Social Media Account: das Konto als Verwaltungseinheit im Unternehmen

Ein Social Media Account ist zunächst etwas sehr Nüchternes: ein Konto, mit dem sich Inhalte veröffentlichen und anderen Nutzern folgen lassen. Es ist der Zugang zu einem jener digitalen Kommunikationskanäle, über die Nutzer sich vernetzen und miteinander kommunizieren. Sobald hinter dem Konto jedoch kein Privatmensch mehr steht, sondern ein Unternehmen, wird daraus eine Verwaltungseinheit: mit Zugangsdaten, Wiederherstellungswegen, Rechten, die jemand vergibt und wieder entzieht, und einem Wert, den man verlieren kann. Genau diese organisatorische Seite wird beim Anlegen meist übersprungen und Jahre später schmerzhaft nachgeholt.

Konto, Profil und Seite sind nicht dasselbe

Umgangssprachlich werden die drei Begriffe synonym verwendet, technisch sind sie es nicht.

Das Konto ist der Zugang. Es besteht aus Anmeldedaten und der Berechtigung, im Netzwerk überhaupt zu handeln. Im Deutschen spricht man dabei oft schlicht von einem Profil auf sozialen Medien, und daher rührt die Verwechslung: Unternehmen legen sich auf Plattformen wie Facebook oder Instagram ein Konto an und nennen es Profil.

Das Profil ist die sichtbare Darstellung, die andere Nutzer aufrufen. Es hängt am Konto, ist aber nicht das Konto.

Eine Seite ist ein eigenes Objekt, das von einem Konto aus verwaltet wird. Wer sie betreut, besitzt sie nicht automatisch, er hat lediglich eine Rolle darauf.

Diese Unterscheidung ist keine Wortklauberei. Sie entscheidet darüber, wer nach einem Personalwechsel noch hineinkommt und wer Rollen vergeben, Abrechnungsdaten einsehen oder andere Administratoren entfernen darf.

Welche Kontoarten im Unternehmen vorkommen

Die Anbieter benennen ihre Modelle unterschiedlich. Organisatorisch lassen sich vier Typen unterscheiden, die sich nach Funktion richten, nicht nach Plattform:

• Persönliches Konto: an eine natürliche Person gebunden, oft mit deren privater Adresse angelegt. Manche Netzwerke setzen einen solchen Zugang voraus, bevor geschäftliche Ressourcen überhaupt verwaltet werden können. Es ist damit der häufigste Ausgangspunkt und die häufigste spätere Sollbruchstelle.
• Unternehmenskonto: ausdrücklich für eine Organisation vorgesehen, mit Funktionen, die ein privates Konto nicht freischaltet.
• Verwaltungskonto: eine übergeordnete Ebene, unter der mehrere Konten, Seiten und Werbezugänge gebündelt und Personen zugeordnet werden.
• Dienstleisterzugang: ein Zugriff, den eine Agentur oder ein Freelancer über die eigene Kennung erhält, statt Ihr Passwort weitergereicht zu bekommen.

Zusätzlich lässt sich ein Profil in einem beliebigen sozialen Netzwerk über ein Management-Werkzeug zentral verwalten. Das entkoppelt die tägliche Arbeit von der einzelnen Anmeldung, löst die Rechtefrage aber nicht, sondern verschiebt sie eine Ebene höher. Wer nur den Zugang zum Werkzeug entzieht, hat unter Umständen weiterhin direkten Zugriff auf das Konto selbst.

Welche Daten die Anmeldung verlangt

Beim Anlegen fordern Anbieter typischerweise eine E-Mail-Adresse und ein Passwort. Der Nutzername muss auf der jeweiligen Plattform eindeutig sein, häufig kommen Telefonnummer, Geburtsdatum oder eine Bestätigung per Code hinzu.

Drei Entscheidungen an dieser Stelle wirken jahrelang nach:

1. Nutzen Sie eine Funktionsadresse, etwa social@ihre-domain.de, kein persönliches Postfach. Wer das Postfach kontrolliert, kontrolliert am Ende das Konto, denn dorthin geht jede Wiederherstellung. Voraussetzung ist, dass der Zugriff auf dieses Postfach selbst geregelt und abgesichert ist.
2. Hinterlegen Sie eine Rufnummer aus dem Unternehmen, kein privates Mobiltelefon. Sonst verlässt der Bestätigungsweg mit dem Gerät das Haus.
3. Sichern Sie den Nutzernamen früh, auch auf Plattformen, die Sie noch nicht bespielen. Er ist pro Plattform nur einmal vergebbar.

Wo ein persönlicher Zugang vorgeschrieben ist, sollten Sie ihn nicht durch ein erfundenes Sammelkonto umgehen. Sorgen Sie stattdessen dafür, dass mindestens zwei berechtigte Personen die geschäftlichen Ressourcen verwalten können.

Wem gehört das Konto?

Rechtlich lässt sich das vertraglich regeln, praktisch entscheidet die Kontrolle über E-Mail-Postfach, Rufnummer und Wiederherstellungscodes. Wer diese drei Dinge hat, verfügt über das Konto, unabhängig davon, wer die Beiträge geschrieben hat. Formale Zuordnung und tatsächliche Kontrolle müssen deshalb zusammenpassen.

Dass es um einen echten Vermögenswert geht, zeigt der Handel damit: Bestehende Social-Media-Accounts werden auf Marktplätzen wie mabya.de zum Verkauf angeboten. Ein Konto ist also übertragbar und hat einen Preis, auch wenn die Nutzungsbedingungen der jeweiligen Plattform eine Übertragung einschränken können.

Halten Sie schriftlich fest, dass im Rahmen der Tätigkeit angelegte Konten dem Unternehmen zustehen und dass Zugangsdaten, Geräte, Sicherheitscodes und administrative Rollen beim Ausscheiden geprüft und zurückgegeben werden. Das ist keine Misstrauenserklärung, sondern die Voraussetzung dafür, dass niemand persönlich an einem Zugang hängen bleibt, den er längst nicht mehr braucht.

Rollen und Zugriffsrechte statt Sammelpasswort

Das geteilte Passwort im Team ist bequem und die schlechteste aller Lösungen. Es lässt sich nicht einzeln entziehen, ohne alle auszusperren, und im Nachhinein kann niemand sagen, wer was veröffentlicht hat.

Arbeiten Sie stattdessen mit Rollen:

• Jede Person meldet sich mit dem eigenen Zugang an und bekommt eine Rolle zugewiesen.
• Vergeben Sie so wenig Rechte wie nötig. Wer Beiträge plant, braucht keinen Vollzugriff auf Abrechnung oder Rechteverwaltung.
• Halten Sie die Zahl der Vollzugriffe klein, aber niemals bei eins. Ein einziger Administrator ist ein Ausfallrisiko, zwei sind das Minimum.
• Geben Sie externen Dienstleistern einen ausdrücklich begrenzten Zugang statt eines Passworts.
• Regeln Sie das Offboarding verbindlich: Zugang entziehen am letzten Arbeitstag, nicht irgendwann.
• Prüfen Sie die Rechtelisten in festen Abständen, etwa zweimal im Jahr und zusätzlich bei jedem Personal- oder Dienstleisterwechsel. Erfahrungsgemäß stehen dort Namen, an die sich niemand mehr erinnert.

Zugangsdaten, die sich trotzdem nicht vermeiden lassen, gehören in einen Passwortmanager, nicht in eine Tabelle, ein Chatfenster oder eine Mail.

Zwei-Faktor-Authentifizierung richtig aufsetzen

Die Zwei-Faktor-Authentifizierung ergänzt das Passwort um einen zweiten Nachweis, meist einen zeitlich begrenzten Code. Für Unternehmenskonten ist sie kein Extra, sondern Grundausstattung, denn ein übernommenes Konto trifft die Außenwirkung sofort und öffentlich.

Drei Punkte gehen in der Hektik gern unter. Eine Authenticator-App ist der Bestätigung per SMS vorzuziehen, weil der SMS-Weg zusätzlich am Mobilfunknetz und an einem einzelnen Gerät hängt. Die Wiederherstellungscodes, die beim Einrichten einmalig angezeigt werden, gehören in den Passwortmanager des Unternehmens und nicht in den Papierkorb; wo sie liegen, muss dokumentiert und für einen kleinen Kreis Verantwortlicher erreichbar sein. Und der zweite Faktor darf nicht ausschließlich auf dem Telefon einer einzigen Person liegen, sonst steht das Konto still, sobald dieses Gerät verloren geht oder die Person kündigt. Nach einem Personalwechsel oder nachdem ein Code verbraucht wurde, erzeugen Sie die Codes neu.

Was Sie pro Konto dokumentieren sollten

Legen Sie für jedes Konto ein kurzes Kontoblatt an und halten Sie es aktuell:

• Plattform, Kontoname und Nutzername
• hinterlegte E-Mail-Adresse und Rufnummer
• verantwortliche Person oder Abteilung im Unternehmen
• Personen mit administrativen Rechten sowie weitere Rollen und externe Zugänge
• verwendete Zwei-Faktor-Methode und Ablageort der Wiederherstellungscodes
• Datum der letzten Rechteprüfung

Passwörter selbst gehören nicht in dieses Dokument, sondern in den Passwortmanager. Diese halbe Seite pro Konto ist der Unterschied zwischen einem geordneten Übergabegespräch und der Situation, in der ein aktiver Auftritt existiert, zu dem niemand mehr den Schlüssel hat.