Checklist IT-Offboarding: Accounts Intrekken bij Uitdiensttreding
Bij het vertrek van een medewerker moeten alle digitale accounts, autorisaties, actieve cloudsessies en fysieke bedrijfsmiddelen uiterlijk op het einde van de laatste werkdag aantoonbaar zijn ingetrokken. Bij een conflict, schorsing of direct ontslag dient deze blokkade per direct en uiterlijk binnen 1 uur te worden doorgevoerd.
Dit artikel hoort bij het thema Toegangsbeheer en accounts, onderdeel van ICT-beveiliging voor het MKB.
In de praktijk blijft bij meer dan 40% van de MKB-bedrijven minstens één account (zoals een SaaS-tool, LinkedIn-bedrijfspagina of mailbox op een privételefoon) nog wekenlang actief na uitdiensttreding. Een gestandaardiseerd offboarding-protocol met een vaste overdrachtslijst voorkomt datalekken, sabotage en overtredingen van de AVG.
Het verborgen risico van 'spookaccounts'
Wanneer een medewerker uit dienst gaat, wordt de hardware (laptop en telefoon) meestal netjes ingeleverd. Maar in de cloudwereld betekent het inleveren van een laptop niet dat de toegang stopt.
Veel voorkomende knelpunten in het MKB:
- Actieve mobiele sessies: De medewerker had zakelijke e-mail of Teams gekoppeld op zijn privételefoon. Als het wachtwoord wel wordt gewijzigd maar de actieve sessies (refresh tokens) niet worden ingetrokken, kan de telefoon nog dagenlang nieuwe mails synchroniseren.
- Vergeten externe SaaS-applicaties: Tools zoals Mailchimp, Exact Online, Canva, Dropbox of branche-specifieke portals staan los van Microsoft 365 en worden bij vertrek simpelweg vergeten.
- Kennis van algemene wachtwoorden: Gedeelde wachtwoorden van sociale media, portalen van leveranciers of wifi-netwerken blijven ongewijzigd.
De Norm: Wat eist goed beheer en wetgeving?
- AVG / GDPR (Artikel 32): Organisaties zijn verplicht passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beveiligen. Een oud-medewerker die toegang houdt tot klant- of personeelsgegevens vormt direct een beveiligingsincident en potentieel datalek.
- CIS Controls v8 (Safeguard 5.4): Restrict Access to Assets. Schrijf voor dat toegangsrechten direct worden aangepast of ingetrokken zodra de rol of het dienstverband van een medewerker wijzigt of beëindigd wordt.
- ICTklaar Auditnorm (IAM_Q6): Reguliere uitdiensttreding: uiterlijk op de laatste officiële werkdag alle accounts, autorisaties en actieve sessies aantoonbaar ingetrokken. Acuut vertrek/conflict: per direct binnen 1 uur ingetrokken en geblokkeerd.
Praktische ICTklaar-checklist: IT-Offboarding in 6 stappen
Gebruik onderstaand stappenplan bij elk vertrek. Laat HR/directie en IT dit formulier beiden aftekenen.
[ ] STAP 1: Centrale Identity Provider blokkeren
- Account in Microsoft Entra ID / Google Workspace op 'Sign-in blocked' zetten.
- Belangrijk: Klik op 'Revoke all sessions' (intrekken van alle actieve inlogtokens
op telefoons, tablets en browsers).
[ ] STAP 2: Doorsturen en overdracht van e-mail en bestanden
- Geen account open laten staan voor 'handige inzage'.
- Converteer de mailbox naar een Shared Mailbox (zonder licentiekosten) en geef de
opvolger of leidinggevende leestoegang.
- Stel een nette automatische afwezigheidsmelding in met verwijzing naar de opvolger.
- Draag eigenaarschap van OneDrive/Google Drive-documenten over aan de manager.
[ ] STAP 3: Externe SaaS- en branche-applicaties intrekken
- Loop de lijst met losse licenties na: boekhoudsoftware, CRM, e-mailmarketing,
klantportalen en projectmanagementtools (zoals Trello of Asana).
- Verwijder de gebruiker of zet het account op inactief.
[ ] STAP 4: Sociale media en gedeelde accounts
- Verwijder de medewerker als beheerder van de LinkedIn-bedrijfspagina,
Meta Business Manager en Google Bedrijfsprofiel.
- Wijzig wachtwoorden van gedeelde accounts waar de medewerker toegang toe had.
[ ] STAP 5: Fysieke bedrijfsmiddelen & Mobile Device Management (MDM)
- Inname van zakelijke laptop, smartphone, tokens/YubiKeys, toegangspasjes en sleutels.
- Indien 'Bring Your Own Device' (privétoestel): voer via Microsoft Intune of
Google Endpoint Management een selectieve wisopdracht ('Work profile wipe') uit
om uitsluitend de bedrijfsdata van het privédossier te verwijderen.
[ ] STAP 6: Archivering en licentie-opzegging
- Bewaar back-ups conform de wettelijke fiscale bewaartermijn (7 jaar voor administratie).
- Verwijder na 30 tot 90 dagen het inactieve account en trek de betaalde licentie in.
Praktijkscenario: De accountmanager die naar de concurrent overstapte
Aantoonbaar Bewijs: Wat verwacht een auditor of verzekeraar?
Om bij een controle aan te tonen dat het uitdiensttredingsproces daadwerkelijk beheerst verloopt, bewaar je per vertrokken medewerker een auditspoor:
- Ondertekende checklist: Een fysiek of digitaal afgetekend formulier door HR en IT-beheerder met datum en tijdstip van blokkade.
- Entra ID / Workspace auditlog: Een uitdraai uit het logboek waaruit blijkt dat het account op datum X om tijdstip Y op Disabled is gezet en Revoke-AzureADUserAllRefreshToken is uitgevoerd.
- Hardware-innamebewijs: Een ondertekend ontvangstbewijs voor laptop, mobiel en sleutels.
Veelgestelde vragen
Mogen we de mailbox van een vertrokken medewerker gewoon doorsturen naar zijn collega?
Wees hier juridisch voorzichtig mee. Een zakelijke mailbox bevat vrijwel altijd ook persoonlijke berichten van de werknemer (zoals correspondentie met de arbodienst, pensioenfonds of privé-afspraken). De Autoriteit Persoonsgegevens adviseert om een automatische out-of-office in te stellen met het e-mailadres van de opvolger, en de mailbox na een korte overdrachtsperiode te sluiten of alleen onder strikte voorwaarden toegankelijk te maken voor een leidinggevende.
Hoe regelen we acute offboarding bij een arbeidsconflict?
Bij een schorsing of direct ontslag moet IT voorafgaand aan het ontslaggesprek worden ingelicht. Exact op het moment dat het gesprek begint, blokkeert IT het account, verbreekt alle actieve sessies op afstand en trekt de toegang tot het pand in. Dit voorkomt dat een geëmotioneerde medewerker data wist of doorstuurt tijdens of direct na het gesprek.
Wat doen we met WhatsApp-groepen en LinkedIn?
Verwijder de vertrokken medewerker direct uit alle interne WhatsApp-groepen en projectkanalen. Zorg er tevens voor dat het beheer van de zakelijke LinkedIn-pagina altijd bij minimaal twee zittende directie- of marketingleden ligt, zodat je nooit buitengesloten raakt als één beheerder vertrekt.