7 Berechtigungsfehler, die Kunden-Werbekonten in Ihrer Agentur gefährden
Lucia Marrone
Creative AI Strategist
Die meisten Berechtigungsfehler bei Agentur-Werbekonten sind keine dramatischen Sicherheitsvorfälle. Es sind stille strukturelle Entscheidungen, die sich im Moment effizient anfühlen und sich zu einem Risiko summieren, während die Agentur wächst. Ein geteiltes Passwort hier, ein überprivilegierter Analyst dort, ein Freelancer, dessen Zugriff niemand entfernt hat. Keiner davon wirft an dem Tag, an dem er entsteht, einen Fehler. Die Fehler kommen Monate später: pausierte Kampagnen, zu denen sich niemand bekennt, und Kundenfragen, die niemand beantworten kann.
Dies ist die Liste der sieben häufigsten Berechtigungsfehler, die Kunden-Werbekonten gefährden, samt der rollenbasierten Lösung für jeden. Die gute Nachricht: Jeder von ihnen hat dieselbe Form von Lösung. Individuelle Seats, auf die Aufgabe zugeschnitten, einer Person zuordenbar.
1. Einen Login über das ganze Team teilen
Die Erbsünde der Zugriffskontrolle in Agenturen. Jemand erstellt einen generischen Login, das Team merkt sich das Passwort, und neue Mitarbeiter bekommen es am ersten Tag. Es fühlt sich effizient an und kostet nichts, bis es alles kostet.
Ein geteilter Login beseitigt genau die zwei Dinge, die Agenturen im großen Stil am dringendsten brauchen: Nachvollziehbarkeit und die Möglichkeit, eine einzelne Person zu entziehen. Wenn fünf Leute eine Identität teilen, wird keine Aktion irgendjemandem zugeordnet, und Offboarding bedeutet, ein Passwort zu rotieren und es an alle, die noch im Team sind, neu zu verteilen, was fast niemand rechtzeitig macht.
Die Lösung: individuelle Seats. Jede Person loggt sich als sie selbst ein, mit Zwei-Faktor-Authentifizierung auf dem eigenen Konto, und jede Aktion wird einer namentlich genannten Person zugeordnet. Das geteilte Passwort existiert nicht mehr, also kann es nicht leaken. Es gibt auch eine Compliance-Dimension: Metas eigene Plattform-Richtlinien raten vom Teilen von Zugangsdaten ab, und eine Agentur, die keine Zugriffskontrolle pro Person nachweisen kann, ist in dem Moment exponiert, in dem die Rechtsabteilung eines Kunden fragt, wer wann auf seine Daten zugreifen konnte. Den vollständigen Fall behandeln wir unter geteilte Logins ruinieren Ihre Werbeagentur.
2. Analysten volle Bearbeitungsrechte geben
Der zweithäufigste Fehler, und der am leichtesten vermeidbare. Ein Analyst oder Account Manager muss Reports ziehen, also bekommt er Advertiser-Zugriff, „nur um die Zahlen zu sehen". Jetzt kann eine Person, deren Aufgabe das Lesen ist, laufende Kampagnen pausieren, bearbeiten und löschen.
Read-only ist ein Feature, keine Einschränkung. Die meisten nativen Plattformen zwingen Sie zur Wahl zwischen grobkörnigen Rollen, also ist der Weg des geringsten Widerstands, zu viel zu vergeben. Eine dedizierte Viewer-Rolle erlaubt den Leuten, die nur schauen müssen, jede benötigte Zahl zu ziehen, ohne je einen Fehlklick von einer laufenden Kampagne entfernt zu sein.
Die Lösung: ein Viewer-Seat. Wevions Viewer-Rolle liest Performance und Reports und kann nichts erstellen, bearbeiten oder pausieren. Geben Sie sie an Analysten, an Account Manager, die sich auf Kunden-Calls vorbereiten, und an Kunden, die Read-only-Sicht auf ihr eigenes Konto möchten.
3. Die Finanzabteilung mit vollem Admin ausstatten
Die Person aus der Finanzabteilung muss Ausgaben sehen und Rechnungen abgleichen, also bekommt sie Admin, „damit sie alles sieht". Jetzt kann die Person, die die Abrechnung übernimmt, auch Kampagnen bearbeiten und den Team-Zugriff verwalten, was sie nie tun muss.
Die Lösung: ein Finance-Seat. Eine dedizierte Finance-Rolle macht Abrechnung und Ausgaben sichtbar, ohne Kampagnen-Bearbeitungsrechte. Die Person, die Rechnungen abgleicht, sieht genau das, was sie braucht, und nichts darüber hinaus. Das ist dasselbe Least-Privilege-Prinzip, das das US-amerikanische National Institute of Standards and Technology in seinem Framework SP 800-53 kodifiziert: Geben Sie jedem Nutzer nur den Zugriff, den seine Funktion erfordert, und nicht mehr.
Die Kosten, dies falsch zu machen, sind nicht theoretisch. Der Cost of a Data Breach Report 2024 von IBM bezifferte die globalen durchschnittlichen Kosten eines Vorfalls auf 4,88 Mio. USD, den höchsten je gemessenen Wert, und die teuersten Vorfälle betreffen fast immer Zugriffe, die von vornherein nie hätten existieren dürfen. Ein Finance-Seat, der keine Kampagnen bearbeiten kann, ist ein Pfad weniger, über den ein Versehen oder ein kompromittiertes Konto Schaden anrichten kann.
4. Kontoweiter Zugriff statt Scoping pro Kunde
Ein Media Buyer wird eingestellt, um drei E-Commerce-Konten zu betreuen, und erhält Zugriff auf den gesamten Workspace. Jetzt kann er den größten Kunden der Agentur sehen und anfassen, auf den er keinerlei Grund zum Zugreifen hat. Das ist ein Vertraulichkeitsproblem und ein Datenhygiene-Problem zugleich.
Das Prinzip ist Least Privilege, angewendet auf Kunden: jeder Media Buyer ausschließlich auf die Konten beschränkt, die er betreut. Ein Buyer, der einen Kunden nicht sehen kann, kann diesen Kunden nicht versehentlich bearbeiten. Scoping ist nicht nur eine Sicherheitsgrenze; es ist die wirksamste einzelne Maßnahme, um kontenübergreifende Fehler zu verhindern, bevor sie passieren.
Die Lösung: Scoping pro Konto. Weisen Sie jeden Media Buyer den spezifischen Kundenkonten zu, die ihm gehören, ohne Sicht auf den Rest. Zum Konsolidieren der Konten, die Sie scopen werden, siehe mehrere Facebook-Werbekonten verwalten.
Scoping pro Kunde zahlt sich auch in der täglichen Produktivität aus, nicht nur in der Sicherheit. Ein Buyer, dessen Workspace nur seine drei Konten zeigt, scrollt nicht an einem Dutzend anderer Kunden vorbei, um seine Zahlen zu finden, was weniger Konto-Verwechslungen und schnelleres Arbeiten bedeutet. Die Grenze, die die Vertraulichkeit der Kunden schützt, ist dieselbe Grenze, die die Ansicht jeder Person sauber hält. Auf den meisten nativen Plattformen erfordert das, einen separaten Business Manager pro Kunde aufzusetzen, also genau den Overhead, den Agenturen vermeiden wollen; eine dedizierte Ebene erlaubt Ihnen, einen einzigen Seat auf eine Liste von Konten zu scopen, ohne diese Duplizierung.
5. Offboarding überspringen
Jemand geht, und Wochen später merken Sie, dass er noch Zugriff hat. Bei einem geteilten Login bedeutet Offboarding, ein Passwort zu rotieren und neu zu verteilen, also wird es aufgeschoben. Bei individuellen Konten wird Offboarding übersprungen, weil niemand für diesen Schritt zuständig ist.
Veralteter Zugriff ist kein seltener Sonderfall; er ist eine der häufigsten Wurzeln echter Vorfälle. Der Data Breach Investigations Report 2024 von Verizon fand, dass 68 % der Sicherheitsvorfälle ein nicht böswilliges menschliches Element betrafen, die liegengebliebenen Zugangsdaten und der vergessene Zugriff, die sich anhäufen, wenn Offboarding zur Nebensache wird.
Die Lösung: Deaktivierung per Klick, fest in Ihre Offboarding-Checkliste eingebaut. Setzen Sie den Seat der ausscheidenden Person auf inaktiv. Ihr Zugriff endet sofort, die Aktions-Historie bewahrt, was sie während der aktiven Zeit getan hat, und niemand sonst wird gestört.
6. Junior- und Senior-Buyer gleich behandeln
Jeder Buyer bekommt dieselbe Rolle, also hat eine brandneue Junior-Kraft am ersten Tag dieselbe Veröffentlichungsmacht wie Ihr erfahrenster Operator. Die meisten vermeidbaren Fehler entstehen durch verfrühtes Handeln von Leuten, die die Konten noch lernen.
Hierarchie in Ihrem Rollenmodell sollte die Hierarchie in Ihrem Team widerspiegeln. Ein Manager, der einen Kundenstamm koordiniert, ein Media Buyer, der auf seine eigenen Konten beschränkt ist, und ein Owner, der den Workspace kontrolliert, sind unterschiedliche Verantwortlichkeiten, und sie in eine Rolle zusammenzulegen, beseitigt die Struktur, die Fehler abfängt, bevor sie live gehen.
Die Lösung: Nutzen Sie die vollständige Stufenstruktur. Wevion stellt sieben Rollen bereit, Super Admin, Admin, Owner, Manager, Media Buyer, Finance und Viewer, sodass Seniorität und Verantwortung auf den Zugriff abgebildet werden. Owner und Admins halten die Schlüssel, Manager koordinieren, und Buyer agieren innerhalb ihres Scopes. Der Punkt ist nicht, jemanden auszubremsen; es ist sicherzustellen, dass hinter jeder Live-Entscheidung eine qualifizierte Person steht. Ein Junior-Buyer, der Kampagnen unter der Koordination eines Managers aufbaut, lernt die Konten, ohne am ersten Tag einen Tastendruck von einem teuren Fehler entfernt zu sein, und ein erfahrener Operator behält die Autonomie, die sein Urteilsvermögen sich verdient hat.
7. Native Rollen mit einem einheitlichen Modell verwechseln
Der letzte Fehler ist die Annahme, native Plattform-Rollen reichten über eine Agentur hinweg aus. Native Rollen regeln nur die Oberfläche ihrer eigenen Plattform, also flickt ein Team, das Meta, Google, TikTok, Taboola und Snapchat fährt, am Ende fünf separate Rollensysteme zusammen, und der Audit Trail zersplittert über alle hinweg.
Die Lösung: eine dedizierte Berechtigungsebene über den nativen Plattformen. Sie verbindet sich über offizielle API und OAuth, lässt den Business Manager als Konto-Eigentümer bestehen und wendet ein einziges Berechtigungsmodell konsistent über jede verbundene Plattform an, mit Zuordnung pro Person. Unser vollständiger Vergleich von nativen Rollen versus einer dedizierten Berechtigungsebene schlüsselt genau auf, wo native Rollen zu kurz greifen.
Die Lösungen zusammensetzen
Jeder dieser sieben Fehler hat dieselbe Wurzel: Zugriff, der per Standard zugewiesen wird, statt durch eine bewusste Rolle. Und jeder hat dieselbe Lösung: individuelle Seats, auf die Aufgabe zugeschnitten, einer Person zuordenbar, per Klick entziehbar. Beheben Sie sie gemeinsam, und die gesamte Sicherheitslage der Agentur ändert ihre Form, weil die Struktur die Fehler nun verhindert, statt darauf zu vertrauen, dass jeder daran denkt, sie nicht zu machen.
Die Agenturen, die diese Fehler vermeiden, sind nicht die sorgfältigsten Operatoren. Es sind die, deren Berechtigungsstruktur die sorgfältige Wahl zur Standardwahl macht. Wenn Read-only ein Seat ist, Scoping automatisch passiert und Offboarding ein Klick ist, hängt das richtige Verhalten nicht mehr vom Gedächtnis irgendeiner Person ab.
Der praktische Weg ist der, den unser Schritt-für-Schritt-Guide zum Rollen-Setup auslegt: Menschen auf Rollen abbilden, Buyer auf Konten scopen, Viewer und Finance bewusst vergeben und Offboarding zu einer einzigen Aktion machen. Die tieferen Mechaniken der Session-Isolation behandelt unser Guide zum Agentur-Team-Management, und die umfassendere Sammlung operativer Playbooks finden Sie im Hub für Agentur-Tools.
Wevions siebenstufiges Rollenmodell ist in jedem Plan enthalten, vom dauerhaft kostenlosen Tarif und Free für 0 € über Starter für 99 €, Pro für 499 €, Plus für 1.499 € pro Monat oder 1.199 € bei jährlicher Abrechnung bis Enterprise individuell. Die 14-tägige Testphase gibt Ihnen genug Spielraum, alle sieben Fehler zu beheben und die Isolation an einem echten Kundenkonto zu verifizieren, bevor Sie sich festlegen. Berechtigungsfehler sind billig zu machen und teuer zu entdecken. Sie zu beheben ist das Gegenteil: eine einmalige Stunde Struktur, die sich bei jeder Kampagne und jedem Kunden danach auszahlt.
Häufig gestellte Fragen
The Ad Signal
Wöchentliche Einblicke für Media Buyer, die nicht raten. Eine E-Mail. Nur Signal.
Verwandte Artikel
Geteilte Logins ruinieren still Ihre Werbeagentur: Warum rollenbasierte Seats nötig sind
Ein geteiltes Passwort wirkte bei drei Kunden effizient. Bei dreißig ist es operative Altlast: keine Nachvollziehbarkeit, keine Sicherheit, kein belastbarer Nachweis. So ersetzen sieben fein gescopte Berechtigungsstufen den geteilten Login endgültig.
Team-Rollen und Berechtigungen für Ihre Werbekonten einrichten
Schluss mit dem geteilten Passwort. Diese Schritt-für-Schritt-Anleitung zeigt, wie Sie Ihr Team einladen, jeder Person die richtige Rolle zuweisen, den Zugriff pro Konto scopen und die Isolation verifizieren, bevor jemand eine Live-Kampagne anfasst.
Facebook Ads Agentur Team-Management: Berechtigungen und Zugriffskontroll-Guide
Die meisten Agenturen teilen Credentials und nennen es Team-Management. Hier ist, wie Sie echte rollenbasierte Zugriffskontrolle über Kunden-Ad-Konten strukturieren, mit null Credential-Sharing.