In vielen Tenants, die ich betreue, taucht die Frage nach dem OneDrive ausgeschiedener Mitarbeitender immer wieder auf. Die Folgen überraschen IT, Fachbereiche und Datenschutz gleichermaßen. Sobald ein Benutzerkonto in Entra ID gelöscht oder deaktiviert wird, beginnt für das zugehörige OneDrive ein fest definierter Aufbewahrungszeitraum. Kaum eine Organisation weiß genau, wie dieser Prozess abläuft und wie viel von der richtigen Reihenfolge beim Offboarding abhängt.

Mit dem Löschen des Kontos beginnt für das OneDrive eine feste Haltefrist

Ist das Benutzerkonto gelöscht, wird das OneDrive gewissermaßen „abgehängt“. Gesteuert wird das Verhalten an zentraler Stelle unter SharePoint Admin Center → Einstellungen → OneDrive-Aufbewahrung. Standardmäßig bleiben alle Dateien 30 Tage nach dem Löschen des Kontos erhalten. So lange ist der Speicherplatz weiterhin belegt, und der im Entra-Profil hinterlegte Manager bekommt über die automatische Zugriffsdelegation Lese- und ggf. Änderungszugriff. Das hilft sehr, wenn wichtige Daten übergeben werden müssen oder einfach noch Informationen aus Projekten gebraucht werden. Die Frist lässt sich auf bis zu 10 Jahre verlängern. Dabei sollte man im Hinterkopf behalten, dass es sich nicht um eine echte Archivierung mit Zugriff für die Organisation handelt. Es ist lediglich eine längere Haltefrist, bevor die Daten endgültig gelöscht werden.

Nach Ablauf der Frist wird der OneDrive-Inhalt zwar gelöscht, er lässt sich aber noch 93 Tage lang über den SharePoint-Papierkorb wiederherstellen. Wer versehentlich zu früh gelöscht oder den Überblick verloren hat, bekommt damit ein zweites Zeitfenster, um Daten zu retten. Wie das im Detail abläuft, beschreibt Microsoft in der Dokumentation (Retention and deletion in SharePoint and OneDrive) und unter Retention policies in Microsoft Purview.

Purview-Richtlinien und nicht lizenzierte Konten verändern die Aufbewahrung

In Projekten treffe ich regelmäßig auf Tenants, in denen zusätzlich Microsoft-365-Aufbewahrungsrichtlinien (Purview) aktiv sind. Solche Richtlinien können die „technische“ OneDrive-Aufbewahrungsfrist übersteuern und Inhalte deutlich länger vorhalten, etwa wenn eine unternehmensweite Richtlinie für OneDrive oder SharePoint greift. Für Compliance und rechtliche Vorgaben kommt man um sie nicht herum. Sie bergen allerdings das Risiko, dass verwaiste Konten und Daten jahrelang im Tenant liegen bleiben, obwohl sie niemand mehr nutzt oder tatsächlich braucht.

Oft übersehen werden außerdem nicht lizenzierte Konten. Im Frühjahr 2025 hat Microsoft angekündigt, OneDrive-Konten ohne gültige Lizenz nach 93 Tagen automatisch zu archivieren. Danach werden sie entweder gelöscht oder bleiben kostenpflichtig im Tenant, sofern eine gesonderte Richtlinie aktiviert ist. Microsoft will damit Altlasten vermeiden und die Lizenzkosten durchschaubarer machen. Sinnvoll ist diese Archivierung aber nur bei einem sauber organisierten Offboarding, andernfalls drohen Datenverluste oder ungeplante Zusatzkosten. Weitere Informationen gibt es unter Unlicensed OneDrive accounts.

Die automatische Übergabe an den Manager funktioniert nicht immer zuverlässig

Auf dem Papier wirkt der „Manager“-Mechanismus simpel: Wer im Entra-ID-Profil als Vorgesetzter eingetragen ist, bekommt nach dem Löschen des Benutzers automatisch Zugriff auf dessen OneDrive-Daten. Meistens klappt das auch, ganz verlassen kann man sich darauf aber nicht. Probleme gibt es etwa, wenn während der Kündigungsphase niemand die Manager-Zuordnung gepflegt hat oder das Konto schon gelöscht war, bevor die Zuordnung korrigiert wurde. In manchen Branchen oder Abteilungen ist die Übergabe ohnehin komplizierter, zum Beispiel wenn Projektteams oder HR Zugriff brauchen. Deshalb sollte man die Delegation im Offboarding-Prozess bewusst kontrollieren und bei Bedarf von Hand ergänzen.

# PowerShell 7, SharePoint Online Management Shell, Rechte: SharePoint-Administrator
Set-SPOSite -Identity "https://tenant-my.sharepoint.com/personal/vorname_nachname_domain_com" -LockState "NoAccess"

Dieser Befehl sperrt den Zugriff sofort. Das ist nützlich, wenn ein strikter Offboarding-Prozess vorgeschrieben ist oder sensible Daten geschützt werden müssen.

Praxis-Tipp: Prüft, ob die automatische Delegation sauber funktioniert hat, bevor ihr die Lizenz entfernt oder das Konto löscht. Sonst stehen Kollegen oder der Manager später ohne Zugriff auf wichtige Unterlagen da.

Eine feste Reihenfolge verhindert Pannen beim Offboarding

Damit beim Offboarding ausgeschiedener Mitarbeitender nichts schiefläuft, hat sich bei mir diese Reihenfolge bewährt:

  1. Wichtige E-Mails ins Postfach übertragen und ggf. in ein freigegebenes Postfach konvertieren
  2. OneDrive-Inhalte prüfen und die Übergabe an Manager oder Team sicherstellen
  3. Lizenz in Microsoft 365 entfernen
  4. Benutzerkonto löschen oder deaktivieren, ggf. die Aufbewahrungsfrist in OneDrive prüfen
  5. Kontrollieren, ob Delegation und Aufbewahrung wie gewünscht greifen

In größeren Unternehmen lohnt es sich, den Ablauf mit Lifecycle Workflows in Entra ID zu unterstützen. Ausführlich beschrieben habe ich das im Beitrag Lifecycle Workflows in Entra ID: Praxis und Stolpersteine. Inaktive Konten, die im Tenant „vergessen“ werden, stellen ein Sicherheits- und Compliance-Risiko dar. Wie man sie in den Griff bekommt, zeigt der Beitrag Inaktive Konten in Entra ID zum Jahresende aufräumen.

Der OneDrive-Lebenszyklus endet nach Frist und Papierkorb mit der endgültigen Löschung

Das Diagramm zeigt, wie die OneDrive-Aufbewahrung für ausgeschiedene Mitarbeitende abläuft:

flowchart TD
  Konto["Benutzerkonto gelöscht"] --> ODStart["OneDrive-Aufbewahrung startet"]
  ODStart --> Manager["Automatische Delegation an Manager"]
  ODStart --> Frist["Aufbewahrungsfrist (30 Tage–10 Jahre)"]
  Frist --> Papierkorb["Papierkorb (93 Tage)"]
  Papierkorb --> Endloesch["Endgültige Löschung"]
  Manager --> Zugriff["Datenzugriff / Übergabe"]

Abbildung: So läuft die OneDrive-Aufbewahrung nach dem Ausscheiden eines Mitarbeiters ab.

Ein sauberer Prozess bringt mehr als jedes technische Feature

Beim OneDrive ausgeschiedener Mitarbeitender kommt es weniger auf einzelne technische Funktionen an als auf einen sauberen, dokumentierten Offboarding-Prozess. Die Standardaufbewahrung dient als Sicherheitsnetz. Fehlen jedoch klare Zuständigkeiten, eine gezielte Übergabe und aufeinander abgestimmte Richtlinien, bleibt häufig ein Datenfriedhof zurück, oder es entstehen Compliance-Risiken. Wer zusätzlich Microsoft-365-Richtlinien einsetzt, sollte regelmäßig nachsehen, welche Altlasten noch im Tenant liegen. Die automatische Delegation an den Manager ist hilfreich, ein durchdachtes Offboarding ersetzt sie aber nicht. Technisch bietet die Plattform viel. Dafür zu sorgen, dass die richtigen Schritte zur richtigen Zeit passieren, bleibt jedoch Aufgabe des Unternehmens.