23. Juni 2026 · Morten Babakhani · Aktualisiert am 29. September 2026
In fast jedem Audit fällt derselbe Befund auf: Konten von Personen, die das Unternehmen verlassen haben, sind noch aktiv. Nicht wenige, nicht kurz — teils Monate.
Die Ursache liegt selten in Nachlässigkeit. Sie liegt in einer Kette, die niemand als Ganzes verantwortet.
Die Kette, um die es geht
Das HR-System führt das Beschäftigungsverhältnis. Die Identitätsverwaltung führt das Konto. Die Anwendungen führen Berechtigungen. Zwischen diesen drei Ebenen laufen Schnittstellen, in der Regel über SCIM oder einen nächtlichen Abgleich. SCIM ist in RFC 7644 festgelegt.
Damit ein Austritt wirkt, muss er drei Übergänge überleben: HR erfasst ihn, die Identitätsverwaltung übernimmt ihn, die Anwendung reagiert darauf. Bricht ein Übergang, bleibt der Zugang.
Die fünf Stellen, an denen es bricht
Das Austrittsdatum steht zu spät im System. Wenn die Erfassung erst nach der letzten Abrechnung erfolgt, ist der Zugang längst überfällig. Kein technischer Fehler, ein Prozessfehler.
Ruhende Verhältnisse. Elternzeit, Sabbatical, Langzeiterkrankung. Fachlich kein Austritt, sicherheitstechnisch aber ein Konto ohne Nutzung. Wer dafür keine Regel hat, hat eine Sammlung offener Türen.
Externe. Werkverträge, Zeitarbeit, Beratung. Diese Personen stehen häufig nicht im HR-System, also kennt die Kette kein Enddatum. Genau hier finden Prüfungen die meisten Altkonten.
Mehrfachidentitäten. Wer den Bereich gewechselt hat, kann zwei Personalnummern haben. Die Sperre trifft eine.
Anwendungen mit eigener Nutzerverwaltung. Jede Anwendung, die Konten lokal führt, ist von der Kette abgeschnitten. Das betrifft oft genau die kleinen Fachlösungen mit den sensibelsten Daten.
Was tatsächlich wirkt
Ein Enddatum als Pflichtfeld für jede Zugangsberechtigung, auch für Externe — ohne Enddatum kein Konto. Diese eine Regel löst den größten Teil des Problems.
Dazu ein Abgleich in Gegenrichtung: Nicht nur HR meldet Austritte an die Identitätsverwaltung, sondern die Identitätsverwaltung meldet monatlich alle aktiven Konten zurück, die im HR-System kein aktives Verhältnis haben. Diese Liste ist unangenehm und kurz zu halten.
Und ein definierter Ablauf für die Übergangszeit: Konto sofort sperren, Postfach für einen festgelegten Zeitraum an die Führungskraft, Datenübergabe dokumentiert, dann löschen. Ohne diesen Ablauf bleibt jedes Konto „vorerst” aktiv, weil noch Dateien darin liegen könnten.
Der Punkt, an dem HR und IT sich einigen müssen
HR sieht ein Beschäftigungsverhältnis, IT sieht ein Konto. Beide Sichten sind richtig und nicht deckungsgleich. Die Einigung besteht darin, ein Ereignis zu definieren, das für beide gilt — üblicherweise den letzten Arbeitstag, nicht das Vertragsende.
Das klingt nach einer Formalität und ist der Grund, warum die Kette in den meisten Häusern zwei Wochen zu spät greift.
Die Liste, die man monatlich zieht
Eine Zeile Abgleich ersetzt jede Beteuerung: alle aktiven Konten, denen im HR-System kein aktives Beschäftigungsverhältnis gegenübersteht. Diese Liste zieht man monatlich, und sie sollte kurz sein.
Was darauf steht, gehört in drei Töpfe: echte Altfälle — sofort sperren; Externe ohne HR-Datensatz — Enddatum nachtragen; technische Konten — als solche kennzeichnen und Verantwortlichen benennen. Nach dem zweiten Durchlauf besteht die Liste fast nur noch aus dem dritten Topf, und genau das ist das Ziel.
Der Aufwand liegt bei einer Stunde im Monat. Ein Audit-Befund über verwaiste Konten kostet mehr — und zwar wiederkehrend, bis die Kette repariert ist.