Dieser Beitrag wurde mit KI-Unterstützung erstellt, fachlich geprüft und redaktionell freigegeben. Artikelbild-Kennzeichnung: AI GENERATED.
Wenn eine Mitarbeiterin das Unternehmen verlässt oder eine Agentur abgelöst wird, wirkt die Übergabe von Social-Media-Kanälen oft wie eine kleine Nebenaufgabe. In der Praxis hängen daran jedoch weit mehr als Instagram-Posts und ein Redaktionsplan: Unternehmensseiten, Werbekonten, Nachrichten, Zielgruppen, Zahlungsdaten, Analysezugänge, Wiederherstellungsmethoden und verbundene Planungstools. Bleibt nur ein ehemaliges Teammitglied als alleinige Administratorin eingetragen, kann schon ein gesperrtes persönliches Profil den Zugriff auf wichtige Kanäle blockieren.
Eine saubere Übergabe beginnt deshalb nicht mit einem neuen Passwort, sondern mit einer vollständigen Übersicht und klaren Rollen. Dieser Leitfaden zeigt, wie kleine und mittlere Unternehmen in Deutschland Social-Media-Zugänge bei einem Mitarbeiter- oder Agenturwechsel nachvollziehbar ordnen. Es geht um einen praktikablen Betriebsprozess, nicht um die Garantie vollständiger IT-Sicherheit oder eine individuelle rechtliche Beratung.
Warum ein Passwortwechsel allein nicht genügt
Moderne Unternehmenspräsenzen werden selten über ein einziges gemeinsames Konto gesteuert. Bei LinkedIn sind Seitenrollen an persönliche Profile gebunden. Auch andere Plattformen unterscheiden zwischen Personen, Unternehmensressourcen, Werbekonten und technischen Verbindungen. Ein Passwortwechsel am sichtbaren Hauptkonto entfernt daher nicht automatisch alle Adminrollen, aktiven Sitzungen, App-Berechtigungen oder API-Schlüssel.
Gleichzeitig ist ein geteiltes Passwort keine belastbare Übergabemethode. Es macht schwer nachvollziehbar, wer eine Änderung vorgenommen, einen Beitrag gelöscht oder eine Kampagne aktiviert hat. Verlässt eine Person das Team, müssen alle Mitwissenden ein neues Geheimnis erhalten. Besser sind persönliche Konten mit der jeweils kleinsten nötigen Rolle, mindestens zwei handlungsfähige Verantwortliche und eine dokumentierte Vertretung.
Für ein dauerhaft betreibbares Social Media Marketing gehört die Zugangsorganisation deshalb zum Redaktionsprozess. Wer Verantwortlichkeiten, Freigaben und Notfallwege früh festlegt, reduziert Unterbrechungen und kann Inhalte auch während eines Personalwechsels kontrolliert weiterführen.
Schritt 1: Alle Konten und Abhängigkeiten inventarisieren
Beginnen Sie mit einer Liste der tatsächlich genutzten Kanäle. Neben Facebook, Instagram, LinkedIn, TikTok, YouTube oder Pinterest können dazu lokale Seiten, Arbeitgeberprofile und ältere Testkonten gehören. Suchen Sie zusätzlich nach Ressourcen, die nicht im öffentlichen Profil sichtbar sind:
- Unternehmensseiten, Business-Portfolios und Werbekonten,
- Pixel, Kataloge, Zielgruppen, Formulare und Produktfeeds,
- Planungs-, Analyse-, Social-Listening- und Community-Tools,
- verbundene Cloudspeicher, Designvorlagen und Medienarchive,
- Abrechnungsprofile, Kreditkarten und Rechnungsempfänger,
- Login-E-Mail-Adressen, Telefonnummern und Wiederherstellungswege,
- API-Verbindungen, Automationen und Webhooks.
Für jede Position sollten Plattform, öffentliche URL, wirtschaftlicher Eigentümer, Hauptverantwortliche, Stellvertretung, Rollen, hinterlegte Kontaktwege und angeschlossene Dienste festgehalten werden. Passwörter gehören nicht in diese Tabelle. Dafür ist ein freigegebener Passwortmanager mit getrennten Berechtigungen geeigneter. Die Übersicht enthält nur, wo ein Zugang verwaltet wird und wer ihn prüfen darf.
Die Inventur deckt typische Altlasten auf: Ein Anzeigenkonto läuft noch über die Firmenkarte, aber niemand kennt den Business-Administrator. Ein Planungstool veröffentlicht mit dem Token einer ehemaligen Agentur. Oder Wiederherstellungscodes liegen ausschließlich auf einem privaten Smartphone. Solche Funde sollten vor dem eigentlichen Austritt geklärt werden, solange eine geordnete Übergabe noch möglich ist.
Schritt 2: Rollen statt Sammelzugänge vergeben
Vergeben Sie Rechte nach Aufgabe. Wer Beiträge plant, benötigt nicht automatisch Zugriff auf Abrechnung, Adminverwaltung oder Kampagnenbudgets. Eine Analystin braucht meist Leserechte, eine Community-Managerin Rechte für Kommentare und Nachrichten, die Geschäftsführung oder interne Kanalverantwortung dagegen eine übergeordnete Rolle für Notfälle.
LinkedIn dokumentiert beispielsweise Super-Admin-, Content-Admin- und Analystenrollen. Der Dienst weist zudem darauf hin, dass Seitenzugänge über persönliche Profile erfolgen und keine separaten Seitenpasswörter geteilt werden sollen. Die genaue Bezeichnung unterscheidet sich je Plattform und kann sich ändern. Das Prinzip bleibt gleich: personenbezogene Zugänge, minimale Rechte und regelmäßige Kontrolle.
Mindestens zwei aktive Personen sollten eine kritische Unternehmensseite verwalten können. Das ist keine Einladung zu unnötig vielen Vollzugriffen. Es verhindert vielmehr, dass Krankheit, Kündigung oder ein gesperrtes Profil den Kanal vollständig blockiert. Notieren Sie, wer die primäre Rolle hält und wer als überprüfte Vertretung einspringt.
Schritt 3: 2FA und Wiederherstellung gemeinsam planen
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Zwei-Faktor-Authentisierung ausdrücklich auch für Konten mit weitreichenden Rechten wie E-Mail und Social Media. Neben Authenticator-Apps kommen je nach Plattform Hardware-Sicherheitsschlüssel oder andere zweite Faktoren infrage. Das BSI rät außerdem, nach Möglichkeit mehrere Faktoren für den Verlustfall vorzusehen.
Für Unternehmen ist entscheidend, dass der zweite Faktor nicht dauerhaft am privaten Gerät einer einzigen Person hängt. Prüfen Sie pro Adminprofil:
- Ist 2FA aktiviert und funktioniert sie bei einem Testlogin?
- Existiert ein zulässiger Ersatzfaktor oder ein zweiter Sicherheitsschlüssel?
- Sind Wiederherstellungscodes aktuell und geschützt abgelegt?
- Gehören E-Mail-Adresse und Telefonnummer noch zur richtigen Person?
- Kann die Vertretung den dokumentierten Notfallweg tatsächlich nutzen?
Meta beschreibt für seine Konten unter anderem Authenticator-Apps, SMS, Sicherheitsschlüssel und Wiederherstellungscodes. Diese Optionen sollten nicht unkritisch miteinander gleichgesetzt werden. Wählen Sie das Verfahren passend zum Schutzbedarf und zur internen Geräteverwaltung. Wichtig ist, den Wiederherstellungsweg nicht nur aufzuschreiben, sondern mit einer berechtigten zweiten Person zu testen, ohne Geheimnisse offen herumliegen zu lassen.
Schritt 4: Verbundene Tools und aktive Sitzungen bereinigen
Nach dem Rollenwechsel folgt die technische Umgebung. Entfernen Sie nicht mehr benötigte Personen aus Redaktions-, Grafik-, Analyse- und Werbetools. Widerrufen Sie alte App-Verbindungen, Tokens und API-Schlüssel, wenn deren Zweck oder Eigentümer unklar ist. Prüfen Sie aktive Sitzungen und bekannte Geräte. Bei einem Agenturwechsel sollten auch Automationen, geplante Beiträge und Freigabeworkflows einer neuen verantwortlichen Organisation zugeordnet werden.
Vergessen Sie die E-Mail-Konten nicht. Viele Plattformen senden Sicherheitswarnungen und Wiederherstellungslinks an die dort hinterlegte Adresse. Wird ein persönliches Postfach abgeschaltet, bevor die Plattformdaten aktualisiert wurden, kann die Wiederherstellung unnötig kompliziert werden. Koordinieren Sie Social-Media-Offboarding daher mit IT, Personalverantwortung und gegebenenfalls der externen Agentur.
Für den laufenden Betrieb hilft ein klarer Prozess für Kommentare und Direktnachrichten. Der Beitrag Social Media Community Management für KMU zeigt, wie Zuständigkeiten, Eskalationen und Reaktionszeiten organisiert werden können. Bei einer Übergabe sollten diese Regeln zusammen mit den technischen Rollen übergeben werden.
Ein Ablauf in drei Zeitfenstern
Vor dem letzten Arbeitstag
Planen Sie die Inventur möglichst einige Tage vor dem Wechsel. Lassen Sie die bisher verantwortliche Person alle Kanäle und verbundenen Tools bestätigen. Richten Sie die Nachfolge mit eigenem Konto und passender Rolle ein. Testen Sie den Zugriff sowie einen ungefährlichen Arbeitsablauf, etwa das Öffnen eines Entwurfs oder den Export einer bestehenden Auswertung. Offene Kampagnen, geplante Posts und unbeantwortete Nachrichten werden mit Verantwortlichen und Terminen dokumentiert.
Am Übergabetag
Übergeben Sie Redaktionsplan, Vorlagen, Bildrechte, laufende Kooperationen, Moderationsregeln und Ansprechpartner. Prüfen Sie gemeinsam die Hauptkanäle. Danach werden nicht mehr benötigte Rollen entzogen, alte Sitzungen beendet und nicht mehr erforderliche Geräte entfernt. Bei geteilten technischen Konten, die sich nicht kurzfristig ablösen lassen, werden Passwort und Wiederherstellung kontrolliert geändert und der Umbau auf personenbezogene Zugänge als offene Aufgabe festgehalten.
Nach dem Wechsel
Führen Sie nach wenigen Tagen einen zweiten Readback durch. Sind alle veröffentlichten Inhalte korrekt? Laufen geplante Beiträge unter der richtigen Verantwortung? Werden Sicherheitswarnungen an die aktuelle Adresse zugestellt? Sind Anzeigenbudgets, Formulare und Leads erreichbar? Dieser zweite Blick findet Probleme, die beim ersten Login unsichtbar bleiben, etwa eine abgelaufene Automation oder ein fehlendes Recht zum Bearbeiten von Kampagnen.
Praxisbeispiel: Wechsel der Social-Media-Agentur
Ein Händler betreibt Instagram, Facebook und LinkedIn. Die bisherige Agentur plant Beiträge, beantwortet Nachrichten und verwaltet Anzeigen. Beim Wechsel darf die Übergabe nicht darin bestehen, einen Ordner mit Bildern und ein Passwort zu senden. Das Unternehmen benennt zunächst eine interne Eigentümerin für alle Kanäle. Sie erhält die oberste notwendige Rolle und prüft Rechnungsdaten, Unternehmensressourcen und hinterlegte Kontaktwege.
Die neue Agentur bekommt anschließend nur die Rollen, die sie für Content, Community und Kampagnen wirklich benötigt. Die alte Agentur dokumentiert geplante Posts, offene Anfragen, verwendete Zielgruppen und aktive Automationen. Nach dem bestätigten Zugriff der Nachfolge werden ihre Rollen und Tokens entfernt. Das Unternehmen exportiert wichtige Berichte, kontrolliert die nächsten Veröffentlichungen und prüft nach einer Woche die Administratoren erneut.
Dieser Ablauf erhält die Kontrolle beim Unternehmen, ohne die tägliche Arbeit unnötig zu blockieren. Er schafft außerdem eine klare Grenze zwischen Eigentum an den Kanälen und der operativen Dienstleistung einer Agentur.
Datenschutz und Nachvollziehbarkeit mitdenken
Social-Media-Postfächer, Lead-Formulare und Zielgruppen können personenbezogene Daten enthalten. Zugriffsrechte sollten deshalb nicht länger bestehen als für die Aufgabe erforderlich. Protokollieren Sie sachlich, wann eine Rolle vergeben, geändert oder entfernt wurde. Speichern Sie dabei keine unnötigen privaten Informationen über Beschäftigte.
Die konkrete datenschutzrechtliche Einordnung hängt vom Dienst, den verarbeiteten Daten und dem Einsatz ab. Technische und organisatorische Maßnahmen müssen zum jeweiligen Risiko passen. Bei sensiblen Kampagnen, umfangreichen Leads oder unklaren Verantwortlichkeiten sollte die interne Datenschutzverantwortung oder fachkundige Beratung einbezogen werden.
Wenn der Wechsel ungeplant oder konflikthaft erfolgt
Nicht jeder Austritt lässt sich über mehrere Tage vorbereiten. Bei einem ungeplanten Wechsel sollte eine zuvor definierte Notfallverantwortliche den Vorgang koordinieren. Zuerst wird geprüft, ob eine interne Person weiterhin die höchste erforderliche Rolle besitzt. Danach werden Zugänge der ausscheidenden Person gesperrt oder entfernt, aktive Sitzungen beendet und gemeinsam genutzte Geheimnisse geändert. Parallel kontrolliert das Team, ob Beiträge, Anzeigen oder Nachrichten ungewöhnlich verändert wurden.
Fehlt der administrative Zugriff vollständig, sollten Unternehmen die offiziellen Wiederherstellungs- und Supportwege der jeweiligen Plattform nutzen. Dafür sind Handelsregisterdaten, Domainnachweise, Rechnungen oder bisherige Administrationsbelege je nach Anbieter hilfreich. Übermitteln Sie solche Nachweise nur über den echten Hilfebereich der Plattform und nicht an Kontakte, die sich unaufgefordert als Support ausgeben.
Bei Anzeichen einer Kontoübernahme ist Geschwindigkeit wichtig, aber unkoordinierte Mehrfachversuche können die Lage verschlechtern. Eine Person dokumentiert Zeitpunkte, Warnmeldungen und ergriffene Schritte; eine zweite prüft Änderungen. Zusätzlich werden das verbundene E-Mail-Konto, verwendete Endgeräte und weitere Konten mit demselben oder ähnlichem Passwort kontrolliert. Öffentlich kommuniziert wird erst, wenn klar ist, welche Inhalte oder Nachrichten betroffen sind. So bleibt der Notfallprozess sachlich und nachvollziehbar.
Kompakte Checkliste für KMU
- Alle Plattformen, Seiten, Werbekonten und Tools erfassen.
- Interne Eigentümerin und überprüfte Stellvertretung benennen.
- Persönliche Rollen statt geteilter Logins verwenden.
- Rechte auf die jeweilige Aufgabe begrenzen.
- 2FA, Ersatzfaktor und Wiederherstellung testen.
- E-Mail-Adressen, Telefonnummern und Zahlungsdaten aktualisieren.
- App-Verbindungen, Tokens, Geräte und Sitzungen prüfen.
- Redaktionsplan, Moderationsregeln und offene Kampagnen übergeben.
- Nicht mehr benötigte Zugänge kontrolliert entfernen.
- Nach einigen Tagen einen dokumentierten Readback durchführen.
Fazit: Social-Media-Übergaben werden zum Betriebsprozess
Social-Media-Zugänge beim Mitarbeiterwechsel lassen sich sicherer und ruhiger übergeben, wenn das Unternehmen Eigentum, Rollen, zweite Faktoren und verbundene Systeme gemeinsam betrachtet. Der wichtigste Schritt ist eine aktuelle Inventur. Darauf folgen personenbezogene Rechte, ein getesteter Wiederherstellungsweg, die Bereinigung externer Tools und ein zweiter Kontrolltermin nach dem Wechsel.
Wer diese Punkte nicht erst beim Austritt klärt, macht seine Kanäle unabhängiger von Einzelpersonen. AdSimple unterstützt KMU dabei, Prozesse, Zuständigkeiten und Inhalte im Social Media Marketing nachvollziehbar zu planen und in den laufenden Marketingbetrieb zu integrieren.
