Offboarding-Checkliste: So kommt die IT-Hardware sicher zurück

Wenn Mitarbeitende das Unternehmen verlassen, denkt die Personalabteilung an Zeugnis, Resturlaub und Schlüssel. Die IT denkt an Konten und Lizenzen. Und die Hardware? Notebook, Diensthandy, Tablet, Headset und Dockingstation stehen oft im Homeoffice – manchmal Hunderte Kilometer entfernt. Diese Offboarding-Checkliste zeigt, wie Sie IT-Hardware vollständig, sicher und dokumentiert zurückholen und was danach mit den Geräten passieren sollte.

Was Offboarding für die IT bedeutet

Offboarding bezeichnet alle Schritte, mit denen ein Unternehmen das Ausscheiden einer Person organisiert – vom Austrittsgespräch bis zur letzten Gehaltsabrechnung. Für die IT umfasst es drei Bereiche: Zugänge sperren, Daten sichern und löschen, Hardware zurückholen und weiterverwenden oder verwerten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fordert im IT-Grundschutz-Baustein ORP.2 „Personal“ ausdrücklich eine geregelte Verfahrensweise beim Weggang von Mitarbeitenden. Dazu gehört, dass alle Arbeitsmittel und Zugangsmittel zurückgegeben werden. Auch die DSGVO verlangt in Art. 32 geeignete Maßnahmen, damit personenbezogene Daten nicht in falsche Hände geraten – etwa auf einem Notebook, das nach dem Austritt im Privathaushalt bleibt.

Warum das Homeoffice die Sache schwieriger macht

Laut Statistischem Bundesamt arbeitete 2023 knapp ein Viertel aller Erwerbstätigen in Deutschland zumindest gelegentlich im Homeoffice (23,5 %). Jedes dieser Homeoffices ist ein kleiner Außenstandort mit Firmen-Hardware. Beim Austritt kann niemand das Gerät einfach am Schreibtisch abholen. Ohne vorbereiteten Rückweg landen Notebooks in Privatpaketen, unverpackt und ohne Nachverfolgung – oder sie kommen gar nicht zurück.

Die Offboarding-Checkliste für IT-Hardware

Vor dem letzten Arbeitstag

• Liste aller ausgegebenen Geräte aus dem Inventar ziehen: Notebook, Smartphone, Tablet, Monitore, Dockingstation, Headset, Token, Speichermedien.
• Abgleich mit der Person: Fehlt etwas, ist etwas defekt, gibt es private Daten auf dem Gerät?
• Rückgabeweg festlegen: Übergabe vor Ort, Einzelversand oder Abholung.
• Geschäftliche Daten sichern, die aufbewahrt werden müssen, etwa Projektunterlagen oder Korrespondenz.
• Bei Mobilgeräten klären, wie Aktivierungssperre und persönliche Konten gelöst werden.

Am letzten Arbeitstag

• Zugänge sperren: Verzeichnisdienst, E-Mail, VPN, Cloud-Dienste, Fernzugriff.
• Geräte in der MDM-Lösung sperren oder in einen Rückgabestatus setzen.
• Übergabeprotokoll unterschreiben lassen, mit Seriennummern und Zustand.
• Zugangsmittel wie Smartcards, Token und Schlüssel einsammeln.

Nach dem Austritt

• Eingang aller Geräte prüfen und im Inventar zurückbuchen.
• Entscheiden: Weitergabe an neue Mitarbeitende, Lager, Verkauf oder Entsorgung.
• Daten zertifiziert löschen, mit Nachweis je Gerät.
• Lizenzen freigeben, Mobilfunkverträge anpassen, SIM-Karten deaktivieren.
• Nachweise zur Personalakte bzw. zum Inventar ablegen.

Rückversand aus dem Homeoffice organisieren

Der sicherste Rückweg ist der, den Sie vorher festlegen. Bei Second IT gibt es dafür den Einzelversand per DHL-Retoure: Die Person verpackt das Gerät, möglichst in der Originalverpackung, und meldet die Sendung über ein Retourenportal an. Wichtig bei Apple-Geräten: Die Funktion „Wo ist?“ muss vorher deaktiviert sein, und Netzteil und Kabel gehören ins Paket.

Für größere Mengen, etwa wenn ein ganzes Team oder ein Standort wechselt, gibt es zwei weitere Wege:

Situation	Passende Lösung	Besonderheit
Einzelne Geräte aus dem Homeoffice	Einzelversand per DHL-Retoure	Einfach für Mitarbeitende, keine Abholung nötig
Mehrere Smartphones und Tablets	PELI Case	Zwei Hochsicherheitsplomben nach ISO 17712, bis 31 kg
Viele Geräte an einem Standort	Trolley	Abschließbar, bis 750 kg, Abholung per Spedition
Große Mengen oder sensible Bereiche	Direktabholung	Ohne Zwischenlager, GPS-überwacht, verplombt, versichert

Für Standorte und Großmengen übernimmt Second IT die gesicherte Abholung vor Ort. Jedes Gerät wird beim Eingang per Seriennummer erfasst. Den Status sehen Sie im Kundenportal.

Was im Übergabeprotokoll stehen sollte

Das Übergabeprotokoll ist das Bindeglied zwischen Personalakte und Inventar. Es sollte kurz sein, aber vollständig:

Angabe	Zweck
Name, Abteilung, Austrittsdatum	Zuordnung zur Person
Geräteart, Modell, Seriennummer	Eindeutige Zuordnung zum Inventar
Zubehör (Netzteil, Dockingstation, Headset)	Vollständigkeit prüfen
Zustand und bekannte Schäden	Spätere Bewertung, Klärung von Haftungsfragen
Status von Konten und Sperren	Nachweis, dass Aktivierungssperre und persönliche Konten gelöst sind
Rückgabeweg und Sendungsnummer	Nachverfolgung beim Versand
Datum und Unterschriften	Bestätigung durch beide Seiten

Bei einem Rückversand ersetzt die Sendungsnummer die Unterschrift der IT bei der Übergabe. Gegenzeichnen sollte die IT dann beim Wareneingang.

Was rechtlich gilt

Arbeitsmittel bleiben Eigentum des Arbeitgebers. Nach allgemeiner Auffassung müssen Beschäftigte sie mit dem Ende des Arbeitsverhältnisses herausgeben; ein Zurückbehaltungsrecht besteht in aller Regel nicht. Details wie Rückgabefrist, Versandweg und Haftung bei Beschädigung sollten im Arbeitsvertrag oder in einer Überlassungsvereinbarung geregelt sein. Bei Geräten, die auch privat genutzt werden durften, ist zusätzlich zu klären, wie private Daten gesichert und entfernt werden. Dieser Beitrag ersetzt keine Rechtsberatung.

Sonderfall: private Nutzung und eigene Geräte

Zwei Konstellationen verdienen besondere Aufmerksamkeit. Erstens Firmengeräte, die auch privat genutzt werden durften. Hier können private Fotos, Nachrichten oder Konten auf dem Gerät liegen. Geben Sie der Person vor dem Austritt Gelegenheit, private Daten zu sichern, und dokumentieren Sie das. Danach wird das Gerät vollständig gelöscht – private und geschäftliche Daten gleichermaßen.

Zweitens private Geräte, die dienstlich genutzt wurden, oft „Bring Your Own Device“ genannt. Diese Geräte bleiben bei der Person. Ihr Unternehmen muss aber dafür sorgen, dass geschäftliche Daten und Zugänge entfernt werden, zum Beispiel über einen getrennten Arbeitsbereich in der MDM-Lösung, der beim Austritt gelöscht wird. Regeln Sie das am besten schon bei der Einführung, nicht erst beim Austritt.

Woran Sie einen guten Offboarding-Prozess erkennen

• Rücklaufquote: Wie viele ausgegebene Geräte kommen innerhalb einer festgelegten Frist zurück?
• Durchlaufzeit: Wie viele Tage vergehen zwischen Austritt und Löschnachweis?
• Vollständigkeit: Gibt es für jedes zurückgegebene Gerät einen Lösch- oder Vernichtungsnachweis?
• Verbleib: Ist für jedes Gerät dokumentiert, ob es weitergegeben, verkauft oder entsorgt wurde?

Diese Kennzahlen lassen sich mit einer einfachen Liste erheben. Sie zeigen schnell, wo Geräte im Prozess hängen bleiben.

Weitergeben, lagern oder verwerten?

Nicht jedes zurückgegebene Gerät geht an eine Nachfolgerin. Oft ist es älter als die aktuelle Gerätegeneration, oder die Stelle wird nicht nachbesetzt. Dann ist die Frage: Lager oder Verwertung?

• Weitergabe intern: sinnvoll bei jungen Geräten. Vorher zertifiziert löschen und neu einrichten.
• Opslag: nur mit Plan. Geräte verlieren im Lager jeden Monat an Wert und müssen geschützt werden, solange Daten darauf liegen.
• Verkoop: sinnvoll für Geräte, die nicht mehr eingeplant sind. Der Erlös fließt zurück ins Budget.
• Entsorgung: für defekte Geräte ohne Marktwert, fachgerecht und mit Nachweis.

Wie Sie ausgemusterte Notebooks verantwortungsvoll weitergeben, beschreibt unser Ratgeber zum Thema Gebruikte laptops inleveren.

Wie Sie zurückgegebene Geräte ohne Sperren weiterverkaufen, zeigt der Beitrag Firmen-Tablets ohne MDM-Sperre verkaufen.

Datenlöschung: der Teil, der oft fehlt

Viele Unternehmen setzen zurückgegebene Geräte nur neu auf. Für die interne Weitergabe mag das reichen, für den Verkauf oder die Entsorgung nicht. Ein formatiertes Laufwerk lässt sich mit einfachen Mitteln wiederherstellen. Bei Second IT werden die Geräte mit Blancco gelöscht. Sie erhalten für jedes Gerät ein digital signiertes Zertifikat. Mehr zur Löschung mit Zertifikat.

Außerdem werden alle angelieferten Geräte gezielt auf zusätzliche Speichermedien geprüft: USB-Sticks in Notebooktaschen, Speicherkarten in Smartphones, vergessene externe Festplatten. Mehr zur Prüfung auf vergessene Datenträger. Welche Nachweise im Datenschutz-Audit zählen, lesen Sie im Beitrag Datenträger DSGVO-konform entsorgen.

Rollen und Zuständigkeiten

Rolle	Aufgabe im Offboarding
Personalabteilung	Austrittstermin melden, Rückgabe im Austrittsprozess verankern
Führungskraft	Übergabe von Unterlagen und Wissen sicherstellen
IT	Zugänge sperren, Geräte zurückbuchen, Löschung beauftragen
Gegevensbescherming	Löschkonzept und Nachweise prüfen
Einkauf oder Controlling	Verwertung und Erlös verbuchen

Ein häufiges Problem ist, dass jede Abteilung ihren Teil erledigt, aber niemand den Gesamtprozess verantwortet. Legen Sie fest, wer den Austritt aus IT-Sicht abschließt – und woran man erkennt, dass er abgeschlossen ist.

Meer over het onderwerp: Geformatteerd is niet verwijderd: harde schijven en SSD's veilig verwijderen en Uitproberen van bedrijfstelefoons: gegevens weg, blokkering weg, geld terug.

Häufige Fragen zum IT-Offboarding

Was gehört in eine Offboarding-Checkliste für die IT?

Drei Bereiche: Zugänge, Daten und Hardware. Zugänge zu Verzeichnisdienst, E-Mail, VPN und Cloud werden gesperrt. Geschäftliche Daten werden gesichert und auf den Geräten zertifiziert gelöscht. Alle Geräte werden mit Seriennummer zurückgebucht und anschließend weitergegeben, verkauft oder entsorgt.

Wie bekomme ich Geräte aus dem Homeoffice zurück?

Am besten über einen vorbereiteten Rückversand. Die Person verpackt das Gerät und versendet es mit einem Retourenlabel, das Sie bereitstellen. Bei Apple-Geräten muss „Wo ist?“ vorher deaktiviert sein. Bei größeren Mengen sind verplombte Koffer, Rollwagen oder eine Direktabholung sicherer.

Muss ich zurückgegebene Notebooks vor der Weitergabe löschen?

Ja. Auch bei interner Weitergabe sollten keine Daten der vorherigen Person auf dem Gerät bleiben. Für Verkauf und Entsorgung ist eine zertifizierte Löschung mit Nachweis je Seriennummer der sichere Weg. So können Sie bei Prüfungen belegen, was mit den Daten passiert ist.

Was mache ich, wenn ein Gerät nicht zurückkommt?

Sperren Sie das Gerät sofort über Ihre Geräteverwaltung und dokumentieren Sie den Vorgang. Prüfen Sie mit Ihrer Datenschutzbeauftragten, ob ein meldepflichtiger Datenschutzvorfall vorliegt. Arbeitsrechtliche Schritte klären Sie mit Ihrer Rechtsberatung. Klare Regeln im Arbeitsvertrag beugen solchen Fällen vor.