Passwort-Manager für Webagenturen: Hosting, CMS und Domains je Kunde

Was eine Webagentur für jeden Kunden aufbewahrt

Zu einer einzigen Kundenwebsite gehören Zugänge bei mehreren Anbietern, und jeder führt an eine andere Stelle der Technik. Mit jedem Wartungsvertrag kommt ein ganzer Satz davon hinzu.

• Domain und DNS: das Kundenkonto beim Registrar oder das eigene Reseller-Konto der Agentur, die Verwaltung der DNS-Einträge, bei .de-Domains im Fall eines Umzugs die AuthInfo.
• Hosting: die Verwaltungsoberfläche des Webspace oder Servers, SFTP- und SSH-Zugänge, private Schlüssel mit Passphrase, Datenbankbenutzer, Cronjobs und E-Mail-Postfächer der Domain.
• CMS: der Administrator der Installation, die Benutzer des Agenturteams, eine Kopie der Seite als Staging-Umgebung mit eigenem Schutz.
• Google und Statistik: Search Console, Tag Manager, Statistik-Werkzeuge, der Zugang zum Unternehmensprofil, falls die Agentur ihn pflegt.
• Lizenzen: Kundenkonten bei den Anbietern kostenpflichtiger Plugins, Themes und Schriften, mit Lizenzschlüsseln, die je nach Lizenz für eine oder mehrere Websites gelten.

Typische Fundorte für diese Daten sind Kommentare im Ticketsystem, eine Konfigurationsdatei im Git-Repository, die gespeicherten Verbindungen im FTP-Programm eines Entwicklers und eine Mail des Kunden von vor drei Jahren. Warum eine Tabelle oder der Browser kein Ersatz für einen Tresor ist, steht im Ratgeber Passwörter in Excel oder im Browser.

Im CMS bekommt jede Person einen eigenen Benutzer

Einen Teil der Zugänge muss die Agentur gar nicht teilen. WordPress zum Beispiel kennt eigene Benutzer mit Rollen, darunter den Administrator mit Zugriff auf alle Verwaltungsfunktionen einer Website und den Redakteur, der Beiträge veröffentlichen und auch die Beiträge anderer verwalten darf. Bei der Installation legt WordPress automatisch ein Administratorkonto an.

Für die Agentur heißt das: Jede Entwicklerin und jeder Projektleiter arbeitet mit eigenem Benutzer, der Kunde hat seinen eigenen, und das bei der Installation entstandene Konto gehört dem Kunden. Verlässt jemand die Agentur, löschen Sie in jeder Installation genau einen Benutzer und müssen kein gemeinsames Passwort ändern. In den Tresor gehören dann vor allem die Zugänge, die sich nicht auf Personen aufteilen lassen: die Hosting-Oberfläche, der Datenbankbenutzer, das Registrar-Konto, der Schlüssel für den Server.

Eine Sammlung je Kunde, dazu die Agentur selbst

Im Tresor liegen die Einträge in Sammlungen, und je Sammlung legen Sie fest, wer sie lesen oder bearbeiten darf. In einer Webagentur ziehen Sie die Grenze am besten beim Kunden. Wer nur am Shop eines Kunden arbeitet, sieht nur dessen Sammlung.

Für das Geschäftskonto gibt es keinen Eintrag im Tresor. Wer Überweisungen erledigt, lässt sich von der Bank einen eigenen Zugang mit Vollmacht einrichten, mehr dazu unter Onlinebanking für Mitarbeiter.

Ein Eintrag kann mehrere Adressen tragen, etwa die Live-Seite und die Staging-Umgebung, falls dort dieselben Daten gelten. In die Notiz zum Eintrag gehört, was der nächste Kollege wissen muss: welcher Port, welcher Benutzer für Deployments, wann der Lizenzschlüssel abläuft. Private Schlüssel legen Sie als Dateianhang beim Eintrag ab, die Passphrase im Passwortfeld. Wie Sie Sammlungen schneiden und Zugänge im Team weitergeben, beschreibt der Ratgeber Passwörter im Team teilen.

Domains: AuthInfo und Inhaberschaft

Zieht eine .de-Domain zu einem anderen Provider um, braucht der neue Provider die AuthInfo. Den Ablauf beschreibt die DENIC so: Der Domaininhaber beauftragt seinen bisherigen Provider, eine AuthInfo zu erstellen. Der bisherige Provider übermittelt sie verschlüsselt an die DENIC und teilt sie dem Inhaber mit, der sie an den neuen Provider weitergibt. Nach 30 Tagen verfällt die AuthInfo und muss neu angefordert werden.

Die DENIC nennt die AuthInfo selbst ein Providerwechsel-Passwort. Ist Ihre Agentur der bisherige Provider, schicken Sie sie dem Kunden deshalb als sicheren Link aus dem Tresor statt in einer normalen E-Mail. Der Text wird verschlüsselt übertragen und ist nur befristet abrufbar.

Hat die Agentur Domains über ihr eigenes Reseller-Konto registriert, sehen Sie in den Domaindaten nach, wer als Inhaber eingetragen ist. Den Auftrag für die AuthInfo erteilt laut DENIC der Domaininhaber. Steht dort die Agentur und nicht der Kunde, klären Sie das mit ihm vor dem Umzug.

Wenn ein Kunde die Agentur wechselt

Kündigt ein Kunde den Wartungsvertrag, erwartet er alle Zugänge zu seiner Website zurück. Mit einer Sammlung je Kunde liegt die Liste dafür schon vor. Wir empfehlen diese Reihenfolge:

1. Bestand prüfen: Gehen Sie die Sammlung des Kunden Eintrag für Eintrag durch und notieren Sie, was dem Kunden gehört und was der Agentur, etwa eine Entwickler-Lizenz für ein Plugin, die auf vielen Kundenseiten läuft.
2. Übergeben: Zugangsdaten und Schlüsseldateien gehen per sicherem Link an den Kunden oder seine neue Agentur, jeder Link mit kurzer Frist.
3. Domain: Die AuthInfo erstellen, sobald der Kunde den Umzug beauftragt, und ihm sagen, dass sie 30 Tage gilt.
4. Search Console: Den Zugriff der Agentur-Benutzer aufheben. Die Hilfe von Google empfiehlt beim Entfernen eines Inhabers außerdem, dessen Bestätigungstokens zu löschen, weil sich ein bestätigter Inhaber mit einem verbliebenen Token erneut bestätigen kann.
5. CMS und Server: Die Benutzer der Agentur im CMS löschen, die eigenen öffentlichen Schlüssel vom Server entfernen und den Kunden bitten, die übergebenen Passwörter zu ändern.
6. Tresor: Die Einträge des Kunden und seine Sammlung entfernen.

Freie Entwickler und Personalwechsel

Holt die Agentur für ein Projekt einen freien Entwickler oder eine Designerin dazu, bekommt die Person ein eigenes Konto im Tresor wie Festangestellte, mit eigenem Master-Passwort und eigenem zweiten Faktor. Sie sieht nur die Sammlung ihres Projekts. Weil der Preis nicht von der Zahl der Nutzer abhängt, kostet das nichts extra. Endet das Projekt, sperrt der Verantwortliche in der Agentur das Konto. Braucht ein Freier nur einmal einen einzelnen Zugang, reicht ein sicherer Link.

Verlässt eine Entwicklerin die Agentur, sperren Sie ihr Konto im Tresor und löschen ihre Benutzer in den CMS der Kunden. Hat sie per SSH mit eigenem Schlüssel gearbeitet, entfernen Sie ihren öffentlichen Schlüssel von jedem Server, auf dem er hinterlegt ist. Gemeinsame Passwörter, die sie kannte, ändern Sie trotzdem. Der Tresor zeigt, welche Sammlungen sie sehen konnte. Die vollständige Liste steht in der Checkliste, wenn ein Mitarbeiter die Firma verlässt.

Ist an der Hosting-Oberfläche oder beim Registrar die Anmeldung mit Bestätigungscode eingeschaltet, braucht jeder im Wartungsteam diesen Code. Wie alle ihn abrufen, ohne dass ein Handy durch das Büro wandert, erklärt der Ratgeber 2FA-Codes im Team teilen. Am Tresor selbst gilt die Zwei-Faktor-Pflicht für alle Mitarbeiter, weil Passwort und Code dann am selben Ort liegen. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Ein Beispiel: vier Leute, 35 Wartungsverträge

Eine erfundene Agentur: der Inhaber, zwei Entwickler, eine Projektleiterin in Teilzeit, dazu ein freier Designer für zwei bis drei Projekte im Jahr. Die Agentur betreut 35 Websites im Wartungsvertrag. Bisher lagen die Zugänge in einer Datei im internen Wiki, Serverpasswörter auch in Konfigurationsdateien mancher Repositorys.

Nach der Umstellung gibt es 35 Kundensammlungen und drei interne. Die Entwickler bearbeiten alle Kundensammlungen, die Projektleiterin liest sie nur. Der Designer sieht während seines Projekts genau eine Sammlung, und zwar nur lesend. Domains und Agenturbetrieb öffnet nur der Inhaber, er ist Eigentümer der Organisation im Tresor. Für den Fall, dass er ausfällt, hat er einem der Entwickler einen Notfallzugang eingeräumt. Wie so ein Zugang abläuft, steht im Ratgeber Notfallzugriff auf Firmenpasswörter.

Als ein Kunde zu einer anderen Agentur ging, brauchte die Übergabe einen Nachmittag: sechs sichere Links, eine AuthInfo, zwei gelöschte CMS-Benutzer, eine gelöschte Sammlung.

Kosten und für wen es passt

Für die Wartung des Tresors zahlt Ihre Agentur 16,99 € im Monat inkl. MwSt., gleich ob drei oder fünfzehn Leute damit arbeiten, bei 12 Monaten Mindestlaufzeit und mit der Einrichtung im Preis. Den Server mietet die Agentur selbst bei netcup, ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Eine Sicherung gibt es mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir den Tresor nicht, dann exportieren Sie ihn selbst verschlüsselt. Hilfe im Alltag berechnen wir nach Aufwand mit 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde.

Für Agenturen, die vor allem Kampagnen und Gestaltung machen, passt die Seite für Werbeagenturen besser, für die Betreuung von Kanälen die Seite für Social-Media-Agenturen. Ob der Tresor zu Ihrer Agentur passt, klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen