Wem gehören Website und Konten?

Fragen Sie einen Unternehmer in Monaco, wem seine Domain gehört, und die meisten antworten: „Uns.“ Fragen Sie dann, auf wessen Namen das Konto beim Registrar läuft, an welche Adresse die Verlängerungshinweise gehen und wer sich bei Google Ads anmelden kann. Dann wird es oft unklar: eine ehemalige Marketingleiterin, der Freelancer, der die Website 2019 gebaut hat, oder eine Agentur, die alles in ihren eigenen Konten angelegt hat.

Das funktioniert, bis sich etwas ändert. Ein Mitarbeiter geht, die Agentur wird gewechselt, ein Passwort läuft ab, oder die Domain verfällt, weil die Erinnerung in einem Postfach landete, das niemand mehr liest. Dann stellt ein Unternehmen fest, dass es seinen Online-Auftritt nie besessen hat – es hatte nur Zugriff darauf.

Dieser Leitfaden ist ein praktischer Check, den Sie an einem Nachmittag erledigen können. Er richtet sich an Geschäftsführer und Manager, nicht an Entwickler.

Warum das so oft schiefgeht

Niemand gibt die Kontrolle bewusst ab. Es passiert Konto für Konto. Ein Entwickler registriert die Domain, um Ihnen einen Schritt zu ersparen. Eine Mitarbeiterin eröffnet das Instagram-Konto mit ihrer privaten Handynummer. Eine Agentur legt Ihr Google-Ads-Konto in ihrer eigenen Abrechnung an. Jede Entscheidung ist im Moment bequem, und niemand dokumentiert sie.

In Monaco ist das Risiko etwas höher: Viele Unternehmen sind klein, arbeiten mit externen Dienstleistern und wechseln im Laufe der Jahre mehrmals die Agentur. Teams mit Grenzgängern wechseln häufig. Jede Übergabe ist eine Gelegenheit, einen Zugang zu verlieren.

Die Kosten zeigen sich im ungünstigsten Moment: wenn Sie die Agentur wechseln, die Website neu gestalten, vor einem großen Event eine Kampagne starten oder einem Zahlungsanbieter nachweisen müssen, dass Sie Ihre Domain tatsächlich kontrollieren.

Die Bestandsaufnahme: Was Ihnen wirklich gehören sollte

Beginnen Sie mit einer Liste. Notieren Sie für jeden Punkt, wer Eigentümer des Kontos ist, mit welcher E-Mail-Adresse es verknüpft ist, wer sonst Zugriff hat und wer bezahlt.

• Domain – das Konto beim Registrar und der eingetragene Inhaber, ob .mc, .com oder eine andere Endung.
• DNS – oft beim Registrar, manchmal bei einem separaten Anbieter wie Cloudflare. Wer das DNS kontrolliert, kontrolliert Ihre Website und Ihren E-Mail-Verkehr.
• Hosting und Website – das Hosting-Konto, der Administratorzugang zum CMS und eine Kopie des Codes oder Themes bei individuell entwickelten Seiten.
• E-Mail und Office – das Super-Admin-Konto von Google Workspace oder Microsoft 365.
• Analyse – Google Analytics, Search Console, Tag Manager.
• Werbung – Google Ads, Meta Business Manager, LinkedIn Campaign Manager und die zugehörige Abrechnung.
• Einträge und Social Media – Google Business Profile, Instagram, Facebook, LinkedIn, TikTok, WhatsApp Business.
• Umsatz-Tools – Shopify oder eine andere E-Commerce-Plattform, Ihr Zahlungsanbieter, Buchungs- und CRM-Systeme.
• Markendateien – Logo-Quelldateien, Markenrichtlinien, Fotos und deren Nutzungsrechte.

Fast jedes Unternehmen findet mindestens einen Punkt, bei dem es den Eigentümer nicht benennen kann. Genau dort sollten Sie anfangen.

Eigentümer statt Nutzer: die Regel, die fast alles löst

Das Prinzip ist einfach. Ihr Unternehmen sollte Eigentümer jedes Kontos sein; Dienstleister sind nur Nutzer. Agenturen, Freelancer und Mitarbeitende erhalten persönliche Zugänge mit genau den Rechten, die sie brauchen. Verlassen sie das Projekt, entziehen Sie den Zugang – und sonst ändert sich nichts.

Die meisten Plattformen unterstützen das. Bei Google Ads und Meta kann eine Agentur Ihr Konto über eine Partner- oder Manager-Verknüpfung betreuen, während das Eigentum bei Ihnen bleibt. Analytics und Search Console erlauben mehrere Nutzer mit unterschiedlichen Rollen. Shopify bietet Mitarbeiter- und Partnerkonten. Eine gute Agentur richtet das von sich aus so ein. Besteht eine Agentur darauf, Ihre Konten in ihrer eigenen Struktur zu führen, fragen Sie nach dem Grund – und lassen Sie sich die Antwort schriftlich geben.

Prüfen Sie bei der Domain, dass Ihr Unternehmen als Inhaber eingetragen ist und dass Verlängerungshinweise an eine Adresse gehen, die das Unternehmen kontrolliert. Wenn Sie nicht sicher sind, wie der Inhaber bei Ihrer Endung erfasst ist, kann Ihr Registrar das bestätigen.

Eine Firmenadresse, keine Person

Viele Aussperrungen beginnen mit einem Konto, das an die private E-Mail-Adresse oder Handynummer einer Person gebunden ist. Legen Sie auf Ihrer eigenen Domain einige Funktionsadressen an, etwa admin@ oder marketing@, und verwenden Sie diese als Eigentümeradresse für wichtige Konten. Lassen Sie die Zwei-Faktor-Authentifizierung aktiviert, aber bewahren Sie Wiederherstellungscodes und den zweiten Faktor so auf, dass das Unternehmen darauf zugreifen kann – nicht nur auf dem Telefon einer einzelnen Person.

Ein gemeinsamer Passwortmanager hilft dabei sehr: Er zeigt, wer worauf Zugriff hat, macht das Offboarding zur Sache von Minuten und verhindert Passwörter in Tabellen oder WhatsApp-Chats.

Zugänge haben auch eine Datenschutzseite. Ihr CRM, Ihr Buchungstool und Ihre Website-Formulare enthalten personenbezogene Daten, und das Gesetz Nr. 1.565 erwartet, dass Sie diese angemessen schützen. Zu wissen, wer diese Systeme öffnen kann, und Personen zu entfernen, die keinen Zugriff mehr brauchen, gehört dazu. Wenn Sie unsicher sind, welche Pflichten für Sie gelten, kann unser Team für Datenschutz-Compliance oder Ihr DSB mit Ihnen prüfen.

Im Vertrag festhalten

Zugänge lösen das Problem von heute, der Vertrag verhindert das von morgen. Wenn Sie eine Agentur oder einen Freelancer beauftragen, sollte die Vereinbarung regeln, wem die angelegten Konten gehören, was mit Code, Designdateien und Inhalten geschieht und was am Ende der Zusammenarbeit innerhalb welcher Frist übergeben werden muss.

Bei geistigem Eigentum und Vertragsklauseln kommt es auf den genauen Wortlaut an, und die Regeln hängen von der Rechtsordnung und der Art der Leistung ab. Lassen Sie die betreffenden Klauseln von einem Anwalt prüfen, statt sich auf eine Vorlage zu verlassen. Bei BSS gilt standardmäßig: Domain, Hosting, Konten und die Website selbst gehören dem Kunden, und wir arbeiten darin.

Den Check durchführen – und aktuell halten

Ein Audit an einem Nachmittag sieht so aus:

1. Auflisten: alle Konten aus der Bestandsaufnahme oben.
2. Anmelden: bei jedem Konto mit einem Firmenzugang, nicht mit dem eines Dienstleisters. Klappt das nicht, haben Sie einen Befund.
3. Prüfen: Eigentümer und Abrechnung jedes Kontos – und alles übertragen, was einer Person oder einem Dienstleister gehört.
4. Entfernen: ehemalige Mitarbeitende und frühere Agenturen.
5. Ablegen: Zugangsdaten und Wiederherstellungscodes im Passwortmanager des Unternehmens.
6. Notieren: Verlängerungstermine für Domains, Hosting, SSL-Zertifikate und Softwarelizenzen.

Wiederholen Sie den Check bei jedem Personal- oder Dienstleisterwechsel und mindestens einmal im Jahr. Wenn Sie einen Vertrag für Website-Wartung haben, lassen Sie ihn dort aufnehmen. Und prüfen Sie vor Ihrer nächsten Kampagne, ob Ihr Google-Ads-Konto samt Abrechnung auf Ihr Unternehmen läuft.

Nächster Schritt

Sie wissen nicht genau, wer Ihre Domain, Website oder Werbekonten kontrolliert? Wir führen den Check gemeinsam mit Ihnen durch und übertragen alles auf Ihr Unternehmen, ohne laufende Systeme zu unterbrechen. Kontaktieren Sie uns – wir beginnen mit einem kurzen Gespräch.