{
  "format": 1,
  "name": "Mitarbeiter-Offboarding",
  "beschreibung": "Konto sperren, Postfach und Daten übergeben, Hardware und Zugänge einsammeln, wenn jemand das Haus verlässt.",
  "kategorie": "Benutzer",
  "schlagworte": ["offboarding", "austritt", "benutzerkonto", "sperrung"],
  "struktur": {
    "variablen": [
      {
        "schluessel": "austrittsdatum",
        "beschriftung": "Austrittsdatum",
        "typ": "DATUM",
        "pflicht": true
      },
      {
        "schluessel": "ou_gesperrt",
        "beschriftung": "OU für deaktivierte Konten",
        "typ": "TEXT"
      },
      {
        "schluessel": "postfach_verbleib",
        "beschriftung": "Verbleib des Postfachs",
        "typ": "AUSWAHL",
        "optionen": ["In Shared Mailbox umwandeln", "Weiterleitung", "Export und löschen"],
        "pflicht": true
      },
      {
        "schluessel": "vertreter",
        "beschriftung": "Vertreter",
        "typ": "TEXT"
      }
    ],
    "abschnitte": [
      {
        "titel": "Klärung",
        "schritte": [
          {
            "titel": "Austrittsdatum und Zeitpunkt der Sperrung mit Vorgesetztem/HR abgestimmt",
            "hilfetext": "{{austrittsdatum}} nennt nur den Tag. Die Sperrung gehört üblicherweise auf den letzten Arbeitstag nach Dienstschluss — die genaue Uhrzeit hier schriftlich festhalten.",
            "pflicht": true
          },
          {
            "titel": "Verbleib von Postfach und Daten geklärt: {{postfach_verbleib}}",
            "hilfetext": "Wer bekommt Zugriff, wie lange, und was geschieht danach? Ohne diese Festlegung wird am Postfach nichts verändert.",
            "pflicht": true
          }
        ]
      },
      {
        "titel": "Sperrung",
        "schritte": [
          {
            "titel": "Konto sperren (AD)",
            "hilfetext": "Deaktivieren, Passwort zurücksetzen und nach {{ou_gesperrt}} verschieben — in dieser Reihenfolge. Das neue Passwort wird nirgends gespeichert und soll auch von niemandem mehr benutzt werden; es verhindert eine erneute Anmeldung. Bestehende Sitzungen beendet es nicht — die Kerberos-Tickets laufen erst aus, siehe nächster Schritt.",
            "typ": "BEFEHL",
            "pflicht": true,
            "konfig": {
              "shell": "powershell",
              "befehl": "Disable-ADAccount -Identity \"{{sam}}\"\nSet-ADAccountPassword -Identity \"{{sam}}\" -Reset -NewPassword (ConvertTo-SecureString \"{{generiertes_passwort}}\" -AsPlainText -Force)\nMove-ADObject -Identity (Get-ADUser \"{{sam}}\").DistinguishedName -TargetPath \"{{ou_gesperrt}}\""
            }
          },
          {
            "titel": "Konto sperren (Entra ID)",
            "hilfetext": "Deaktiviert das Konto und widerruft die Aktualisierungstoken. Bereits ausgegebene Zugriffstoken können noch bis zu einer Stunde gelten — bei Eile zusätzlich das Passwort ändern.",
            "typ": "BEFEHL",
            "pflicht": true,
            "konfig": {
              "shell": "powershell",
              "befehl": "Update-MgUser -UserId \"{{upn}}\" -AccountEnabled:$false\nRevoke-MgUserSignInSession -UserId \"{{upn}}\""
            }
          },
          {
            "titel": "Aktive Sitzungen und Token widerrufen (AD: Kerberos-Tickets laufen aus, bei Bedarf `Set-ADUser -Replace @{msDS-KeyVersionNumber=...}` nicht nötig; Hinweis auf Entra-Befehl oben)",
            "hilfetext": "Im AD genügt das Zurücksetzen des Passworts, die Kerberos-Tickets laufen von selbst aus. In Entra ID erledigt das `Revoke-MgUserSignInSession` aus dem Schritt oben. Offene Sitzungen an Terminalservern trennt man zusätzlich von Hand.",
            "pflicht": true
          },
          {
            "titel": "MFA-Methoden und App-Passwörter entfernt",
            "hilfetext": "Sonst bleibt eine zweite Tür offen: registrierte Authenticator-Apps und Telefonnummern liegen beim Benutzer, nicht bei der IT.",
            "pflicht": true
          },
          {
            "titel": "VPN-, WLAN- und Remotezugänge entfernt",
            "hilfetext": "Auch Zertifikate, hinterlegte Profile und geteilte Zugangsdaten. Ein gesperrtes Konto hilft nicht, wenn ein VPN-Zertifikat weiter gültig ist.",
            "pflicht": true
          },
          {
            "titel": "Mobile Geräte aus MDM entfernt bzw. Firmendaten gelöscht",
            "hilfetext": "Firmengeräte vollständig zurücksetzen, private Geräte nur um die Firmendaten bereinigen (selektives Löschen).",
            "pflicht": true
          }
        ]
      },
      {
        "titel": "Daten",
        "schritte": [
          {
            "titel": "Abwesenheitsnotiz mit Verweis auf {{vertreter}} gesetzt",
            "hilfetext": "Intern und extern getrennt formulieren und den Austritt nur so weit erwähnen wie nötig. Die Notiz wirkt auch dann noch, wenn das Postfach eine Shared Mailbox geworden ist.",
            "pflicht": true
          },
          {
            "titel": "Postfach umwandeln",
            "hilfetext": "Nur wenn {{postfach_verbleib}} die Umwandlung vorsieht. Eine Shared Mailbox braucht keine eigene Lizenz — deshalb steht dieser Schritt vor der Lizenzfreigabe.",
            "typ": "BEFEHL",
            "konfig": {
              "shell": "powershell",
              "befehl": "Set-Mailbox -Identity \"{{upn}}\" -Type Shared"
            }
          },
          {
            "titel": "Zugriff auf Postfach und OneDrive/Home-Laufwerk an {{vertreter}} übergeben oder Daten gesichert",
            "hilfetext": "Zugriff befristet vergeben und die Frist notieren. Wird nichts übergeben, gehört eine Sicherung an einen Ort, der die Aufbewahrungsfrist übersteht.",
            "pflicht": true
          },
          {
            "titel": "Aus Gruppen und Verteilern entfernt",
            "hilfetext": "Auch aus Verteilern, Teams und geteilten Ablagen. Was hier stehen bleibt, taucht Monate später als Mail an eine gesperrte Adresse wieder auf.",
            "pflicht": true
          },
          {
            "titel": "Lizenz freigegeben",
            "hilfetext": "Erst nach der Umwandlung in eine Shared Mailbox, sonst gehen Daten verloren.",
            "pflicht": true
          },
          {
            "titel": "Zugänge zu Fachanwendungen und externen Portalen gesperrt",
            "hilfetext": "Die im Onboarding festgehaltene Liste ist der Ausgangspunkt. Externe Portale werden gern vergessen, weil sie nicht am Verzeichnis hängen.",
            "pflicht": true
          },
          {
            "titel": "Gesperrte externe Zugänge",
            "hilfetext": "Je Zeile ein Portal mit dem Datum der Sperrung. Das ist der Nachweis, wenn später jemand danach fragt.",
            "typ": "TEXT",
            "konfig": {
              "mehrzeilig": true
            }
          }
        ]
      },
      {
        "titel": "Hardware",
        "schritte": [
          {
            "titel": "Geräte zurückerhalten (PC/Notebook, Telefon, Token, Zutrittsmedium)",
            "hilfetext": "Gegen die Inventarliste prüfen und die Rückgabe quittieren lassen. Datenträger erst danach löschen.",
            "pflicht": true
          },
          {
            "titel": "Fehlende oder beschädigte Gegenstände",
            "hilfetext": "Fehlendes hier festhalten und dem Vorgesetzten melden — mündlich ist es nach zwei Wochen nicht mehr belegbar.",
            "typ": "TEXT",
            "konfig": {
              "mehrzeilig": true
            }
          },
          {
            "titel": "Inventar aktualisiert",
            "hilfetext": "Geräte vom Mitarbeiter lösen und ihren neuen Zustand eintragen (Lager, Nachfolger oder Ausmusterung). Der Tag-Code bleibt am Gerät und wird nie neu vergeben.",
            "pflicht": true
          }
        ]
      },
      {
        "titel": "Abschluss",
        "schritte": [
          {
            "titel": "Termin für endgültige Kontolöschung",
            "hilfetext": "Üblich sind drei bis sechs Monate nach dem Austritt, abgestimmt mit der Aufbewahrungsfrist. Bis dahin bleibt das Konto deaktiviert stehen.",
            "typ": "DATUM",
            "pflicht": true
          },
          {
            "titel": "Dokumentation aktualisiert, Ticket geschlossen",
            "hilfetext": "Im Ticket festhalten, was mit Postfach, Daten und Geräten geschehen ist. Der Lauf selbst bleibt als Nachweis im Archiv.",
            "pflicht": true
          }
        ]
      }
    ]
  }
}