Account Social Media: Zugänge, Rollen und Rechte im Unternehmen verwalten

Ein Account Social Media ist in einem gewerblichen Kontext kein persönliches Profil, sondern ein sensibles Betriebsmittel. Er trägt den Namen des Unternehmens, kommuniziert in dessen Auftrag und verarbeitet fortlaufend personenbezogene Daten von Kundinnen, Kunden und Interessenten. Genau deshalb benötigt er dieselbe administrative Sorgfalt wie ein zentrales Firmenpostfach oder ein Zugang zum Bankkonto. Eine klare Inhaberschaft, definierte Rollen, technisch abgesicherte Zugänge sowie ein geregeltes Vorgehen beim Eintritt und Austritt von Mitarbeitenden sind zwingend erforderlich. Dieser Ratgeber beleuchtet ausschließlich die betriebliche Account-Governance, also die Verwaltung des Zugangs. Die optische Profilgestaltung, die strategische Auswahl der Netzwerke oder die redaktionelle Planung von Kampagnen bleiben an dieser Stelle bewusst außen vor.

Warum Zugangsverwaltung eine eigenständige Aufgabe ist

Die typische Ausgangslage in vielen kleinen und mittleren Unternehmen zeigt ein deutliches Organisationsdefizit. Ein Konto wurde vor einigen Jahren schnell angelegt, oft mit der privaten E-Mail-Adresse einer Person, die mittlerweile eine andere Position innehat oder das Unternehmen bereits verlassen hat. Das Passwort lagert in einer unverschlüsselten Tabelle, und die Codes für die Zwei-Faktor-Authentisierung laufen auf ein privates Smartphone, das längst nicht mehr im Besitz des damaligen Administrators ist. Solange der Account funktioniert und keine Störungen auftreten, fällt dieses Konstrukt nicht auf. Brisant wird die Angelegenheit genau in den Momenten, in denen es auf Geschwindigkeit und Kontrolle ankommt. Das ist bei einem gehackten Konto der Fall, bei einem medialen Shitstorm, bei einer Kündigung im Streit oder bei der geplanten Übergabe der Kanäle an eine externe Agentur.

Zugangsverwaltung löst dieses Problem nicht durch den Einsatz noch komplexerer Technik, sondern durch drei grundlegende Entscheidungen, die jemand in der Verantwortung einmal treffen und anschließend verbindlich dokumentieren muss. Zuerst ist zu klären, wem das Konto rechtlich und organisatorisch gehört. Danach ist festzulegen, wer welche Handlungen in welcher Rolle durchführen darf. Schließlich bedarf es eines Prozesses, wie jemand an den Zugang gelangt und wie dieser Zugang nach dem Ende der Tätigkeit zuverlässig wieder entzogen wird.

Inhaberschaft klären, bevor Rechte vergeben werden

Die Inhaberschaft bildet das Fundament der Kontoverwaltung. Sie bedeutet, dass eine Rolle im Unternehmen und nicht eine Privatperson die höchste Zugriffsstufe hält. Zudem muss sichergestellt sein, dass diese höchste Stufe niemals bei nur einer einzigen natür Person liegt.

Praktisch umgesetzt wird dies durch drei grundlegende Regeln. Erstens gilt es, die Firmenidentität über die Privatidentität zu stellen. Das administrative Konto muss zwingend an einer offiziellen Firmen-E-Mail-Adresse hängen. Ideal ist ein Funktionspostfach wie social@ihre-domain.de, auf das mehrere Berechtigte im Unternehmen zugreifen können. Eine private E-Mail-Adresse einer einzelnen Mitarbeitenden stellt keine tragfähige Basis dar.

Zweitens müssen mindestens zwei Vollberechtigte existieren. Fällt eine Person durch Urlaub, Krankheit oder Kündigung aus, muss eine zweite Person weiterhin in der Lage sein, Rechte zu vergeben und zu entziehen. Bei nur einem einzigen Inhaber wird bereits ein zweiwöchiger Urlaub zum ernsthaften betrieblichen Risiko.

Drittens sollten Unternehmen die zentralen Verwaltungsebenen der Plattformen nutzen, wo immer diese vorhanden sind. Meta bündelt Seiten, Werbekonten und handelnde Personen im Business Manager. LinkedIn arbeitet mit den Seiten-Administrationsrollen, und Google stellt Zugriffsebenen für das Unternehmensprofil bereit. Der Zugriff wird auf diesen Ebenen vergeben, niemals durch die einfache Weitergabe von Login-Daten.

Ein besonders klares Beispiel für dieses Prinzip liefert YouTube. Ein Kanal, der mit einem Brand-Konto verknüpft ist, lässt sich von mehreren Google-Konten verwalten, ohne dass Login-Daten geteilt werden müssen. Genau dieses Muster ist für alle Plattformen anzustreben: Zugang wird eingeladen und zugewiesen, nicht weitergereicht.

Rollen und Rechte: das Prinzip der minimalen Berechtigung

Jede Person im Team erhält genau die Rechte, die sie für ihre spezifische Aufgabe benötigt, und keine weiteren. Wer ausschließlich Beiträge plant und zur Freigabe vorbereitet, braucht keinen Zugriff auf die Abrechnungsdaten der Werbekonten. Wer Auswertungen und Statistiken zieht, muss nicht zwingend das Recht haben, Beiträge direkt zu veröffentlichen. Die Plattformen unterscheiden sich deutlich darin, wie feinmaschig sie diese Berechtigungen abbilden.

Aus diesen technischen Unterschieden folgt eine zentrale Regel für die Praxis. Legen Sie die Rollenvergabe pro Plattform explizit fest, anstatt abstrakte Vorgaben für den Bereich Social Media zu machen. Wer bei LinkedIn die Rolle des Analysten hat, benötigt bei Facebook typischerweise nur den Teilzugriff und beim Google Unternehmensprofil die Rolle des Verwalters statt der des Inhabers. Diese Zuordnung gehört schriftlich in einer Richtlinie festgehalten, da sie sonst bei jedem Personalwechsel neu und oft fehlerhaft improvisiert wird.

Zwei Aspekte werden bei der Rechtevergabe regelmäßig übersehen. Der erste Punkt betrifft die Finanzen. Werbekonten und hinterlegte Zahlungsmittel bilden eine eigene, kritische Rechtekategorie. Bei LinkedIn sind die Werbe-Rollen bewusst von den Seitenrollen getrennt. Auch bei Meta hängt das Budget nicht an der Rolle innerhalb der Seiteneinstellungen. Der zweite Punkt betrifft externe Dienstleister. Agenturen und Freelancer müssen zwingend über die offiziellen Partnerfunktionen der Plattformen Zugang erhalten. Sie arbeiten mit ihrem eigenen Account und einem klar begrenzten Umfang an Berechtigungen. Nur so lässt sich der Zugang am Ende der Zusammenarbeit ohne aufwendigen Passwortwechsel sauber entziehen.

Sicherheit: Zwei-Faktor-Authentisierung und Wiederherstellung

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt für Online-Konten grundsätzlich die Zwei-Faktor-Authentisierung zusätzlich zum Passwort. Für Firmenkonten in sozialen Netzwerken ist dies kein optionales Komfortthema, sondern die zwingende Voraussetzung dafür, dass ein durchgesickertes Passwort nicht unmittelbar zum Kontrollverlust durch Angreifer führt.

Damit die Zwei-Faktor-Authentisierung im Betrieb funktioniert und nicht selbst zum Ausfallrisiko wird, gehören drei Elemente zur Standardausrüstung. Der zweite Faktor darf nicht an einer Privatperson kleben. Authenticator-Apps auf einem Diensthandy oder physische Hardware-Sicherheitsschlüssel sind deutlich belastbarer als eine SMS an eine private Handynummer. SMS-Codes sind besser als gar kein zweiter Faktor, stellen aber die schwächste der üblichen Varianten dar.

Zweitens müssen Wiederherstellungscodes zentral hinterlegt sein. Die einmalig ausgegebenen Backup-Codes gehören in den Passwortmanager des Unternehmens oder in einen versiegelten Umschlag im Tresor. Sie gehören nicht in eine simple Notiz-App auf dem privaten Smartphone.

Drittens bedarf es eines dokumentierten Notfallwegs. Halten Sie schriftlich fest, wer im Verlustfall eines Geräts handelt, welche Ersatzkontaktadresse bei der Plattform hinterlegt ist und welche Nachweise der Netzwerkbetreiber für eine Kontowiederherstellung verlangt. Wenn diese Recherche erst im akuten Ernstfall beginnt, kostet das Unternehmen wertvolle Tage und kann den Ruf dauerhaft schädigen.

Die Passwörter selbst gehören ausschließlich in einen gemeinsam genutzten, professionellen Passwortmanager mit eigenen Benutzerkonten für die Mitarbeitenden. Nur so bleibt nachvollziehbar, wer welchen Eintrag zu welchem Zeitpunkt eingesehen hat. Eine geteilte Tabelle im Intranet oder ein Chatverlauf in einem Messenger erfüllt diese elementare Anforderung an die Zugriffskontrolle nicht.

Onboarding: neue Zugänge sauber anlegen

Ein Onboarding-Ablauf für den Account Social Media ist ein kurzer Prozess, der aber bei jedem neuen Teammitglied exakt gleich ablaufen muss. Zuerst ist die Rolle und die konkrete Aufgabe der Person zu bestimmen. Daraus leitet sich die exakte Berechtigungsstufe auf jeder relevanten Plattform ab.

Im zweiten Schritt wird die Einladung an die dienstliche E-Mail-Adresse der Person gesendet. Ein Versand von Zugangsdaten per Textnachricht oder E-Mail entfällt komplett. Im dritten Schritt muss die Person die Zwei-Faktor-Authentisierung in ihrem persönlichen Arbeitskonto aktivieren, bevor der Zugriff auf die Unternehmensseiten freigeschaltet wird.

Danach erfolgen die Übergabe der verbindlichen Regeln und der Eintrag in das Account-Register. Die Mitarbeitenden müssen wissen, was sie ohne Rücksprache veröffentlichen dürfen, wer Freigaben erteilt, wie Direktnachrichten und Kommentare zu behandeln sind und welche Daten keinesfalls öffentlich verarbeitet werden dürfen. Abschließend wird der neue Zugang mit Datum und vergebener Rolle im zentralen Account-Register dokumentiert.

Offboarding: Zugang zuverlässig entziehen

Das Offboarding ist der Schritt, der in der Praxis am häufigsten unvollständig bleibt. Er blockiert niemanden, wenn er ausfällt, weshalb er leicht vergessen wird. Es reicht jedoch keinesfalls aus, lediglich das E-Mail-Konto der austretenden Person zu deaktivieren. Der Zugriff auf Seiten, Werbekonten, Planungstools und Schnittstellen bleibt von der Deaktivierung des Postfachs oft völlig unberührt bestehen.

Eine belastbare Checkliste zum Austritt umfasst mehrere zwingende Schritte. Der Zugriff ist auf jeder einzelnen Plattform separat zu entfernen. Die Entfernung muss anschließend in der Rechteübersicht der Plattform kontrolliert werden. Es ist zu prüfen, ob die Person Inhaberrechte hält. Beim Google Unternehmensprofil können beispielsweise nur Inhaber andere Nutzer entfernen oder das Profil löschen. Die Inhaberschaft muss daher zwingend vor dem Austritt auf eine verbleibende Person übertragen werden.

Verknüpfte Anwendungen erfordern besondere Aufmerksamkeit. Planungstools, Analysewerkzeuge, Chatbots und API-Schnittstellen, die mit dem persönlichen Konto der austretenden Person autorisiert wurden, verlieren oft ihre Funktion oder bleiben ungewollt zugänglich. Alle geteilten Passwörter, die die Person kannte, sind zu ändern, selbst wenn der Zugang formal bereits entzogen wurde. Ebenso sind der zweite Faktor und die Wiederherstellungsoptionen zu aktualisieren, falls die private Telefonnummer oder die E-Mail-Adresse der Person dort hinterlegt waren. Der Austritt wird abschließend im Account-Register dokumentiert.

Das Account-Register: eine Übersicht, die den Zustand abbildet

Governance wird erst dann nachprüfbar, wenn sie lückenlos dokumentiert ist. Führen Sie eine schlichte, aber vollständige Übersicht, in der pro Konto alle relevanten Daten stehen. Dazu gehören die Plattform, der Kontoname, die URL, die hinterlegte Firmen-E-Mail-Adresse, der primäre Inhaber, alle weiteren Berechtigten mit ihrer jeweiligen Rolle, der Aufbewahrungsort der Wiederherstellungscodes, die verknüpften Werbekonten und die hinterlegten Zahlungsmittel sowie das Datum der letzten Überprüfung. Ein Quartalsrhythmus für diese Prüfung genügt in den meisten Unternehmen. Was in diesem Register nicht steht, existiert im Ernstfall organisatorisch nicht.

Rechtlicher Rahmen

Zwei rechtliche Punkte betreffen die Zugangsverwaltung unmittelbar und zwingend. Erstens gilt die Zugriffskontrolle nach der DSGVO. Artikel 32 der Verordnung verpflichtet Verantwortliche zu geeigneten technischen und organisatorischen Maßnahmen, um die Vertraulichkeit und die Zugriffskontrolle bei der Verarbeitung personenbezogener Daten sicherzustellen. Über Firmenkonten in sozialen Netzwerken laufen Direktnachrichten, öffentliche Kommentare und teilweise direkte Kontaktdaten von Kunden. Wer Zugriffe systematisch vergibt, entzieht und dokumentiert, setzt genau diese rechtliche Anforderung um. Werden Konten von einer Agentur betreut, ist zusätzlich auf einer vertraglichen Grundlage zu klären, wie der Umgang mit diesen Daten geregelt ist.

Zweitens besteht eine Impressumspflicht. Für geschäftsmäßige Online-Angebote steht diese Pflicht seit Mai 2024 in Paragraf 5 des Digitale-Dienste-Gesetzes und hat die entsprechende Regelung des Telemediengesetzes abgelöst. Für die Account-Verwaltung bedeutet das: Die Pflichtangaben oder ein eindeutiger Verweis darauf gehören in jedes geschäftlich genutzte Profil. Die regelmäßige Aktualität dieser Angaben ist ein fester Bestandteil der Kontoprüfung, insbesondere nach einem Wechsel in der Geschäftsführung oder einer Änderung der Firmenanschrift.

Die häufigsten Fehler auf einen Blick

In der Praxis zeigen sich einige wiederkehrende Fehler, die die Sicherheit von Accounts Social Media massiv gefährden. Ein Konto liegt oft bei einer Privatperson statt bei einer Funktionsadresse. Es gibt in vielen Fällen nur einen einzigen Vollberechtigten, was das Ausfallrisiko drastisch erhöht. Zugangsdaten werden per Chat geteilt, anstatt Zugriffe über die Systeme der Plattformen einzuladen. Die Zwei-Faktor-Authentisierung ist zwar aktiv, aber die zugehörigen Wiederherstellungscodes sind nirgends zentral hinterlegt. Ausgeschiedene Personen behalten oft unbemerkt Rechte in Werbekonten oder verknüpften Tools. Externe Dienstleister arbeiten häufig mit dem direkten Firmenlogin statt mit einem eigenen, begrenzten Zugang. Und zuletzt prüft niemand die Rechteübersicht in festen Abständen. Wer diese sieben Punkte konsequent abarbeitet, hat den Großteil der Account-Governance im Unternehmen erfolgreich strukturiert.