Microsoft 365 Offboarding-Checkliste: Hören Sie auf, für Ausscheidende zu zahlen

Um einen Benutzer in Microsoft 365 sauber zu offboarden, und um aufzuhören, für eine Lizenz zu zahlen, die noch lange nach dem Ausscheiden weiter abgerechnet wird, arbeiten Sie an seinem letzten Tag eine feste Reihenfolge ab statt eine Hetzjagd Wochen später. Kappen Sie zuerst den Zugriff, sichern Sie die Daten und geben Sie dann die Lizenz frei, damit der Platz Sie nicht länger kostet. Die gesamte Abfolge ist kurz:

1. Anmeldung blockieren und aktive Sitzungen widerrufen.
2. Gruppen- und App-Mitgliedschaften entfernen.
3. Das Postfach in ein freigegebenes Postfach umwandeln.
4. Zugriff auf OneDrive und SharePoint übergeben.
5. Die Microsoft 365 Lizenz entfernen.
6. Das Gerät in Intune löschen oder außer Betrieb nehmen.
7. Eine monatliche Prüfung veralteter Konten durchführen.

Die Reihenfolge ist bewusst gewählt. Sicherheit kommt zuerst, damit ein ausscheidendes Konto nicht genutzt werden kann, der Umgang mit Daten kommt als Nächstes, damit nichts Wichtiges verloren geht, und die Lizenz wird erst entfernt, wenn Postfach und Dateien in Sicherheit sind. Jeder Tag zwischen dem Austrittsdatum und Schritt fünf ist ein Platz, für den Sie weiterhin zahlen, das Ziel ist also eine wiederholbare Microsoft 365 Offboarding-Checkliste, die in Stunden läuft, keine Bereinigung, zu der Sie irgendwann kommen.

Von Tag null bis Tag dreißig: Zugriff kappen, Postfach und Dateien sichern, die Lizenz entfernen, das Gerät löschen, dann nach dreißig Tagen prüfen.

Schritt 1: Anmeldung blockieren und Sitzungen widerrufen

Beginnen Sie damit, die Tür zu schließen. Gehen Sie im Microsoft 365 Admin Center zu Users und dann Active users, wählen Sie die Person aus und setzen Sie ihr Kennwort zurück. Wählen Sie dann auf der Registerkarte Account die Option Sign out of all sessions. Das Blockieren der Anmeldung stoppt jede neue Anmeldung sofort, und das Konto wird innerhalb von etwa 60 Minuten von den Microsoft-Diensten abgemeldet.

Die Verzögerung ist wichtig, denn ein Zugriffstoken ist etwa eine Stunde gültig, sodass Sign out of all sessions nicht immer sofort wirkt. Um den Zugriff unmittelbar zu widerrufen, nutzen Sie PowerShell. Revoke-MgUserSignInSession aus dem Modul Microsoft.Graph.Users.Actions macht jedes Refresh-Token und jedes Browser-Sitzungscookie des Kontos ungültig, indem es dessen Anmeldegültigkeit auf jetzt zurücksetzt.

Connect-MgGraph -Scopes "User.RevokeSessions.All"
Revoke-MgUserSignInSession -UserId "leaver@contoso.com"

Wo Geschwindigkeit entscheidend ist, kommen die schnellsten Kündigungen aus dem Exchange Admin Center oder aus PowerShell, wo die Änderung innerhalb von etwa 30 Minuten greift, und aus Microsoft Entra, in rund 60 Minuten. Wird das Konto aus einem lokalen Active Directory synchronisiert, rechnen Sie mit einer längeren Wartezeit, während die Änderung repliziert. Eines sollten Sie auf der Kostenseite im Blick behalten: Das Blockieren der Anmeldung stoppt den Zugriff, aber nicht die Abrechnung. Der Platz kostet weiter, bis Sie Schritt fünf erreichen, das Blockieren ist also der Anfang des Offboardings, nicht das Ganze.

Schritt 2: Gruppen- und App-Mitgliedschaften entfernen

Als Nächstes entziehen Sie dem Konto seine Mitgliedschaften: Sicherheitsgruppen, Microsoft 365 Gruppen, Verteilerlisten, Teams, Delegierungen für freigegebene Postfächer und alle direkt zugewiesenen Anwendungen. Das entfernt verbleibende Zugriffspfade und hält das Verzeichnis für Ihre nächste Prüfung sauber.

Hier gibt es einen direkten Kostenbezug. Wo eine Lizenz über gruppenbasierte Lizenzierung zugewiesen ist, wird der Platz durch die Gruppenmitgliedschaft belegt, sodass das Entfernen der Person aus der Lizenzierungsgruppe der Weg ist, mit dem Sie die Lizenz tatsächlich freigeben. Lassen Sie sie in der Gruppe, und der Platz sowie seine Kosten bleiben verbunden, ganz gleich, was Sie sonst tun. Wird die Mitgliedschaft von einer dynamischen Gruppe auf Basis von Benutzerattributen gesteuert, kann das Aktualisieren oder Deaktivieren des Kontos sie automatisch entfernen, prüfen Sie also die Regel, statt es anzunehmen. Ein Ausscheidender, der noch in einer Lizenzierungsgruppe sitzt, ist schlicht eine Lizenz, für die Sie weiter zahlen.

Schritt 3: Das Postfach in ein freigegebenes Postfach umwandeln

Die meisten Ausscheidenden benötigen ihre E-Mails und ihren Kalender noch eine Weile erreichbar, für die Übergabe oder für Kunden, die noch an die Adresse schreiben. Das Umwandeln des Benutzerpostfachs in ein freigegebenes Postfach behält all das ohne einen bezahlten Platz, denn ein freigegebenes Postfach fasst bis zu 50 GB ohne eine zugewiesene Lizenz.

Gehen Sie im Admin Center zu Users und dann Active users, wählen Sie den Benutzer aus, öffnen Sie die Registerkarte Mail und wählen Sie Convert to shared mailbox. Sie können auch Set-Mailbox -Identity "leaver@contoso.com" -Type Shared in der Exchange Online PowerShell ausführen. Ein paar Vorbehalte gilt es richtig zu machen. Das Postfach muss im Moment der Umwandlung noch eine Lizenz halten, sonst erscheint die Option nicht, und Sie entfernen die Lizenz danach. Ist das Postfach größer als 50 GB, müssen Sie es verkleinern, oder das freigegebene Postfach benötigt eine Exchange Online Plan 2 Lizenz, um 100 GB zu erreichen. Löschen Sie das Benutzerkonto nicht, denn es verankert das freigegebene Postfach. Und wenn Sie das Postfach im Litigation Hold oder In-Place Hold halten müssen, muss es eine Exchange Online Plan 2 Lizenz tragen, oder eine Exchange Online Plan 1 Lizenz mit dem Add-on Exchange Online Archiving. Diese Umwandlung ist der Schritt, mit dem Sie die bezahlte Lizenz fallen lassen und dabei den Inhalt behalten, sie ist also zentral, um die Ausgabe zu stoppen, ohne Daten zu verlieren.

Schritt 4: Zugriff auf OneDrive und SharePoint übergeben

Bevor das Konto verschwindet, geben Sie jemandem Zugriff auf die Dateien des Ausscheidenden. Öffnen Sie im Microsoft 365 Admin Center das SharePoint Admin Center, gehen Sie zu More features und dann User profiles und dann Manage User Profiles, finden Sie die frühere Mitarbeiterin oder den früheren Mitarbeiter und nutzen Sie Manage site collection owners, um die vorgesetzte Person als Eigentümer ihres OneDrive hinzuzufügen. Die vorgesetzte Person erreicht die Dateien dann unter der üblichen OneDrive-URL.

Das Timing ist für die Aufbewahrung wichtig. Nachdem Sie ein Konto gelöscht haben, werden dessen OneDrive- und Outlook-Inhalte 30 Tage lang aufbewahrt, das ist Ihr Zeitfenster zur Wiederherstellung. Wenn Sie die Lizenz entfernen, aber das Konto nicht löschen, bleiben die OneDrive-Inhalte auch über 30 Tage hinaus für Sie zugänglich. Wo Inhalte aus rechtlichen oder Compliance-Gründen länger aufbewahrt werden müssen, wenden Sie eine Microsoft Purview Aufbewahrungsrichtlinie oder einen Hold an, bevor Sie etwas freigeben. Die Daten bewusst zu übergeben ist das, was Ihnen erlaubt, die Lizenz zügig freizugeben, statt ein bezahltes Konto vorsichtshalber am Leben zu halten.

Schritt 5: Die Microsoft 365 Lizenz entfernen

Dies ist der Schritt, der die Kosten stoppt, sodass das Entfernen der Lizenz beim Ausscheiden eines Mitarbeitenden niemals der Teil sein sollte, der wartet. Gehen Sie im Admin Center zu Users und dann Active users, wählen Sie den Benutzer aus, öffnen Sie Licenses and apps, entfernen Sie die Produkte, die Sie zurückholen wollen, und speichern Sie. Wurde die Lizenz über eine Gruppe zugewiesen, entfernen Sie den Benutzer stattdessen aus dieser Gruppe, wie in Schritt zwei beschrieben.

Seien Sie sich bewusst, was das Entfernen einer Lizenz mit den Daten macht: Sobald die Lizenz entfernt oder gelöscht ist, werden E-Mails, Kontakte und Kalender des Kontos 30 Tage lang aufbewahrt und dann dauerhaft gelöscht, was genau der Grund ist, warum die Postfachumwandlung in Schritt drei zuerst kommt. Sobald der Platz frei ist, können Sie ihn einem neuen Mitarbeitenden neu zuweisen oder die vorausbezahlte Menge bei der Verlängerung reduzieren, sodass er ganz aufhört abzurechnen. Jeder Tag, um den dieser Schritt nach einem Austritt verzögert wird, ist eine Lizenz, die ohne Gegenwert weiter auf der Rechnung steht.

Schritt 6: Das Gerät in Intune löschen oder außer Betrieb nehmen

Hatte der Ausscheidende ein verwaltetes Gerät, kümmern Sie sich im Microsoft Intune Admin Center unter Devices darum. Zwei Aktionen sind relevant, und sie sind nicht dasselbe. Retire entfernt Unternehmensdaten, verwaltete Apps, Einstellungen und Profile und hebt die Registrierung des Geräts auf, während persönliche Daten unangetastet bleiben, was für ein persönliches oder mitgebrachtes Gerät passt. Wipe setzt das Gerät auf die Werkseinstellungen zurück und entfernt alles, was für ein unternehmenseigenes Gerät passt, das Sie zurückholen. Beide Aktionen werden angewendet, sobald das Gerät das nächste Mal eincheckt.

Ein paar Details ersparen später Ärger. Bevor Sie ein mit Microsoft Entra verbundenes, durch BitLocker geschütztes Gerät außer Betrieb nehmen, sichern Sie seinen BitLocker-Wiederherstellungsschlüssel und alle lokalen Administratoranmeldedaten, denn der Vorgang kann BitLocker aussetzen. Und beachten Sie, dass das Außerbetriebnehmen eines Geräts allein keine Zugriffstoken widerruft, was ein weiterer Grund ist, warum der Sitzungswiderruf in Schritt eins wichtig ist. Bei diesem Schritt geht es um Datenexposition statt um Lizenzkosten, doch er gehört in dasselbe Runbook, damit nichts übersehen wird.

Nutzen Sie geplante Intune Berichte, um zu belegen, welche Geräte von Leavern gelöscht, außer Betrieb genommen oder noch auf den Check-in warten.

Schritt 7: Eine wiederkehrende Prüfung veralteter Konten durchführen

Offboardings werden übersehen. Jemand geht in einer geschäftigen Woche, das Ticket ist halb erledigt, und Monate später rechnet eine Lizenz noch auf einem blockierten Konto ab, auf das niemand schaut. Eine monatliche Prüfung ist das Sicherheitsnetz. Überprüfen Sie Konten ohne kürzliche Anmeldeaktivität in Microsoft Entra, Lizenzen, die noch blockierten oder nie onboardeten Konten zugewiesen sind, und freigegebene Postfächer, die irgendwie noch einen bezahlten Platz tragen.

Diese Prüfung ist der natürliche Partner zum Finden ungenutzter Microsoft 365 Lizenzen, wo dieselben Aktivitätsdaten und eine monatliche Rückhol-Schleife die Plätze auffangen, die einzelne Offboardings durchrutschen lassen. Betreiben Sie beides zusammen, und die Lücke zwischen dem Ausscheiden einer Person und dem Entfernen ihrer Lizenz bleibt in Stunden statt in Monaten gemessen.

Wo EtherInsights ansetzt

Offboarding ist ein Prozess, keine Einmalaktion, und je mehr Konten und Tenants Sie betreiben, desto leichter rutscht ein Platz durch und rechnet weiter ab. EtherInsights verfolgt den Lizenzlebenszyklus, sodass Ausscheidende, brachliegende Plätze und lizenzierte, aber blockierte Konten an einem Ort mit der Evidenz auftauchen, um zu handeln, und Microsoft 365 Lizenzverwaltung und Offboarding macht daraus einen wiederholbaren Offboarding- und Rückhol-Prozess über die gesamte Umgebung.

Offboarding ist auch eine Sicherheitskontrolle, nicht nur eine Kostenkontrolle, denn ein Ausscheidender mit aktivem Zugriff ist ebenso ein Risiko wie ein verschwendeter Platz. Dieselbe Tenant-Sicht reicht bis in die Microsoft 365 Sicherheit und Konformität, wo eine Baseline und Drift-Erkennung Zugriff und Konfiguration in dem Zustand halten, in den Sie sie offgeboardet haben.

Eine saubere Offboarding-Checkliste schützt Ihre Daten und stoppt das leise Kostenschleichen von Ausscheidenden, die ihre Lizenzen behalten. Kappen Sie den Zugriff, sichern Sie Postfach und Dateien, geben Sie den Platz frei, löschen Sie das Gerät und prüfen Sie monatlich, und jeder Abgang schließt ordentlich ab, statt eine Rechnung zu hinterlassen.

Microsoft 365 Lizenzverwaltung und Offboarding entdecken, um zu sehen, wie Offboarding und Lizenzrückgewinnung als ein wiederholbarer Prozess über Ihre Tenants hinweg laufen.