Die Agentur hat unsere Website gebaut, wir kommen nicht an die Startseite. Was können wir verlangen?

Wenn eine Startseite nicht bearbeitet werden kann, liegt das nicht automatisch an fehlenden Rechten. Manchmal gibt es gar keinen Editor. In anderen Fällen ist nur eine einzelne Seite außerhalb des Redaktionssystems gebaut worden.

Auch der Anbieter kann das Problem bestimmen. Eine Website auf eigenem Hosting funktioniert anders als eine Website, die im Konto einer Agentur bei einem Baukastenanbieter liegt. Deshalb reicht die Forderung „Gebt uns den Administratorzugang“ nicht immer aus.

Eine Website kann technisch an drei verschiedenen Stellen kontrolliert werden. Die Domain bestimmt, unter welcher Adresse die Website erreichbar ist. Das Hosting stellt den Speicherplatz und die technische Umgebung bereit. Das Redaktionssystem verwaltet Inhalte und Bearbeitungsrechte.

Diese Ebenen können bei verschiedenen Parteien liegen. Die Domain kann beim Unternehmen registriert sein, während das Hosting bei der Agentur liegt. Das Redaktionssystem kann wiederum in einem Baukastenkonto des Dienstleisters liegen.

Für jede Ebene sollte das Unternehmen einzeln klären:

• Wer ist als Inhaber der Domain eingetragen?
• Wer kann DNS-Einstellungen ändern?
• Wer besitzt den Hostingzugang?
• Wer kann Dateien, Datenbanken oder Backups verwalten?
• Wer besitzt das Redaktionssystem oder das Baukastenkonto?
• Wer kann Nutzer und Administratoren hinzufügen oder entfernen?

Der DNS-Zugriff ist besonders kritisch. Über DNS wird festgelegt, wohin die Domain zeigt. Außerdem hängen dort oft Einstellungen für den E-Mail-Versand, SPF, DKIM und DMARC. Wenn die Agentur die DNS-Einstellungen kontrolliert, kann das nicht nur die Website, sondern auch den Versand und die Zustellung von Unternehmensmails betreffen.

Ein Unternehmen sollte deshalb nicht nur nach dem Website-Login fragen. Es braucht für Domain, Hosting und Redaktionssystem jeweils einen eigenen Zugang oder eine klare, eigene Kontoinhaberschaft. Bei unklaren Eigentums- oder Nutzungsrechten sollte der Vertrag anwaltlich geprüft werden.

Bei vielen mittelständischen Websites gibt es kein Redaktionssystem. Die Seite wurde als Code gebaut und wird durch Änderungen an Dateien angepasst. Der Inhalt und die Struktur liegen dann nicht in einem Editor, sondern in den technischen Dateien der Website.

In diesem Fall solltest Du drei Dinge anfordern:

• Zugriff auf das Code-Repository, in dem der Website-Code gespeichert ist.
• Einen eigenen Zugang zum Hosting.
• Die Möglichkeit, Änderungen selbst zu veröffentlichen.

Fehlt einer dieser Punkte, bleibt die Website praktisch vom Dienstleister abhängig. Schon eine kleine Textänderung muss dann beauftragt, umgesetzt und nach Aufwand abgerechnet werden. Selbst wenn die Agentur Dir die Dateien schickt, kannst Du die Website ohne Hostingzugang nicht selbst betreiben. Und ohne Veröffentlichungsrechte kannst Du Änderungen nicht live stellen.

Bevor Du Zugriff anforderst, prüfe, ob Du ihn nicht längst hast. Anfragen an die Agentur können sonst in einem kostenpflichtigen Auftrag enden, für etwas, das Dir bereits gehört.

Ein Redaktionssystem kann nachträglich eingebaut werden. Das ist jedoch kein einfacher Schalter, sondern ein eigenes technisches Projekt. Die bestehende Website muss dafür möglicherweise umgebaut werden. Dabei müssen die Bearbeitung, die Vorlagen und die Rechte der Nutzer neu geplant werden.

Wenn ein Redaktionssystem vorhanden ist, bedeutet das nicht automatisch, dass Du alles ändern kannst. Bei WordPress ist der Unterschied zwischen Administrator und Redakteur besonders wichtig.

Ein Administrator kann Benutzer verwalten, Plugins installieren, Einstellungen ändern, Themes bearbeiten und technische Bereiche der Website kontrollieren. Diese Rolle kann auch Rechte anderer Nutzer verändern. Ein Redakteur kann Inhalte erstellen und bearbeiten, hat aber normalerweise keinen vollständigen Zugriff auf Benutzer, Plugins, Themes oder zentrale Systemeinstellungen.

Für die tägliche Pflege reicht eine Redakteursrolle oft aus. Für die Unabhängigkeit vom Dienstleister reicht sie nicht. Wenn die Agentur weiterhin den einzigen Administratorzugang besitzt, kontrolliert sie wichtige technische Funktionen der Website.

Zusätzlich können Page Builder eine eigene Abhängigkeit schaffen. Elementor, Divi oder WPBakery erweitern WordPress um einen visuellen Baukasten. Wenn die Lizenz über das Konto des Dienstleisters läuft, kann dieser nach dem Vertragsende die Updates nicht mehr für Dich bereitstellen.

Eine abgelaufene Lizenz deaktiviert den Page Builder jedoch nicht automatisch. Die Website läuft weiter, und Besucher bemerken zunächst keinen Unterschied. Verloren gehen normalerweise Updates, Support, die Vorlagenbibliothek und neue Funktionen.

Erst wenn das Plugin deaktiviert oder gelöscht wird, werden die damit erstellten Layouts nicht mehr dargestellt. Das ist grundsätzlich umkehrbar, sobald das Plugin wieder installiert und aktiviert wird.

Das eigentliche Risiko entsteht deshalb oft später. Ohne Sicherheits- und Kompatibilitätsupdates können nach einem WordPress-, Theme- oder PHP-Update Konflikte entstehen. Auch eine bekannte Sicherheitslücke bleibt möglicherweise ungepatcht.

Ein konkretes Beispiel sind Formulare des Page Builders. Sie können nach Ablauf der Lizenz weiter Einträge sammeln, später aber nach einem System-Update ohne sichtbare Fehlermeldung ausfallen.

Lizenzen lassen sich meist nicht von einem Konto auf ein anderes übertragen. Eine eigene Lizenz bedeutet deshalb in der Regel einen Neukauf auf den Namen des Unternehmens.

Die passende Forderung lautet daher nicht nur: „Gebt uns Administratorrechte.“ Das Unternehmen braucht eine eigene Lizenz auf den eigenen Namen. Der Dienstleister darf technisch unterstützen, aber die Lizenz sollte nicht an seinem Konto hängen.

Bei Drupal und ähnlichen Systemen können Unterseiten über das Redaktionssystem bearbeitet werden, während einzelne Bereiche anders gebaut sind. Die Startseite kann beispielsweise als eigenes Template oder als individueller Block angelegt worden sein.

Dann können Mitarbeiter viele Unterseiten ändern, aber nicht die Startseite. Auch ein Administratorzugang löst das Problem nicht automatisch. Die Startseite ist in diesem Fall nicht deshalb gesperrt, weil die Rolle zu wenig Rechte hat. Sie ist nicht als normale bearbeitbare Inhaltsseite aufgebaut.

Dasselbe kann für ein Anmeldeformular gelten. Es kann über ein eigenes Template, einen individuellen Codebereich oder eine externe Anwendung eingebunden sein. Der Editor zeigt dann vielleicht die Seite, aber nicht die Stelle, an der das Formular technisch verändert wird.

Hier gibt es zwei sinnvolle Forderungen. Entweder wird der betreffende Bereich so umgebaut, dass er aus pflegbaren Inhaltselementen besteht. Dann können berechtigte Nutzer Texte und Bilder im Redaktionssystem bearbeiten. Oder das Unternehmen erhält Zugriff auf die Template-Ebene und die dazugehörige technische Dokumentation.

Die erste Lösung erleichtert die tägliche Pflege. Die zweite Lösung gibt mehr technische Kontrolle, setzt aber jemanden voraus, der mit dem System umgehen kann.

Bei Webnode, Wix oder Jimdo sind weder fehlende Administratorrechte noch ein Code-Repository zwingend das Problem. Die Website liegt häufig im Konto des Dienstleisters oder wurde dort angelegt.

In diesem Fall ist die Kontoinhaberschaft entscheidend. Wer besitzt das Konto, wer empfängt die Sicherheitsmails und wer kann Zahlungsdaten, Nutzer und Projekte verwalten? Ein zusätzlicher Nutzerzugang kann zwar die Bearbeitung erlauben, aber die Agentur bleibt möglicherweise weiterhin Kontoinhaber.

Das Unternehmen sollte eine eigene Kontostruktur erhalten. Je nach Anbieter kann die Website auf ein eigenes Konto übertragen werden oder der Support muss die Kontoinhaberschaft ändern. Der genaue Ablauf ist vom Anbieter abhängig.

Eine einfache Einladung als Bearbeiter reicht daher nicht immer. Entscheidend ist, dass das Projekt im Konto des Unternehmens liegt und die Agentur nur noch einen eigenen Nutzerzugang erhält.

• Wenn die Website keinen Editor besitzt und Änderungen an Dateien erfolgen, dann fordere Code-Repository, Hostingzugang und eigene Veröffentlichungsrechte.
• Wenn WordPress vorhanden ist und Du nur Inhalte bearbeiten kannst, aber keine Nutzer, Plugins oder Themes verwalten kannst, dann fehlt Dir die Administratorrolle.
• Wenn der Page Builder über das Konto der Agentur lizenziert ist, dann fordere eine eigene Lizenz auf den Namen des Unternehmens.
• Wenn Unterseiten im Editor funktionieren, die Startseite aber nicht bearbeitbar ist, dann liegt der Bereich wahrscheinlich außerhalb des Inhaltsmodells; fordere Umbau oder Templatezugriff.
• Wenn die Website in einem Konto von Webnode, Wix oder Jimdo liegt, dann fordere die Übertragung der Kontoinhaberschaft oder ein eigenes Konto über den Anbieter-Support.

Die Forderung nach vollständigem Zugriff kann falsch sein, wenn im Unternehmen niemand die Website pflegen oder technische Fehler beheben kann. Eine Website mit vielen Plugins, individuellen Vorlagen und externen Verbindungen kann durch unbedachte Änderungen ausfallen.

Volle Administratorrechte ohne jemanden, der sie sicher nutzt, verschieben das Problem nur. Dann liegt die Kontrolle zwar beim Unternehmen, aber die Website wird langsam veraltet oder beschädigt.

In diesem Fall kann eine bessere Lösung darin bestehen, die Kontoinhaberschaft beim Unternehmen zu sichern und der Agentur oder einem neuen Dienstleister einen klar begrenzten Arbeitsbereich zu geben. Zusätzlich sollte feststehen, wer Backups erstellt, Updates prüft und im Fehlerfall eingreift.

Eine Übergabe ist erst abgeschlossen, wenn das Unternehmen nicht nur einen Login erhalten hat. Es muss auch wissen, wo Domain, Hosting, Website-Dateien, Datenbank, Lizenzen und Backups liegen.

Sinnvoll ist eine kurze Dokumentation mit den wichtigsten Konten, Zuständigkeiten und technischen Abhängigkeiten. Dazu gehören auch Page-Builder-Lizenzen, externe Formulare, Tracking, E-Mail-DNS und automatische Verlängerungen.

Die Agentur kann weiterhin für Pflege und Weiterentwicklung beauftragt werden. Sie sollte dann aber über einen eigenen Nutzerzugang arbeiten. So bleiben Kontoinhaberschaft und technische Kontrolle beim Unternehmen, während die operative Arbeit ausgelagert werden kann.

Welche Zugänge, Lizenzen und Unterlagen bei einer vollständigen Trennung von der Agentur zusätzlich gesichert werden sollten, zeigt die Checkliste Was müssen wir sichern, bevor wir die Agentur kündigen?.

Kan Taveeratana ist freiberuflicher Funnel-Stratege und Creative Strategist im DACH-Markt und begleitet Unternehmen dabei, Zugriff und Kontrolle über ihre eigene Website zurückzugewinnen.