Ein Freelancer geht. Welche Zugänge entziehst du?

Was gehört beim Offboarding von Freelancern in einem kleinen Team dazu?

Vereinbare, wann die Arbeit endet, und sichere die Informationen, die dein Unternehmen braucht. Entferne dann die Konten und Projektzugänge der Person und beende offene Sitzungen. Prüfe geteilte Passwörter und Schlüssel, KI-Verbindungen und automatisierte Jobs als eigene Punkte. Stell klar, wer die unfertige Arbeit übernimmt, und schreib auf, was sich geändert hat.

Jemanden aus dem Team-Chat zu entfernen, ist ein Punkt auf dieser Liste. Selten der letzte.

Vereinbare die Übergabe vor dem letzten Tag.

Der Entwickler hat die Umsetzung abgeschlossen. Die Designerin hat die Dateien geliefert. Du hast die letzte Rechnung bezahlt. Was du nicht siehst, sind die Zugänge, die sich im Lauf des Projekts angesammelt haben: Kundenordner, Deployment-Tools, geteilte Passwörter, ein KI-Connector und ein zeitgesteuerter Bericht, der unter dem eigenen Konto des Freelancers läuft.

Bestimme eine Person, die für das Offboarding zuständig ist, und vereinbare den Zeitpunkt, an dem der Zugang endet. Schreib auf, welche Projekte laufen, welche Arbeit noch aussteht und wer welchen Teil übernimmt. Wenn Firmeninformationen erhalten bleiben müssen, entscheide, wie sie übertragen werden, bevor irgendein Konto gelöscht wird. Mit einem Plan steht niemand vor der Wahl: Zugang sperren oder Arbeit behalten.

Prüfe jedes Konto, nicht nur den Haupt-Login.

Geh alles durch: Firmen-E-Mail, geteilte Laufwerke, Chat, Code-Repositories, Design-Tools, Kundensysteme und jede Admin-Rolle. Frag bei jedem Dienst, wie der Zugang vergeben wurde: über eine Team-Einladung, ein persönliches Konto, ein geteiltes Passwort oder über den Administrator bei deinem Kunden. Jeder dieser Wege wird anders geschlossen. Schliesst du das zentrale Firmenkonto, können die anderen offen bleiben.

Nutze die aktuelle Anleitung des jeweiligen Dienstes, um Zugänge und offene Sitzungen zu beenden. In der Anleitung von Google zum Beispiel sind das Zurücksetzen des Passworts und das Zurücksetzen der Anmelde-Cookies zwei getrennte Schritte. Prüfe auch, welche Apps die Person verbunden hat. Halte jede Änderung fest, ebenso jeden Administrator beim Kunden, der noch etwas tun muss. Markiere das Offboarding erst als abgeschlossen, wenn diese Punkte erledigt sind.

Hinweise der Anbieter: Google Workspace: Passwörter und Anmelde-Cookies zurücksetzen · NCSC: wichtige Online-Konten absichern

Denk auch an die Tools, die ohne die Person weiterlaufen.

Frag den Freelancer, welche KI-Assistenten, MCP-Verbindungen und Automatisierungsplattformen im Einsatz waren. Ein Job kann weiterlaufen, nachdem die Person gegangen ist. Er kann aber auch ohne Vorwarnung stehen bleiben, weil das Konto, unter dem er lief, geschlossen wurde. Entscheide, welche Automatisierungen du noch brauchst, übergib sie an jemand anderen, wo der Dienst das zulässt, und prüfe, ob die Arbeit unter einem freigegebenen Firmen- oder Kundenkonto weiterläuft.

Prüfe geteilte API-Schlüssel bei dem Dienst, der sie ausgestellt hat. Wenn die Person einen Schlüssel sehen konnte, der geheim bleiben sollte, ersetze ihn und teste alles, was davon abhängt. Einen Connector vom Laptop zu entfernen, widerruft den Schlüssel dahinter nicht. Und bitte den Freelancer nie, geheime Werte in das Übergabedokument einzufügen.

Behandle Firmengeräte und private Geräte unterschiedlich.

Ein Firmen-Mac kommt zurück, und du prüfst seinen Zustand über deinen freigegebenen Prozess zur Geräteverwaltung. Für einen privaten Laptop gilt die Vereinbarung, die du zu Firmendateien, Zugängen und Verwaltung auf diesem Laptop getroffen hast. Geh nicht davon aus, dass du den privaten Laptop einer Person löschen kannst. Halte die Rückgabe fest oder die schriftliche Bestätigung, dass Firmendateien wie vereinbart gelöscht wurden, und gib jedem offenen Punkt eine zuständige Person.

Sei präzise, wenn es darum geht, was du prüfen kannst. Wenn du jemanden aus einem geteilten Ordner entfernst, schliesst du diesen Weg. Das zeigt nicht, dass es anderswo keine Kopien gibt. Geht es um sensibles Material oder um etwas Verdächtiges, wechsle zu deinem Prozess für Sicherheitsvorfälle. Ein gewöhnliches Offboarding und ein möglicher Vorfall brauchen andere Entscheidungen und andere Aufzeichnungen.

Hinterlass ein Protokoll, das die nächste Person versteht.

Das Abschlussprotokoll darf kurz sein: die Person, die Projekte, das Enddatum, die geprüften Dienste, die entzogenen Zugänge, was zurückkam und was noch offen ist. Ergänze, wer es geprüft hat. Ein befristetes Support-Konto braucht einen Zweck und ein Enddatum, damit es nicht «für alle Fälle» offen bleibt. Bleib an jedem offenen Punkt dran, bis er behoben ist oder jemand ihn bewusst akzeptiert hat.

Was du dir merken solltest.

• Sichere die Arbeit, die du brauchst, bevor du ein Konto löschst.
• Prüfe KI-Verbindungen, geteilte Schlüssel und die Jobs, die von selbst laufen.
• Schreib jede Ausnahme auf und prüfe, ob der Zugang in jedem Dienst beendet ist.

Quellen und weiterführende Lektüre.

Von cybee für kleine Teams geschrieben. Der Funktionsumfang des Produkts und die Anleitungen der Anbieter können sich ändern. Prüfe deshalb die verlinkte Quelle für dein eigenes Setup.

• Google Workspace: Passwörter und Anmelde-Cookies zurücksetzen
• NCSC: wichtige Online-Konten absichern