Deine alte Firmenadresse lebt weiter, und Google rät dazu

Am letzten Arbeitstag gibt man den Laptop ab, den Schlüssel und die Zugangskarte. An die Mailadresse denkt niemand, weil sie sich nicht abgeben lässt. Sie bleibt dort, wo sie immer war, auf einem Server, den ab jetzt jemand anderes verwaltet.

Das wäre gleichgültig, wenn diese Adresse nur für Arbeit gestanden hätte. Bei vielen steht sie aber noch an einer zweiten Stelle, nämlich als Wiederherstellungsadresse bei privaten Konten. Bei einem Shop, bei einem Streamingdienst, bei einem Konto aus einer Zeit, in der die Firmenadresse gerade die war, die man am häufigsten benutzte. Und mit dem Zugriff auf diese Adresse lässt sich bei solchen Konten "Passwort vergessen" drücken.

Google empfiehlt dem Administrator genau das

In der Workspace-Dokumentation für Administratoren steht eine Anleitung für diesen Fall. Sie beschreibt, wie man das Konto eines ausgeschiedenen Mitarbeiters löscht und dessen Mailadresse anschließend als Alias einem aktuellen Nutzer zuordnet, damit Nachrichten an die alte Adresse nicht verloren gehen. Solche Nachrichten landen dann automatisch im Posteingang des primären Kontos.

Das ist keine Grauzone, sondern die dokumentierte Empfehlung des Herstellers, zuletzt aktualisiert am 10. September dieses Jahres. Aus Firmensicht ergibt sie Sinn, weil Kundenanfragen sonst ins Leere laufen. Für die Übergabe nennt Google auch ein Zeitfenster. Zwanzig Tage nach dem Löschen verschwindet die Adresse aus Workspace, vorher lässt sie sich einem anderen verwalteten Nutzer zuweisen.

In derselben Anleitung steht noch etwas. Google rät Administratoren ausdrücklich, die Wiederherstellungsadresse und die Telefonnummer des Ausgeschiedenen zu entfernen, damit dieser das Firmenkonto nicht über die Passwort-Wiederherstellung zurückholt. Die Firma wird also gegen den ehemaligen Mitarbeiter geschützt. Der umgekehrte Weg kommt in der Anleitung nicht vor.

Microsoft hält die Adresse ebenfalls am Leben

Bei Microsoft 365 liest sich die Anleitung ähnlich. Dort steht, man könne die Mailadresse des ausgeschiedenen Mitarbeiters aktiv halten, falls Kunden oder Partner weiterhin dorthin schreiben, und eine Weiterleitung sorge dafür, dass die Nachrichten bei der Person ankommen, die die Arbeit übernimmt.

Als zweiten Weg beschreibt Microsoft die Umwandlung in ein geteiltes Postfach, bei der alle vorhandenen Mails und Termine erhalten bleiben und mehrere Personen darauf zugreifen können. Die passende Berechtigung heißt Full Access und erlaubt dem zugewiesenen Konto, die Mails im fremden Postfach zu lesen und zu verwalten.

Eine Nebenbemerkung aus derselben Anleitung ist entscheidend. Bei Weiterleitung oder geteiltem Postfach darf das Konto des Ausgeschiedenen gerade nicht gelöscht werden, weil es als Anker gebraucht wird. Die verbreitete Vorstellung, nach dreißig Tagen sei ohnehin alles weg, trifft also nur auf den Fall zu, in dem wirklich gelöscht wird. Bei einer Weiterleitung läuft die Adresse unbefristet.

Was mit einer Mailadresse allein möglich ist

Ob der Zugriff auf die Adresse für eine Kontoübernahme reicht, hängt vom Dienst ab. Pauschal lässt sich das nicht beantworten, und genau da wird es interessant.

Netflix beschreibt in der deutschen Hilfe zwei Wege zum Zurücksetzen, per Mail oder per SMS, wobei die SMS eine hinterlegte Handynummer voraussetzt. Ohne Nummer bleibt nur der Weg über die E-Mail. Der Link im Postfach verfällt nach 24 Stunden, vorher genügt er. Beim Microsoft-Konto läuft es über einen Prüfcode an eine der hinterlegten Optionen, und ist die Firmenadresse die einzige hinterlegte Adresse, reicht sie.

Bei anderen Anbietern lässt sich das aus den öffentlichen Hilfeseiten nicht beantworten. PayPal spricht nur allgemein von einer Sicherheitsüberprüfung, ohne die Verfahren zu nennen, und Amazons Hilfeseite blockt automatisierte Abrufe ab. Die Behauptung, der Mailzugriff genüge überall, wäre also nicht belegbar. Bei Diensten mit einer zweiten Bestätigung per App oder Hardwareschlüssel genügt er definitiv nicht.

Die deutsche Aufsicht sieht das anders

An dieser Stelle liegt der eigentliche Konflikt zwischen Herstellerempfehlung und Rechtslage. Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt hat im August 2025 eine Handreichung zum Ausscheiden von Beschäftigten veröffentlicht, und darin steht das Gegenteil dessen, was Google und Microsoft raten.

Bei einem namensführenden Postfach bestehe nach dem Ausscheiden keine vertragliche Einbindung mehr, weshalb grundsätzlich die Löschpflicht nach Artikel 17 der Datenschutz-Grundverordnung greife. Dementsprechend sei es nicht möglich, Mails an die Adresse der Ausgeschiedenen einfach an ein Postfach eines Vertreters oder Nachfolgers weiterzuleiten oder ihm Zugriff auf das Postfach zu gewähren. In der Regel bleibe es dabei, dass eine unverzügliche Deaktivierung geboten sei.

Die Behörde nimmt sogar den Fall vorweg, um den es hier geht. Auch bei verbotener Privatnutzung des dienstlichen Postfachs sei damit zu rechnen, dass private Nachrichten eingehen, und diese seien schutzwürdig. Der Zugriff des Arbeitgebers darauf sei mangels Rechtsgrundlage unzulässig. Ob zusätzlich das Fernmeldegeheimnis berührt ist, bleibt offen, weil die Gerichte unterschiedlich entschieden haben und eine höchstrichterliche Klärung aussteht.

Was belegt ist und was nicht

Ein dokumentierter Fall, in dem jemand über eine weitergenutzte Arbeitsadresse ein privates Konto übernommen hat, ist öffentlich nicht bekannt. Das sollte man dazusagen. Belegt sind der Mechanismus und zwei Fälle daneben, die zeigen, wie nah das Szenario liegt.

Der Sicherheitsforscher Dylan Ayrey von Truffle Security kaufte im Januar 2025 die Domain eines aufgelösten Startups und legte darüber die Mailkonten früherer Mitarbeiter neu an. Damit kam er nach eigener Darstellung in deren Konten bei ChatGPT, Slack, Notion, Zoom und in Personalsysteme mit Sozialversicherungsnummern. In einem Datensatz von Crunchbase fand er über 100.000 Domains gescheiterter Startups, die zum Kauf standen. Sein Befund trifft den Kern, weil eine Einzelperson nach dem Offboarding keine Möglichkeit mehr hat, die eigenen Daten in diesen Konten zu schützen. Google widerspricht der Einordnung als Sicherheitslücke und verweist Entwickler auf einen unveränderlichen Identifikator, den sie statt der Mailadresse verwenden sollen.

Der zweite Fall steht in Microsofts eigenem Support-Forum. Im April 2025 beschrieb ein Nutzer, wie er nach fünfzehn Jahren aus seinem Outlook-Konto ausgesperrt wurde, weil die hinterlegte Wiederherstellungsadresse mit dem alten Job abgeschaltet worden war. Im Postfach lagen Studienunterlagen, Einwanderungspapiere und eine laufende Bewerbung. Die Antwort der Moderation fiel knapp aus, weil alternative Wege nur funktionieren, wenn eine weitere Adresse oder Telefonnummer hinterlegt wurde.

Wie viele Menschen ihre Arbeitsadresse für private Konten hinterlegen, weiß niemand. Zahlen dazu kursieren, halten aber der Prüfung nicht stand, weil die Originalquellen verschwunden sind.

Zehn Minuten vor dem letzten Arbeitstag

Die wichtigen Konten einmal durchgehen und nachsehen, welche Mailadresse dort als Wiederherstellungsadresse hinterlegt ist. Bei Google steht das unter den Sicherheitseinstellungen, bei Microsoft unter den Sicherheitsinformationen, bei Shops und Streamingdiensten meist direkt im Konto.

Google rät in seiner Hilfe zur Wiederherstellungsadresse lediglich, eine Adresse zu wählen, die man regelmäßig nutzt, aber nicht die, mit der man sich anmeldet. Vor Arbeitgeberadressen warnt der Text nicht. Diesen Schritt musst du selbst mitdenken.

Ein Detail macht es etwas leichter. Nach einer Änderung der Wiederherstellungsdaten schickt Google Codes noch sieben Tage lang zusätzlich an die alte Hinterlegung. Eine Umstellung kurz nach dem Wechsel lässt also eine Woche lang beide Wege offen. Vor dem Wechsel umgestellt, entsteht das Problem gar nicht erst.