Zum Inhalt springen
PageSpeed 100 als Auslieferungs-Standard
Betrieb

Website im Team pflegen: Rollen, Rechte, Vertretung

Zugangsdaten per Messenger, Preise ohne Rückfrage geändert: So ordnen kleine Betriebe Rollen, Rechte, Vier-Augen-Prinzip und Vertretung auf der Website.

14 Min. Lesezeit TeamRollenZugriffsrechteRedaktion

Solange eine einzige Person die Website betreut, ist die Zuständigkeit unstrittig — sie ist nur nirgends aufgeschrieben. Mit der zweiten Person ändert sich das schlagartig: Zugangsdaten wandern per Messenger durch den Betrieb, ein Preis steht plötzlich anders auf der Seite und niemand erinnert sich, wer ihn zuletzt angefasst hat, und wenn die Bürokraft im Urlaub ist, bleiben die Öffnungszeiten über die Feiertage falsch stehen. Dieser Beitrag ordnet die Zusammenarbeit an der eigenen Website: welche Rollen ein kleiner Betrieb tatsächlich braucht, welche Änderungen ein zweites Augenpaar verdienen, wie persönliche Zugänge, Vertretung und Offboarding praktisch aussehen — und welche Pflichten der Datenschutz dabei mitbringt.

Rollen, Rechte und Vertretung im TeamWer darf was ändern — und wer schaut vor der Veröffentlichung daraufQuellen: BSI, Bitkom, DSGVOBerechtigungen im kleinen BetriebPreiseTexte und BilderRechtstexteVertrag, DomainInhaberschaftVerwaltungRedaktionAnsichtändernmit Freigabenur ansehenkein ZugriffWenn Zugänge geteilt werden48 %der Unternehmen führenVorfälle auf eigeneMitarbeitende zurück15 % mit geregelten Abläufen81 % ohne jede RegelungVier-Augen-Prinzip für Preise, Rechtstexte und StellenanzeigenEntwurfRedaktionPrüfungVerwaltungFreigabeInhaberschaftVeröffentlichtmit Datum und NamePersönliche Zugänge statt Sammelkonto, zweiter Faktor für die Inhaberschaft, Offboarding am letzten ArbeitstagBSI: 25 Zeichen, zwei ZeichenartenRollenbezeichnungen und Rechtezuschnitt sind ein Vorschlag für kleine Betriebe mit bis zu 25 Zugängen.

Ab der zweiten Person verschiebt sich das Risiko nach innen

Eine eigene Website ist in kleinen Betrieben längst Normalfall und kein Sonderprojekt mehr. 94 Prozent (Bitkom, Digitalisierung des Handwerks 2025) der befragten Handwerksunternehmen nutzen eine eigene Website; die Erhebung beruht auf einer telefonisch geführten, repräsentativ gewichteten Befragung von 504 (Bitkom, Digitalisierung des Handwerks 2025) Betrieben ab einem Beschäftigten im Sommer 2025. Die amtliche Statistik zeichnet dasselbe Bild: In Bayern verfügten 92 Prozent (Bayerisches Landesamt für Statistik) der Unternehmen ab zehn Beschäftigten im Jahr 2025 über eine Website, und 95 Prozent (Statistisches Bundesamt) der Unternehmen in Deutschland hatten einen festen Internetzugang. Die Seite ist also da. Offen ist meist nur, wer sie im Alltag anfasst — und mit welchen Rechten.

Die Probleme, die dann entstehen, kommen selten von außen. Sie entstehen durch fehlende Ordnung im Inneren, und sie sehen in fast jedem Betrieb gleich aus. Erstens das Sammelkonto: ein Benutzername, ein Passwort, weitergereicht an alle, die schon einmal etwas ändern mussten. Zweitens die fehlende Änderungsspur: Auf der Seite steht ein anderer Preis als vorgestern, aber es lässt sich nicht mehr rekonstruieren, wer ihn geändert hat und warum. Drittens die fehlende Vertretung: Die eine Person, die den Zugang kennt, ist im Urlaub, und für zwei Wochen ändert sich nichts mehr — auch nicht das, was dringend geändert gehört.

Abgrenzung zu zwei verwandten Themen

Hier geht es um die Zusammenarbeit im Team, nicht um technische Härtung und nicht um Vertragsfragen. Wie sich die technische Angriffsfläche einer Seite klein halten lässt, steht im Beitrag zur Angriffsfläche einer Website. Wem Domain, Inhalte und Konten gehören und wie man das vor der Unterschrift klärt, behandelt der Beitrag zum Prüfen von Vertrag und Zugängen beim Website-Anbieter. Beide Themen berühren sich mit diesem an genau zwei Stellen: bei den Zugängen und bei der Frage, wer den Vertrag halten darf.

Dass Betriebe das Thema unterschätzen, lässt sich an zwei weiteren Zahlen derselben Studie ablesen: 71 Prozent (Bitkom, Digitalisierung des Handwerks 2025) schreiben der IT-Sicherheit einen großen Stellenwert zu, aber nur 15 Prozent (Bitkom, Digitalisierung des Handwerks 2025) verfügen über klar geregelte Abläufe für den Ernstfall, 81 Prozent (Bitkom, Digitalisierung des Handwerks 2025) haben bislang nichts Strukturiertes etabliert. Die Lücke zwischen Anspruch und Ablauf ist genau die Lücke, die Rollen und Rechte schließen. Wer den Pflegetakt bereits geregelt hat — beschrieben in der Pflegeroutine für Betriebe —, muss dazu nur noch die Frage beantworten, wer welchen Teil davon überhaupt ändern darf.

Vier Rollen, die ein kleiner Betrieb wirklich braucht

Rollenmodelle scheitern in kleinen Betrieben meist an derselben Ursache: Sie sind zu fein. Zehn Rollen für fünf Personen führen dazu, dass am Ende doch alle mit demselben Zugang arbeiten. In der Praxis reichen vier Rollen, weil sie vier verschiedene Fragen beantworten: Wer haftet? Wer verwaltet? Wer schreibt? Wer schaut zu? Alles Weitere ist eine Verfeinerung, die sich später ergänzen lässt, wenn der Betrieb tatsächlich wächst.

Inhaberschaft

Eine namentlich benannte Person aus der Geschäftsführung. Sie hält Vertrag, Domain und Rechnungsdaten, vergibt und entzieht Zugänge und ist die letzte Instanz bei Rechtstexten und Preisen. Diese Rolle wird nicht geteilt, sondern höchstens formell übertragen.

Verwaltung

Legt Seiten an, ordnet die Navigation, pflegt Struktur und Einstellungen, richtet Zugänge nach Anweisung ein und prüft Änderungen vor der Veröffentlichung. Darf organisieren, aber nicht über Vertrag, Domain oder Rechnungen verfügen.

Redaktion

Ändert Inhalte: Texte, Bilder, Referenzen, Öffnungszeiten, Beiträge. Der Alltag der Website lebt in dieser Rolle. Sie braucht keinen Zugriff auf Zahlungsdaten, Domaineinstellungen oder Rechtstexte, um gute Arbeit zu machen.

Ansicht

Sieht Entwürfe und Auswertungen, ändert nichts. Klingt überflüssig, ist es aber nicht: Steuerberatung, Ausbildende, saisonale Aushilfen oder eine externe Beratung brauchen oft Einblick und gerade keine Schreibrechte.

Der Zuschnitt folgt einem Prinzip, das das Bundesamt für Sicherheit in der Informationstechnik im Baustein ORP.4 seines IT-Grundschutz-Kompendiums beschreibt: Nutzende und Komponenten müssen eindeutig identifiziert und authentisiert werden, und es muss geregelt sein, welche Informationen und Dienste sie nutzen dürfen sowie wie Rechte vergeben, entzogen und kontrolliert werden (BSI, IT-Grundschutz-Kompendium). Übersetzt in den Betriebsalltag heißt das: Jede Person hat einen eigenen Zugang, jeder Zugang hat genau eine Rolle, und für jede Rolle ist aufgeschrieben, was sie darf.

RolleÄndert selbstständigBraucht FreigabeKein Zugriff
InhaberschaftAlles, inklusive Rechtstexte, Preise, ZugängeNichts — ist selbst die FreigabeKeine Einschränkung
VerwaltungStruktur, Navigation, Seitenanlage, EinstellungenPreise, Rechtstexte, StellenanzeigenVertrag, Domainhoheit, Zahlungsdaten
RedaktionTexte, Bilder, Referenzen, Öffnungszeiten, BeiträgePreise, Leistungsbeschreibungen, RechtstexteZugangsverwaltung, Vertrag, Rechnungen
AnsichtNichtsEntfälltAlle schreibenden Funktionen

Zwei Punkte an dieser Tabelle sind wichtiger, als sie aussehen. Erstens: Die Inhaberschaft gehört an eine Person, nicht an ein Sammelpostfach. Ein Postfach kann keine Willenserklärung abgeben, keine Zwei-Faktor-Anmeldung bestätigen und im Streitfall nicht belegen, wer eine Domain übertragen wollte. Zweitens: Die Redaktion braucht mehr Rechte, als ihr üblicherweise zugestanden werden. Wer Öffnungszeiten nur per E-Mail melden darf, statt sie selbst zu ändern, produziert genau die Verzögerung, die im Beitrag zu dauerhaft aktuellen Öffnungszeiten beschrieben ist.

Welche Änderungen ein zweites Augenpaar verdienen

Ein Vier-Augen-Prinzip auf alles anzuwenden, ist der sicherste Weg, es abzuschaffen: Wenn schon ein Kommafehler eine Freigabe braucht, umgehen die Beteiligten den Ablauf innerhalb weniger Wochen. Sinnvoll ist eine harte Trennung zwischen Routineänderungen, die sofort live gehen, und verbindlichen Aussagen, bei denen ein Fehler Geld, Vertrauen oder eine Abmahnung kostet. Die zweite Gruppe ist kleiner, als man denkt — meist genügen vier Kategorien.

  • Preise, Pauschalen und Konditionen: Jede Zahl, die eine Kundin oder ein Kunde als Angebot lesen kann. Welche Angaben zwingend dazugehören und wo das Wettbewerbsrecht mitspricht, ist im Beitrag zu Preisangaben und Werbeaussagen beschrieben.
  • Leistungsbeschreibungen und Zusagen: Reaktionszeiten, Liefergebiete, Gewährleistungszusagen im rechtlichen Sinn, Zertifizierungen. Wer den Umfang ändert, ändert das Angebot — und damit die Grundlage jeder späteren Diskussion.
  • Rechtstexte: Impressum, Datenschutzerklärung, Widerrufsbelehrung, AGB. Diese Seiten werden selten geändert und dann meist unter Zeitdruck. Der Beitrag zu Impressum und Datenschutz beschreibt die Pflichtangaben im Einzelnen.
  • Stellenanzeigen: Sie enthalten Vergütungsangaben, Arbeitszeiten und Formulierungen, die diskriminierungsfrei sein müssen. Wie eine belastbare Karriereseite aufgebaut ist, steht im Beitrag zur Karriereseite für Fachkräfte.
  • Alles Übrige geht ohne Freigabe live: Rechtschreibung, Bildtausch, ein neuer Absatz auf einer Leistungsseite, ein Projektfoto, ein Blogbeitrag. Hier kostet Warten mehr, als ein Fehler kostet.
  • Ausnahme mit Ansage: Bei Betriebsferien, Notfällen und Störungsmeldungen darf die Redaktion auch freigabepflichtige Inhalte ändern — mit anschließender Information an die Inhaberschaft am selben Tag.

Die Zwei-Klassen-Regel

Klasse eins sind Angaben, die etwas beschreiben: Öffnungszeiten, Ansprechpartner, Fotos, Texte über die Arbeit. Sie gehen ohne Rückfrage live. Klasse zwei sind Angaben, die etwas versprechen: Preise, Fristen, Leistungsumfang, Rechtstexte, Stellenanzeigen. Sie brauchen eine zweite Person. Wer diese Grenze einmal sauber zieht, muss nicht mehr im Einzelfall diskutieren.

Das Vier-Augen-Prinzip lebt davon, dass die Freigabe eine Spur hinterlässt. Es genügt nicht, dass jemand kurz über die Schulter schaut. Sinnvoll ist eine Notiz mit Datum, Namen und dem, was geprüft wurde — im einfachsten Fall in derselben Übersicht, in der auch der Pflegetakt steht. In unseren Projekten dauert eine solche Freigabe für einen Preisblock selten länger als fünf Minuten (Projekterfahrung), sofern die zweite Person weiß, worauf sie schauen soll: Zahl, Bezugsgröße, Gültigkeitszeitraum, Zusatzkosten.

Persönliche Zugänge statt Sammelkonto

Das geteilte Konto ist bequem, und es ist die Wurzel fast aller späteren Probleme. Es macht jede Änderung anonym, es macht das Entziehen eines einzelnen Zugangs unmöglich, es macht eine Zwei-Faktor-Anmeldung unpraktikabel, und es macht das Passwort zu einem Gegenstand, der herumgereicht wird — per Messenger, per Zettel, per Zuruf. Persönliche Zugänge kosten einmal zehn Minuten Einrichtung und entschärfen alle vier Probleme gleichzeitig.

SituationMit SammelkontoMit persönlichen Zugängen
Aushilfe ändert einen PreisNicht nachvollziehbar, wer es warName und Zeitpunkt stehen in der Änderungsspur
Person verlässt den BetriebPasswort für alle ändern, alle neu informierenEin Zugang wird deaktiviert, sonst ändert sich nichts
Zwei-Faktor-AnmeldungDer zweite Faktor liegt bei einer Person, alle anderen rufen anJede Person hat ihren eigenen zweiten Faktor
Urlaub der BürokraftPasswort wird weitergegeben und danach oft nicht geändertVertretung hat einen eigenen Zugang mit passender Rolle
Auskunft über ZugriffeKreis der Zugriffsberechtigten unklarBerechtigungen sind dokumentiert und belegbar

Für die Passwörter selbst gibt es eine klare, offizielle Empfehlung, die den alten Reflex möglichst kryptischer Kürzel ablöst. Das Bundesamt für Sicherheit in der Informationstechnik nennt zwei gleichwertige Wege: entweder kurz und komplex mit 8 bis 12 Zeichen (Bundesamt für Sicherheit in der Informationstechnik) aus vier Zeichenarten, oder lang und weniger komplex mit 20 bis 25 Zeichen (Bundesamt für Sicherheit in der Informationstechnik) aus zwei Zeichenarten. Für die WLAN-Verschlüsselung nach WPA2 oder WPA3 nennt dieselbe Empfehlung mindestens 20 Zeichen (Bundesamt für Sicherheit in der Informationstechnik). Ergänzend rät das BSI dazu, für jeden Zugang ein eigenes Passwort zu verwenden, einen Passwortmanager zur Verwaltung einzusetzen und dort, wo er angeboten wird, einen zweiten Faktor zu nutzen — dieser biete ein höheres Maß an Sicherheit als Benutzername und Passwort allein (Bundesamt für Sicherheit in der Informationstechnik).

Die drei Regeln, die im Betrieb hängen sollten

Erstens: Länge schlägt Komplexität. Eine Folge aus vier ungewöhnlichen Wörtern ist leichter zu merken und schwerer zu erraten als ein achtstelliges Kürzel mit Sonderzeichen. Zweitens: Ein Passwort gehört zu einer Person, nicht zu einem Gerät und nicht zu einer Abteilung — es wird weder per Messenger noch per E-Mail weitergegeben. Drittens: Der Zugang mit der Inhaberschaft bekommt einen zweiten Faktor, auch wenn sonst noch keiner eingerichtet ist. Das ist der Zugang, an dem Domain, Vertrag und alle weiteren Konten hängen.

Ein praktischer Zusatz: Legen Sie fest, wie ein Zugang überhaupt beantragt wird. In kleinen Betrieben genügt eine Zeile im Einarbeitungsplan — Website-Zugang, Rolle Redaktion, eingerichtet am, eingerichtet durch. Ohne diesen Schritt entstehen Zugänge nebenbei, und niemand kann später sagen, wie viele es sind. Dass hier Nachholbedarf besteht, zeigt sich auch daran, dass 76 Prozent (Bitkom, Digitalisierung des Handwerks 2025) der Betriebe bei ihren Mitarbeitenden einen steigenden Bedarf an Digitalkompetenz sehen, aber nur 43 Prozent (Bitkom, Digitalisierung des Handwerks 2025) gezielt in entsprechende Weiterbildung investieren.

Offboarding: die Routine beim Personalwechsel

Der unangenehmste Teil der Zugriffsverwaltung ist der Abgang. Er wird verschoben, weil er im Trubel des letzten Arbeitstags untergeht und weil niemand einer Person, die gerade geht, Misstrauen entgegenbringen möchte. Die Zahlen sprechen trotzdem eine deutliche Sprache: In der Bitkom-Studie zum Wirtschaftsschutz gaben 87 Prozent (Bitkom, Wirtschaftsschutz 2025) der befragten Unternehmen an, in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen gewesen zu sein; der geschätzte Gesamtschaden lag bei 289,2 Milliarden Euro (Bitkom, Wirtschaftsschutz 2025). 48 Prozent (Bitkom, Wirtschaftsschutz 2025) der Unternehmen führten Fälle auf eigene Mitarbeitende zurück — bei 25 Prozent (Bitkom, Wirtschaftsschutz 2025) handelte es sich um unabsichtlich handelnde aktuelle oder ehemalige Beschäftigte, bei 23 Prozent (Bitkom, Wirtschaftsschutz 2025) um absichtlich handelnde. Befragt wurden 1.002 (Bitkom, Wirtschaftsschutz 2025) Unternehmen ab zehn Beschäftigten von Mitte April bis Mitte Juni 2025.

Der größere Anteil ist also der unabsichtliche. Das ist eine gute Nachricht, denn dagegen hilft keine Misstrauenskultur, sondern eine Liste. Fünf Schritte genügen, und sie gehören an denselben Ort wie die Rückgabe von Schlüssel und Diensthandy.

  1. Zugang deaktivieren, nicht sofort löschen. Am letzten Arbeitstag wird der Zugang gesperrt. Gelöscht wird er, sobald geklärt ist, ob Entwürfe oder Inhalte daran hängen — dann aber auch tatsächlich.
  2. Rollen prüfen, die mitwandern. Wer die Verwaltung innehatte, hinterlässt eine Lücke. Die Rolle wird am selben Tag neu vergeben, nicht demnächst.
  3. Geteilte Geheimnisse wechseln. Falls es doch noch ein gemeinsames Passwort gab — für ein Postfach, einen Verzeichniseintrag, ein Bewertungsportal —, wird es geändert, bevor die Person das Haus verlässt.
  4. Zweiten Faktor umhängen. Telefonnummern und Authentisierungs-Apps, die auf ein privates Gerät zeigen, werden auf die Nachfolge oder auf ein Betriebsgerät übertragen.
  5. Dokumentieren. Ein Datum, ein Name, eine Unterschrift. Diese Zeile ist im Zweifel der Nachweis, dass der Betrieb seine Berechtigungen im Griff hatte.

Der Zeitpunkt ist entscheidend. Ein Zugang, der drei Monate nach dem Austritt noch aktiv ist, ist kein Restrisiko mehr, sondern eine offene Tür für jeden, der das Passwort kennt oder erraten hat — und das können nach einem Wechsel mehrere Menschen sein. Bewährt hat sich, das Offboarding an einen Termin zu koppeln, den ohnehin niemand vergisst: die Rückgabe des Schlüssels.

Vertretung für Urlaub und Krankheit

Vertretung ist der Punkt, an dem die meisten Rollenmodelle in der Praxis scheitern. Sie sind für den Normalbetrieb entworfen, und der Normalbetrieb ist genau der Zustand, in dem niemand eine Vertretung braucht. Gebraucht wird sie in der Woche vor Weihnachten, wenn die eine Person mit dem Zugang mit Grippe im Bett liegt und die Betriebsferien noch nicht auf der Seite stehen.

Eine Vertretungsregel, die erst im Vertretungsfall eingerichtet wird, ist keine Vertretungsregel, sondern ein Notfall mit Passwortweitergabe.

Praxisregel aus Website-Projekten mit kleinen Teams

Sinnvoll ist deshalb eine stehende Vertretung: eine zweite Person, die dauerhaft einen eigenen Zugang mit derselben Rolle hat und ihn im Normalbetrieb selten benutzt. Damit dieser Zugang nicht einrostet, gehört alle paar Monate eine echte Änderung dazu — die Vertretung pflegt zum Beispiel einmal im Quartal die Referenzen oder trägt die Feiertage des kommenden Quartals ein. Ein Zugang, der schon einmal benutzt wurde, ist im Ernstfall verfügbar; ein Zugang, den noch niemand geöffnet hat, scheitert oft an der vergessenen Zwei-Faktor-Einrichtung.

Für die Inhaberschaft gilt eine andere Logik. Sie wird nicht vertreten, sondern vorbereitet: Zugangsdaten und zweiter Faktor werden so hinterlegt, dass eine zweite Person aus der Geschäftsführung im Ernstfall herankommt — etwa in einem versiegelten Umschlag im Betriebstresor, dessen Öffnung dokumentiert wird. Das ist unspektakulär und in vielen Betrieben der einzige Punkt, an dem die Frage nach einem zweiwöchigen Ausfall der Geschäftsführung überhaupt beantwortet ist.

Der Redaktionsplan auf einer Seite

Rollen und Rechte klären, wer darf. Der Redaktionsplan klärt, wer soll — und bis wann. Erst beides zusammen ergibt eine funktionierende Zusammenarbeit, denn die häufigste Ursache für veraltete Inhalte ist nicht das fehlende Recht, sondern die fehlende Zuständigkeit. Der Plan gehört auf eine Seite, weil alles, was länger ist, nicht mehr gelesen wird. Fünf Spalten reichen: Was, wer, wie oft, Vertretung, Frist.

AufgabeZuständig (Rolle)TaktVertretungFrist
Öffnungszeiten, Feiertage, BetriebsferienRedaktionmonatlichzweite Redaktionbis zum 5. des Monats
Anfragen aus dem Formular beantwortenRedaktionwerktäglichVerwaltunginnerhalb von 24 Stunden
Referenzen und ProjektfotosRedaktionquartalsweiseVerwaltungim ersten Monat des Quartals
Preise und LeistungsumfangVerwaltung mit Freigabebei ÄnderungInhaberschaftvor der Veröffentlichung
Rechtstexte prüfenInhaberschaftjährlichentfälltim Januar
Zugänge und Rollen durchsehenInhaberschafthalbjährlichentfälltJanuar und Juli

Die letzte Zeile fehlt am häufigsten und bringt am meisten. Ein halbjährlicher Blick auf die Liste der Zugänge dauert wenige Minuten und beantwortet drei Fragen: Gibt es Konten von Personen, die nicht mehr da sind? Hat jemand eine Rolle, die er für seine heutige Aufgabe nicht mehr braucht? Fehlt irgendwo eine Vertretung? In unseren Projekten findet dieser Durchgang beim ersten Mal regelmäßig mindestens einen (Projekterfahrung) Zugang, der niemandem mehr zuzuordnen ist.

Fristen ohne Namen sind Wünsche

Anfragen werden zeitnah beantwortet — das ist keine Frist, sondern eine Absichtserklärung. Anfragen beantwortet die Redaktion werktags innerhalb von 24 Stunden, in Urlaubszeiten die Verwaltung — das ist eine. Der Unterschied zeigt sich erst im Krankheitsfall: Mit der zweiten Formulierung weiß jemand, dass jetzt er gemeint ist.

Datenschutz: Zugriff nur für die, die ihn brauchen

Sobald über die Website personenbezogene Daten verarbeitet werden — und das beginnt beim Kontaktformular —, ist die Rechtevergabe nicht nur Organisation, sondern Pflicht. Artikel 32 der Datenschutz-Grundverordnung verlangt geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos; ausdrücklich genannt wird die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen (Datenschutz-Grundverordnung, Artikel 32 Absatz 1 Buchstabe b). Absatz 4 desselben Artikels verpflichtet Verantwortliche zusätzlich dazu, Schritte zu unternehmen, damit ihnen unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten (Datenschutz-Grundverordnung, Artikel 32 Absatz 4).

  • Zugriff nach Bedarf: Wer Öffnungszeiten pflegt, braucht keinen Zugriff auf Formularnachrichten mit Namen, Telefonnummern und Anliegen. Die Rolle Redaktion lässt sich getrennt vom Postfach denken.
  • Dokumentierte Berechtigungen: Eine Liste mit Person, Rolle, Datum der Einrichtung und Datum des Entzugs. Sie ist zugleich der praktische Beleg für die Rechenschaftspflicht aus Artikel 5 Absatz 2 (Datenschutz-Grundverordnung).
  • Alte Konten löschen: Ein deaktivierter Zugang ist ein Zwischenschritt, kein Endzustand. Nach dem Wegfall der Aufbewahrungsgründe wird das Konto entfernt, nicht nur stillgelegt.
  • Weisungsbindung schriftlich: Wer im Betrieb mit Daten aus der Website arbeitet, bekommt eine kurze schriftliche Anweisung, was damit geschehen darf. Das ist keine Formalie, sondern genau das, was Absatz 4 adressiert.
  • Externe getrennt behandeln: Eine Agentur, eine Fotografin, ein Praktikum — externe Zugänge bekommen die Rolle Ansicht, solange sie nicht schreiben müssen, und werden mit Enddatum angelegt.

Wenn ein externer Dienstleister die Website betreut oder hostet, kommt eine zweite Ebene dazu: die Auftragsverarbeitung. Welche Verträge dafür nötig sind und was in das Verzeichnis der Verarbeitungstätigkeiten gehört, beschreibt der Beitrag zur Auftragsverarbeitung mit Website-Dienstleistern. Für die interne Rollenfrage ändert das nichts — im Gegenteil: Je klarer intern geregelt ist, wer was darf, desto einfacher lässt sich gegenüber Dritten belegen, dass der Zugriff geordnet ist.

Was das für die Wahl des Werkzeugs bedeutet

Ein Rollenmodell ist nur so gut wie das System, das es abbilden kann. Wenn die Website technisch nur ein einziges Konto kennt, endet jede Regel bei der Absichtserklärung — dann ist das Sammelkonto keine Nachlässigkeit, sondern eine Vorgabe. Deshalb gehört die Frage nach Rollen und Sitzen zu den Punkten, die man vor der Entscheidung stellt und nicht danach. Welche Wege zur eigenen Website es überhaupt gibt und wie sie sich in Betrieb und Zusammenarbeit unterscheiden, ist im Vergleich von Baukasten, Agentur und KI gegenübergestellt. Wie viel Struktur eine Website im laufenden Betrieb braucht, zeigt ergänzend die Pflegeroutine für Betriebe.

Rollen statt Vollzugriff

XICflow trennt Inhaberschaft, Verwaltung, Redaktion und Ansicht. Mitarbeitende pflegen Inhalte, ohne Zugriff auf Vertrag, Domain oder Rechnungen zu bekommen.

Sitze je Tarif

Die Tarife enthalten gestaffelte Redakteur-Zugänge — von einem Zugang im Einstieg bis zu 25 in der größten Stufe. Wie viele Personen mitarbeiten können, steht damit vor der Buchung fest.

Einladen und entziehen

Zugänge werden per Einladung an eine persönliche E-Mail-Adresse vergeben und lassen sich einzeln wieder entziehen, ohne dass sich für die übrigen Personen etwas ändert.

Wer ohnehin überlegt, ob eine neue Website ansteht, sollte die Teamfrage in dieselbe Rechnung aufnehmen: Eine Seite, die nur eine Person ändern kann, verursacht dauerhaft Abstimmungsaufwand, der in keinem Angebot auftaucht. Wann sich der Schritt lohnt und welche Anzeichen dafür sprechen, beschreibt der Beitrag Wann sich eine neue Website lohnt. Wie die Arbeit im Editor konkret aussieht, lässt sich an den Demos nachvollziehen; welche Rollen und Sitze in welchem Tarif enthalten sind, steht in der Tarifübersicht. Und wenn Sie den Rollenzuschnitt für Ihren Betrieb einmal durchsprechen möchten, ist ein kurzes Gespräch über Kontakt meist schneller als jede Vorlage.

Am Ende ist die Ordnung der Zusammenarbeit unspektakulär: vier Rollen, eine Handvoll freigabepflichtiger Inhalte, persönliche Zugänge, eine stehende Vertretung, eine Offboarding-Zeile und ein Plan auf einer Seite. Der Aufwand fällt einmal an. Was danach entfällt, ist die Sorte Aufwand, die niemand einplant: das Suchen nach dem Passwort, das Rekonstruieren einer Änderung und der Anruf einer Kundin, die vor verschlossener Tür steht, weil die Öffnungszeiten seit drei Wochen falsch sind.

Quellen und Studien

Dieser Artikel basiert auf Daten aus: Bundesamt für Sicherheit in der Informationstechnik (BSI) — Empfehlungen zum Umgang mit Passwörtern und zum Erstellen sicherer Passwörter (8 bis 12 Zeichen mit vier Zeichenarten, 20 bis 25 Zeichen mit zwei Zeichenarten, mindestens 20 Zeichen für WPA2 und WPA3, eigenes Passwort je Zugang, Passwortmanager, zweiter Faktor) sowie IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement; Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) — Artikel 32 Absatz 1 Buchstabe b und Artikel 32 Absatz 4 zur Sicherheit der Verarbeitung und zur Weisungsbindung unterstellter Personen sowie Artikel 5 Absatz 2 zur Rechenschaftspflicht; Bitkom e. V. — Studienbericht Digitalisierung des Handwerks 2025 (n = 504 Handwerksunternehmen, telefonische Befragung KW 23 bis KW 29 2025, repräsentativ gewichtet, Fehlerspanne plus/minus 4 Prozent) und Studienbericht Wirtschaftsschutz 2025 (n = 1.002 Unternehmen ab zehn Beschäftigten, Befragung Mitte April bis Mitte Juni 2025); Statistisches Bundesamt (Destatis) — Erhebung zur Nutzung von Informations- und Kommunikationstechnologien in Unternehmen 2025 samt Qualitätsbericht (Nettostichprobe 20.000 Erhebungseinheiten, Feldarbeit März bis Mitte Juli 2025, Antwortquote 24,6 Prozent, Unternehmen ab zehn tätigen Personen); Bayerisches Landesamt für Statistik — Landesergebnisse derselben Erhebung für das Jahr 2025.