AD User Off-Boarding Prozess

Kategorie: Identität, Zugriff & Geräteverwaltung > Entra ID (Azure AD) > Benutzer- & Gruppenverwaltung Zielgruppe: IT-Dienstleister, IT-Administration ISO 27001: A.9.2.6, A.8.1.4, A.18.1.4 Letzte Aktualisierung: Mai 2026

Übersicht

Dieser Artikel beschreibt den vollständigen Workflow zur Deaktivierung eines AD-Benutzerkontos beim Austritt eines Mitarbeiters. Konten werden DEAKTIVIERT, nicht gelöscht.

⚠️ Der Off-Boarding-Prozess wird nach dem letzten Arbeitstag durchgeführt. Niemals vorab deaktivieren, solange der Mitarbeiter noch arbeitet.

Workflow

Schritt 1: Offboarding-Anforderung

Checkliste:

• Letzter Arbeitstag bestätigt (HR)

• Vertretungsregelung geklärt (Vorgesetzter)

• Shared Mailboxes: Neuen Owner bestimmt (Vorgesetzter)

• Laufende Projekte übergeben (Vorgesetzter)

• Datensicherung angefordert (IT)

• E-Mail-Weiterleitung benötigt? (Vorgesetzter)

Schritt 2: Equipment-Rückgabe

➡️ Physische Rückgabe: siehe auch Schlüsselausgabe & -rückgabe unter "Physischer Zugang"

Schritt 3: Datensicherung und Archivierung

Vor der Deaktivierung sicherstellen:

• Gruppenmitgliedschaften exportiert (für Dokumentation)

• E-Mail-Archiv gesichert (PST-Export falls nötig)

• Persönliche Laufwerke archiviert (Home-Verzeichnis)

• OneDrive-Daten gesichert (falls M365)

• Shared Mailbox-Ownership übertragen

# Gruppenmitgliedschaften exportieren (VOR Entfernung!)
Get-ADUser "Alexander.Bitter" -Properties MemberOf |
  Select-Object -ExpandProperty MemberOf |
  Out-File "C:\Temp\Offboarding\Alexander.Bitter_Groups_$(Get-Date -Format 'yyyyMMdd').txt"

# Alle AD-Attribute exportieren
Get-ADUser "Alexander.Bitter" -Properties * |
  Select-Object SamAccountName, DisplayName, Department, Title, Manager, MemberOf, Created, Modified |
  Export-Csv "C:\Temp\Offboarding\Alexander.Bitter_Attributes.csv" -Encoding UTF8 -NoTypeInformation

Schritt 4: Konto deaktivieren

🛑 NIEMALS sofort löschen! Aufbewahrungsfrist: Mindestens 12 Monate im deaktivierten Status.

# 1. Konto deaktivieren
Disable-ADAccount -Identity "Alexander.Bitter"

# 2. Passwort auf Zufallswert zurücksetzen (verhindert weiteren Login)
Set-ADAccountPassword -Identity "Alexander.Bitter" `
  -NewPassword (ConvertTo-SecureString "D!sabled_$(Get-Random -Minimum 100000 -Maximum 999999)!" -AsPlainText -Force) -Reset

# 3. Beschreibung setzen
Set-ADUser -Identity "Alexander.Bitter" `
  -Description "OFFBOARDING $(Get-Date -Format 'yyyy-MM-dd') - Austritt"

# 4. Entra ID Sync entfernen
Set-ADUser -Identity "Alexander.Bitter" -Clear extensionAttribute10

# 5. Alle Gruppenmitgliedschaften entfernen
$user = Get-ADUser "Alexander.Bitter" -Properties MemberOf
$user.MemberOf | ForEach-Object {
    Remove-ADGroupMember -Identity $_ -Members $user -Confirm:$false
}

# 6. In Disabled-OU verschieben
$userDN = (Get-ADUser "Alexander.Bitter").DistinguishedName
Move-ADObject -Identity $userDN `
  -TargetPath "OU=Disabled,OU=Accounts,OU=AD-Tier2,DC=nsi-han,DC=intern"

Reihenfolge ist wichtig:

1. Deaktivieren → 2. Passwort zurücksetzen → 3. Beschreibung → 4. Entra Sync entfernen → 5. Gruppen entfernen → 6. OU verschieben

Schritt 5: Dokumentation und DSGVO

DSGVO-Anforderungen:

Aufbewahrungsfristen:

Schritt 6: Endgültige Löschung (nach 12 Monaten)

• Aufbewahrungsfrist abgelaufen (12 Monate nach Deaktivierung)

• Keine laufenden rechtlichen Verfahren

• Datenschutzbeauftragter informiert

• Konto endgültig gelöscht

# NUR nach Ablauf der Aufbewahrungsfrist!
Remove-ADUser -Identity "Alexander.Bitter" -Confirm:$false