Wie Digitalagenturen Kundenzugänge sicher verwalten können

Ein Kunde unterschreibt den Vertrag und schickt der Agentur seine WordPress-Zugangsdaten per E-Mail, damit die Arbeit losgehen kann. Jemand aus dem Team kopiert die Daten in ein gemeinsames Dokument. Ein paar Tage später benötigt ein Freelancer ebenfalls Zugang, daher wird das Passwort erneut weitergeleitet.

Darüber denkt sich kaum jemand etwas. In kleinen Agenturen läuft das täglich so. Projekte müssen schnell vorankommen, und niemand möchte sich mit zusätzlichem Verwaltungsaufwand aufhalten.

Bei drei Kunden funktioniert das meistens noch relativ gut. Bei 15 wird es unübersichtlich. Manche Passwörter wurden inzwischen geändert, andere verstecken sich in E-Mail-Verläufen vom vergangenen Frühjahr. Und niemand weiß mehr genau, ob sich der freie Entwickler vom letzten Jahr noch immer beim Hosting eines Kunden anmelden kann.

Die Verwaltung von Zugriffsrechten ist keine besonders spannende Aufgabe. Läuft dabei aber etwas schief, kann eine Kundenbeziehung schneller Schaden nehmen als durch eine versäumte Deadline.

Warum „Einfach weitergeben“ nicht mehr funktioniert

WordPress ist selten die einzige Plattform, auf die eine Agentur zugreifen muss. Bei den meisten Kunden kommen noch ein Hosting-Dashboard, Google Analytics, die Search Console, Werbekonten, eine E-Mail-Marketing-Plattform sowie einige Social-Media-Profile hinzu.

Jede dieser Plattformen hat eigene Zugangsdaten und Berechtigungseinstellungen. Wenn unterschiedliche Personen verschiedene Aufgaben innerhalb eines Projekts übernehmen, wird es schnell schwierig, den Überblick zu behalten.

Die einfachste Lösung scheint eine Tabelle mit Benutzernamen und Passwörtern zu sein. Das funktioniert genau so lange, bis jemand das Dokument versehentlich an die falsche E-Mail-Adresse weitergibt oder ein ehemaliger Mitarbeiter noch immer Zugriff darauf hat.

Ein passwortmanager ist eine deutlich übersichtlichere Alternative. Teams können Zugangsdaten an einem sicheren Ort speichern und mithilfe kontrollierter Zugriffsrechte teilen. So muss niemand mehr Passwörter in Slack-Nachrichten kopieren.

Ein sicherer Passwortspeicher bedeutet allerdings nicht, dass jeder Zugriff auf sämtliche Zugangsdaten erhalten sollte. Wo Passwörter gespeichert werden und wer sie tatsächlich benötigt, sind zwei unterschiedliche Fragen.

Ein SEO-Spezialist muss die Rechnungsdaten eines Kunden nicht einsehen können. Und ein freier Texter, der Blogbeiträge hochlädt, benötigt dafür keine Administratorrechte.

Zugriffsrechte sollten zur jeweiligen Aufgabe passen

WordPress bietet mit seinen integrierten Benutzerrollen bereits eine gute Grundlage.

Redakteure können Inhalte verwalten, ohne über die gleichen umfassenden Rechte wie Administratoren zu verfügen. Autoren dürfen ihre eigenen Beiträge veröffentlichen. Mitarbeiter können Entwürfe erstellen und zur Überprüfung einreichen, diese jedoch nicht selbst veröffentlichen.

Sobald mehrere Personen an derselben Website arbeiten, werden solche Unterschiede wichtig.

Nehmen wir eine Agentur, die den Onlineshop eines Kunden betreut. Der Entwickler benötigt möglicherweise vorübergehend Administratorrechte, um ein Plugin einzurichten. Der Texter muss lediglich Produktbeschreibungen bearbeiten können. Und der Mitarbeiter, der sich um Werbeanzeigen kümmert, benötigt unter Umständen gar keinen WordPress-Zugang.

Allen Administratoren Rechte zu geben, spart bei der Einrichtung vielleicht ein paar Minuten. Gleichzeitig kann ein gehacktes Benutzerkonto oder ein unbedachter Klick wesentlich größeren Schaden anrichten.

Das gehört zum umfassenderen Schutz einer Website. Unser Leitfaden zur Cybersicherheit für Blogger und Online-Unternehmer behandelt die wichtigsten Grundlagen: Starke Passwörter, Zwei-Faktor-Authentifizierung, regelmäßige Updates und sinnvoll vergebene Benutzerrechte tragen dazu bei, eine Website sicher zu halten.

Für Agenturen stellt sich allerdings eine zusätzliche Herausforderung. All diese Maßnahmen müssen über zahlreiche unterschiedliche Kundenumgebungen hinweg funktionieren, nicht nur auf einer einzigen Website.

Das erfordert etwas mehr Organisation.

Vertrauen entsteht nicht allein durch gute Ergebnisse

Agenturen investieren viel Zeit und Energie, um ihre Kompetenz unter Beweis zu stellen. Sie veröffentlichen Fallstudien, optimieren ihre eigenen Websites, sammeln Kundenbewertungen und erklären potenziellen Auftraggebern, warum sie die richtige Wahl sind.

Gleichzeitig verändert sich die Art und Weise, wie Kunden nach Agenturen suchen.

Im November 2026 veröffentlichte das deutsche Marketingfachmedium ONEtoONE eine Untersuchung zu Digitalagenturen, die von KI-Systemen besonders leicht gefunden werden. Dafür wurden Antworten von ChatGPT, Perplexity und Google AI Overviews analysiert. Die Untersuchung zeigte, dass stark davon abhängt, welche Agenturen in den Ergebnissen erscheinen, welche Dienstleistung gesucht wird.

Im Bericht geht es um Sichtbarkeit, nicht um Sicherheit. Er verdeutlicht jedoch, wie spezifisch die Kriterien sind, nach denen Agenturen beurteilt werden.

Gefunden zu werden, ist schließlich nur der erste Schritt. Sobald ein potenzieller Kunde über ein konkretes Projekt spricht, tauchen schnell praktische Fragen auf.

Wer erhält Zugriff auf unsere Website? Können externe Dienstleister unsere Kundendaten einsehen? Was passiert mit unseren Benutzerkonten, wenn der Vertrag endet?

Eine Agentur, die solche Fragen ohne lange Überlegungen beantworten kann, beweist mehr als nur technisches Know-how. Sie zeigt, dass es klare Abläufe für den Umgang mit Kundendaten gibt und nicht bei jedem Projekt improvisiert wird.

Gerade für kleinere Agenturen, die mit größeren Anbietern konkurrieren, kann diese Professionalität den Ausschlag geben.

Freelancer bringen zusätzliche Herausforderungen mit sich

Viele Agenturen arbeiten mit externen Spezialisten zusammen. Ein freier Designer unterstützt beim Relaunch einer Website. Ein technischer SEO-Berater wird hinzugezogen, um Probleme bei der Indexierung zu beheben.

Die Zusammenarbeit mit externen Fachkräften ist an sich kein Sicherheitsrisiko. Problematisch wird es, wenn ein ursprünglich befristeter Zugang dauerhaft bestehen bleibt, weil niemand daran gedacht hat, ihn zu entfernen.

Stellen wir uns einen freien Entwickler vor, der Administratorrechte erhält, um einen WordPress-Fehler zu beheben. Zwei Tage später ist die Arbeit erledigt, die Rechnung bezahlt und alle wenden sich dem nächsten Projekt zu.

Sechs Monate später könnte dieses Benutzerkonto noch immer aktiv sein.

Deshalb sollten die Regeln feststehen, bevor ein externer Mitarbeiter mit der Arbeit beginnt. Welche Plattformen benötigt er? Welche Berechtigungen sind sinnvoll? Und wann soll der Zugang wieder enden?

Wo immer möglich, sollten Freelancer eigene Benutzerkonten erhalten, anstatt gemeinsame Zugangsdaten zu verwenden. So kann nachvollzogen werden, wer welche Änderungen vorgenommen hat. Außerdem kann der Zugang einer einzelnen Person entfernt werden, ohne das restliche Team auszusperren.

Manche Plattformen ermöglichen zeitlich begrenzte Berechtigungen oder automatische Ablaufdaten. Wo diese Funktionen fehlen, reicht oft schon eine Erinnerung im Kalender.

Entscheidend ist, dass das Entfernen von Zugriffsrechten als normaler Bestandteil eines Projekts betrachtet wird und nicht erst zum Thema wird, wenn bereits etwas schiefgelaufen ist.

Das System muss einfach genug für den Alltag sein

Die meisten kleinen Agenturen benötigen keine komplexe Software für das Identitätsmanagement. Sie benötigen einen Ablauf, den alle befolgen können, ohne dafür ein umfangreiches Sicherheitshandbuch durchlesen zu müssen.

Am besten beginnt man mit einer zentralen Übersicht über die Plattformen jedes Kunden sowie deren jeweiligen Kontoinhaber. Passwörter müssen darin nicht stehen. Es reicht, die verwendeten Dienste, die Verantwortlichen der Hauptkonten sowie die zugriffsberechtigten Teammitglieder festzuhalten.

Für jedes neue Projekt sollte eine kurze Checkliste die wichtigsten Punkte abdecken:

• Plattformen erfassen: Website, Hosting, Analyse-Tools, Werbekonten sowie alle weiteren verwendeten Dienste dokumentieren.
• Individuelle Berechtigungen vergeben: Mitarbeitern und externen Dienstleistern nur jene Zugriffsrechte einräumen, die sie für ihre Aufgaben benötigen.
• Wichtige Konten absichern: Einzigartige Passwörter verwenden und nach Möglichkeit die Multi-Faktor-Authentifizierung aktivieren.
• Kontoinhaber dokumentieren: Sicherstellen, dass der Kunde die Kontrolle über seine wichtigsten Benutzerkonten behält.
• Zugriffsrechte regelmäßig überprüfen: Berechtigungen bei Aufgabenwechseln prüfen und nach Projektende nicht mehr benötigte Zugänge entfernen.

Die Liste sollte kurz genug bleiben, um zu einem selbstverständlichen Bestandteil des Onboardings zu werden.

Außerdem muss dafür jemand verantwortlich sein. Sonst ist die Aufgabe auf dem Papier zwar allen zugewiesen, in der Praxis kümmert sich aber niemand darum.

In einer kleinen Agentur übernimmt das häufig der Projektmanager. Größere Teams können die Aufgabe jemandem aus dem operativen Bereich oder aus der IT übertragen.

Beides funktioniert, solange klar ist, wer zuständig ist.

Das Offboarding darf nicht vergessen werden

Dem Onboarding wird üblicherweise viel Aufmerksamkeit geschenkt. Es finden Auftaktgespräche statt, Unterlagen werden gesammelt, Zugangsdaten angefordert und neue Kommunikationskanäle eingerichtet.

Das Offboarding wird dagegen häufig erst im Nachhinein berücksichtigt.

Das Projekt ist abgeschlossen, die letzte Rechnung ist verschickt und das Team beschäftigt sich bereits mit dem nächsten Auftrag. Die Zugriffsrechte bleiben dabei oft unverändert.

Zu einer ordentlichen Übergabe gehört, aktive Benutzerkonten zu überprüfen, dem Kunden die benötigte Dokumentation bereitzustellen, Agenturzugänge zu entfernen und sicherzustellen, dass der Kunde selbstständig auf seine wichtigsten Dienste zugreifen kann.

Falls sich während des Projekts gemeinsam genutzte Zugangsdaten nicht vermeiden ließen, sollten die entsprechenden Passwörter nach Abschluss der Zusammenarbeit geändert werden. Individuelle Benutzerkonten müssen je nach Bedarf deaktiviert oder gelöscht werden.

Dasselbe gilt, wenn Mitarbeiter die Agentur verlassen. Ihre Berechtigungen sollten bei sämtlichen Kundenprojekten überprüft werden, an denen Sie beteiligt waren, nicht nur bei den internen Tools der Agentur.

All das muss nicht kompliziert sein. Eine standardisierte Offboarding-Checkliste, die gemeinsam mit der abschließenden Projektübergabe durchgeführt wird, verhindert, dass Zugangsdaten in Vergessenheit geraten.

Sicherheit darf die tägliche Arbeit nicht ausbremsen

Agenturen stehen ständig unter Zeitdruck. Kunden wollen, dass Websites online gehen, Kampagnen optimiert und technische Probleme behoben werden – am besten schon gestern.

Sicherheitsmaßnahmen, die alle Beteiligten unnötig aufhalten, werden sich in einem solchen Arbeitsumfeld kaum dauerhaft durchsetzen.

Besser funktioniert es, wenn ein verantwortungsvoller Umgang mit Zugriffsrechten ganz selbstverständlich zum Projektalltag gehört.

Wer Berechtigungen von Anfang an korrekt vergibt, erspart seinem Team die zeitraubende Suche nach Zugangsdaten. Freelancer wissen, welche Konten sie verwenden dürfen. Projektmanager behalten den Überblick darüber, wer woran arbeitet.

Und wenn jemand das Unternehmen verlässt, muss niemand monatelange Nachrichtenverläufe durchforsten, um herauszufinden, wer welche Zugangsdaten weitergegeben hat.

Die Kunden haben mit den meisten dieser Abläufen nichts zu tun. Sie werden wahrscheinlich nicht danach fragen, wie Passwörter gespeichert werden oder ob das WordPress-Konto eines ehemaligen Freelancers tatsächlich gelöscht wurde.

Was ihnen aber auffällt, ist eine reibungslose Übergabe, eine klare Regelung der Kontoinhaberschaft und eine Agentur, die Sicherheitsfragen sofort beantworten kann.

Wenn das eigene Unternehmen die Websites und Marketing-Tools anderer Firmen betreut, lohnt es sich, genau diese unauffällige Verlässlichkeit zum festen Bestandteil jedes Projekts zu machen.