch in der Search Console und im Hosting-Panel. Jeder dieser Zugänge ist eine offene Tür, für die niemand mehr verantwortlich ist.
Fazit
Offboarding gilt als lästige Pflicht zwischen Personalabteilung und IT. Dabei ist es eine der einfachsten Suffizienzmaßnahmen überhaupt: etwas abschalten, das niemand mehr braucht. Sicherheit, Datenschutz und Ressourcenschonung zeigen hier ausnahmsweise in dieselbe Richtung.
Das sicherste Konto ist zugleich das sparsamste: das gelöschte.
Quellen: Arbeitgeber löschen häufig nicht die digitalen Zugänge ihrer Ex-Mitarbeiter (Golem, 29. Oktober 2026) 2026 Sagiss Managed Security Report: Employee Offboarding (Sagiss, Travis Springer, 13. Oktober 2026) IT-Grundschutz-Baustein ORP.2 Personal (BSI, Edition 2022)