Den Zugang aus der Tätigkeit ableiten
Ein Zugang sollte eine konkrete Aufgabe ermöglichen. Wer Texte pflegt, braucht andere Möglichkeiten als jemand, der Dateien austauscht oder Domainziele verändert. Beginnen Sie deshalb mit einer Liste der Tätigkeiten. Ordnen Sie danach das richtige System und die passende Rolle zu. Ein vorsorglich umfassender Zugang kann unnötige Reichweite schaffen und spätere Übergaben erschweren.
Die WordPress-Dokumentation zu Rollen und Fähigkeiten beschreibt unterschiedliche Möglichkeiten innerhalb der Anwendung. Ein WordPress-Konto ist jedoch nicht dasselbe wie ein Hosting-, Datei- oder Domainzugang. Prüfen Sie diese Ebenen einzeln. Auch bei einem Managed Server beweist die Nennung von SSH keinen Rootzugang. Der tatsächliche Betreuungs- und Berechtigungsumfang ist mit dem Anbieter abzugleichen.
Ein Rechteraster ohne Geheimnisse führen
Das Raster erfasst Person beziehungsweise Rolle, benötigte Aufgabe, System, Geltungsbereich und zuständige Freigabe. Ein zusätzlicher Eintrag für Vertretung und geplanten Entzug hilft bei befristeter Zusammenarbeit. Kennzeichnen Sie, ob ein Zugang nur eine Website oder mehrere Projekte erreicht. Die eigentlichen Geheimnisse werden separat geschützt verwaltet; in der allgemeinen Übersicht reicht ein geeigneter Verweis.
| Rolle | Aufgabe | Reichweite klären |
|---|---|---|
| Redaktion | Inhalte bearbeiten | Betroffene WordPress-Installation |
| Anwendungspflege | Software prüfen und ändern | Arbeitskopie und freigegebene Produktionsaufgaben |
| Betreiber | Verträge und fachliche Freigaben | Domain- und Kundensysteme |
| Vertretung | Abgestimmter Notfallablauf | Benötigte geschützte Informationen |
Ein verständliches Raster macht offene Aufgaben sichtbar. Es dokumentiert keine angeblich schon eingerichteten Rechte, wenn lediglich der Plan erstellt wurde. Verifiziert wird erst der tatsächliche Kontostand.
Persönliche Konten und sichere Übergabe nutzen
Persönliche Konten erleichtern die Zuordnung von Änderungen und den Entzug einzelner Zugänge. Ein geteiltes Konto erfordert dagegen oft die Änderung eines Geheimnisses für mehrere Personen. Prüfen Sie, welche Möglichkeiten das jeweilige System unterstützt, und nutzen Sie verfügbare zusätzliche Anmeldeschutzfunktionen passend zum eigenen Betrieb. Geheimnisse gehören in eine geeignete geschützte Verwaltung und dürfen nicht in öffentliche Websiteinhalte geraten.
Die Übergabe sollte erklären, welche Aufgabe mit welchem Konto erledigt wird. Eine Sammlung von Passwörtern ohne Systemzuordnung ist im Notfall schwer nutzbar. Vermeiden Sie ungeschützte Anhänge und unnötiges Weitergeben umfassender Zugänge. Die WordPress-Empfehlungen zur Absicherung erläutern verschiedene Schutzebenen. Welche Maßnahmen im eigenen System sinnvoll und verfügbar sind, muss konkret beurteilt werden. Die tatsächliche Einrichtung darf erst nach Prüfung als erfolgt bezeichnet werden.
Den Ausnahmefall vorab klären
Eine zuständige Person kann unerreichbar sein. Bestimmen Sie daher eine Vertretung und einen geeigneten Weg zu den benötigten Informationen. Die Vertretung muss nicht dauerhaft alle administrativen Aufgaben übernehmen. Sie sollte aber wissen, wie ein Problem eingegrenzt, wer kontaktiert und wann eine Änderung freigegeben wird. Der Ratgeber Verantwortung im Betrieb verbindet diese Rechte mit konkreten Aufgaben.
Ein Test der Übergabe kann einfach sein: Die Vertretung findet die aktuelle Anleitung und erklärt anhand eines Beispiels den nächsten Schritt. Geheime Daten müssen dafür nicht unnötig kopiert werden. Bei mehreren Mandanten sollte klar bleiben, welches Projekt betroffen ist. Das Notfallhandbuch ergänzt eine verständliche Reihenfolge. Ein eingerichtetes Konto allein beweist noch keine handlungsfähige Vertretung.
Rechte bei Veränderungen prüfen
Prüfen Sie die Konten nach Personalwechseln, Projektübergaben und Vertragsänderungen. Nicht mehr benötigte Zugänge sollten nach dem abgestimmten Ablauf entfernt werden. Berücksichtigen Sie dabei gespeicherte Schlüssel, Schnittstellenzugänge und zusätzliche Konten in externen Systemen. Ein entfernter WordPress-Benutzer beendet nicht automatisch jeden möglichen Zugang zum Projekt.
Dokumentieren Sie, welche Änderung tatsächlich durchgeführt wurde und welche offenen Punkte verbleiben. Ein Kunde kann beispielsweise Domainverwaltung selbst übernehmen, während die Agentur noch eine Übergangsphase betreut. Die vereinbarte Reichweite muss dann im Kontostand erkennbar sein. Der Artikel Mandanten trennen hilft bei mehreren Projekten. Regelmäßige kurze Kontrollen halten das Rechteraster aktuell. Entscheidend ist die passende Berechtigung für die reale Aufgabe und ihre nachvollziehbare Pflege über den gesamten Projektverlauf.
Einen Supportzugang bewusst befristen
Für eine einzelne Untersuchung kann ein befristeter Zugang sinnvoll sein. Legen Sie Aufgabe, betroffene Umgebung und zuständige Freigabe fest. Prüfen Sie, welche Daten die unterstützende Person sehen muss und ob eine geschützte Arbeitskopie ausreicht. Ein umfassender Produktionszugang sollte keine automatische Voraussetzung für jede kleine Frage werden.
Nach Abschluss kontrollieren Sie das Ergebnis und beenden den Zugang nach dem vereinbarten Ablauf. Dokumentieren Sie auch zusätzliche Schlüssel oder Schnittstelleninformationen, falls diese tatsächlich eingerichtet wurden. Ein gelöschtes persönliches Konto entfernt solche getrennten Zugangswege nicht zwingend. Die genaue Prüfung richtet sich nach dem eingesetzten System. Der Abschluss ist erst vollständig, wenn die benötigte Reichweite wieder zum normalen Betrieb passt.
Quellen und Prüfstand
- WordPress: Roles and Capabilities — geprüft 2026-10-07
- WordPress: Hardening — geprüft 2026-10-07
- Plesk: Getting Started und Subscriptions — geprüft 2026-10-07
Produktinformationen können sich ändern. Beispielarchitekturen sind redaktionelle Modelle. Unsere Methode und Grenzen