Zugriffsrechte für die Website sauber vergeben statt jedem alles

Es ist der bequemste Weg, ein neues Teammitglied oder eine externe Agentur schnell arbeitsfähig zu machen: einfach als Administrator anlegen, dann funktioniert garantiert alles. Genau diese Bequemlichkeit ist einer der häufigsten Gründe, warum aus einem kleinen Versehen später ein größerer Schaden wird.

Zugriffsrechte sauber zu vergeben bedeutet nicht, Arbeit zu erschweren, sondern jedem genau so viel Zugriff zu geben, wie für die jeweilige Aufgabe nötig ist – nicht mehr und nicht weniger. Dieser Artikel zeigt, wie ein praktikables Rechtekonzept für eine Website aussieht.

Warum „alle sind Administrator“ ein Risiko ist

Ein Administrator-Konto kann in den meisten Content-Management-Systemen praktisch alles: Inhalte veröffentlichen, Design ändern, Nutzerkonten anlegen und löschen, technische Einstellungen verändern, im Zweifel auch die komplette Website löschen. Wird dieses Recht großzügig an alle vergeben, die irgendwann einmal etwas an der Seite ändern müssen, wächst mit jedem zusätzlichen Administrator-Konto die Zahl der Stellen, an denen ein einzelner Fehler maximalen Schaden anrichten kann.

Das betrifft nicht nur böswillige Absicht, die in der Praxis selten ist, sondern vor allem versehentliches Handeln: ein falscher Klick, eine gelöschte Seite, eine geänderte Einstellung, deren Auswirkung nicht klar war. Je mehr Personen uneingeschränkten Zugriff haben, desto wahrscheinlicher wird ein solcher Vorfall irgendwann eintreten.

Hinzu kommt ein Aspekt, der oft übersehen wird: Ein kompromittiertes Administrator-Konto ist für Angreifer besonders wertvoll, weil es Zugriff auf alle Inhalte, Nutzerdaten und Einstellungen gleichzeitig bietet. Je mehr solcher Konten existieren, desto größer die Angriffsfläche, unabhängig davon, wie sorgfältig die jeweilige Person sonst mit Zugängen umgeht.

Das Prinzip hinter einem Rollenmodell

Ein Rollenmodell ordnet jedem Nutzerkonto genau die Rechte zu, die für die jeweilige Aufgabe tatsächlich gebraucht werden. Die meisten Content-Management-Systeme bringen dafür bereits vordefinierte Rollen mit, etwa eine Autoren-Rolle, die nur eigene Inhalte anlegen und bearbeiten darf, eine Redakteurs-Rolle, die auch fremde Inhalte freigeben kann, und eine Administrator-Rolle für technische Einstellungen.

Wer nur Texte schreibt und veröffentlicht, braucht in der Regel keinen Zugriff auf technische Einstellungen, Design-Vorlagen oder die Verwaltung anderer Nutzerkonten. Diese Trennung wirkt zunächst wie unnötige Bürokratie, reduziert aber in der Praxis genau die Fehlerquellen, die am häufigsten zu ungewollten Schäden führen.

Unterschiedliche Ebenen: CMS-Rolle, Hosting-Zugang, Domain-Verwaltung

Zugriffsrechte betreffen nicht nur das Content-Management-System selbst, sondern mehrere unabhängige Ebenen: den Zugang zum Hosting-Konto, die Verwaltung der Domain, den direkten Server-Zugang, falls vorhanden. Diese Ebenen sollten getrennt betrachtet werden, weil sie unterschiedlich kritisch sind und meist auch unterschiedliche Personenkreise betreffen.

Eine Redakteurin, die regelmäßig Inhalte veröffentlicht, braucht keinen Zugriff auf das Hosting-Konto. Eine Agentur, die technische Anpassungen vornimmt, braucht selten dauerhaften Zugriff auf die Domain-Verwaltung. Wird das nicht sauber getrennt, sammeln sich mit der Zeit unnötig viele Zugänge auf zu vielen kritischen Ebenen an.

Eine einfache Faustregel hilft bei der Zuordnung: Wer nur Inhalte pflegt, braucht CMS-Zugang. Wer technische Anpassungen vornimmt, braucht zusätzlich Hosting-Zugang, aber selten Zugriff auf die Domain-Verwaltung. Diese liegt meist ausschließlich bei der Geschäftsführung oder einer fest benannten internen Person.

Warum jedes Konto einer konkreten Person gehören sollte

Ein geteiltes Login, das mehrere Personen gemeinsam nutzen, spart auf den ersten Blick Aufwand bei der Einrichtung. Es kostet aber Nachvollziehbarkeit: Wird über ein geteiltes Konto versehentlich etwas gelöscht oder verändert, lässt sich im Nachhinein nicht mehr zuordnen, wer tatsächlich gehandelt hat.

Individuelle Konten je Person sind deshalb auch dann sinnvoll, wenn mehrere Personen dieselbe Rolle und dieselben Rechte haben. Der zusätzliche Aufwand beim Anlegen ist gering, der Vorteil bei der Fehlersuche und im Streitfall dagegen erheblich.

Rechte regelmäßig überprüfen statt einmal einrichten und vergessen

Zugriffsrechte werden meist bei Bedarf eingerichtet, aber selten wieder aktiv überprüft. Über Monate oder Jahre sammeln sich so Konten von Personen an, die längst nicht mehr im Unternehmen arbeiten, oder Rechte, die für eine einmalige Aufgabe vergeben, aber nie wieder entzogen wurden.

Eine regelmäßige, etwa halbjährliche Durchsicht aller bestehenden Konten und ihrer Rechte deckt solche „Karteileichen“ zuverlässig auf. Dieser Schritt lässt sich gut mit ohnehin anfallenden Wartungsarbeiten verbinden, wie sie auch in einem Wartungsvertrag geregelt sein können.

Externe Dienstleister: Zugriff auf Zeit statt dauerhaft

Wird eine externe Agentur oder ein Freelancer für ein Projekt eingebunden, liegt es nahe, für die Dauer der Zusammenarbeit großzügige Rechte einzuräumen, um Rückfragen zu vermeiden. Nach Projektabschluss bleibt dieser Zugriff jedoch häufig bestehen, einfach weil niemand explizit für seine Entfernung zuständig ist.

Sauberer ist es, externen Zugriff von vornherein zeitlich zu befristen oder an das Projektende zu koppeln, und die entsprechenden Rechte danach aktiv zu entziehen, statt darauf zu vertrauen, dass die externe Person sie nicht mehr nutzt. Wie ein Webprojekt strukturiert abläuft, inklusive dieser Übergabepunkte, beschreibt der Beitrag Wie läuft ein Webprojekt ab.

Ein fester Termin im Projektplan, an dem externe Zugänge überprüft werden, ist dabei zuverlässiger als die Erwartung, dass eine Agentur sich von selbst meldet, sobald ein Auftrag abgeschlossen ist. Diese Verantwortung liegt beim Auftraggeber, nicht beim Dienstleister.

Praxisbeispiel: ein Fehlerbild aus dem Alltag

Ein häufiges Muster: Ein Praktikant oder eine neue Mitarbeiterin soll kurzfristig einen einzelnen Blogbeitrag veröffentlichen und bekommt dafür aus Zeitdruck volle Administrator-Rechte, statt einer passenden, eingeschränkten Rolle. Beim Ausprobieren der Benutzeroberfläche wird versehentlich eine bestehende Seite gelöscht oder eine technische Einstellung verändert, ohne dass die Tragweite erkennbar war.

Mit einer korrekt eingeschränkten Rolle wäre genau diese Aktion technisch gar nicht möglich gewesen – nicht, weil die Person unvorsichtig gewesen wäre, sondern weil das System sie schlicht daran gehindert hätte. Ein funktionierendes Backup bleibt für solche Fälle trotzdem unverzichtbar, weil kein Rechtekonzept jeden Fehler vollständig ausschließt.

Wie du ein Rechtekonzept in der Praxis aufbaust

Der erste Schritt ist eine ehrliche Bestandsaufnahme: Wer hat aktuell auf welche Systeme und mit welchen Rechten Zugriff, und wird dieser Zugriff tatsächlich noch gebraucht? Darauf folgt die Zuordnung passender Rollen je Aufgabe, orientiert an den ohnehin vorhandenen Rollen des Content-Management-Systems, statt eigene, komplizierte Sonderlösungen zu erfinden.

Für neue Zugänge lohnt sich von Anfang an die Grundregel, mit den geringsten nötigen Rechten zu starten und bei tatsächlichem Bedarf gezielt zu erweitern, statt umgekehrt vorsorglich alles freizugeben und später einzuschränken.

Häufige Fragen