Ausscheidende Mitarbeiter in Microsoft 365: Postfach, OneDrive und Chats richtig aufbewahren – ohne die Lizenz weiterzuzahlen

Die Zahl stand auf einer Excel-Tabelle, die mir ein IT-Leiter aus dem Sauerland etwas verlegen zeigte: 214 Lizenzen für Personen, die nicht mehr im Unternehmen waren. Manche seit Wochen, manche seit Jahren. Der Grund war jedes Mal derselbe: „Da könnte noch was Wichtiges drin sein." Der Vertriebsleiter wollte die Mails seines Vorgängers behalten, die Personalabteilung wollte das Postfach der Ausgeschiedenen „für alle Fälle", und niemand wollte derjenige sein, der auf Löschen klickt. Also blieb alles, wie es war – mit Lizenz, mit Anmeldemöglichkeit, mit einem Postfach, das jeder mit dem Passwort hätte öffnen können. Das war weder Datenschutz noch Aufbewahrung. Das war Angst mit Lizenzgebühr.

Der Austritt eines Mitarbeiters ist in Microsoft 365 ein Purview-Fall, und zwar einer der häufigsten: Postfach, OneDrive und Teams-Chats enthalten Vorgänge, die das Unternehmen weiterführen muss, Unterlagen, die es aufbewahren muss, und Daten, die es irgendwann löschen muss – alles zugleich, und alles ohne dass jemand die Lizenz weiterzahlt oder das Konto offen lässt. Purview hat dafür ein Instrumentarium, das erstaunlich gut funktioniert, wenn man die Reihenfolge kennt: das inaktive Postfach, das ohne Lizenz so lange bleibt, wie eine Aufbewahrung es hält; die OneDrive-Aufbewahrung nach Kontolöschung; die Teams-Chats, die im Postfach mitreisen; und die eDiscovery-Suche für den Fall, dass wirklich noch etwas gebraucht wird. Und es hat Grenzen, die nicht technisch sind: Wer in das Postfach eines Ausgeschiedenen schaut, braucht Anlass, Regel und – je nach Privatnutzung – sehr viel Vorsicht.

Dieser Artikel zeigt den Offboarding-Fluss von der Übergabe vor dem letzten Tag bis zur Löschung nach Fristende, erklärt das inaktive Postfach und die drei Wege für Postfächer Ausgeschiedener, zieht die Grenze für den Zugriff durch Nachfolger und zeigt, wie sich das Ganze über adaptive Bereiche automatisieren lässt. Die Retention-Grundlagen setzt der Spoke Retention Policy vs. Retention Label voraus; wo Aufbewahren und Löschen im Gesamtbild von Purview sitzen, zeigt der Überblick zum Kompetenzbereich Microsoft Purview.

Der Austritt als Retention-Fall: drei Datenorte, drei Fragen

Ein ausscheidender Mitarbeiter hinterlässt in Microsoft 365 drei Orte, an denen Daten liegen: das Postfach mit Mails und Kalender – und, versteckt, den Teams-Chats –, das OneDrive mit Arbeitsdateien und die Teams, in denen er Mitglied oder Besitzer war. Für jeden Ort stellen sich dieselben drei Fragen: Was davon braucht ein Nachfolger sofort? Was davon muss aufbewahrt werden – wegen Handelsbriefen, Verträgen, Verjährung, laufender Verfahren? Und wann darf oder muss der Rest gelöscht werden? Wer diese Fragen erst am letzten Arbeitstag stellt, hat sie zu spät gestellt. Die beste Aufbewahrung ist die Übergabe vor dem Austritt – durch den Mitarbeiter selbst, der weiß, was wichtig ist, was privat ist und was Ballast.

Das Postfach: drei Wege, einer davon richtig

Für das Postfach gibt es drei Wege, und ich sehe alle drei in der Praxis. Der erste ist der aus dem Intro: Lizenz behalten, Konto sperren, Postfach „für alle Fälle" stehen lassen. Er kostet jeden Monat eine Lizenz, hält ein Konto mit Anmeldemöglichkeit am Leben, und niemand fühlt sich zuständig, das jemals zu ändern – 214 Lizenzen sind kein Extremfall. Der zweite Weg ist das freigegebene Postfach: Das Benutzerpostfach wird in ein Shared Mailbox umgewandelt, der Nachfolger bekommt Zugriff, die Lizenz kann weg – solange kein Hold gilt, denn ein freigegebenes Postfach unter Hold oder mit Archiv braucht weiterhin eine Lizenz. Für die Übergangsfrist, in der ein Nachfolger laufende Vorgänge übernimmt, ist das der richtige Weg; als Dauerlösung ist es ein Postfach ohne Ende. Der dritte Weg ist das inaktive Postfach: Hold oder Retention Policy setzen, Konto löschen, fertig – das Postfach bleibt ohne Lizenz erhalten, so lange die Aufbewahrung wirkt, unsichtbar für alle, erreichbar per eDiscovery mit Anlass, gelöscht nach Fristende. Das ist Aufbewahrung, wie Purview sie meint. Der richtige Ablauf kombiniert die Wege zwei und drei: freigegebenes Postfach für vier bis zwölf Wochen, dann Kontolöschung mit Hold ins inaktive Postfach.

OneDrive und Chats: was mitreist und was bleibt

OneDrive ist einfacher, als es klingt, wenn zwei Dinge stimmen: Der Vorgesetzte ist in Entra ID gepflegt, und Arbeitsdateien liegen dort, wo sie hingehören – in Team-Sites, nicht in persönlichen OneDrives. Wird das Konto gelöscht, bekommt der hinterlegte Vorgesetzte per E-Mail Zugriff auf das OneDrive und kann für die konfigurierte Aufbewahrungsdauer – standardmäßig 30 Tage, konfigurierbar bis zehn Jahre – Dateien sichten und in Team-Sites verschieben. Gilt eine Retention Policy für OneDrive, bleibt die Site danach schreibgeschützt erhalten, bis die Frist abläuft, und eDiscovery findet sie. Ist kein Vorgesetzter gepflegt, geht der Zugriff ins Leere; das ist der häufigste OneDrive-Fehler beim Austritt und ein Attribut, das die Personalabteilung führen sollte. Teams ist zweigeteilt: Kanalnachrichten gehören dem Team und bleiben, egal wer geht – deshalb sollte die Regel im Haus lauten, dass Vorgänge in Kanälen und nicht in Chats stattfinden. 1:1- und Gruppenchats dagegen liegen im Postfach des Benutzers, versteckt, und folgen ihm ins inaktive Postfach; ein Nachfolger sieht sie nicht, eDiscovery mit Anlass schon. Und wer Besitzer von Teams war, muss den Besitz übertragen, sonst stehen die Teams ohne Verantwortlichen da.

Skizze 1: Der Offboarding-Fluss – Postfach, OneDrive und Teams von der Übergabe vor dem letzten Tag bis zur Aufbewahrung nach Fristende.

Die drei Wege für das Postfach eines Ausgeschiedenen im Vergleich. Der Regelfall in Projekten ist die Kombination: freigegebenes Postfach für die Übergangsfrist, dann inaktives Postfach bis Fristende – Weg eins ist keine Lösung, sondern ein Aufschub.

Das inaktive Postfach richtig erzeugen: Hold vor Löschung

Das inaktive Postfach ist die elegante Antwort auf die Angst mit Lizenzgebühr – aber es entsteht nur in einer bestimmten Reihenfolge, und wer sie umkehrt, verliert Daten. Die Regel: Erst die Aufbewahrung, dann die Löschung. Ein Postfach wird inaktiv, wenn zum Zeitpunkt der Kontolöschung ein Hold gilt – ein Litigation Hold auf dem Postfach, ein eDiscovery-Hold aus einem Fall oder eine Retention Policy, die das Postfach einschließt. Gilt zu diesem Zeitpunkt nichts davon, ist das gelöschte Postfach nach einer Karenzfrist von 30 Tagen unwiderruflich weg – mit allen Mails, allen Chats, allen Handelsbriefen. Deshalb gehört die Prüfung „ist dieses Postfach unter Aufbewahrung?" auf die Offboarding-Checkliste, vor dem Klick auf Löschen, und deshalb ist die einfachste Absicherung eine Retention Policy, die alle Postfächer einschließt – dann ist jedes Postfach automatisch inaktiv statt weg.

Ist das Postfach inaktiv, verhält es sich wie eine Akte im Archiv: Niemand kann sich anmelden, niemand sieht es im Adressbuch, aber eDiscovery und Content Search finden jeden Inhalt, und die Retention Policies laufen weiter – auch die kürzere Teams-Richtlinie, die Chats nach einem Jahr aus dem inaktiven Postfach entfernt. Wird das Postfach wirklich noch gebraucht, gibt es zwei Wege zurück: die Wiederherstellung, die aus dem inaktiven Postfach ein aktives für einen neuen oder denselben Benutzer macht, und die Kopie in ein bestehendes Postfach, etwa das des Nachfolgers, wobei das inaktive erhalten bleibt. Beides sind Ausnahmen mit Anlass, keine Routine. Und wenn die letzte Aufbewahrung abläuft – der Hold aufgehoben, die Frist um –, löscht Purview das inaktive Postfach endgültig; wie Holds und Fristen zusammenspielen und wann ein Hold aufzuheben ist, beschreibt der Spoke zu Legal Hold in Microsoft 365.

Zugriff durch Nachfolger und die Datenschutzgrenzen

Aufbewahren ist die eine Sache, hineinschauen die andere. Der Nachfolger will wissen, was mit dem Kunden Müller besprochen wurde; die Buchhaltung sucht die Auftragsbestätigung; die Rechtsabteilung braucht Beweise für den Streit mit dem Lieferanten. Alle drei sind legitime Anlässe – und keiner davon rechtfertigt, dass jemand das Postfach eines Ausgeschiedenen komplett übernimmt, alle Mails weiterleitet oder in Ruhe durchblättert. Der Zugriff auf Daten eines Ausgeschiedenen ist eine Verarbeitung von Beschäftigtendaten mit hohem Missbrauchspotenzial, und er wird in Deutschland durch zwei Dinge geregelt: die Frage der Privatnutzung und die Betriebsvereinbarung.

Die Privatnutzung ist der Dreh- und Angelpunkt. War die private Nutzung von E-Mail und Teams klar untersagt und wurde das Verbot durchgesetzt, sind die Inhalte dienstlich, und der Zugriff nach den Regeln der Betriebsvereinbarung mit Anlass und Protokoll ist möglich. War sie erlaubt oder geduldet – und geduldet ist der Normalfall –, können private Inhalte im Postfach liegen, und der Zugriff wird heikel: Einwilligung des Ausgeschiedenen einholen, wenn möglich; private Ordner und erkennbar private Mails ausschließen; Datenschutzbeauftragten hinzuziehen; Zugriff nur mit dokumentiertem Anlass und im Vier-Augen-Prinzip. Der zweite Faktor ist der Zweck: Laufende Vorgänge übernehmen ist ein anderer Fall als Beweise für einen Rechtsstreit sichern. Für Ersteres ist das freigegebene Postfach für eine kurze Übergangsfrist das Werkzeug – idealerweise mit einer Sichtung, die der Ausgeschiedene vor seinem letzten Tag selbst gemacht hat. Für Letzteres ist es eine zielgerichtete eDiscovery-Suche im inaktiven Postfach mit Suchbegriffen und Datumsfilter, im Vier-Augen-Prinzip, mit Jurist und Datenschutzbeauftragtem, und der Betriebsrat wird laut Vereinbarung informiert; wie eDiscovery dafür eingerichtet wird, beschreibt der Spoke zu eDiscovery Standard vs. Premium. Was in beiden Fällen nicht geht: automatische Weiterleitung aller eingehenden Mails an den Nachfolger, dauerhafter Vollzugriff, oder ein Postfach, das Jahre nach dem Austritt noch von Dritten benutzt wird.

Skizze 2: Darf der Nachfolger ins Postfach? Privatnutzung, Zweck und die passende Zugriffsform – vom freigegebenen Postfach bis zur eDiscovery mit Vier-Augen.

Als Umsetzungshilfe die Offboarding-Checkliste, wie ich sie mit Kunden aufsetze. Die Zeilen vor dem letzten Tag sind die wichtigsten – alles danach ist Beweissicherung, keine Übergabe.

Automatisiert statt per Ticket: adaptive Bereiche und das HR-Attribut

Der Offboarding-Fluss funktioniert per Checkliste – aber Checklisten werden übersprungen, wenn im Monatsende zwölf Austritte gleichzeitig kommen. Die robustere Variante bindet die Aufbewahrung an ein Attribut, das ohnehin gepflegt wird: das Austrittsdatum aus dem Personalsystem. Wird es nach Entra ID synchronisiert, kann ein adaptiver Bereich in Purview alle Benutzer mit einem Austrittsdatum in der Vergangenheit erfassen, und eine Retention Policy „Ausgeschieden" folgt diesem Bereich automatisch – Postfach, OneDrive und Chats sind ab dem Austrittstag unter Aufbewahrung, ohne dass jemand ein Ticket bearbeitet. Ein Skript sperrt das Konto am Austrittstag, ein zweites löscht es nach der Übergangsfrist; das inaktive Postfach entsteht von selbst, weil die Richtlinie längst greift. Statische Listen dagegen veralten: Der Praktikant von 2023 steht in keiner, der Kollege, der intern gewechselt ist, in drei. Adaptive Bereiche brauchen E5; ohne E5 bleibt das Skript, das den Benutzer beim Austritt in eine statische Richtlinie schiebt – funktioniert, aber jemand muss es warten.

Dieselbe Logik trägt die Fristen: Eine Richtlinie „Ausgeschieden, drei Jahre ab Austritt" für den Regelfall, ereignisbasierte Labels für Handelsbriefe und Verträge, die länger halten müssen, und die kürzere Teams-Richtlinie, die Chats auch im inaktiven Postfach nach einem Jahr entfernt. Was übrig bleibt, wenn alle Fristen um sind, wird gelöscht – und dieser Punkt ist der, an dem sich zeigt, ob das Löschkonzept mehr ist als Papier: Ohne Löschaktion sammelt der Tenant inaktive Postfächer wie der Keller alte Ordner. Wie das Löschkonzept insgesamt in Purview umgesetzt wird, beschreibt der Spoke zum Löschkonzept nach DSGVO.

Skizze 3: Automatisiert statt per Ticket – das HR-Attribut steuert adaptiven Bereich, Aufbewahrung, Kontolöschung und Fristende.

Der Deutschland-Winkel: Privatnutzung, Betriebsvereinbarung und Fristen nach Austritt

Der Zugriff auf Postfach und Dateien eines Ausgeschiedenen ist in Deutschland ein Dauerthema der Datenschutzaufsicht – die Orientierungshilfen der Datenschutzkonferenz zur dienstlichen Nutzung von E-Mail und zum Umgang mit Postfächern beim Ausscheiden formulieren seit Jahren dieselben Leitplanken: klare Regelung der Privatnutzung, Sichtung und Übergabe möglichst durch den Beschäftigten selbst, keine dauerhafte Weiterleitung, Zugriff durch Dritte nur mit Anlass, Protokoll und unter Beteiligung des Datenschutzbeauftragten, private Inhalte ausgenommen. Bei erlaubter oder geduldeter Privatnutzung kommt die Diskussion um das Fernmeldegeheimnis hinzu, deren Ausgang die Gerichte noch nicht abschließend geklärt haben – Grund genug, die Privatnutzung ausdrücklich zu regeln und im Zweifel den Weg über Einwilligung und Filterung zu gehen. Auf der anderen Seite stehen die Aufbewahrungspflichten: Handelsbriefe des Ausgeschiedenen bleiben sechs Jahre aufbewahrungspflichtig, Belege acht, und die dreijährige Verjährung ist der Grund für die übliche Frist von drei Jahren für den Rest – aber jede dieser Fristen ist Sache von Steuerberater und Datenschutzbeauftragtem, nicht der IT.

Der Betriebsrat ist beim Offboarding in doppelter Rolle beteiligt: Der Zugriff auf Beschäftigtendaten Ausgeschiedener ist mitbestimmungspflichtig, wenn er systematisch geregelt wird, und die Regeln dazu – wer, wann, mit welchem Anlass, mit welchem Verfahren, wie protokolliert – gehören in die Purview-Betriebsvereinbarung, deren Aufbau der Spoke zur Betriebsvereinbarung für Purview beschreibt. Meine Erfahrung: Betriebsräte begrüßen das inaktive Postfach, weil es die Willkür des „behaltenen Kontos" durch ein Verfahren mit Anlass ersetzt. Der Datenschutzbeauftragte ist Vier-Augen-Instanz bei jedem Zugriff und prüft, dass nach Fristende auch wirklich gelöscht wird. Wie immer: keine Rechtsberatung, Stand 2026 – Datenschutzbeauftragter, Betriebsrat, Steuerberater und bei Bedarf ein Jurist gehören an den Tisch, bevor der erste Nachfolger in ein Postfach schaut.

Stolperfallen aus der Praxis

Lizenz behalten „für alle Fälle". 214 Lizenzen für Ausgeschiedene, Konten mit Anmeldemöglichkeit, kein Anlass, keine Frist. Retention Policy setzen, Konten löschen, inaktive Postfächer nutzen.

Konto gelöscht ohne Hold. Nach 30 Tagen ist das Postfach unwiderruflich weg – mit den Handelsbriefen. Erst Aufbewahrung, dann Löschung; am besten eine Richtlinie für alle Postfächer.

Vorgesetzter in Entra nicht gepflegt. Der OneDrive-Zugriff nach Löschung geht ins Leere, die Dateien laufen in die 30-Tage-Frist. Attribut „Manager" gehört zur Stammdatenpflege der Personalabteilung.

Weiterleitung aller Mails an den Nachfolger. Jahrelang, inklusive privater Post und Bewerbungen des Ausgeschiedenen bei Wettbewerbern. Autoreply mit Nachfolger, freigegebenes Postfach befristet, kein Forward.

Freigegebenes Postfach als Dauerzustand. Die Übergangsfrist wird nie beendet, das Postfach lebt zehn Jahre weiter, Copilot des Nachfolgers liest mit. Frist setzen, danach löschen und inaktiv.

Team-Besitz nicht übertragen. Zwanzig Teams ohne Besitzer, niemand kann Gäste entfernen oder Labels ändern. Besitzübertragung auf die Checkliste vor dem letzten Tag.

Fazit: Aufbewahren ohne Lizenz, zugreifen nur mit Anlass

Der Austritt eines Mitarbeiters ist in Microsoft 365 kein Grund, Lizenzen zu behalten oder Daten zu verlieren – er ist ein Retention-Fall mit klarem Ablauf: Übergabe vor dem letzten Tag durch den Mitarbeiter selbst, freigegebenes Postfach für eine kurze Übergangsfrist, Kontolöschung mit Aufbewahrung ins inaktive Postfach, OneDrive über den Vorgesetzten und die konfigurierte Aufbewahrung, Chats im Postfach mitreisend, eDiscovery mit Anlass und Vier-Augen für alles, was danach noch gebraucht wird, Löschung nach Fristende. Wer das über eine Retention Policy für alle Postfächer absichert und über ein HR-Attribut automatisiert, hat das Thema vom Tisch – und einen Betriebsrat, der es begrüßt. Wo Aufbewahren und Löschen im Gesamtbild von Purview sitzen, zeigt der Purview-Überblick.

Wenn du wissen willst, wie viele Lizenzen in deinem Tenant heute an ausgeschiedene Mitarbeiter gehen, welche Postfächer ohne Aufbewahrung gelöscht würden und wie ein Offboarding-Fluss mit adaptivem Bereich für dein Haus aussähe: Die Purview-Standortbestimmung liefert genau das – kompakt, zum Festpreis, mit Checkliste und Betriebsvereinbarungs-Baustein.

FAQ: Häufige Fragen zu Postfach, OneDrive und Chats ausgeschiedener Mitarbeiter

Was ist ein inaktives Postfach in Microsoft 365?

Ein inaktives Postfach entsteht, wenn ein Exchange-Online-Postfach unter Hold oder Retention Policy steht und das Benutzerkonto gelöscht wird: Es bleibt mit allen Inhalten – E-Mails, Kalender, Teams-Chats – erhalten, ohne dass eine Lizenz nötig ist, so lange die Aufbewahrung wirkt. Es ist für Anwender unsichtbar, per eDiscovery durchsuchbar, bei Bedarf wiederherstellbar und wird nach Ablauf aller Holds und Fristen endgültig gelöscht.

Muss ich die Lizenz eines ausgeschiedenen Mitarbeiters weiterzahlen, um sein Postfach zu behalten?

Nein. Wenn das Postfach beim Löschen des Kontos unter einer Retention Policy oder einem Hold steht, wird es zum inaktiven Postfach und bleibt lizenzfrei erhalten. Nur ein freigegebenes Postfach unter Hold oder mit Onlinearchiv braucht weiterhin eine Lizenz – deshalb ist es das Werkzeug für eine kurze Übergangsfrist, nicht für die Dauer-Aufbewahrung. Wer Lizenzen „für alle Fälle" behält, zahlt für Angst, nicht für Aufbewahrung.

Was passiert mit dem OneDrive eines gelöschten Benutzers?

Nach Löschung des Kontos wird das OneDrive standardmäßig 30 Tage aufbewahrt (im SharePoint Admin Center bis 3650 Tage konfigurierbar), und der in Entra ID hinterlegte Vorgesetzte erhält per E-Mail Zugriff, um Dateien zu sichten und in Team-Sites zu verschieben. Gilt eine Retention Policy für OneDrive, bleibt die Site darüber hinaus schreibgeschützt bis zum Ende der Aufbewahrungsfrist erhalten und ist per eDiscovery auffindbar. Ohne gepflegten Vorgesetzten geht der Zugriff ins Leere.

Darf der Nachfolger das Postfach eines ausgeschiedenen Mitarbeiters lesen?

Nur nach Regeln: bei untersagter Privatnutzung für dienstliche Zwecke mit Anlass und Protokoll gemäß Betriebsvereinbarung, bei erlaubter oder geduldeter Privatnutzung nur mit Einwilligung, unter Ausschluss privater Inhalte und mit dem Datenschutzbeauftragten. Praktikabel ist ein freigegebenes Postfach für eine befristete Übergangsfrist zur Übernahme laufender Vorgänge; für Beweiszwecke eine gezielte eDiscovery-Suche im inaktiven Postfach im Vier-Augen-Prinzip. Dauerhafte Weiterleitung oder Vollzugriff über Jahre sind nicht vertretbar. Praxisorientierung, keine Rechtsberatung, Stand 2026.

Was passiert mit den Teams-Chats eines ausgeschiedenen Mitarbeiters?

1:1- und Gruppenchats liegen im Postfach des Benutzers und folgen ihm ins inaktive Postfach; sie sind für den Nachfolger nicht sichtbar, aber per eDiscovery mit Anlass auffindbar, und die Teams-Retention-Richtlinie läuft weiter – Chats werden also auch im inaktiven Postfach nach der konfigurierten Frist gelöscht. Kanalnachrichten gehören dem Team und bleiben unabhängig vom Austritt erhalten; deshalb sollten Vorgänge in Kanälen und nicht in Chats stattfinden.

Wie lange sollte ich Postfach und OneDrive eines Ausgeschiedenen aufbewahren?

Das legen Datenschutzbeauftragter, Steuerberater und Betriebsvereinbarung fest, nicht die IT. Üblich in Projekten sind drei Jahre für den Regelfall (orientiert an der Verjährung), länger für Handelsbriefe und Verträge über eigene Labels, kürzer für Chats über die Teams-Richtlinie. Entscheidend ist, dass nach Fristende auch gelöscht wird – sonst sammelt der Tenant inaktive Postfächer wie der Keller alte Ordner. Keine Rechtsberatung, Stand 2026.

Wo fange ich an, wenn wir heute Lizenzen für ausgeschiedene Mitarbeiter behalten?

Mit einer Retention Policy für alle Postfächer und OneDrives mit passender Aufbewahrung und Löschaktion – damit wird jedes gelöschte Postfach automatisch inaktiv statt weg. Dann mit HR klären, welche Übergaben noch offen sind, die Konten in Wellen löschen und die Lizenzen freigeben. Parallel die Offboarding-Checkliste, den Vorgesetzten als Pflichtattribut in Entra und die Zugriffsregeln in der Betriebsvereinbarung – und wer E5 hat, den adaptiven Bereich über das Austrittsdatum.