Wenn du die Betreuung deiner Website übergibst, merkst du schnell, dass ein CMS-Zugang nicht für alles reicht. Domainverlängerung, Hostingrechnung, Code und Mailversand haben eigene Zuständigkeiten. Eine Übersicht dieser Dienste zeigt dir, wer jeweils die Verwaltung übernimmt und welche Arbeitszugänge die beteiligten Personen tatsächlich brauchen.

Die Zugangsliste dokumentiert die betriebliche Verwaltung. Wer Domain, Code oder Bilder rechtlich nutzen darf, ergibt sich zusätzlich aus den jeweiligen Vereinbarungen.

Verwaltung und Mitarbeit unterscheiden

Das Unternehmen braucht nachvollziehbare Zuständigkeiten für Verträge, Rechnungen und Wiederherstellung. Personen, die an der Website arbeiten, benötigen die Rechte für ihre Aufgabe. Diese Rollen müssen nicht identisch sein.

Welche Rechte passen, ergibt sich aus der Aufgabe: Die Redaktion bearbeitet Inhalte, die technische Betreuung braucht möglicherweise Zugriff auf Veröffentlichung und Fehlermeldungen. Domainverwaltung und Zahlungsdaten können bei einer anderen verantwortlichen Person bleiben. Wenn du zuerst diese Arbeit beschreibst, lässt sich die passende Rolle gezielt auswählen.

OWASP empfiehlt, Berechtigungen auf die benötigten Aufgaben zu begrenzen. Ein erfolgreicher Login bedeutet nicht, dass jede Verwaltungsaktion erlaubt sein sollte. Prüfe deshalb die konkret eingerichteten Rechte, statt alle Beteiligten vorsorglich zum Administrator zu machen.

Eine Zugangsliste ohne Passwörter

Halte pro Dienst fest:

  • wofür er gebraucht wird und wer den Vertrag verwaltet;
  • welche Person mit welchem eigenen Konto arbeitet;
  • wer Zugänge hinzufügen oder entziehen darf;
  • wie die zuständige Person einen verlorenen Zugang wiederherstellt;
  • wann die Zuordnung zuletzt überprüft wurde.

Die Liste beschreibt Zuständigkeiten. Passwörter, Wiederherstellungscodes und Schlüssel gehören in den dafür vorgesehenen geschützten Speicher. Ein allgemeines Projektdokument oder Kontaktformular ist dafür ungeeignet.

Ein privates Einzelkonto wird zum Problem, wenn es die einzige Verbindung des Unternehmens zu einem Dienst bleibt und die Person später nicht erreichbar ist. Bietet der Dienst eine geeignete Unternehmensverwaltung, kannst du diese Abhängigkeit darüber verringern. Entscheidend ist auch bei vorhandenen Konten, ob eine zuständige Person die Wiederherstellung tatsächlich nutzen kann: Eine eingetragene E-Mail-Adresse hilft nicht, wenn niemand das Postfach betreut.

Die wichtigsten Fragen je System

Bei der Domain sind Verwaltung, Verlängerung und DNS-Änderungen relevant. Beim Hosting geht es um Betrieb, Rechnung und die vereinbarten technischen Arbeiten. Das CMS trennt redaktionelle Aufgaben von Systemeinstellungen. Ein Quellcode-Repository benötigt nachvollziehbare Zuständigkeiten für Code, Veröffentlichung und Sicherung.

Auch externe Dienste gehören dazu, weil ein Kontaktformular im Browser richtig aussehen und trotzdem an einem abgelaufenen Versandzugang scheitern kann. Wenn feststeht, wer diese Verbindung betreut und wie ein Ausfall bemerkt wird, bleibt die Zuständigkeit nicht zwischen Website und Maildienst offen. Ein Test mit gekennzeichneten Testdaten im vereinbarten Rahmen prüft, ob der Weg tatsächlich funktioniert.

Beim Ausscheiden einer Person oder einem Dienstleisterwechsel zeigt der Abgleich von Aufgaben und Zugängen, welche Rechte entfallen und welche die Nachfolge braucht. Bevor die Administration nicht mehr benötigte persönliche Berechtigungen entfernt und die Änderungen dokumentiert, muss die zuständige Nachfolge arbeitsfähig sein. Sonst könnte die Übergabe den Betrieb unterbrechen.

Gib bei der Übergabe an eine technische Betriebsbetreuung diese Liste mit den noch ungeklärten Zuständigkeiten weiter. Für rein redaktionelle Website-Pflege genügt ein anderer Arbeitsumfang; dafür werden nicht automatisch Domain- oder Zahlungsrechte benötigt.