Offboarding checklist voor gedeelde wachtwoorden en toegangen

Het stille risico van vertrekkende medewerkers

Een medewerker vertrekt. Er is een afscheidsborrel, het account wordt uitgeschakeld, de laptop ingeleverd. Klaar? In de meeste organisaties niet. Verborgen achter het zichtbare vertrek ligt een netwerk van toegangen dat zelden volledig in kaart is: gedeelde wachtwoorden in de wachtwoordmanager van de medewerker, tokens en API keys die op hun naam staan, testaccounts die ze ooit aanmaakten, toegang tot klantportalen die nooit formeel was gedocumenteerd.

Dit is geen theoretisch probleem. Onderzoek toont consequent dat een aanzienlijk deel van de datalekken veroorzaakt wordt door voormalige medewerkers die nog toegang hadden — soms maanden of jaren na hun vertrek.

Waarom offboarding zo vaak tekortschiet

Offboarding valt doorgaans onder IT en HR, maar de kennis over welke toegangen er zijn, zit bij de lijnmanager en de medewerker zelf. Die driehoek communiceert slecht, zeker als het vertrek onder tijdsdruk of emotionele spanning plaatsvindt.

Daarnaast is er een structureel blinde vlek: accounts die buiten de officiële IT-inventaris vallen. Denk aan:

• SaaS-tools die teams zelf aanschaften zonder IT te betrekken
• Persoonlijke API tokens voor gedeelde diensten
• Wachtwoorden die de medewerker deelde via e-mail of chat en die nu in zijn personal password manager staan
• Admin-toegangen tot hosting, domeinen of externe diensten

De offboarding-checklist

Gebruik deze lijst als template en pas hem aan voor jouw organisatie. Loop hem door met zowel IT als de directe leidinggevende van de vertrekkende medewerker.

Accounts en toegangen

• [ ] Bedrijfsaccount (e-mail, SSO) uitgeschakeld
• [ ] Toegang tot clouddiensten ingetrokken (Google Workspace, Microsoft 365, etc.)
• [ ] Coderepository-toegang ingetrokken (GitHub, GitLab, Bitbucket)
• [ ] Projectmanagementtools uitgeschakeld (Jira, Linear, Notion, Trello)
• [ ] CRM-toegang ingetrokken
• [ ] Financiële tools (Mollie, Stripe, Exact, Moneybird) gecontroleerd
• [ ] Hosting en cloudplatforms (AWS, GCP, Azure, DigitalOcean) gecontroleerd
• [ ] Domeinnaamregistratie en DNS-beheer gecontroleerd
• [ ] Sociale media-accounts van het bedrijf gecontroleerd

API keys en persoonlijke tokens

• [ ] Inventaris gemaakt van API keys die op naam van de medewerker staan
• [ ] Tokens ingetrokken en waar nodig nieuwe aangemaakt
• [ ] Nieuwe tokens veilig gedeeld met opvolger via PassTransfer
• [ ] CI/CD-omgeving gecontroleerd op hardcoded secrets met die naam

Gedeelde wachtwoorden

• [ ] Gedeelde wachtwoorden die de medewerker kende geïdentificeerd
• [ ] Kritieke gedeelde wachtwoorden gerouleerd (admin-accounts, betaaldiensten)
• [ ] Wachtwoorden bijgewerkt in de centrale wachtwoordmanager van het team
• [ ] Nieuwe wachtwoorden gedeeld met relevante collega's via one-time link

Hardware en fysieke toegang

• [ ] Laptop en apparatuur ingeleverd
• [ ] Toegangspassen en sleutels ingeleverd
• [ ] Schermvergrendeling en remote wipe uitgevoerd indien van toepassing

Documentatie en kennisoverdracht

• [ ] Lopende wachtwoorden en access-procedures gedocumenteerd
• [ ] Klantcontacten op de hoogte gesteld indien relevant
• [ ] Toegangsoverzicht bijgewerkt in intern systeem

Gedeelde wachtwoorden overdragen aan de opvolger

Als een vertrekkende medewerker toegang had tot systemen die door een opvolger overgenomen worden, is een gecontroleerde overdracht essentieel. Verander het wachtwoord niet pas nadat de medewerker weg is als er al een opvolger is — maar zorg dat de overdracht plaatsvindt voor het vertrek, via een gecontroleerd kanaal.

Gebruik PassTransfer om het nieuwe wachtwoord (na rotatie) via een one-time link door te sturen naar de opvolger. Zo hoeft het nooit via e-mail of chat te gaan, en is er geen ambiguïteit over wie het wachtwoord heeft.

Wanneer iemand onverwacht vertrekt

Bij een onverwacht of onvriendelijk vertrek — ontslag, conflict, abrupt opstappen — geldt een verhoogde urgentie. Voer de eerste tien punten van de checklist uit op dezelfde dag. Verander kritieke wachtwoorden preventief, ook als je geen concrete aanleiding hebt.

Maak offboarding proactief

De beste offboarding-procedure begint bij een goede onboarding: documenteer bij aanvang welke toegangen een medewerker krijgt. Gebruik een central toegangsregister. Wijs persoonlijke accounts toe in plaats van gedeelde. Dan is offboarding een kwestie van die lijst aflopen, niet van reconstrueren wat er ooit toegewezen was.

Conclusie

Offboarding is geen eenmalige handeling maar een gestructureerd proces. Een checklist voorkomt dat vergeten accounts maanden later een veiligheidsincident veroorzaken. Door gedeelde wachtwoorden te roteren en veilig door te geven via PassTransfer, sluit je het vertrek af zonder open eindjes.