Agenturwechsel bei der Firmenwebsite: Diese Zugänge müssen KMU sichern
Beitrag teilen
Eine Firmenwebsite ist selten nur eine Sammlung von Seiten. Dahinter stehen Domain, DNS, Hosting, E-Mail, Redaktionssystem, Analyse-Werkzeuge, Lizenzen und oft mehrere externe Konten. Solange eine Agentur alles betreut, fällt diese Abhängigkeit kaum auf. Beim Wechsel zeigt sich jedoch schnell, ob das Unternehmen seine digitale Infrastruktur tatsächlich kontrolliert oder nur benutzen durfte.
Für österreichische KMU ist deshalb nicht die Übergabe eines einzelnen Passworts entscheidend. Ziel ist eine nachvollziehbare Eigentümer- und Rechte-Struktur: Das Unternehmen bleibt Inhaber der zentralen Konten, beauftragte Dienstleister erhalten klar begrenzte Zugänge und jede übernommene Funktion wird getestet. Der folgende Ablauf hilft, einen Agenturwechsel bei der Firmenwebsite ohne unnötige Ausfälle, Datenverluste oder spätere Überraschungen vorzubereiten.
Warum Eigentum und Zugriff nicht dasselbe sind
Eine Agentur kann Administrator einer Website sein, ohne Eigentümer der zugrunde liegenden Domain oder des Hosting-Vertrags zu sein. Umgekehrt kann ein Firmenname auf einer Rechnung stehen, während das einzige Login an eine persönliche Adresse eines ehemaligen Mitarbeiters gebunden ist. Beide Situationen sind riskant.
Die robustere Aufteilung lautet: Das KMU führt mindestens ein eigenes, dauerhaft erreichbares Eigentümer- oder Hauptkonto. Agentur und interne Mitarbeitende bekommen separate Benutzer mit den Rechten, die sie für ihre Arbeit benötigen. So kann ein Dienstleister gewechselt werden, ohne dass das Unternehmen zuerst den Zugang zu seiner eigenen Website zurückerobern muss.
Bei einer .at-Domain ist besonders wichtig, wer als Domain-Inhaber eingetragen ist. nic.at erklärt, dass ein Inhaberwechsel die Übertragung auf eine andere natürliche oder juristische Person ist. Für einen Registrarwechsel wird in der Regel eine AuthInfo benötigt. Diese Details sollten vor einer Vertragskündigung geklärt sein, nicht erst am letzten Betreuungstag.
Diese neun Bereiche gehören in das Übergabeprotokoll
Erstellen Sie zunächst ein Inventar. Für jeden Bereich werden Dienst, Vertragsinhaber, Hauptkonto, Abrechnung, technische Zuständigkeit, Zwei-Faktor-Methode und getesteter Notfallweg dokumentiert. Passwörter gehören dabei in einen Passwortmanager, nicht in das Protokoll selbst.
1. Domain und Registrar
Notieren Sie Registrar, Domain-Inhaber, hinterlegte Kontaktadresse, Verlängerungsdatum und Zahlungsweg. Prüfen Sie, ob die Firma selbst als Inhaberin geführt wird und eine Unternehmensadresse für wichtige Mitteilungen hinterlegt ist. Fordern Sie die AuthInfo erst im abgestimmten Transferfenster an und behandeln Sie sie wie ein Passwort. Bei internationalen Endungen bietet auch ICANN Informationen für Domain-Inhaber zu Verwaltung, Verlängerung und Transfer.
2. DNS und Nameserver
DNS-Einträge verbinden Domain, Website, E-Mail und weitere Dienste. Sichern Sie vor Änderungen einen vollständigen Export oder zumindest eine nachvollziehbare Liste aller Records. Besonders MX-, SPF-, DKIM- und DMARC-Einträge dürfen bei einem Website-Umzug nicht nebenbei verloren gehen. Ein funktionierender Webauftritt nützt wenig, wenn danach keine Angebote oder Anfragen per E-Mail ankommen.
3. Hosting, Server und Backups
Zum Hosting gehören Vertrag, Administrationsoberfläche, SFTP- oder SSH-Zugriff, Datenbanken, Speicher, Zertifikate und Backup-System. Klären Sie, ob ein vollständiges Backup außerhalb des bisherigen Hostings vorhanden ist und ob es tatsächlich wiederhergestellt werden kann. Die ENISA-Empfehlungen für KMU betonen getrennte Backups und getestete Wiederherstellung; die WKO-Cybersicherheitsunterlagen führen Backup und Zwei-Faktor-Authentifizierung ebenfalls als zentrale Schutzmaßnahmen an.
4. CMS und Benutzerkonten
Ob WordPress oder ein anderes System: Das Unternehmen braucht ein eigenes Administratorkonto. Die neue Agentur erhält einen separaten Zugang, die alte Agentur wird erst nach erfolgreicher Abnahme entfernt. Kontrollieren Sie zusätzlich technische Benutzer, API-Schlüssel, Formular-Empfänger und Konten früherer Mitarbeitender. Ein gemeinsames Login für alle erschwert jede spätere Zuordnung.
5. Quellcode, Deployment und technische Dokumentation
Bei individuell entwickelten Websites reicht ein CMS-Login nicht. Benötigt werden Repository, Build- und Deployment-Zugänge, Umgebungsvariablen, Schnittstellen-Dokumentation und eine Liste externer Dienste. Secrets selbst werden sicher übertragen und anschließend rotiert. Im Protokoll steht nur, welches Secret zu welchem Dienst gehört und wer es neu gesetzt hat.
6. E-Mail und Formulare
Erfassen Sie alle Adressen, an die Kontakt-, Angebots- oder Bewerbungsformulare senden. Testen Sie jede wichtige Formularstrecke mit einer realen Nachricht und prüfen Sie Eingang, Absender, Antwortweg und Spam-Ordner. Dokumentieren Sie außerdem SMTP-Dienste, Newsletter-Systeme und Transaktionsmails. Die Website kann optisch korrekt wirken, obwohl der wichtigste Anfragekanal unterbrochen ist.
7. Search Console, Analytics und Unternehmensprofile
Das KMU sollte in der Google Search Console mindestens einen eigenen verifizierten Eigentümer haben. Laut Google-Dokumentation zu Eigentümern und Berechtigungen können nur Eigentümer andere Nutzer verwalten; mindestens ein verifizierter Eigentümer ist notwendig. Dasselbe Prinzip gilt für Analytics, Tag Manager, Werbekonten und das Google Unternehmensprofil: Firma als dauerhafte Eigentümerin, Agentur als benannte Nutzerin.
8. Lizenzen und externe Dienste
Themes, Plugins, Schriftlizenzen, Bilddatenbanken, Consent-Management, Karten, Terminbuchung, Chat, Zahlungsanbieter und CDN können an das Konto der alten Agentur gebunden sein. Entscheiden Sie für jeden Dienst, ob er übertragen, neu lizenziert oder ersetzt wird. Halten Sie Kosten, Laufzeit, Kündigungsfrist und technische Abhängigkeit fest. Ein günstiges Agentur-Bundle kann beim Wechsel teurer werden, wenn mehrere Einzelverträge neu abgeschlossen werden müssen.
9. Rechtstexte, Inhalte und Mediendateien
Sichern Sie bearbeitbare Originale von Texten, Bildern, Logos und Videos sowie Informationen zu Nutzungsrechten. Prüfen Sie, wer Aktualisierungen von Impressum, Datenschutzinformationen und Cookie-Konfiguration verantwortet. Das ist keine individuelle Rechtsberatung, verhindert aber, dass veraltete oder nicht mehr passende Einstellungen unbemerkt weiterlaufen.
Der sichere Ablauf in vier Phasen
Phase 1: Bestand aufnehmen, bevor gekündigt wird
Beginnen Sie mit dem Inventar, solange die Zusammenarbeit noch regulär läuft. Lassen Sie sich Zugänge nicht nur zusenden, sondern melden Sie sich damit an. Prüfen Sie Vertragsinhaber, Rechnungsadresse, Wiederherstellungs-E-Mail und Zwei-Faktor-Methode. Fehlende Punkte werden schriftlich geklärt. Eine sachliche Übergabeliste ist hilfreicher als eine pauschale Forderung nach „allen Passwörtern“.
Phase 2: Backup und Rückweg vorbereiten
Vor technischen Änderungen braucht es eine aktuelle Sicherung von Dateien und Datenbank. Die offizielle WordPress-Dokumentation zum Serverwechsel nennt ausdrücklich Dateien, Bilder, Plugins und Datenbank. Für andere Systeme gilt dasselbe Prinzip: Der Rückweg muss vor dem Umzug feststehen. Unser Website-Wartungsplan für KMU zeigt, wie Restore-Test, Wartungsfenster und Rollback dauerhaft organisiert werden.
Phase 3: Übertragen und kontrolliert umstellen
Vereinbaren Sie ein Wartungsfenster, verantwortliche Ansprechpersonen und klare Abbruchkriterien. Ändern Sie nicht gleichzeitig Domain-Inhaber, Registrar, Hosting, E-Mail und komplette Website, wenn das nicht notwendig ist. Je weniger bewegliche Teile pro Schritt, desto leichter lässt sich ein Fehler eingrenzen. Nach jeder Änderung folgt ein kurzer technischer Test, bevor der nächste Schritt startet.
Phase 4: Abnehmen, Rechte bereinigen und dokumentieren
Erst nach erfolgreicher Abnahme werden alte Benutzer entfernt, API-Schlüssel rotiert und nicht mehr benötigte Agenturkonten gekündigt. Das finale Protokoll enthält Datum, Verantwortliche und Prüfergebnis. Bewahren Sie es gemeinsam mit Verträgen und Notfallkontakten auf. Ein solider Sicherheitsprozess für die Firmenwebsite sollte diese Rechteprüfung regelmäßig wiederholen.
Fünf Abnahmetests, die jedes KMU selbst durchführen kann
- Website und HTTPS: Startseite, wichtige Leistungsseiten, Impressum und Datenschutzseite öffnen; Weiterleitungen und Zertifikat prüfen.
- Anfragen: Kontaktformular, Terminbuchung oder Shop-Test ausführen und den vollständigen E-Mail-Weg kontrollieren.
- Eigentümerzugriff: Mit dem Firmenkonto bei Registrar, Hosting, CMS und Search Console anmelden und Wiederherstellungsoptionen prüfen.
- Backup: Aktuelles Sicherungsdatum, Speicherort und dokumentierten Restore-Test bestätigen.
- Sichtbarkeit: Search Console, Analytics, Sitemap und Unternehmensprofil auf korrekte Eigentümer und Datenverbindungen kontrollieren.
Warnsignale, die vor dem Wechsel gelöst werden sollten
Problematisch ist es, wenn die Domain auf eine Agentur oder Privatperson registriert ist, nur ein einziges gemeinsames Passwort existiert, Zwei-Faktor-Codes ausschließlich auf einem fremden Gerät ankommen oder niemand weiß, wo Backups liegen. Auch fehlende Quellcode-Zugänge, nicht übertragbare Lizenzen und Formulare ohne getesteten Empfänger sind klare Warnsignale.
Ein solches Ergebnis bedeutet nicht automatisch einen Konflikt. Häufig sind Konten historisch gewachsen und wurden bei der ersten Website-Erstellung pragmatisch eingerichtet. Entscheidend ist, die Abhängigkeiten sichtbar zu machen und geordnet zu korrigieren, solange beide Seiten kooperieren können.
Fazit: Die Firmenwebsite muss auch ohne aktuelle Agentur handlungsfähig bleiben
Ein guter Agenturwechsel ist keine Passwortsammlung, sondern eine überprüfte Übergabe von Eigentum, Rollen, Daten und Verantwortlichkeiten. Österreichische KMU sollten Domain, Hosting, CMS und zentrale Analyse-Konten selbst kontrollieren, Dienstleistern getrennte Zugänge geben und Backups sowie Anfragewege praktisch testen. So bleibt die Website auch bei Personalwechsel, Vertragsende oder technischem Notfall erreichbar und wartbar.
Nach der technischen Übergabe lohnt sich ein Blick auf den öffentlichen Firmenauftritt: Stimmen Website-URL, Kontaktdaten, Leistungen und Öffnungszeiten noch? Ein aktuelles Firmenprofil auf firmenwebseiten.at hilft Kundinnen und Kunden, nach dem Agenturwechsel weiterhin den richtigen Weg zum Unternehmen zu finden.