Zugangsdaten sicher weitergeben: so geht's beim Entwickler
Kurz gesagt: Am sichersten gibst du Zugangsdaten weiter, indem du gar kein eigenes Passwort teilst, sondern dem Entwickler ein eigenes Konto mit nur den nötigen Rechten anlegst. Geht das nicht, teilst du das Passwort über einen Passwort-Manager mit Ablaufdatum, nie im Klartext per Mail. Nach dem Auftrag deaktivierst du das Konto oder änderst das Passwort.
Oft läuft es so: Das Passwort landet in einer Mail mit dem Betreff „Zugang“. Darin stehen Benutzername und Passwort samt Adresse des Admin-Bereichs, alles im Klartext. Die Mail liegt danach bei dir im Gesendet-Ordner, beim Entwickler im Posteingang, in beiden Backups. Nach dem Auftrag ändert niemand das Passwort, weil es schon wieder vergessen ist.
Das Problem ist nicht der eine Entwickler, dem du vertraust. Das Problem sind die vielen Orte, an denen das Passwort danach noch herumliegt.
Die Grundregel: Konten statt Passwörter
Fast jedes System, mit dem kleine Aufträge zu tun haben, erlaubt mehrere Benutzer. Das ist der sicherste Weg, und er ist meistens auch der einfachste: Du legst für den Entwickler ein eigenes Konto an, mit eigener Mailadresse, eigenem Passwort, eigenem zweiten Faktor.
Das hat drei Vorteile. Du musst dein eigenes Passwort nie aus der Hand geben. Du siehst in Protokollen, wer was geändert hat. Und nach dem Auftrag löschst du das Konto mit einem Klick, ohne dass sich für dich etwas ändert.
Dazu kommt das Prinzip der minimalen Rechte. Ein Entwickler, der einen Text ändert, braucht keinen Zugriff auf die Zahlungseinstellungen. Einer, der ein Plugin installiert, schon. Gib so viel wie nötig. Nicht mehr.
So geht es in den häufigsten Systemen
WordPress. Unter „Benutzer“ legst du ein neues Konto an und wählst die Rolle. WordPress bringt fünf Standardrollen mit, von Administrator bis Abonnent. Für Plugin-Installationen und Theme-Änderungen braucht der Entwickler die Rolle Administrator, für reine Inhaltsarbeit reicht Redakteur. Braucht ein externes Programm Zugriff über die Schnittstelle, gibt es seit WordPress 5.6 Anwendungspasswörter. Sie funktionieren für die REST-API und das ältere XML-RPC, nicht für die Anmeldung im Backend, und lassen sich laut WordPress-Dokumentation einzeln widerrufen.
Hosting. Für Dateizugriff per SFTP lassen sich bei vielen Hostern zusätzliche Benutzer anlegen, oft beschränkt auf ein Verzeichnis. Den Hauptzugang zum Kundenkonto des Hosters, über den sich Verträge kündigen und Domains umziehen lassen, braucht ein Entwickler für kleine Aufträge fast nie.
Shop-Systeme. Shopify und andere gehostete Shops bieten Mitarbeiterkonten mit einzeln wählbaren Berechtigungen. Shopify kennt zusätzlich Mitarbeiterkonten für Shopify-Partner: Die Agentur oder der Freelancer schickt eine Anfrage, du nimmst sie an und legst die Berechtigungen fest. Mit einem vierstelligen Code begrenzt du, wer überhaupt anfragen kann.
Google-Dienste. Search Console und Analytics haben je eine eigene Nutzerverwaltung, der Tag Manager ebenso. Du fügst die Mailadresse des Entwicklers mit passender Rolle hinzu, dein Google-Passwort bleibt bei dir.
Domain und DNS. Hier reicht oft, dass du die gewünschten DNS-Einträge selbst setzt, die der Entwickler dir schickt. Das dauert fünf Minuten. Der Zugang zu deiner Domain bleibt dabei vollständig bei dir, und genau dort gehört er auch hin, weil an ihr Website und Mailverkehr hängen.
| Kriterium | Eigenes Konto | Passwort-Manager-Link | Passwort per Mail |
|---|---|---|---|
| Dein Passwort bleibt bei dir | |||
| Nachvollziehbar, wer was geändert hat | |||
| Läuft automatisch ab | |||
| Nach dem Auftrag einfach zu beenden | Passwort ändern | Passwort ändern | |
| Liegt danach im Postfach herum |
Wenn du doch ein Passwort teilen musst
Manche Dienste kennen nur ein einziges Konto. Dann muss das Passwort übermittelt werden, und dafür gibt es bessere Wege als die Mail.
Das BSI hält den Einsatz eines Passwort-Managers in der Regel für lohnend, schon weil er für jedes Konto ein eigenes starkes Passwort möglich macht. Gängige Passwort-Manager können außerdem einzelne Einträge teilen. Bei 1Password lässt sich ein Eintrag per Link teilen, der auf bestimmte Mailadressen beschränkt werden kann. Der Empfänger braucht dafür kein eigenes Konto. Bitwarden bietet mit „Send“ verschlüsselte Links für Texte und Dateien an, die laut Bitwarden-Hilfe nach spätestens 31 Tagen gelöscht werden. Zusätzlich kannst du die Zahl der Abrufe begrenzen und ein Passwort für den Link vergeben.
Hast du keinen Passwort-Manager, ist die zweitbeste Lösung die Trennung der Kanäle. Benutzername und Adresse per Mail, Passwort per SMS oder Telefon. Wer nur eine der beiden Nachrichten abfängt, kann wenig damit anfangen.
Was du in keinem Fall tun solltest: die Zwei-Faktor-Anmeldung abschalten, damit der Entwickler leichter reinkommt. Sie ist oft das Einzige, was zwischen einem geleakten Passwort und einem fremden Zugriff steht.
Datenschutz: wenn der Entwickler Kundendaten sieht
Ein Entwickler mit Admin-Zugang zu deinem Shop sieht Kundennamen und Bestellungen. Damit verarbeitet er personenbezogene Daten in deinem Auftrag, und dafür verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Er regelt unter anderem, dass der Entwickler die Daten nur nach deiner Weisung verarbeitet und vertraulich behandelt.
Das klingt nach viel Papier für einen Auftrag über zwei Stunden. Freelancer, die regelmäßig mit Shops arbeiten, haben dafür manchmal eine fertige Vorlage. Frag danach, bevor du den Zugang anlegst. Wo es möglich ist, ist eine Staging-Kopie mit anonymisierten oder gelöschten Kundendaten ohnehin die bessere Arbeitsumgebung. Dann stellt sich die Frage oft gar nicht.
Wenn das Passwort schon in einer Mail steht
Kein Grund zur Panik. Aber ein Grund, fünf Minuten zu investieren. Ändere das Passwort, sobald der Auftrag abgeschlossen ist. Prüf in der Benutzerverwaltung, ob es Konten gibt, die du nicht kennst. WordPress zeigt unter „Benutzer“ alle Konten mit ihrer Rolle an, viele andere Systeme auch eine Liste aktiver Sitzungen, die du beenden kannst.
Lösch die Mail anschließend aus dem Gesendet-Ordner und bitte den Entwickler, dasselbe zu tun. Ganz verschwunden ist sie damit nicht, Backups der Mailserver gibt es trotzdem. Aber das Passwort darin funktioniert nicht mehr, und darauf kommt es an.
Wenn du dasselbe Passwort noch an anderer Stelle verwendest, etwa für das Mailpostfach, ändere es dort zuerst. Wer dein Mailpostfach übernimmt, kann sich über „Passwort vergessen“ Zugang zu fast allem anderen verschaffen. Auch deshalb empfiehlt das BSI für wichtige Konten, besonders für E-Mail, eine Zwei-Faktor-Anmeldung.
Checkliste: Zugang geben und wieder entziehen
Der zweite Teil wird gern vergessen. Ein Konto, das nach dem Auftrag aktiv bleibt, ist eine offene Tür, auch wenn dem Entwickler niemand etwas Böses unterstellt. Sein Laptop kann gestohlen werden, sein Passwort-Manager kompromittiert.
- Vorher: Backup von Dateien und Datenbank anlegen
- Eigenes Konto mit eigener Mailadresse und passender Rolle anlegen
- Zwei-Faktor-Anmeldung für das neue Konto aktiv lassen
- Bei Kundendaten: Vertrag zur Auftragsverarbeitung abschließen
- Falls ein Passwort geteilt werden muss: Link mit Ablaufdatum
- Nach der Abnahme: Konto löschen oder Rolle zurückstufen
- Anwendungspasswörter, API-Schlüssel und SFTP-Benutzer widerrufen
- Geteilte Passwörter ändern
Das Backup steht absichtlich ganz oben. Wer Zugang gibt, sollte einen Stand haben, auf den er zurückkann. Wie du es anlegst und prüfst, erklärt die Anleitung Website-Backup erstellen. Den Entzug der Zugänge kannst du direkt in dein Abnahmeprotokoll als eigene Zeile aufnehmen, dann vergisst ihn niemand. Wer die Zugänge schon in der Auftragsbeschreibung erwähnt, spart sich außerdem die erste Rückfrage.
Wenn deine Website oder dein Shop so viele Zugänge und Beteiligte hat, dass du selbst den Überblick verlierst, ist das ein Sicherheitsthema für sich. Dafür gibt es Fachleute für Cyber-Sicherheit, die solche Strukturen prüfen und aufräumen.
Fang mit dem nächsten Auftrag an: Leg für den Entwickler ein eigenes Konto an, statt dein Passwort zu schicken, und trag dir in den Kalender ein, es eine Woche nach der Abnahme wieder zu löschen.
Häufige Fragen
Ist es schlimm, ein Passwort einmal per Mail zu schicken?
Es ist vermeidbar. Die Mail liegt danach in mindestens zwei Postfächern, wird gesichert und durchsucht, oft jahrelang. Wenn eines der Postfächer kompromittiert wird, ist das Passwort mit dabei. Ein Link mit Ablaufdatum aus einem Passwort-Manager kostet dieselbe Zeit.
Wie bekommt der Entwickler meinen Zwei-Faktor-Code?
Am besten gar nicht. Mit einem eigenen Konto richtet er seinen eigenen zweiten Faktor ein. Wo das nicht geht, ist ein kurzes Telefonat mit dem Code im richtigen Moment besser, als die Zwei-Faktor-Anmeldung abzuschalten.
Braucht der Entwickler wirklich Admin-Rechte?
Für Plugin-Installationen und Theme-Änderungen in WordPress ja, für das Pflegen von Inhalten nicht. Gib die höchste Rolle nur für die Dauer des Auftrags und stuf das Konto danach zurück oder lösch es.
Brauche ich einen Vertrag zur Auftragsverarbeitung?
Wenn der Entwickler bei der Arbeit auf personenbezogene Daten zugreifen kann, etwa Kundenkonten im Shop oder Formulareinträge, sehr wahrscheinlich ja. Art. 28 DSGVO verlangt dafür einen Vertrag mit festgelegten Inhalten. Frag den Entwickler nach seiner Vorlage, manche haben eine.
