Übergabeorganisation
Teil von Betriebsübergabe organisieren in vier Phasen mit Rollen und Vertragsformen
Zugänge und Passwörter im Betrieb geordnet übergeben
Zugänge und Passwörter übergeben: Schrittfolge mit Zugangsregister, Passwortmanager, DSGVO-Pflichten und Abnahmeprotokoll für die Betriebsübergabe.
Das Wichtigste auf einen Blick
- Legen Sie ein Zugangsregister mit Dienst, Kennung, Berechtigung, altem und neuem Inhaber an.
- Trennen Sie Administrationsrechte von reinen Nutzungsrechten.
- Ändern Sie Passwörter am Übergabetag in einem festen Zeitfenster.
- Nutzen Sie einen Passwortmanager mit Freigabe und Ablaufdatum.
- Protokollieren Sie jede Sperrung mit Datum, Uhrzeit und ausführender Person.
Schritt 1: Zugangsregister als Vorlage anlegen
Das Zugangsregister ist die Arbeitsgrundlage jeder Übergabe. Es ersetzt die verstreuten Notizen und macht sichtbar, welche Konten überhaupt existieren. Führen Sie es als Tabelle mit acht Spalten: Nummer, System oder Dienst, Anbieter, Kennung, Rolle, bisheriger Inhaber, künftiger Inhaber, Status.
| Nr. | System | Anbieter | Kennung | Rolle | Bisher | Künftig | Status |
|---|---|---|---|---|---|---|---|
| 1 | Microsoft 365 Admin Center | Microsoft | [email protected] | Globaler Administrator | M. Weber | S. Krause | ändern |
| 2 | DATEV Unternehmen online | DATEV | Mandant 4711 | Buchhaltung | S. Krause | S. Krause | prüfen |
| 3 | Warenwirtschaft | Lexware | lager1 | Lager, Rechnungswesen | T. Vogel | S. Krause | ändern |
| 4 | Online-Banking | VR-Bank | VR-NetKey 223344 | Einzelüberweisung | M. Weber | M. Weber | ändern |
| 5 | Domain und Postfach | IONOS | Vertrag 556677 | DNS, Mail | Büro Kraft | Büro Kraft | umstellen |
Erfassen Sie auch Rufnummern, Durchwahlen und Domains, denn sie hängen an Verträgen. Konten ohne aktuelle Funktion schließen Sie, offene Fälle bleiben mit Datum sichtbar. Vergeben Sie Kennungen nach dem Muster vorname.nachname, damit die Zuordnung eindeutig bleibt.
Schritt 2: Berechtigungen je Rolle festlegen
Ordnen Sie jeder Person eine Rolle zu, nicht einzelne Rechte. Übliche Rollen sind Administrator, Buchhaltung, Lager, Nur-Lesen. Der Grundsatz der minimalen Rechte besagt: So viel Zugriff wie nötig, so wenig wie möglich. Legen Sie vor der Übergabe schriftlich fest, welche Rolle welche Rechte umfasst.
Administrationsrechte bleiben bei höchstens zwei Personen. Für jede Vergabe gilt das Vier-Augen-Prinzip: Eine Person beantragt, eine zweite gibt frei. Notieren Sie im Register, wer Berechtigungen künftig entziehen darf.
Schritt 3: Passwörter am Übergabetag ändern
- Markieren Sie alle Zugänge mit wechselndem Inhaber.
- Legen Sie fest, wer das neue Geheimnis erzeugt und wie es zur neuen Person gelangt.
- Ändern Sie die Passwörter in einem Zeitfenster von 30 Minuten.
- Übergeben Sie jedes Geheimnis getrennt vom Protokoll.
- Sperren Sie die alten Zugänge und notieren Sie Uhrzeit und Ausführenden.
Das Protokoll hat zwei Teile: die Berechtigungsliste und die Zeitpunkte von Änderung, Übergabe und Sperrung. Ein Eintrag lautet etwa: 12.05., 09:20 Uhr, Freigabe Microsoft 365 an S. Krause, alter Zugang gesperrt. Nutzen Sie für die Übergabe die Vorlage "Zugangsübergabe" mit den Feldern Zugang, alter Inhaber, neuer Inhaber, Zeitpunkt.
Schritt 4: Passwortmanager mit Freigabe einrichten
Ein Passwortmanager speichert Zugangsdaten verschlüsselt und erteilt Freigaben, statt Klartextlisten zu verschicken. Verbreitete Werkzeuge sind KeePassXC als lokale Datenbank, Bitwarden und 1Password für Teams sowie Keeper mit Rollenverwaltung.
Prüfen Sie vor der Einführung drei Funktionen: Freigabe mit Ablaufdatum, Revisionsliste und Zwei-Faktor-Anmeldung. Für den zweiten Faktor eignen sich Hardware-Schlüssel wie YubiKey oder Authenticator-Apps. Planen Sie eine Vertretung ein. Legen Sie ein Notfallkonto an, dessen Passwort nur zwei Personen kennen.
Schritt 5: DSGVO, Löschfristen und Arbeitsschutz dokumentieren
Zugangsdaten sind personenbezogene Daten, sobald sie einer Person zugeordnet werden können. Artikel 32 der DSGVO verlangt angemessene technische und organisatorische Maßnahmen, dazu zählen Verschlüsselung und ein geregeltes Rechtemanagement. Artikel 30 verlangt ein Verzeichnis der Verarbeitungstätigkeiten, in das auch der Passworttresor gehört. Legen Sie Löschfristen fest, etwa 90 Tage nach Vertragsende für erteilte Freigaben.
Der Bitkom bündelt unter seinem Themenbereich Recht Hinweise zu digitalen Rechtsfragen und Datenschutz (Themenbereich Recht beim Bitkom).
Bei einem Betriebsübergang treffen den bisherigen Inhaber Informationspflichten gegenüber den Beschäftigten; das Präventionsportal der DGUV ordnet diese Arbeitsschutzpflichten ein (Prävention der DGUV).
Personal- und Mitarbeiterfragen rund um die Übergabe bündelt die Bundesagentur für Arbeit in ihrem Unternehmensbereich (Informationen für Unternehmen).
Schritt 6: Übergabe testen und abnehmen
Vereinbaren Sie einen Abnahmetermin, an dem der neue Inhaber jede Zeile des Registers selbst öffnet. Erst dieser Test zeigt, ob Berechtigungen angekommen sind. Vergeben Sie dabei keine Sammelrechte, nur damit der Test schnell gelingt.
Notieren Sie Fehlschläge mit Datum und arbeiten Sie sie innerhalb einer Woche ab. Legen Sie danach einen Prüfrhythmus fest, etwa halbjährlich vor dem Jahresabschluss. Das Abnahmeprotokoll führt Spalte, Testergebnis, Datum und Unterschrift.
Häufige Fragen
Muss ich Passwörter schriftlich übergeben?
Ein bestimmtes Verfahren ist nicht vorgeschrieben. Praktikabel ist, das Protokoll schriftlich zu führen und das Geheimnis getrennt davon zu übermitteln.
Was gehört in das Zugangsregister?
Nummer, System, Anbieter, Kennung, Rolle, bisheriger und künftiger Inhaber sowie Status.
Was, wenn ein Konto keinen neuen Inhaber hat?
Dann bleibt die Zeile offen und das Konto bis zur Klärung gesperrt. Vermerken Sie, wer die Entscheidung trifft.
Wie oft sollte ich Passwörter ändern?
Bei der Übergabe einmal je wechselndem Zugang, danach bei Verdacht auf Offenlegung.
Reicht ein Passwortmanager allein aus?
Nein. Er trennt das Geheimnis vom Protokoll, ersetzt aber weder das Register noch die Festlegung, wer Berechtigungen entziehen darf.