Restrukturierung & Stellenabbau: Was IT-Abteilungen jetzt absichern müssen

Ein Drittel der Unternehmen in Deutschland plant für 2026 Personalabbau, in der Industrie sogar 41 Prozent. Seit Anfang 2025 wurden über 167.000 Stellenstreichungen angekündigt – und das ist nur der Teil ohne Insolvenzen. Für IT-Abteilungen heißt das: Sie bekommen Abgangslisten, oft kurzfristig, oft in Wellen. Und sie tragen ein Risiko, über das in Sozialplan-Verhandlungen selten jemand spricht.

Der blinde Fleck der Restrukturierung

Restrukturierung wird als HR- und Finanzthema geführt: Abfindungen, Sozialplan, Fristen. Die IT taucht in diesen Gesprächen meist gar nicht auf – bis die Kündigungen wirksam werden und Dutzende, manchmal Hunderte Konten geordnet abgeschaltet werden müssen. Genau hier entsteht die Lücke. Wer einen Menschen aus der Gehaltsabrechnung nimmt, hat ihn noch lange nicht aus Active Directory, Microsoft 365, den Fachanwendungen, dem VPN, den geteilten Postfächern und den zwei Dutzend SaaS-Tools entfernt, die über die Jahre dazugekommen sind. Eine zusätzliche Dimension des Datenhoheitsverlustes stellen die von Anwendern gerne benutzte „Shadow IT“ da. Früher waren das USB sticks, aktuell eher externe IT unkontrollierte Dienste wie z.B. Whatsapp.

Die Zahlen sind unbequem. Der Verizon Data Breach Investigations Report 2025 führt weiterhin 60 Prozent aller Sicherheitsvorfälle auf den Faktor Mensch zurück. Der „Cost of Insider Risks“-Report von Ponemon und DTEX beziffert die durchschnittlichen jährlichen Kosten von Insider-Risiken für 2025 auf rund 19,5 Millionen US-Dollar je Organisation – Tendenz steigend. Und mehrere Auswertungen zeigen dasselbe Muster: In den Stunden und Tagen vor einer Kündigung steigt der Abfluss von Daten messbar an. Ein Sicherheitsanbieter berichtet von einem Anstieg der Daten-Exfiltration um 720 Prozent im 24-Stunden-Fenster vor einer Entlassung.

Kurz gesagt

Onboarding ist ein geplanter Prozess. Offboarding im Personalabbau ist ein Wettlauf gegen die Zeit – und wird trotzdem meist wie eine Nebentätigkeit behandelt. Das ist die eigentliche Schwachstelle.

Governance: Zuständigkeit klären, bevor die erste Liste kommt

Der häufigste Fehler ist kein technischer, sondern ein organisatorischer: HR treibt den Austritt, aber der technische Entzug von Berechtigungen folgt nur teilweise. Was HR nicht meldet, deaktiviert die IT nicht. Was die IT nicht kennt – etwa im Fachbereich per Kreditkarte gebuchte Tools –, bleibt offen. Ein sauberes Offboarding ist deshalb zuerst eine Frage der Governance: Wer informiert wen, in welcher Frist, über welchen Kanal?

Die einschlägigen Rahmenwerke lassen daran keinen Zweifel. Sie beschreiben Offboarding nicht als Kür, sondern als Pflicht:

• ISO/IEC 27001:2022, Annex A 6.5 – „Responsibilities after termination or change of employment“ verlangt definierte, kommunizierte und durchgesetzte Pflichten bei Austritt und Rollenwechsel: Zugriffsentzug, Rückgabe von Assets, fortgeltende Vertraulichkeit.
• BSI IT-Grundschutz ORP.2.A2 – die Basis-Anforderung „Geregelte Verfahrensweise beim Weggang von Mitarbeitern“ fordert unter anderem den Einzug aller Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen sowie die Information aller betroffenen Stellen inklusive IT-Betrieb – idealerweise per Checkliste und festem HR-Ansprechpartner.
• BSI IT-Grundschutz ORP.4 – Identitäts- und Berechtigungsmanagement verlangt, nicht mehr benötigte Kennungen und Rechte zu entziehen und den Vorgang nachvollziehbar zu dokumentieren.
• NIS-2 – für betroffene Einrichtungen sind Zugriffskontrolle, Asset-Management und Personalsicherheit fester Bestandteil der Risikomanagementpflichten. Ein nachweisbarer Offboarding-Prozess ist hier kein „nice to have“, sondern Teil der Compliance.
• DSGVO – Art. 32 (Sicherheit der Verarbeitung) und die Löschpflichten aus Art. 17 gelten auch für die personenbezogenen Daten ausscheidender Beschäftigter. Datenminimierung heißt: kein Konto, keine Berechtigung länger als nötig.

Der praktische Kern: Ein dokumentierter Joiner-Mover-Leaver-Prozess (JML), der HR, IT und Security verbindet – mit klaren Fristen und einem Nachweis, dass Zugänge tatsächlich entzogen wurden. Genau diese Nachvollziehbarkeit ist es, die ein Auditor sehen will.

Identity Management: der Hebel, an dem alles hängt

Identität ist das neue Perimeter – und im Personalabbau das Feld mit dem größten Risiko und dem größten Aufräumeffekt. Verwaiste Konten (orphaned accounts) sind der Klassiker: aktive Zugänge ohne verantwortlichen Eigentümer, die niemand mehr überblickt. Sie sind ein offenes Tor für Insider wie für externe Angreifer, die eine Entlassungswelle als Gelegenheit nutzen. Was jetzt auf die Prüfliste gehört:

Sofort mit Wirksamkeit der Kündigung

• Konten deaktivieren statt löschen: Zugriff sperren, Sessions und Tokens invalidieren, Passwörter zurücksetzen – Daten und Postfach aber revisionssicher erhalten (Lösch-/Aufbewahrungsfristen beachten).
• Privilegierte Konten zuerst: Administratoren, IT-Betrieb und Konten mit erhöhten Rechten haben die größte Hebelwirkung und gehören an den Anfang jeder Abgangsliste – nicht ans Ende.
• Nicht nur das eine Konto: VPN, geteilte Postfächer, Verteiler, Gastzugänge, Service-Accounts, App-Passwörter und Zugänge zu Fachanwendungen mitdenken. Der Laptop im Regal ist erst der Anfang.

Im geordneten Prozess

• Active Directory und Entra ID (Azure AD) sauber halten: deaktivierte Objekte konsolidieren, Gruppenmitgliedschaften bereinigen, verwaiste Berechtigungen aufspüren.
• Multi-Faktor-Authentifizierung und Conditional Access prüfen: Registrierte Authenticator-Methoden und Geräte ausscheidender Personen entfernen, damit kein zweiter Faktor unbemerkt aktiv bleibt.
• Fremdpersonal und Contingent Workers nicht vergessen: Externe durchlaufen selten dieselben Austrittsroutinen wie Festangestellte – bei oft ebenso weitreichenden Rechten. BSI ORP.2.A4 adressiert genau das.
• Wissen sichern, bevor es geht: Scheidet ein Administrator, dokumentiert er kritische Systeme und Passwörter geordnet (vgl. BSI ORP.2.A2/A3). Sonst geht mit der Person auch die Handlungsfähigkeit im Notfall.

Die typische Falle

Ein Admin verschaffte sich nach seinem Ausscheiden Zugang zu den Testsystemen seines früheren Arbeitgebers und löschte 180 virtuelle Server. Kein Hollywood-Szenario, sondern ein realer Fall – und ein Lehrstück über nicht entzogene Zugänge.

Security: das Zeitfenster erkennen – und rechtssicher handeln

Nicht jeder Abgang ist ein Sicherheitsvorfall. Aber die Wahrscheinlichkeit steigt in der Übergangsphase spürbar. Auswertungen zeigen, dass ein erheblicher Teil der Datenabflüsse über persönliche Cloud-Speicher, Wechselmedien und – zunehmend – über generative KI-Tools läuft. Wer in Restrukturierungsphasen keine erhöhte Aufmerksamkeit auf Datenbewegungen legt, verschenkt Reaktionszeit.

Wichtig ist dabei das Augenmaß, für das enthus steht: Bedarfsanalyse vor Bedrohungsparanoia. Und: Monitoring ausscheidender Beschäftigter hat in Deutschland klare rechtliche Leitplanken. Technische Überwachungseinrichtungen unterliegen der Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG), und der Beschäftigtendatenschutz (§ 26 BDSG, DSGVO) verbietet anlassloses, uferloses Ausforschen. Sinnvoll ist deshalb ein abgestimmtes, verhältnismäßiges Vorgehen – idealerweise vorab mit Betriebsrat, Datenschutz und Legal geklärt, nicht erst im Einzelfall.

Was in dieser Phase besonders zählt

• Endgeräte geordnet zurücknehmen und – wo nötig – remote sperren oder löschen; Rückgabe dokumentieren.
• Firewall- und Zugriffsregeln überprüfen: Verwaiste VPN-Regeln und Ausnahmen ausgeschiedener Personen schließen.
• Backup- und Recovery-Integrität sicherstellen: Gerade bei Personalwechsel in der Technologieverwaltung muss verlässlich sein, dass Datensicherungen sauber laufen, gegen Ransomware geschützt und wiederherstellbar sind.
• Auffälligkeiten in der Übergangsphase priorisiert bewerten – verhältnismäßig, dokumentiert und im rechtlichen Rahmen.

Kosteneffizienz: aus der Pflicht einen Beitrag zum Ziel machen

Restrukturierung heißt sparen. Genau hier kann die IT einen unmittelbaren Beitrag leisten, statt nur Kostenstelle zu sein. Jedes nicht deprovisionierte Konto ist nicht nur ein Sicherheits-, sondern ein Kostenrisiko: Microsoft-365- und SaaS-Lizenzen laufen weiter, obwohl niemand sie mehr nutzt. In gewachsenen Umgebungen summiert sich das schnell zu einem vier- bis fünfstelligen Betrag pro Jahr – Geld, das im Umbau an anderer Stelle fehlt.

Der Aufräumeffekt eines sauberen Offboardings ist damit doppelt: weniger Angriffsfläche und weniger Ausgaben. Wer die Zahl der aktiven Identitäten an die tatsächliche Belegschaft angleicht, gewinnt Transparenz über ungenutzte und untergenutzte Lizenzen – und kann Verträge fundiert anpassen. Das ist Kosteneffizienz, die sich sofort in der Bilanz zeigt, ohne die Sicherheit zu schwächen.

Zukunftssicherheit & KI-Readiness: kleinere Teams, höhere Automatisierung

Wenn Teams schrumpfen, muss die verbleibende Mannschaft mehr mit weniger absichern. Manuelle Offboarding-Checklisten stoßen bei Massenabgängen an ihre Grenzen – Automatisierung von Deprovisioning, Lizenzrückgabe und Zugriffsentzug wird zum Kraftmultiplikator. Ebenso wichtig: eine selbstaktualisierende IT-Dokumentation, die auch dann verlässlich bleibt, wenn Know-how-Träger das Haus verlassen.

Und die KI-Perspektive hat zwei Seiten. Einerseits sind generative Tools ein neuer, real genutzter Abflusskanal für Daten – das gehört in jede Governance für Übergangsphasen. Andererseits helfen KI-gestütztes Monitoring und Anomalieerkennung, das erhöhte Risiko in Restrukturierungsphasen mit weniger Personal beherrschbar zu halten. Zukunftssicher ist, wer beides regelt: klare Leitplanken für KI-Nutzung und intelligente Werkzeuge zur Absicherung.

Best Practices auf einen Blick

• Prozess vor Aktionismus: dokumentierter Joiner-Mover-Leaver-Prozess, der HR, IT und Security mit festen Fristen verbindet.
• Privilegierte Konten zuerst: Admin- und Betriebszugänge an den Anfang jeder Abgangsliste.
• Vollständige Identitäts-Landkarte: AD/Entra ID, MFA, VPN, geteilte Postfächer, Service-Accounts, SaaS und Fachanwendungen – nichts vergessen.
• Deaktivieren statt löschen: Zugriff sperren, Daten revisionssicher und fristgerecht erhalten.
• Externe mitdenken: Fremdpersonal und Contingent Workers denselben Sorgfaltsmaßstab geben.
• Verhältnismäßig überwachen: Monitoring nur abgestimmt mit Betriebsrat, Datenschutz und Recht.
• Lizenzen zurückholen: Deprovisioning direkt mit Lizenz- und Kostenoptimierung koppeln.
• Nachweis führen: Entzug von Zugängen dokumentieren – für Audit, NIS-2 und ISO 27001.
• Aufräumen: Nach Ablauf der Fristen die Accounts aus den Systemen entfernen

Wie enthus unterstützt

Man muss das Rad nicht neu erfinden. Mehrere enthus Checks setzen genau an den Stellen an, die im Personalabbau kritisch werden – als schneller Faktencheck oder als fundierte Standortbestimmung:

• Active Directory Health Check – Bestandsaufnahme von AD-Struktur, Replikation und Konfiguration; ideal, um verwaiste Objekte und Berechtigungsaltlasten aufzudecken.
• Microsoft M365 Tenant Analyse – Prüfung von Kollaborations-, Gäste- und MFA-Einstellungen im Tenant – die Basis für sauberes Identity- und Zugriffsmanagement.
• Cyber Security Assessment – eintägiger Workshop mit realistischem Blick auf Prozesse, Werkzeuge und Zielniveau; auf Wunsch mit Fokus auf NIS-2, TISAX oder ISO 27001.
• NIS-2 Readiness Check – systematische Prüfung in über 250 Punkten, inklusive Interviews mit GF, IT-Betrieb und HR – also genau den Bereichen, die beim Offboarding zusammenspielen müssen.
• Microsoft Lizenz Workshop – schafft Transparenz über ungenutzte und untergenutzte Lizenzen und macht aus Deprovisioning einen messbaren Kostenvorteil.
• Recovery Ready Check – empfohlen unter anderem bei Personalwechsel in der Technologieverwaltung: prüft, ob Backups sauber konfiguriert, ransomware-geschützt und wiederherstellbar sind.
• Firewall Check – Prüfen welche Domains und Services gerne benutzt werden um eine Shadow-IT Nutzung festzustellen und blinde Flecken zu vermeiden

Fazit

Personalabbau ist für viele Unternehmen gerade Realität. Für die IT ist er eine Belastungsprobe für Governance, Identitäten, Security und Kosten zugleich. Die gute Nachricht: Wer den Prozess vorher aufsetzt, statt im Wettlauf gegen die Zeit zu reagieren, senkt sein Risiko und spart bares Geld. Sauberes Offboarding ist keine Fleißaufgabe – es ist gelebte Sicherheits- und Kostendisziplin.

Sprechen Sie uns für weitere Details, eine Beratung oder ein Expertengespräch gerne auch direkt an oder wenden Sie sich formlos an hallo@enthus.de.