Zombie-accounts: wie van je oud-medewerkers heeft na de offboarding nog toegang?

Iemand neemt op vrijdag afscheid. Maandag staat het mailaccount uit en ligt de laptop weer op kantoor. Netjes geregeld.

Wat niemand controleert, is het account in het projectplanningspakket waar diezelfde persoon zich twee jaar geleden zelf voor aanmeldde. Of de gedeelde map die hij ooit openzette voor een externe ontwerper. Of de toegang tot het CRM die nog uit een vorige functie stamt.

Drie maanden later werken die logins nog steeds. Dat zijn zombie-accounts: toegang die technisch volkomen geldig is, maar hoort bij iemand die er niet meer werkt.

Dit artikel gaat niet over het offboardingproces zelf — de checklist staat in checklist digitale offboarding en de timing rond een vertrek in offboarding: de eerste 24 uur. Dit gaat over de opruimactie achteraf: hoe je erachter komt wat er van de afgelopen jaren nog openstaat.

Waarom een zombie-account gevaarlijker is dan het klinkt

Het probleem met deze accounts is niet dat ze verdacht zijn. Het is dat ze dat juist níét zijn.

Er valt niets te detecteren. De toegang is ooit bewust verleend, het systeem heeft geen enkele reden om er vragen bij te stellen, en er staat geen alarm op. Een aanmelding vanaf zo’n account ziet er precies zo uit als die van een collega die gewoon aan het werk is.

Daar komt bij dat het risico niet stopt bij de persoon zelf. De meeste incidenten met oude accounts hebben niets te maken met een boze ex-medewerker. Ze ontstaan doordat het wachtwoord van die persoon ergens anders is uitgelekt en iemand het rustig uitprobeert — op een account waar niemand meer naar kijkt, zonder tweestapsverificatie, zonder dat iemand een melding krijgt. Zie ook de dreiging van binnenuit voor de nuance tussen kwade opzet en slordigheid.

En de ontdekking gebeurt zelden via een controle. Meestal komt het toevallig aan het licht, omdat iemand een naam ziet staan in een lijst met actieve gebruikers.

Waarom offboarding dit gat laat vallen

Bijna elke offboardingchecklist die we tegenkomen, is ooit geschreven toen een bedrijf drie of vier systemen had: de mail, het netwerk, het boekhoudpakket. Die checklist werkt nog steeds — voor die drie of vier systemen.

Inmiddels draait ook een klein bedrijf al snel op tientallen online diensten. Een deel daarvan is nooit door de IT-beheerder aangezet, maar door een teamleider die een tool handig vond, of door een medewerker die zich met zijn werkmailadres ergens aanmeldde. Dat is niet per se stiekem gedaan; het is meestal gewoon praktisch (zie niet-goedgekeurde cloud-apps en shadow IT).

Het gevolg: de licentie in het centrale beheer wordt bij vertrek keurig ingetrokken, maar alles wat daarbuiten valt, blijft staan. Niemand houdt het tegen, want niemand weet dat het bestaat.

Het gekke is: het offboarding proces zelf loopt meestal netjes. Er ligt een duidelijke checklist, werknemers moeten hun laptops en telefoons inleveren op de laatste dag, de IT-afdeling schakelt het hoofdaccount uit en de wachtwoorden van gedeelde accounts gaan om. Die stappen worden keurig afgevinkt. Alleen staat op die lijst wat een vertrekkende medewerker bij de onboarding heeft gekregen, en niet wat hij of zij daarna zelf nodig had en erbij is gaan gebruiken. Voor een soepele afsluiting is dat net niet genoeg: zo houdt de medewerker toegang tot alles wat nooit op die lijst is beland.

De drie plekken waar de toegang blijft hangen

1. Cloudopslag en gedeelde mappen

Hier is de schade het directst. Niet zozeer via het hoofdaccount — dat gaat meestal wel uit — maar via alles eromheen: mappen die gedeeld zijn met een privé-mailadres, gastrechten die tijdens een project zijn verleend en nooit ingetrokken, en deellinks die op “iedereen met de link” staan en nog in iemands bladwijzers zitten.

Het intrekken van de licentie raakt die dingen niet. Ze hangen aan de map, niet aan het account.

2. Projectsoftware en CRM

Planningstools, ticketsystemen, CRM-pakketten: die worden vaak per team aangeschaft en per team beheerd. De beheerder van dat systeem is dan een teamleider, niet de IT-beheerder, en die staat niet op de offboardinglijst.

Een oude verkoopmedewerker die nog in het CRM kan, ziet daar de volledige klantenlijst met contactgegevens en afspraken. Dat is meteen ook een AVG-kwestie, want het gaat om persoonsgegevens waar geen grondslag meer voor is.

3. De diensten die niemand kent

De lastigste categorie: tools waar iemand zich ooit met zijn werkmailadres voor aanmeldde. Een enquêtedienst, een AI-schrijfhulp, een tool om een schema te maken. Nooit formeel aangevraagd, dus ook nooit formeel ingetrokken.

Vaak zit daar een abonnement aan vast dat gewoon doorloopt, en soms hangt zo’n dienst ook nog gekoppeld aan je Microsoft- of Google-omgeving. Hoe je zulke koppelingen beoordeelt, staat in externe apps en koppelingen beoordelen.

Zo doe je de opruimronde

Stap 1: maak een lijst van wat er draait

Begin bij je identiteitsomgeving — Microsoft Entra ID of Google Workspace Admin — en haal daar de gekoppelde toepassingen op. Dat dekt het formele deel.

Voor de rest zijn drie bronnen verrassend effectief: twaalf maanden bankafschriften en creditcardafschrijvingen (abonnementen vallen daar altijd op), de facturenmap in de administratie, en een rondje langs de teamleiders met één vraag: welke online tools gebruiken jullie die niet via IT lopen?

Voor een bedrijf tot vijftig medewerkers is dit een middag werk. Het levert vrijwel altijd meer diensten op dan verwacht — en meteen ook een aanknopingspunt om de cloudkosten op te schonen.

Stap 2: leg de vertrekkers ernaast

Pak de lijst met mensen die in de afgelopen twee jaar zijn vertrokken, inclusief stagiairs, uitzendkrachten en zzp’ers. Voor externen is toegang van externen intrekken het aparte verhaal.

Loop per dienst het beheerscherm langs en beantwoord drie vragen: staat er iemand tussen die hier niet meer werkt, wanneer heeft dat account voor het laatst ingelogd, en heeft die persoon beheerrechten? Dat laatste is de belangrijkste: een oud beheerdersaccount kan andere accounts aanmaken.

Stap 3: intrekken, vastleggen en herhalen

Trek in wat overbodig is, maar noteer wél wat je aantreft. Die lijst is namelijk je verbeterplan: elke dienst die je vindt en die niet op de offboardingchecklist stond, hoort daar vanaf nu wel op.

Zet daarna een vaste ronde in de agenda — elk kwartaal, een uur — en zet tweestapsverificatie aan op alles wat blijft. Zo wordt een eenmalige opruimactie een gewone controle. Neem hem gerust mee in je jaarlijkse IT-review.

Een voorbeeld uit de praktijk

Een marketingbureau met 21 medewerkers deed deze ronde voor het eerst. In de bankafschriften stonden achttien terugkerende afschrijvingen naar online diensten; van vijf daarvan wist de directie niet dat ze bestonden.

Bij het naast elkaar leggen van de gebruikerslijsten kwamen zeven actieve accounts van vier vertrokken medewerkers boven water. Twee daarvan hadden beheerrechten: één in het planningspakket, één bij de dienst waarmee nieuwsbrieven worden verstuurd. Die laatste had toegang tot het volledige adresbestand van klanten.

Alles bij elkaar kostte het opruimen anderhalve dag. De maandelijkse kosten gingen met ongeveer 90 euro omlaag, maar dat was niet het punt. Het punt was de nieuwsbriefdienst, waar de toegang van iemand die er veertien maanden weg was gewoon nog werkte.

Veelgestelde vragen

Wat is het verschil met een gewoon inactief account?

Een inactief account hoort bij iemand die er nog werkt maar zelden inlogt. Een zombie-account hoort bij iemand die weg is: er is dus geen enkele legitieme reden meer voor toegang. Allebei zijn ze een risico, maar bij een zombie-account ligt de toegang buiten je organisatie.

Hoe vind ik ze het snelst?

Begin bij je identiteitsomgeving en filter op gekoppelde toepassingen en accountstatus. Leg dat naast de uitdienstlijst van de afgelopen twee jaar. Dat brengt het grootste deel binnen een paar uur in beeld. De diensten die daar niet in staan, vind je via de bankafschriften.

Gelden gedeelde accounts hier ook?

Ja, en die zijn lastiger op te ruimen, omdat je niet kunt zien wie er precies gebruik van maakte. Als een dienst persoonlijke accounts ondersteunt, is dat vrijwel altijd de betere keuze — zowel voor het overzicht als voor een schone offboarding. Voor de gevallen waarin het echt niet anders kan, is wachtwoorden veilig delen binnen je team het uitgangspunt.

Hoe vaak moet zo’n controle draaien?

Elk kwartaal is voor de meeste bedrijven ruim voldoende. Daarnaast hoort elk vertrek zelf een korte controle op online diensten te bevatten, zodat je niet op de volgende ronde hoeft te wachten. Dat is nu net het verschil tussen een opruimactie en een proces.

Wil je weten wat er bij jullie nog openstaat? We draaien deze ronde regelmatig voor mkb-bedrijven en leveren er meteen een offboardinglijst bij die wél compleet is. Bel 030-7115791 of mail info@okayict.nl.