Der vorletzte Quick Win unseres Sommer-Sprints widmet sich einer Lücke, die mit jedem Personalwechsel wächst und fast nie aufgeräumt wird: verwaiste Konten.
Die Konten, die niemandem mehr gehören
In jeder gewachsenen Cloud-Umgebung finden sich Zugänge, die längst niemand mehr braucht: der Account des Kollegen, der vor einem Jahr gegangen ist. Der Praktikanten-Login vom letzten Sommer. Ein Test-Konto, das jemand „nur kurz” angelegt hat. Der Zugang eines Dienstleisters, dessen Projekt abgeschlossen ist.
Diese Konten sind aus zwei Gründen gefährlich. Erstens sind sie unbeaufsichtigt — niemand bemerkt, wenn sie übernommen werden, weil niemand sie nutzt. Zweitens sind sie oft schwach geschützt, weil sie aus der Zeit vor Ihrer MFA-Einführung (Woche 2) stammen. Ein verwaistes Admin-Konto ohne MFA ist die Einladung, auf die ein Angreifer wartet.
Der gesamte Lebenszyklus von Identitäten — vom Anlegen über Änderungen bis zum Entzug — ist ein Kernthema im Identitätsmanagement von C5:2026. Das Schließen am Ende ist genauso wichtig wie das saubere Einrichten am Anfang.
So machen Sie mit
- Lassen Sie sich eine Liste aller aktiven Konten ausgeben und gleichen Sie sie mit der aktuellen Belegschaft ab.
- Filtern Sie nach Konten ohne Anmeldung in den letzten 60 oder 90 Tagen — sie sind die heißesten Kandidaten.
- Deaktivieren statt löschen: Sperren Sie verdächtige Konten zunächst (Daten und Postfach bleiben erhalten), und löschen Sie erst nach einer Schonfrist endgültig.
- Vergessen Sie die nicht-menschlichen Zugänge nicht: alte API-Schlüssel, App-Passwörter, Service-Konten und Integrationen, die niemand mehr kennt.
- Prüfen Sie externe Gäste und Dienstleister-Zugänge (Anknüpfung an Woche 7) gleich mit.
Das eigentliche Ziel: ein Offboarding-Prozess
Verwaiste Konten einmal aufzuräumen ist gut. Dafür zu sorgen, dass keine neuen entstehen, ist besser. Schreiben Sie eine kurze Offboarding-Checkliste, die bei jedem Austritt abgearbeitet wird:
- Konten in allen Cloud-Diensten deaktivieren (Ihr Inventar aus Woche 1 ist die Vorlage),
- Zugriffsrechte und Freigaben entziehen,
- Geräte und Zugangsmittel einsammeln,
- Daten und Postfach geordnet übergeben.
Verankern Sie diese Liste so, dass die Personalabteilung sie automatisch auslöst — nicht der Zufall.
Stolpersteine
- Vorschnelles Löschen. Werden Daten oder Postfächer noch gebraucht, sichern Sie sie vor dem Löschen (siehe Backup, Woche 6).
- Lizenzkosten als Nebeneffekt. Verwaiste Konten kosten oft weiter Lizenzgebühren. Das Aufräumen spart hier nebenbei bares Geld — ein gutes Argument fürs Budget.
Fazit
Jedes geschlossene Geisterkonto ist eine Tür weniger, durch die jemand unbemerkt hereinkommt. Und mit einer Offboarding-Checkliste sorgen Sie dafür, dass die Lücke geschlossen bleibt. Nächsten Montag kommt der letzte Quick Win — und der wichtigste für den Fall, dass doch etwas passiert: der Notfallplan.
Sie möchten ein verlässliches On- und Offboarding für Ihre Cloud-Konten aufbauen? Kontaktieren Sie uns für eine passende Prozessvorlage.