Website-Zugänge übergeben: Konten und Zugriff prüfen

Bei der Website-Übergabe haben Sie ein Passwort erhalten. Doch führt es zur richtigen Website, können Sie damit die vereinbarten Aufgaben erledigen und bleibt der Zugang auch bei einem Personalwechsel nutzbar? Diese Fragen sollten vor dem Projektabschluss beantwortet sein.

Eine brauchbare Übergabe verbindet drei Dinge: eine Übersicht der tatsächlich verwendeten Konten, passende Berechtigungen und einen überprüften Weg zurück ins Konto. Dafür müssen Sie nicht selbst den Server verwalten. Sie sollten aber wissen, wer handlungsfähig ist, wenn Ihr bisheriger Ansprechpartner ausfällt oder die Betreuung wechselt.

Welche Zugänge gehören zu Ihrer Website?

Beginnen Sie mit den vorhandenen Diensten. Ein WordPress-Zugang öffnet nicht automatisch das Kundenkonto beim Hostinganbieter. Umgekehrt bedeutet ein sichtbarer Rechnungseintrag nicht, dass Sie dort auch Inhalte bearbeiten können. Notieren Sie deshalb jeweils den Anbieter, die konkrete Konto- oder Kundennummer, die zuständige Person und die vorgesehene Vertretung.

Diese Liste ist eine Arbeitsvorlage, keine Aufforderung, jeder Person alle Rechte zu geben. Einige Aufgaben können vollständig beim beauftragten Betreuer bleiben. Halten Sie dann den vereinbarten Leistungsumfang und den Übergabeweg an einen späteren Betreuer fest.

Bei einer .de-Domain ist Ihr Provider normalerweise der erste Ansprechpartner für die Verwaltung. Wenn er unbekannt ist, erläutert DENIC den Weg über die Kontaktangaben der Domainabfrage. Prüfen Sie Inhaberangaben gesondert: Der Name des angemeldeten Benutzers im Kundenportal beantwortet diese Frage nicht zuverlässig.

Beispiel: Die Domain liegt im zweiten Kundenkonto

Das folgende Szenario ist ein erfundenes Arbeitsbeispiel. Ein Betrieb kann sich bei seinem Hostinganbieter anmelden, sieht seine Domain aber erst nach einem Kontowechsel im Portal. Die Website funktioniert. Das Büro vermutet deshalb ein versehentlich angelegtes zweites Konto.

Die erste Aufgabe ist, die Zuordnung zu klären: Welches Konto enthält die Domain, welches das Hosting und welches die zugehörigen Rechnungen? Lassen Sie den Anbieter bestätigen, ob eine interne Kontozuordnung möglich ist und welche Leistungen dabei mit übernommen werden. Dass zwei Konten unter derselben Anmeldung erreichbar sind, beweist noch nicht, dass eines davon leer oder überflüssig ist.

Ein konkreter Auftrag könnte so lauten: „Bitte prüfen Sie die Zuordnung unserer Domain und der zugehörigen Leistungen zu unserem Hauptkonto. Website, E-Mail und Domainregistrierung sollen bestehen bleiben. Bitte bestätigen Sie vor einer Kontoschließung, welche Leistungen übertragen wurden und ob noch Verträge im bisherigen Konto liegen.“

Nach der bestätigten Zuordnung prüfen Sie die Domainansicht im Hauptkonto, Website und Mailzugang sowie die Abrechnung. Ein Konto wird erst geschlossen, wenn die betroffenen Leistungen und verbliebenen Verpflichtungen geklärt sind. Eine Domain löschen und neu registrieren zu lassen, ist kein geeigneter Ersatz für eine geordnete Zuordnung oder Übertragung. Falls tatsächlich der Hostinganbieter wechselt, gilt zusätzlich ein eigener Plan für den Website-Umzug.

Alltagspflege und technische Verwaltung trennen

Für die Pflege von Texten braucht eine Mitarbeiterin andere Befugnisse als der technische Betreuer. Vereinbaren Sie deshalb personenbezogene Zugänge, soweit das jeweilige System sie unterstützt. So kann ein Zugang später angepasst oder beendet werden, ohne dass alle Beteiligten dasselbe Passwort austauschen müssen.

In WordPress kann die Rolle „Redakteur“ standardmäßig unter anderem Beiträge und Seiten bearbeiten und veröffentlichen. Administratoren können bei einer einzelnen Website zusätzlich beispielsweise Plugins und Benutzer verwalten. Die offizielle Rollenübersicht beschreibt diese Unterschiede. Erweiterungen und individuelle Anpassungen können die Rechte verändern; der Rollenname allein ersetzt daher keine praktische Prüfung.

Lassen Sie mit dem vorgesehenen Benutzer eine typische Aufgabe ausführen, etwa ein Teamfoto in einem Entwurf austauschen. Wenn die benötigte Funktion fehlt, wird gezielt nachgebessert. Pauschal allen Administratorrechte zu geben, ist dafür keine notwendige Lösung. Soll die Pflege dauerhaft ausgelagert werden, klären Sie daneben Aufträge, Freigaben und Zuständigkeiten der Betreuung.

Anmeldung und Kontowiederherstellung praktisch prüfen

Ein bereits geöffnetes Browserfenster kann eine ältere Anmeldung nutzen. Prüfen Sie die Übergabe deshalb mit einer frischen Sitzung und Ihrem eigenen vorgesehenen Zugang. Klären Sie vor der Prüfung mit dem Betreuer einen vom Anbieter unterstützten Rückweg. Eine bereits geöffnete Sitzung allein ist keine verlässliche Absicherung, da ein Passwortwechsel sie beenden kann. Vier kurze Kontrollen machen offene Punkte sichtbar:

1. Die richtige Umgebung öffnen: Stimmen Domain, Kundennummer oder Website-Name? Bei mehreren Konten wird der notwendige Auswahlweg dokumentiert.
2. Die vereinbarte Aufgabe ausführen: Bearbeiten Sie beispielsweise einen unkritischen WordPress-Entwurf. Es geht um den tatsächlichen Arbeitsablauf, nicht nur um ein erfolgreiches Login.
3. Kontakt und Kontowiederherstellung prüfen: Sind die hinterlegte Adresse und zuständige Person erreichbar? Wenn ein Rücksetztest vereinbart ist, erfolgt er kontrolliert nach den Vorgaben des Anbieters. Niemand wird absichtlich aus dem einzigen Verwaltungszugang ausgesperrt.
4. Den Ausfall eines Anmeldegeräts besprechen: Prüfen Sie, welche vom Anbieter vorgesehenen Ersatz- oder Wiederherstellungswege eingerichtet sind und wer darauf zugreifen darf. Löschen Sie zum Test nicht den einzigen funktionierenden zweiten Faktor.

Eine besonders ungünstige Abhängigkeit entsteht, wenn der einzige Rücksetzweg für das Hostingkonto zu genau dem Postfach führt, das Sie über dieses gesperrte Konto wiederherstellen müssten. Lassen Sie für diesen Fall einen vom Anbieter unterstützten, geschützten Alternativweg planen. Ob dafür ein weiteres berechtigtes Konto, Ersatzcodes oder ein anderes Verfahren geeignet ist, hängt vom Dienst ab.

Das BSI empfiehlt eigene sichere Passwörter je Konto und zusätzliche Zwei-Faktor-Authentisierung, wo sie angeboten wird. Ein Passwortmanager kann die Verwaltung unterstützen. Zugangsdaten und Wiederherstellungscodes gehören in eine dafür vorgesehene geschützte Ablage; das allgemeine Übergabeprotokoll nennt nur deren Ablageort und die berechtigten Personen.

Ein kurzes Protokoll hält offene Punkte fest

Notieren Sie je Dienst den geprüften Zugang, die tatsächlich ausgeführte Aufgabe, das Datum und den Befund. „Zugang erhalten“ ist weniger aussagekräftig als „eigener Benutzer angemeldet, Entwurf bearbeitet, Wiederherstellungsadresse geprüft“. Im Protokoll stehen keine Passwörter, Codes oder ungeschwärzten Kontobilder.

Musterbefund, kein tatsächliches Prüfergebnis: „WordPress: eigener Redaktionszugang funktioniert. Hosting: Domain nach Kontowechsel sichtbar; interne Zuordnung beim Anbieter noch offen. Zuständig für die Klärung: benannte Person. Bisheriges Konto bleibt bis zur bestätigten Übernahme bestehen.“ So bleibt ein ungeklärter Punkt erkennbar, obwohl die Website bereits online ist.

Veraltete Benutzer, Freigaben und technische Verbindungen werden anschließend einzeln geprüft. Ein Konto kann beispielsweise noch einem automatischen Dienst dienen. Ändern oder entfernen Sie es deshalb abgestimmt und kontrollieren Sie die betroffenen Funktionen. Eine neue zuständige Person sollte die Dokumentation ebenfalls finden und verstehen können.

Was Sie vor der Beauftragung vereinbaren können

Nehmen Sie die Übergabe als konkretes Ergebnis in Ihr Website-Angebot auf: Kontoübersicht, vereinbarte Benutzerrollen, Einweisung, kontrollierte Zugangsprüfung und eine Liste offener Punkte. Klären Sie auch, wer künftig Änderungen an Kontaktadressen, Berechtigungen und Zuständigkeiten nachführt. So endet die Betreuung nicht mit einer Sammlung schwer zuzuordnender Login-Daten.

Für eine Projektanfrage an PEMKO reichen zunächst Ihre Webadresse, die bekannten Anbieter und eine kurze Beschreibung der unklaren Zuständigkeit. Passwörter müssen Sie dafür nicht mitsenden. Darauf lässt sich ein begrenzter Auftrag für Einrichtung, Dokumentation oder Übergabe aufbauen.