Social Media Accounts strukturiert verwalten: Praxisleitfaden für Unternehmen

Unternehmen betreiben in der Regel nicht nur ein einzelnes Profil, sondern eine Vielzahl von Social Media Accounts. Neben den offiziellen Hauptkanälen existieren oft regionale Profile, spezialisierte Recruiting-Accounts, dedizierte Support-Kanäle, internationale Präsenzen oder zeitlich begrenzte Projektkonten. Ohne eine systematisierte Verwaltung führt diese Komplexität schnell zu Risiken: Es bleibt unklar, welche Accounts noch aktiv sind, wer Zugriff darauf hat und welche geschäftlichen E-Mail-Adressen für die Kontowiederherstellung hinterlegt wurden.

Ein verbindliches Account-Inventar, eine zentrale unternehmensweite Eigentümerschaft und präzise definierte Zugriffsrechte minimieren diese Gefahren. Dieser Leitfaden beschreibt, wie Unternehmen ihre Social-Media-Konten über den gesamten Lebenszyklus hinweg organisieren.

Was sind Social Media Accounts im unternehmerischen Kontext?

Im geschäftlichen Sinne bezeichnen Social Media Accounts die Gesamtheit aller Benutzerkonten, Seiten und Kanäle, über die ein Unternehmen auf sozialen Plattformen agiert. In diesem Leitfaden steht nicht die Optimierung eines einzelnen Profils oder die allgemeine Einführung in soziale Medien im Vordergrund.

Vielmehr geht es um die organisatorische Steuerung des gesamten Account-Bestands. Zentrale Fragen sind hierbei: Welche Konten existieren? Welchen strategischen Zweck erfüllen sie? Wer trägt die rechtliche und technische Verantwortung? Wie werden Zugänge geschützt, bei Personalwechseln übergeben oder rechtssicher gelöscht?

Schritt 1: Erstellung eines vollständigen Account-Inventars

Die Basis einer sicheren Verwaltung ist eine lückenlose Bestandsaufnahme. Dabei dürfen nicht nur die bekannten Hauptkanäle erfasst werden. Häufig existieren “verwaiste” Konten, die vor Jahren von ehemaligen Mitarbeitern, lokalen Niederlassungen oder externen Agenturen angelegt wurden.

Die Recherche sollte systematisch über die Suche nach Unternehmensnamen, Marken, Produktbezeichnungen und Standorten erfolgen. Zudem sollten die Abteilungen Marketing, HR, Kundenservice, IT und Vertrieb befragt werden.

Das Inventar sollte für jeden Account folgende Informationen enthalten:

• Plattform und direkte URL
• Öffentlicher Name des Accounts oder Kanals
• Interner Zweck und zugehöriger Fachbereich
• Aktueller Status (z. B. aktiv, pausiert, in Prüfung)
• Geschäftlich verantwortliche Person
• Technische Administration
• Hinterlegte E-Mail-Adresse und Telefonnummer zur Wiederherstellung
• Liste der Administratoren und vergebenen Rollen
• Art der implementierten Zwei-Faktor-Authentisierung
• Verknüpfte Drittanbieter-Tools, Apps oder Analysesysteme
• Datum der letzten Überprüfung
• Geplantes Vorgehen bei einer eventuellen Stilllegung

Wichtig: Passwörter dürfen niemals im Klartext in Tabellen stehen. Nutzen Sie hierfür einen professionellen, unternehmensweiten Passwortmanager mit kontrollierten Zugriffsrechten. Das Inventar sollte zentral gespeichert und in regelmäßigen Intervallen, etwa quartalsweise, aktualisiert werden.

Schritt 2: Plattformauswahl und Account-Zweck definieren

Die bloße Präsenz auf jeder verfügbaren Plattform erhöht den Verwaltungsaufwand und steigert die Sicherheitsrisiken. Jeder neue Account sollte daher einem spezifischen geschäftlichen Zweck dienen.

Bevor ein neues Konto erstellt wird, sollten folgende Fragen geklärt werden:

1. Welche konkrete operative Aufgabe soll der Account erfüllen?
2. Welche Zielgruppe wird über diese spezifische Plattform erreicht?
3. Warum kann ein bestehender Account diese Aufgabe nicht übernehmen?
4. Welches Team ist für die dauerhafte Betreuung zuständig?
5. Wer übernimmt das Community-Management und die Bearbeitung von Vorfällen?
6. Was geschieht mit dem Account nach Abschluss des Projekts?
7. Welche personenbezogenen Daten werden über diesen Kanal verarbeitet?

Die technische Struktur variiert je nach Anbieter. Facebook und Instagram gehören beispielsweise zu Meta Platforms, weisen aber unterschiedliche Verwaltungswege auf. YouTube ist ein Dienst von Google. Geschäftliche Zugriffe auf YouTube-Kanäle sollten daher über kontrollierte Google-Konten mit spezifischen Berechtigungen organisiert werden. LinkedIn stellt wiederum eigene Unternehmensseiten bereit, die eine detaillierte Vergabe von Administratorrollen ermöglichen. Diese plattformeigenen Rollenmodelle sind vorzuziehen, anstatt einen einzigen Login mit mehreren Personen zu teilen.

Schritt 3: Zentrale Eigentümerschaft im Unternehmen verankern

Ein geschäftlicher Account darf niemals organisatorisch an eine einzelne Person gebunden sein. Das Unternehmen muss zu jedem Zeitpunkt die volle Kontrolle über den Zugang behalten.

Folgende Grundsätze gelten für die zentrale Eigentümerschaft:

• Registrierung ausschließlich mit kontrollierten geschäftlichen Kontaktdaten.
• Hinterlegung von Wiederherstellungsadressen in einer dauerhaft betreuten Unternehmensdomain.
• Verzicht auf private E-Mail-Adressen oder private Telefonnummern als einzige Wiederherstellungsoption.
• Sicherstellung, dass mindestens zwei autorisierte Personen administrative Notfallmaßnahmen einleiten können.
• Klare Trennung zwischen geschäftlicher Verantwortung und technischer Administration.
• Vergabe von Rollen an externe Dienstleister ohne Übertragung der alleinigen Eigentümerschaft.
• Vertragliche Regelung zur Rückgabe aller Zugänge nach Ende einer Zusammenarbeit.

Die Nutzung einer Funktionsadresse (z. B. socialmedia@unternehmen.de) ist für Benachrichtigungen sinnvoll. Sie ersetzt jedoch nicht die personengebundene Zuweisung von Administratorrollen, wo diese technisch möglich sind. Individuelle Zugänge gewährleisten die Nachvollziehbarkeit von Änderungen und ermöglichen einen gezielten Entzug von Rechten.

Schritt 4: Festlegung von Rollen und Zugriffsrechten

Berechtigungen sollten nach dem Prinzip der minimalen Rechtevergabe (“Least Privilege”) vergeben werden. Nicht jeder Redakteur muss in der Lage sein, Sicherheitseinstellungen zu ändern oder den Account zu löschen.

Ein bewährtes Rollenmodell unterscheidet:

• Account-Verantwortung: Strategische Entscheidung über Betrieb und Stilllegung.
• Administration: Verwaltung von Rollen, Sicherheitseinstellungen und technischen Wiederherstellungswegen.
• Redaktion: Erstellung, Prüfung und Veröffentlichung von Inhalten.
• Moderation und Service: Bearbeitung von Kommentaren, Nachrichten und Supportanfragen.

Auch in kleinen Teams sollten diese Funktionen dokumentiert sein, um eine reibungslose Übergabe bei Abwesenheit zu gewährleisten. Mindestens zweimal jährlich sollte eine Berechtigungsprüfung erfolgen. Dabei sind auch externe App-Verbindungen und Analyse-Tools zu prüfen, da diese oft dauerhafte Zugriffsrechte besitzen, selbst wenn die primäre Nutzerrolle bereits entfernt wurde.

Schritt 5: Technische Absicherung der Accounts

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt für Onlinekonten starke, unterschiedliche Passwörter sowie die Nutzung der Zwei-Faktor-Authentisierung (2FA), sofern der Dienst dies anbietet. Für geschäftliche Accounts sollte dies verpflichtend sein.

Zur technischen Absicherung gehören:

• Einzigartige Passwörter für jeden einzelnen Account.
• Speicherung in einem geschützten Passwortmanager.
• Aktivierte Zwei-Faktor-Authentisierung für alle administrativen Zugänge.
• Sichere, redundante Aufbewahrung von Backup- und Wiederherstellungscodes.
• Regelmäßige Kontrolle der angemeldeten Geräte und aktiven Sitzungen.
• Dokumentierte Prozesse für den Fall verdächtiger Anmeldeversuche oder Phishing.

Unternehmen sollten nach Möglichkeit verwaltete Authenticator-Lösungen oder physische Sicherheitsschlüssel einsetzen. SMS-basierte Codes sind aufgrund der Bindung an einzelne Mobilnummern bei Personalwechseln oft problematisch.

Schritt 6: Datenschutz und gesetzliche Anbieterinformationen

Die Verarbeitung personenbezogener Daten über Social Media, etwa durch Direktnachrichten oder Bewerbungen, unterliegt der Datenschutz-Grundverordnung (DSGVO). Unternehmen müssen dokumentieren, zu welchem Zweck Daten verarbeitet werden und wer darauf zugreifen darf. Sensible Kommunikation sollte zeitnah in kontrollierte, interne Kanäle verlagert werden.

Zudem müssen geschäftsmäßige digitale Dienste gemäß Paragraph 5 des Digital-Dienste-Gesetzes (DDG) die erforderlichen Anbieterinformationen (Impressum) leicht erkennbar, unmittelbar erreichbar und ständig verfügbar halten. Es ist zu prüfen, wie diese Informationen auf den jeweiligen Plattformen (z. B. im Profil oder über einen Link) rechtssicher hinterlegt sind.

Schritt 7: Management von Mitarbeiterwechseln

Die Verwaltung von Social Media Accounts muss integraler Bestandteil der Onboarding- und Offboarding-Prozesse sein.

Beim Eintritt eines neuen Mitarbeiters erfolgt die Zuweisung ausschließlich der benötigten Rollen, ergänzt durch eine Einweisung in die Sicherheitsregeln und Meldewege.

Beim Ausscheiden einer Person sind folgende Schritte zwingend:

1. Entfernung oder Anpassung der Plattformrollen.
2. Beendigung aller aktiven Sitzungen und Entfernung registrierter Geräte.
3. Änderung gemeinsam genutzter Zugangsdaten.
4. Aktualisierung der 2FA-Methoden und Wiederherstellungsdaten.
5. Prüfung und Entfernung verbundener Drittanbieter-Apps.
6. Formale Übergabe offener Anfragen.
7. Dokumentation der Änderungen im Account-Inventar.

Schritt 8: Deaktivierung und Löschung von Accounts

Unbeaufsichtigte, ungenutzte Accounts sind ein Sicherheitsrisiko und können durch veraltete Informationen die Markenwirkung schädigen. Vor einer Stilllegung müssen folgende Punkte geklärt werden:

• Bestehen gesetzliche oder interne Aufbewahrungspflichten für die Daten?
• Müssen Inhalte oder Nachrichtenverläufe archiviert werden?
• Sind alle offenen Kundenanfragen abschließend bearbeitet?
• Wer genehmigt die Löschung und wo wird diese dokumentiert?
• Wie wird verhindert, dass der freiwerdende Name von Dritten besetzt wird?

Eine Deaktivierung ist sinnvoll, wenn eine spätere Reaktivierung wahrscheinlich ist. Eine endgültige Löschung erfolgt erst nach vollständiger Datensicherung und interner Freigabe.

Zusammenfassung: Die Prüfroutine für Unternehmen

Eine belastbare Account-Verwaltung basiert auf einer wiederkehrenden Routine:

• Inventar kontinuierlich aktuell halten.
• Zweck und Notwendigkeit jedes Accounts regelmäßig hinterfragen.
• Eigentümerschaft über geschäftliche Daten sichern.
• Rollen nach dem Minimalprinzip vergeben.
• Zwei-Faktor-Authentisierung konsequent durchsetzen.
• Verbindungen zu Dritt-Apps prüfen.
• Impressumspflichten und Datenschutzregeln einhalten.
• Personalwechsel sofort technisch abbilden.
• Überflüssige Accounts geordnet löschen.