Die Antwort sofort: Wenn die Person geht, die Ihre Firmen-IT betreut hat, müssen Sie noch während der Kündigungsfrist übernehmen und vor allem überprüfen: Administratorkonten und Passwörter, Zugang zu Domain, DNS und E-Mail, Lizenzen und Verträge, die auf ihren Namen laufen, die Netzdokumentation sowie funktionierende Backups samt Verschlüsselungsschlüsseln — getestet durch eine Probewiederherstellung. Testen Sie jeden Zugang durch eine echte Anmeldung, solange Sie noch jemanden fragen können; eine Passwortliste in Excel ist keine Übergabe. Und wenn es intern keinen Ersatz gibt, ist es sicherer, den Betrieb einer externen IT-Betreuung anzuvertrauen, als die Firma auf Autopilot laufen zu lassen.
Der Weggang des IT-Verantwortlichen ist deshalb tückisch, weil zunächst nichts passiert. Der Server läuft, die Mails kommen an, die Drucker drucken. Die IT bricht nach dem Weggang des Administrators nicht sofort zusammen — sie verfällt schleichend. Das erste Problem zeigt sich nach Wochen oder Monaten: ein abgelaufenes Zertifikat, eine volle Festplatte, ein fehlgeschlagenes Backup. Und erst in diesem Moment zeigt sich, was in der Dokumentation stand und was nur im Kopf einer Person war, die längst nicht mehr im Unternehmen ist.
Dieser Text ist ein praktischer Leitfaden für Geschäftsführung und Verwaltung: was Sie anfordern sollten, wie Sie die Übergabe organisieren, was zu tun ist, wenn es bereits zu spät ist, und wann es sinnvoll ist, die Betreuung an einen externen Dienstleister zu übergeben.
Was passiert, wenn die IT im Kopf eines Einzelnen lebt
Typische Szenarien, auf die Unternehmen stoßen — und die sich bei der Übergabe abfangen lassen:
- Die Domain ist auf seine private E-Mail-Adresse registriert. Die Verlängerungsaufforderung landet in einem Postfach, das niemand mehr liest. Die Domain verfällt und mit ihr schlagartig die Website und die gesamte Firmenpost. Die Wiederherstellung über den Registrar läuft dann unter Zeitdruck und mit Eigentumsnachweis.
- Das Passwort für Firewall oder Router kennt niemand. Das Gerät lief jahrelang ohne Eingriff. Beim ersten Internetausfall bleibt nur der Werksreset — und damit verschwinden VPN, Regeln, Adressreservierungen und die Netzsegmentierung. Die Konfiguration wird neu aufgebaut, aus dem Gedächtnis.
- Backups „liefen”, aber niemand hat je eine Wiederherstellung getestet. Erst nach einem Serverausfall stellt sich heraus, dass der Job seit Monaten mit Fehler endete, das Zielmedium voll ist oder das Backup mit einem Schlüssel verschlüsselt wurde, der mit dem Administrator gegangen ist.
- Lizenzen und Dienste laufen über sein Konto. Microsoft 365, Antivirus oder Hosting hat er mit seiner Karte bezahlt und weiterberechnet. Nach seinem Weggang scheitert die Zahlung und der Dienst wird abgeschaltet — oft ohne Vorwarnung an das Unternehmen.
- Automatisierungen laufen auf seinem Rechner. Der nächtliche Export in die Buchhaltung, die Übertragung der Bestellungen aus dem Onlineshop, Überwachungsskripte. Nach der Deaktivierung seines Kontos stoppen sie still und leise, und niemand weiß, was alles nicht mehr funktioniert.
Der gemeinsame Nenner: Keines dieser Probleme ist am Tag des Weggangs sichtbar. Deshalb ist eine IT-Übergabe vor allem eine Inventur — und deshalb lässt sie sich nicht an einem letzten Nachmittag abhaken.
Checkliste IT-Übergabe: was Sie anfordern sollten
Gehen Sie die Punkte gruppenweise durch. Für jeden gilt dieselbe Regel: Sie übernehmen keine Liste, Sie übernehmen einen funktionierenden Zugang — überprüft durch eine Anmeldung im Beisein des scheidenden Administrators.
1. Administratorkonten und Passwörter
- lokale Administratorpasswörter für Rechner und Server;
- Domänenadministrator (Active Directory), gegebenenfalls Microsoft 365 Global Administrator oder Google Workspace Super Admin;
- Router, Firewall, Switches, WLAN (Controller und einzelne Access Points);
- NAS und Server samt Fernwartung (iLO, iDRAC) und Hypervisor (Proxmox, VMware, Hyper-V);
- VPN — Serverkonfiguration und Übersicht, wer von außen Zugriff hat;
- Videoüberwachung, Zeiterfassung, Telefonanlage, Druckserver;
- Datenbanken, Anwendungs- und Dienstkonten, in Skripten verwendete API-Schlüssel;
- BIOS/UEFI-Passwörter und BitLocker-Wiederherstellungsschlüssel der Firmennotebooks — wo diese gespeichert sind, erklärt der Artikel über BitLocker und den Wiederherstellungsschlüssel.
Übernehmen Sie Passwörter in einen firmeneigenen Passwortmanager, auf den mehr als eine Person Zugriff hat. Eine Excel-Tabelle auf einem geteilten Laufwerk ist ein Sicherheitsproblem, keine Lösung.
2. Domain, DNS und E-Mail
Hier entstehen die teuersten Ausfälle, deshalb besonders sorgfältig:
- das Konto beim Domain-Registrar — auf welchen Namen und welche E-Mail-Adresse es läuft, wohin die Verlängerungsrechnungen gehen;
- wer die DNS-Einträge verwaltet (Registrar, Hosting, Cloudflare) und wer Zugang dazu hat;
- Webhosting und die Website selbst — Administration des Content-Management-Systems, FTP/SSH;
- E-Mail-Verwaltung: Administration von Microsoft 365 / Google Workspace oder Mailserver beim Hoster;
- SPF-, DKIM- und DMARC-Einträge — wer sie eingerichtet hat und wo;
- SSL-Zertifikate: wo sie erneuert werden, ob automatisch, und wann sie ablaufen.
Das Ziel ist nicht nur, die Passwörter zu kennen, sondern das Eigentum auf das Unternehmen zu übertragen: Registrar, Hosting und Administratorkonten müssen an eine Firmen-E-Mail-Adresse und die Firmenrechnungsdaten gebunden sein, nicht an die private Adresse eines ehemaligen Mitarbeiters.
3. Backups — und ihr Test
- was genau gesichert wird (Server, Datenbanken, Netzlaufwerke, E-Mail, Konfigurationen der Netzwerkkomponenten), wohin und wie oft;
- Zugang zur Backup-Software und zu den Backup-Speichern;
- Verschlüsselungspasswörter und -schlüssel der Backups — ohne sie ist ein Backup wertlos;
- wohin die Fehlerbenachrichtigungen der Jobs gehen — falls an seine Adresse, umleiten;
- Existenz einer Kopie außerhalb des Unternehmens und außerhalb der Reichweite von Ransomware — das Prinzip erläutert der Text über die 3-2-1-Regel und das Backup auf eine externe Festplatte.
Und vor allem: Führen Sie eine Probewiederherstellung noch in seinem Beisein durch. Eine Datei, eine Datenbank, idealerweise ein komplettes System. Ein Backup, das nie jemand wiederhergestellt hat, ist bloß eine Vermutung.
4. Lizenzen, Verträge und Servicebeziehungen
- Vertrag mit dem Internetanbieter und direkter Kontakt zu dessen Support;
- Lizenzen: Microsoft 365 / Google Workspace, Antivirus oder EDR, Buchhaltungs- und Branchensoftware, CAD, Backup-Software;
- Cloud-Dienste: virtuelle Server, Speicher, E-Commerce-Plattform;
- Serviceverträge und Garantien für Server, NAS und Netzwerkkomponenten;
- bei jedem Punkt: auf wen er registriert ist, wie er bezahlt wird und wann er abläuft.
Lassen Sie sich vor allem alles zeigen, was über seine Karte oder seine Konten bezahlt wird — das sind die stillen Ausfälle von morgen.
5. Dokumentation von Netzwerk und Systemen
- Netzplan: Adressbereiche, VLANs, Anschlussschema, Geräteliste mit Standorten;
- Konfigurationsexporte von Firewall und Switches (und wo sie abgelegt werden);
- Übersicht „was läuft wo”: physische Server, virtuelle Maschinen, Dienste und ihre Abhängigkeiten;
- bekannte Probleme und Provisorien — jedes Netzwerk hat welche, und es ist besser, davon zu wissen.
Wenn nie eine Dokumentation existiert hat, hat es keinen Sinn, sie in der letzten Woche einzufordern. Der realistische Weg ist, den Ist-Zustand erfassen zu lassen — was ein Audit von Netzwerk und Verkabelung umfasst, haben wir separat beschrieben.
Wie Sie die Übergabe organisieren, solange der IT-Verantwortliche noch da ist
Beginnen Sie in der ersten Woche der Kündigungsfrist, nicht in der letzten. Eine Zugangsinventur dauert immer länger als erwartet, und am Ende ist die scheidende Person meist schon mit den Gedanken woanders.
Bewährtes Vorgehen:
- Übergabeprotokoll. Eine Aufstellung aller Punkte der obigen Checkliste, bei jedem der Status: übergeben / überprüft / fehlt. Am Ende die Unterschrift beider Seiten. Das ist keine Schikane — es schützt auch die scheidende Person, von der ein halbes Jahr später niemand „das nicht übergebene Passwort” verlangen kann.
- Überprüfung durch Anmeldung. Testen Sie jeden Zugang in seinem Beisein. Genau hier finden sich die Konten, deren Passwort längst nicht mehr gilt.
- Betriebsrundgang. Lassen Sie sich erklären, was täglich und was einmal im Monat zu tun ist: Backup-Kontrolle, Updates, Wechsel von Bändern oder Festplatten, Zertifikatserneuerung. Daraus entsteht ein Betriebskalender für die Nachfolge.
- Anleitungen für wiederkehrende Aufgaben. Anlegen und Löschen eines Benutzers, Wiederherstellung einer Datei aus dem Backup, Festplattentausch im NAS, Vorgehen bei einem Internetausfall. Kurze Notizen genügen, gern auch eine Bildschirmaufnahme.
- Nach der Übergabe Passwörter ändern. Alle Administratorkonten, zu denen er Zugang hatte, bekommen neue Passwörter und eine Mehr-Faktor-Authentifizierung, die an Firmenkontakte gebunden ist. Seine Konten deaktivieren Sie zum letzten Arbeitstag — löschen Sie sie aber nicht, bevor Postfach, Dateien und geplante Aufgaben übertragen sind.
Wenn er bereits weg ist und keine Übergabe stattgefunden hat
Das kommt häufiger vor, als es sollte — die Zusammenarbeit endete schnell oder im Streit. Die Systeme laufen in der Regel weiter, aber unbeaufsichtigt. Gehen Sie nach der Schadenshöhe vor, nicht danach, was am sichtbarsten ist:
- Domain und E-Mail. Prüfen Sie, auf wen die Domain registriert ist und wann sie abläuft, ebenso die Zertifikate. Das sind Ausfälle, die das gesamte Unternehmen auf einen Schlag lahmlegen.
- Backups. Klären Sie, ob sie überhaupt laufen und ob sich daraus wiederherstellen lässt. Behandeln Sie das Unternehmen bis dahin so, als gäbe es kein Backup — keine Experimente am Server.
- Zugänge. Was fehlt, beschaffen Sie auf legalem Weg: Passwort-Reset über Registrar, Hoster oder Hersteller mit Eigentumsnachweis (Vertrag, Rechnungen, Handelsregisterauszug). Bei Netzwerkkomponenten ohne Passwort rechnen Sie mit einem Werksreset und einer neuen Konfiguration.
- Fernzugänge des ehemaligen Administrators. VPN-Konten, TeamViewer/AnyDesk, seine Administratorkonten in der Cloud. Deaktivieren — nicht aus Böswilligkeit, sondern aus Prinzip: Ins Firmennetz gehört niemand, der nicht im Unternehmen arbeitet.
Wenn es im Unternehmen niemanden gibt, der das durchgehen kann, ist das genau die Situation für die Übernahme der IT durch einen externen Dienstleister — der erste Schritt ist immer die Bestandsaufnahme und die Sicherung von Zugängen und Backups, erst danach folgt der Rest. Und es lohnt sich, den ehemaligen Administrator anzurufen und eine bezahlte Beratung zum Abschluss der Übergabe zu vereinbaren: Die meisten Menschen gehen nicht in der Absicht, Schaden anzurichten, und mit einer Vereinbarung erreichen Sie mehr als mit Vorwürfen.
Wann es sinnvoll ist, die IT-Betreuung extern zu vergeben
Nach dem Weggang des einzigen IT-Verantwortlichen lautet die Frage nicht nur „wer kommt an seine Stelle”, sondern „wollen wir dasselbe Risiko noch einmal?”. Wenn Sie eine Person durch eine andere einzelne Person ersetzen, stehen Sie in einem Jahr wieder genau da — und dazwischen liegen Urlaub, Krankheit und Wochenenden, an denen niemand die IT im Blick hat.
Eine externe Betreuung ist sinnvoll, wenn:
- das Unternehmen einen IT-Spezialisten nicht ganzjährig auslasten kann und die Rolle ohnehin „IT-Betreuung nebenher” war;
- Sie Vertretbarkeit brauchen — bei einem Dienstleister geht das Know-how nicht mit einer einzelnen Person;
- Sie Dokumentation und Monitoring als Standard der Leistung wollen, nicht als guten Willen eines Mitarbeiters.
Worauf Sie im Vertrag achten sollten, damit sich die heutige Situation nicht nur in anderem Gewand wiederholt: Dokumentation und Zugänge sind Eigentum des Unternehmens und stehen Ihnen laufend zur Verfügung, nicht erst bei Beendigung der Zusammenarbeit; Administratorkonten laufen auf das Unternehmen; und der Vertrag beschreibt, wie eine spätere Übergabe abläuft. Gut funktioniert auch eine Kombination — externe Betreuung plus ein interner „geschulter Anwender”, der die erste Hilfe vor Ort übernimmt.
Der Weggang des IT-Verantwortlichen muss keine Krise sein. Mit Checkliste, Protokoll und überprüften Backups ist es ein geordneter Wechsel. Zur Krise wird er meist nur dann, wenn die Übergabe auf später verschoben wird.
FAQ
Der Administrator ist im Streit gegangen und weigert sich, die Passwörter herauszugeben. Was jetzt?
Die Zugänge lassen sich meist auch ohne ihn wiederherstellen: Domain-Registrar, Hoster und Gerätehersteller haben Verfahren für den Eigentumsnachweis durch das Unternehmen (Verträge, Rechnungen, Handelsregisterauszug). Bei Netzwerkkomponenten bleibt der Werksreset und eine neue Konfiguration. Dokumentieren Sie den Ablauf und deaktivieren Sie den Zugang des ehemaligen Administrators zu den Firmensystemen so schnell wie möglich.
Reicht es, wenn er uns eine Tabelle mit den Passwörtern hinterlässt?
Nein. Ein Teil der Passwörter ist meist ungültig, ein Teil der Konten läuft über seine private E-Mail-Adresse, und die Tabelle sagt nichts darüber aus, was fehlt. Übergabe heißt Überprüfung: sich bei jedem Punkt anmelden, Konten auf Firmenkontakte übertragen, Mehr-Faktor-Authentifizierung aktivieren und die Passwörter in einem gemeinsamen Firmen-Passwortmanager ablegen.
Sollen wir seine Konten gleich am Tag des Weggangs löschen?
Deaktivieren ja, löschen nein. An dem Konto können Lizenzen, geteilte Dokumente, geplante Aufgaben oder ein Postfach hängen, in das weiterhin wichtige Post eingeht. Erst die Übertragung an die Nachfolge, dann die Löschung.
Wie lange dauert eine IT-Übernahme?
Das hängt von der Größe des Netzwerks und dem Stand der Dokumentation ab. Die reine Übergabe der Zugänge ist eine Sache von Tagen; die Überprüfung der Backups durch eine Probewiederherstellung, die Kontoübertragungen bei Registrar und Anbietern sowie das Verfassen der Betriebsanleitungen ziehen sich über Wochen. Deshalb ist es wichtig, am Anfang der Kündigungsfrist zu beginnen, nicht an ihrem Ende.
Überstehen wir die Zeit ohne Administrator, bis wir Ersatz gefunden haben?
Kurzfristig ja — sofern Sie überprüfte Backups, im Blick behaltene Ablaufdaten von Domain und Zertifikaten sowie funktionierende Administratorzugänge haben. Langfristig wächst das stille Risiko: Niemand kontrolliert Backups, Updates oder Sicherheitswarnungen. Je länger das Provisorium dauert, desto teurer wird meist der erste Zwischenfall.