Mailbox ausgeschiederne Mitarbeiter

[c-mate]

Hallo, mal eine Frage, wie macht ihr es wenn ein Mitarbeiter ausscheidet mit seiner O365 Lizenz und Postfach?
Ich mache es so:
User Passwort ändern und AD Gruppenzugehörigkeiten entfernen
OneDrive prüfen und noch vorhandene Daten wegsichern
Exchange Online Postfach in Shared Mailbox umwandeln (braucht keine Lizenz)
O365 Lizenz entziehen

Soweit so gut, das reicht erst mal für die Übergangszeit und die Mails die immer noch reinkommen.
Aber solange ist der user ja im AD quasi noch aktiv, irgendwann will man den ja auch mal raus haben.
Aber was macht man dann mit der Mailbox bzw. deren Inhalt wie könnte man den Inhalt sinnvoll wegsichern/archivieren, falls doch mal jemand drauf zugreifen muss? Oder wie stellt man jemandem das Postfach/Archiv dauerhaft zur Verfügung, weil jemand vielleicht ständig auf den Inhalt zugreifen muss?
Früher bzw auf dem Exchange Server konnte man das Postfach wenigstens in eine *.pst Datei weg archivieren.

Und noch eine Frage zu den ausgeschiedenen usern, deaktiviert ihr die im AD nur einfach oder löscht ihr die komplett?
Mir wurde mal gesagt immer nur deaktivieren und nicht löschen, aber warum? Mich nerven die uralten Userleichen total.

 

[shirkai]

Und noch eine Frage zu den ausgeschiedenen usern, deaktiviert ihr die im AD nur einfach oder löscht ihr die komplett?

User werden bei uns komplett gelöscht, nachdem diese nicht mehr notwendig sind. Die Dauer bis zur Löschung beträgt maximal 6 Monate bei uns, das kommt auf die internen Prozesse an. Dieser Zeitraum dient ebenfalls zur Mailweiterleitung etc. Soweit ich weiß werden Mailboxen bei uns archiviert, aber wir haben auch (noch) kein Office 365 Postfach.
Ich wüsste nicht, was gegen eine Löschung der AD-Accounts sprechen sollte. Least-Privilege Prinzip und so plus deine eigene Aussage mit den Userleichen.
Beim Thema Mails sollte man übrigens den Datenschutz durchaus berücksichtigen -> privates Mailung erlaubt?

 

[snaxilian]

Aber was macht man dann mit der Mailbox bzw. deren Inhalt wie könnte man den Inhalt sinnvoll wegsichern/archivieren, falls doch mal jemand drauf zugreifen muss?

Du musst auch lernen loszulassen und nicht jeden "Müll" aufbewahren Postfächer sind kein adäquarter Ort um $Dinge zu dokumentieren oder zu archivieren...

Ansonsten kann man die o365 Archivlösung auch auf Shared Mailboxen anwenden, erfordert aber einen Exchange Online Plan 1 mit Archive License Add-On oder direkt nen Plan 2: https://docs.microsoft.com/en-us/of...line-limits?redirectedfrom=MSDN#StorageLimits

Im letzten Unternehmen war es so gelöst: Dienstrelevante und wichtige Mails sollten wenn möglich nie personalisiert an einzelne MAs gehen sondern immer an eine shared Mailbox des Teams und die Mailbox eines einzelnen Users wurde bei Ausscheiden des MAs deaktiviert und nach 3 Monaten gelöscht. Wenn doch Zugriff notwendig: Genehmigung durch BR/Revision/Datenschutzbeauftragtem damit nachvollziehbar ist wer wann auf Daten Dritter zugegriffen hat. Zugriff geschah dann aufs Mailarchiv der damals eingesetzten Mailarchivierungslösung wobei wir unterschiedliche Aufbewahrungsfristen hatten. Private Mailnutzung war btw untersagt.

 

[c-mate]

Nein die private Nutzung des geschäftl. Mailaccounts ist nicht gestattet, sonst wäre es natürlich nicht möglich ins PF reinzuschauen und den Inhalt zu nutzen.

Aber soweit ich weiß solange die shared mailbox noch aktiv ist, ist diese ja mit diesem user nach wie vor verbunden dh der user muss aktiviert bleiben und somit gibt es den user auch als Kontakt und zb im Teams etc. weiterhin (obwohl längst ausgeschieden).

 

[snaxilian]

Ist das nur deine Vermutung oder weißt du es konkret? Teste es doch einfach... User anlegen, Mailbox dazu anlegen, Testmail hinschicken, User deaktivieren, Mailbox in Shared Mailbox umwandeln, bei dir einbinden, Testuser löschen, Outlook erneut öffnen und Einbindung prüfen.

 

[Krisenmanager]

Vorab: IT-Nutzung innerhalb des Unternehmens ist nur für den Unternehmenszweck gestattet.
Jegliche Privat-Nutzung ist strikt untersagt. Entsprechende Unterschriften liegen vor.
Daher gibt es per Definition keine privaten Daten.

Beim Ausscheiden eines Kollegen gehen wir so vor:

->Nutzer-Kennwort ändern
->Home-Verzeichnis-Inhalt des Users wird ins Teamlaufwerk verschoben
->Hinweis an die entsprechende Abteilung bzw. Nachfolger, dass diese Daten für 3 Monate dort liegen bleiben.
Alles was davon weiterhin gebraucht wird, muss herausgeholt werden. Nach Ablauf der Frist, wird der Ordner gelöscht.
-> E-Mail-Konto: Versand und Empfang für diese Mailbox wird am Tag des Ausscheidens deaktiviert. Jede Abteilung teilt sich eine Shared-Mailbox. Der Inhalt der User-Mailbox wird als Unterordner in diese Shared-Mailbox verschoben. Danach gilt auch hier die 3-Monats-Frist.
-> Nach dem Verschieben der Daten wird der User direkt gelöscht. Dadurch werden im o365-Tenant auch die Lizenzen mit dem nächsten AD-Sync wieder frei.

Es gibt, meiner Einschätzung nach, keinen Grund, personenbezogene User-Konten aufzubewahren.
Weg ist weg.

 

[c-mate]

Das "Problem" ist, dass es sich hier quasi eingebürgert hat, dass alle Mails archiviert werden (früher *.pst, jetzt Exchange Online Archiv), dh Mitarbeiter, die bereits seit 15 Jahren an Bord sind haben 15 historische Archive (für jedes Jahr eines) mit einem Gesamtvolumen von über 100GB.
Und wenn dann im schlimmsten Fall so jemand ausscheidet heißt es, dass die Archive gebraucht werden, falls man mal etwas altes raussuchen muss.

 

[snaxilian]

Das ist dann aber ein organisatorisches und kein technisches Problem. Ob du einen deaktivierten User löschen kannst und die (umgewandelte) dann shared Mailbox bestehen bleibt kannst du ja testen, siehe einer meiner vorherigen Posts.
Wenn als Ergebnis heraus kommt, dass das nicht funktioniert dann muss euer Chef halt in den sauren Apfel beißen und für diese (deaktivierten) User weiterhin jeden Monat die Lizenz zahlen. Alternativ eben für die Zukunft die Ablage von relevanten Daten optimieren

 

[Krisenmanager]

Kenne jetzt die genauen Umstände in eurem Unternehmen nicht, aber vielleicht kannst du mal anbringen, dass man nicht alles unbegrenzt lang aufbewahren darf. Die meisten achten nur darauf, wie lange die Aufbewahrungsfristen sind, aber nicht, wann man Sachen auch entsorgen sollte/muss. Wie stellt ihr bei diesen riesigen Datenmengen sicher, dass da nicht auch Unterlagen enthalten sind, die längst gelöscht sein müssten?

Datensparsamkeit.

Wenn da bspw. personenbezogene Daten über den Zeitraum der Aufbewahrungsfristen hinaus gespeichert sind, kann das auch zum Bumerang werden. Ob da solche Daten enthalten sein können, könnt natürlich nur ihr selbst bewerten :-)

 

[shirkai]

Das "Problem" ist, dass es sich hier quasi eingebürgert hat, dass...

Oha, das ist bei uns leider auch ein Argument. Und ein so unfassbar schlechtes dazu. Kann ich mich jedes Mal aufs neue drüber aufregen "Das haben wir schon immer so gemacht..."