Warum ein gemeinsames Passwort kein sauberer Prozess ist
In kleinen Unternehmen beginnt Social-Media-Arbeit oft pragmatisch: Eine Person richtet das Konto ein und gibt das Passwort später an Mitarbeitende oder eine Agentur weiter. Das funktioniert, bis Zuständigkeiten wechseln, eine Anmeldung blockiert wird oder niemand mehr sicher weiß, wer noch Zugriff hat. Zusätzlich lässt sich bei einem gemeinsamen Login kaum nachvollziehen, welche Person eine Änderung vorgenommen hat.
Plattformen bieten dafür eigene Rollenmodelle. LinkedIn erklärt ausdrücklich, dass Unternehmensseiten über persönliche Profile verwaltet werden und keine separaten Zugangsdaten für die Seite besitzen. Auch YouTube empfiehlt Kanalberechtigungen, weil mehrere Personen so arbeiten können, ohne Zugang zum Google-Konto zu erhalten. Meine Einschätzung: Wo Rollen verfügbar sind, sollte das Passwort ausschließlich beim Kontoinhaber bleiben.
Eigentum, Verwaltung und tägliche Arbeit trennen
Der erste Schritt ist eine einfache Rollenaufteilung. Der Unternehmenseigentümer oder eine dauerhaft verantwortliche Person behält die höchste Berechtigung. Eine zweite intern benannte Person dient als Vertretung. Wer Beiträge erstellt, Kommentare beantwortet oder Kennzahlen auswertet, erhält nur die dafür benötigten Funktionen. Externe Dienstleister bekommen keinen umfassenderen Zugriff, nur weil die Einrichtung damit schneller geht.
Bei Meta können Personen in einem Business-Portfolio volle Kontrolle oder teilweisen Zugriff erhalten. Volle Kontrolle umfasst weitreichende Einstellungen, Personen und Unternehmenswerte. Bei LinkedIn unterscheiden sich beispielsweise Super-Admin, Content-Admin und Analyst. YouTube bietet ebenfalls mehrere Rollen vom Eigentümer bis zu eingeschränkten Ansichten. Die Bezeichnungen unterscheiden sich, das Prinzip bleibt gleich: so wenig Rechte wie möglich, so viele wie für die Aufgabe nötig.
Ein angenommenes Beispiel für einen Handwerksbetrieb
Angenommen, ein Handwerksbetrieb nutzt Facebook, Instagram, LinkedIn und YouTube. Der Inhaber ist Eigentümer der Konten. Eine Mitarbeiterin plant Beiträge und beantwortet allgemeine Kommentare. Eine Agentur schaltet Anzeigen und erstellt monatliche Auswertungen. Dieses Beispiel ist fiktiv und beschreibt nur eine mögliche Organisation.
Die Mitarbeiterin benötigt Inhaltsrechte, aber keine Möglichkeit, Eigentümer zu entfernen oder Abrechnungseinstellungen zu ändern. Die Agentur erhält Zugriff auf die vereinbarten Seiten, Werbekonten und Messquellen, nicht automatisch auf alle Unternehmenswerte. Für reine Berichte genügt gegebenenfalls eine Analyse- oder Leseberechtigung. Jede Zuweisung wird mit Plattform, Person, Rolle, Zweck, Freigabedatum und intern verantwortlicher Person dokumentiert.
Agenturen als Partner statt über fremde Logins anbinden
Bei einer Zusammenarbeit sollte der Betrieb seine Konten und Unternehmenswerte selbst besitzen. Eine Agentur wird über die vorgesehenen Partner- oder Personenfunktionen hinzugefügt. Meta beschreibt beispielsweise die Freigabe ausgewählter Unternehmenswerte an ein Partner-Business-Portfolio. Dadurch bleibt sichtbar, welches Unternehmen Zugriff hat und auf welche Bestandteile sich dieser Zugriff bezieht.
Vor der Freigabe wird schriftlich festgelegt, welche Aufgaben übernommen werden: Inhalte veröffentlichen, Nachrichten moderieren, Anzeigen verwalten oder Berichte abrufen. Daraus folgen die Berechtigungen. Meine Empfehlung: Rechte für Abrechnung, Personenverwaltung oder das Löschen von Konten bleiben intern, sofern sie für die vereinbarte Arbeit nicht zwingend gebraucht werden.
Zwei-Faktor-Schutz und Wiederherstellung gehören zusammen
Jede Person nutzt ihr eigenes, geschütztes Konto. Das BSI rät, Zwei-Faktor-Authentisierung bei verfügbaren Diensten einzusetzen und sie gerade bei Konten mit weitreichenden Möglichkeiten wie E-Mail und Social Media nicht zu deaktivieren. Ein zweiter Faktor verhindert nicht jeden Vorfall, erschwert aber den Zugriff mit einem erbeuteten Passwort.
Zur Absicherung gehört auch die Wiederherstellung. Geschäftliche E-Mail-Adressen und Telefonnummern müssen aktuell sein; private Kontaktdaten einer ausgeschiedenen Person dürfen nicht der einzige Rückweg zum Konto sein. Wiederherstellungscodes werden geschützt und für berechtigte Verantwortliche erreichbar aufbewahrt. Wo Passwörter technisch unvermeidbar sind, gehören sie in einen betrieblich verwalteten Passwortmanager und nicht in Chatverläufe oder Tabellen.
Beim Ausscheiden endet der Zugriff am selben Tag
Ein sauberer Austrittsprozess wartet nicht auf die nächste Quartalsprüfung. Verlässt eine Person das Unternehmen oder endet ein Agenturvertrag, werden Rollen auf allen Plattformen, Werbekonten und angebundenen Werkzeugen entfernt. Anschließend prüft die verantwortliche Person, ob geplante Beiträge, Automationen, Zahlungsprofile oder Schnittstellen weiterlaufen sollen.
Wurde entgegen dem Rollenprinzip doch ein gemeinsames Passwort verwendet, muss es geändert werden. Zusätzlich werden aktive Sitzungen, hinterlegte Wiederherstellungswege und verbundene Anwendungen kontrolliert. Der Abschluss wird dokumentiert. So entsteht kein Beweis für absolute Sicherheit, aber ein nachvollziehbarer betrieblicher Vorgang.
Checkliste für die erste Rechteprüfung
Die folgende Prüfung kann mit den wichtigsten Konten begonnen und danach auf weitere Plattformen, Planungstools und Werbesysteme erweitert werden.
- Alle Social-Media-Seiten, Kanäle, Werbekonten und Planungstools in einer Liste erfassen.
- Für jedes Konto einen internen Eigentümer und eine Vertretung benennen.
- Alle aktuell berechtigten Personen, Partner und verbundenen Anwendungen prüfen.
- Aufgaben und benötigte Rechte je Person schriftlich zuordnen.
- Geteilte Logins durch persönliche Konten und Plattformrollen ersetzen.
- Volle Kontrolle nur an dauerhaft verantwortliche Personen vergeben.
- Zwei-Faktor-Authentisierung aktivieren und Wiederherstellungswege kontrollieren.
- Agenturen nur für die vereinbarten Unternehmenswerte und Aufgaben freischalten.
- Austritte und Vertragsenden mit einem festen Entzugsprozess verbinden.
- Die Zugriffsliste regelmäßig sowie nach jedem Rollenwechsel erneut prüfen.