Account-Sicherheit auf Social Media: Hacks verhindern und überstehen

Account-Sicherheit auf Social Media ist für ein Unternehmen ein Problem der Zugriffssteuerung, kein Problem der Passwortstärke. Business-Accounts gehen fast nie verloren, weil jemand ein Passwort knackt — sie gehen verloren durch einen Login, der in einem Chat-Thread geteilt wurde, durch eine Phishing-Nachricht im Gewand einer Plattform-Durchsetzung oder durch eine freie Mitarbeiterin, die im März gegangen ist und im November noch immer Zugriff hat.

Ratschläge für Privatpersonen („nutz einen Passwortmanager, schalt 2FA ein") gehen von einem Account und einem Menschen aus und brechen in dem Moment zusammen, in dem eine zweite Person posten muss. Hier ist die Team-Version: wie du Zugriffe strukturierst, wie Zwei-Faktor funktioniert, wenn mehrere Leute hineinmüssen, und was du in der ersten Stunde tust, wenn du ausgesperrt bist.

Das Anti-Pattern des geteilten Passworts

Das übliche Setup in kleinen Teams und Agenturen: ein Login pro Markenaccount, abgelegt in einem gemeinsamen Dokument, einer angepinnten Slack-Nachricht oder im Kopf des Gründers. Es scheitert auf vorhersehbare Weise.

• Keine Nachvollziehbarkeit. Wenn etwas live geht, das nicht hätte live gehen sollen, hat „wer hat das gepostet?" keine Antwort. Niemand lügt — der Account kann es dir wirklich nicht sagen.
• Offboarding wird zum Rotationsmarathon. Eine Person geht, und du setzt jedes Passwort zurück, das sie je gesehen hat, plus jedes Tool, in das diese Zugangsdaten eingetippt wurden.
• Zwei-Faktor wird sabotiert. Codes gehen an ein Telefon, diese Person sitzt im Flugzeug, und der Workaround heißt: 2FA abschalten oder die Codes in ein Postfach umleiten, das alle lesen. Jeder Workaround ist schlimmer als der vorherige.
• Plattformen halten es für verdächtig. Logins aus fünf Städten in einer Woche sehen exakt aus wie eine Übernahme, also wirst du von deinen eigenen Schutzmechanismen geprüft oder ausgesperrt.

Die Lösung ist kein besseres geteiltes Passwort — sie besteht darin, gar keins mehr zu teilen. Auf jeder Plattform, die Rollen pro Person unterstützt, ist das Passwort eine Zugangsberechtigung für den Notfall, die ein oder zwei Personen halten; alle anderen arbeiten über ihren eigenen Account.

Wer tatsächlich ohne Passwort arbeiten kann

Nativer Mehrbenutzerzugriff unterscheidet sich stark von Plattform zu Plattform. So sieht es Stand November 2025 aus — prüf es im Account nach, bevor du einen Workflow darauf aufbaust.

Wo es Rollen gibt, ist ein geteiltes Passwort eine Entscheidung und keine Notwendigkeit — bring diese Accounts noch diese Woche in Ordnung, vergib dabei die schmalste Rolle, die den Job erledigt, und kartiere das gemeinsam mit deiner Social-Media-Teamstruktur und den Rollen, damit du die Arbeit nur einmal machst. Überall sonst bleibt dir am Ende ein einziger echter Login, und die Frage wird, wie du den schützt.

Zwei-Faktor, wenn fünf Leute Zugriff brauchen

Schalte es überall ein. Und kümmer dich dann um den Teil, den niemand erklärt.

Nimm lieber eine Authenticator-App als SMS. SMS-Codes lassen sich über SIM-Swapping abfangen, und die Nummer gehört einer Person, die gehen kann. Wo SMS die einzige Option ist, nimm eine Nummer, die dem Unternehmen gehört.

Bei Accounts mit tatsächlich nur einem Login: Leg den TOTP-Seed in den Passwortmanager des Teams, nicht auf ein einzelnes Telefon. Jeder ernstzunehmende Passwortmanager erzeugt zeitbasierte Codes aus einem geteilten Vault-Eintrag, und genau das ist die Änderung, die Teams davon abhält, 2FA aus Frust abzuschalten: Jede berechtigte Person kann einen Code erzeugen, das Geheimnis wandert nie durch einen Chat, und Zugriff entziehen heißt schlicht, die Person aus dem Vault zu entfernen. Leg die Backup-Codes ebenfalls dort ab, als separaten Break-Glass-Eintrag.

Hardware-Keys für Accounts auf Inhaberebene. Das persönliche Facebook-Profil mit Admin-Rechten über deine Pages und der Google-Account, dem der YouTube-Kanal gehört, sind die Kronjuwelen.

Die Wiederherstellungs-E-Mail ist der eigentliche Generalschlüssel. Wer sie kontrolliert, kontrolliert jeden Account, den sie zurücksetzen kann. Mach daraus eine unternehmenseigene Adresse mit eigener 2FA — kein privates Gmail des Freelancers, der die Sache vor Jahren aufgesetzt hat, und nicht das Team-Postfach, das sechs Leute lesen. Dasselbe gilt für die Telefonnummer zur Wiederherstellung.

Verbundene Apps: der Zugriff, den du vergeben und vergessen hast

Jedes Tool, das du je ausprobiert hast, hält eine aktive Autorisierung, bis du sie widerrufst. Geh die Liste der Drittanbieter-Zugriffe quartalsweise durch und widerrufe alles, was du nicht benennen kannst.

Trenn dabei zwei sehr unterschiedliche Dinge. Offizielle OAuth-Verbindungen — du klickst dich durch den Zustimmungsdialog der Plattform, das Tool erhält ein Token mit begrenztem Umfang — sind das sichere Muster, mit einem Klick auf Plattformseite widerrufbar. Tools, die dich auffordern, Benutzernamen und Passwort in ihre eigene Oberfläche einzutippen, sind das gefährliche Muster, besonders in der Engagement-Bot-Kategorie, die was Instagram-Automatisierung sicher leisten kann und was nicht behandelt: Sie übergeben deinen Account an einen Dienst, den du nicht prüfen kannst, und die Durchsetzung trifft dich.

Genau hier verdient ein Scheduler seinen Platz aus Sicherheits- und nicht aus Bequemlichkeitsgründen. Wenn du jeden Account über den offiziellen OAuth-Flow verbindest, veröffentlichen Teammitglieder auf allen elf Plattformen, ohne ein Plattform-Passwort zu halten — sie halten stattdessen einen Platz im Scheduler, und die Pläne Team und Enterprise von SocialKit ergänzen Freigabe-Workflows, sodass eine Junior-Kraft entwirft und eine Senior-Kraft freigibt, ohne dass eine von beiden Zugangsdaten anfasst. Jemanden zu entfernen ist eine Änderung im Workspace; die Passwörter sind nie gewandert, es gibt also nichts, was über elf Accounts hinweg rotiert werden müsste.

Eine ehrliche Einschränkung: Ein Scheduler ist kein Schutzwall für alles. SocialKit veröffentlicht und berichtet — keine Unified Inbox, keine Warteschlange zur Kommentar-Moderation, kein Social Listening — also bleiben DMs, Kommentar-Threads und Fake-Accounts, die dich imitieren, Arbeit direkt in den Apps. Was vom Tisch kommt, ist das Passwort fürs Veröffentlichen.

Phishing ist der Weg, auf dem Accounts tatsächlich übernommen werden

Die realistische Bedrohung ist eine überzeugende Nachricht, und Social-Media-Teams sind ungewöhnlich exponiert, weil es ihr Job ist, den ganzen Tag unaufgeforderte Pitches zu empfangen. Die wiederkehrenden Formate: eine Meldung über „Urheberrechtsverstoß, Einspruch innerhalb von 24 Stunden" von einer Lookalike-Domain; eine Marken-Kooperations-DM mit Vertragslink oder einer Datei zum Herunterladen; ein „Meta Business Support"-Chat, der eine Login-Seite öffnet. Dringlichkeit plus Login-Seite ist jedes Mal das verräterische Zeichen.

1. Authentifiziere dich nie über einen Link. Ruf die Plattform selbst auf und schau im In-App-Support oder im Bereich zum Kontostatus nach. Echte Durchsetzungsmeldungen erscheinen dort.
2. Öffne nie eine Datei aus einem ungeprüften Pitch auf einem Gerät mit Account-Zugriff.
3. Mach das Melden eines Fehlers konsequenzfrei. Der Schaden entsteht in den Stunden zwischen dem Klick und dem Geständnis. Sag laut und deutlich, dass sofortiges Melden das Richtige ist und niemand dafür Ärger bekommt.

Diese Regeln gehören schriftlich neben deine Zugriffsregeln — der Leitfaden zur Social-Media-Richtlinie für Unternehmen zeigt, wo sie hingehören, und deine Social-Media-SOP ist der Ort, an dem „wer prüft wann die Liste der verbundenen Apps" terminiert wird.

Die erste Stunde, wenn du ausgesperrt bist

Druck das aus. Arbeite es der Reihe nach ab.

1. Prüf zuerst das E-Mail-Konto. Angreifer nehmen sich meist das Postfach vor dem Social-Account, weil es alles andere zurücksetzt. Ändere das Passwort, widerrufe Sitzungen und kontrollier Weiterleitungsregeln und alternative Wiederherstellungsadressen — eine stille Weiterleitung ist der übliche Folgezug.
2. Nutz eine andere Admin-Person. Ein zweiter, nicht kompromittierter Page- oder Kanal-Admin kann die Rolle des Eindringlings oft schneller entziehen als jede Support-Warteschlange. Rollenbasierter Zugriff ist eine Wiederherstellungsstrategie, nicht nur Hygiene.
3. Hol den Zugang von einem Gerät zurück, das bereits eingeloggt war — zuvor genutzte Geräte schneiden in den Wiederherstellungsprozessen der Plattformen deutlich besser ab als ein frischer Browser. Beende danach alle anderen Sitzungen, wechsle das Passwort und erzeuge 2FA neu.
4. Pausiere deine Queue. Geplante Promotions, die in einen gekaperten Account veröffentlichen, sind ein schlechtes Bild, das du nicht brauchst, und ein sichtbarer Kalender macht daraus eine Zwei-Minuten-Aufgabe.
5. Warne die Leute über einen Kanal, den du noch kontrollierst. Ein kurzes „wir haben den Zugriff auf diesen Account verloren, klickt keine Links von dort" auf einer anderen Plattform und in deinem E-Mail-Verteiler verhindert, dass dein Publikum in deinem Namen betrogen wird. Führe das als laufenden Vorfall mit benannter verantwortlicher Person und Protokoll, wie im Krisenmanagement in Social Media.
6. Halte Zeitstempel und Belege fest — Support-Formulare fragen danach, und vage Antworten bremsen dich aus.
7. Wenn Werbekonten oder Zahlungsmittel hinterlegt sind, entferne das Zahlungsmittel und informiere den Kartenherausgeber. Gekaperte Business-Accounts werden schnell als Werbebudget zu Geld gemacht.

Rechne damit, dass die Wiederherstellung Tage dauert, nicht Stunden. Der stärkste Faktor für das Tempo ist deine Fähigkeit, Eigentümerschaft nachzuweisen: eine Admin-Person, die noch Zugriff hat, ein Gerät, das noch eingeloggt ist, eine E-Mail-Adresse, die du kontrollierst — und all das muss vor dem Vorfall existieren.

Agenturen tragen eine zweite Ebene: Halte Kundenzugangsdaten niemals als geteilte Logins. Fordere rollenbasierten Zugriff schon beim Client-Onboarding an und halte das Zugriffsregister aus mehrere Social-Media-Kunden managen aktuell, damit du genau sagen kannst, was du hattest, falls ein Kunde kompromittiert wird.

Fang hier an: eine Basis in einer Woche

Du brauchst kein Sicherheitsprogramm. Du brauchst diese Dinge einmal erledigt und danach quartalsweise überprüft.

• Tag 1 — Inventur. Jeder Markenaccount, wer wie Zugriff hat, inklusive der persönlichen Profile mit Admin-Rechten, der Wiederherstellungs-E-Mail und der Telefonnummer zur Wiederherstellung.
• Tag 1 — Verleg die Wiederherstellungs-E-Mail auf eine unternehmenseigene Adresse mit eigener 2FA und einer kurzen Zugriffsliste.
• Tag 2 — Stell jede rollenfähige Plattform auf Rollen um: Meta Business Suite, LinkedIn-Page-Admins, YouTube-Berechtigungen, Google-Business-Profile-Manager. Die schmalste Rolle, die funktioniert.
• Tag 2 — 2FA überall, Authenticator-App statt SMS, Hardware-Keys auf Accounts der Inhaberebene.
• Tag 3 — Bau den gemeinsamen Vault für Accounts, die wirklich nur einen Login haben: Passwort, TOTP-Seed, Backup-Codes, ein Eintrag pro Account.
• Tag 4 — Prüfe die verbundenen Apps und widerrufe alles, was du nicht benennen kannst. Ersetze jedes Tool, das nach dem Passwort selbst gefragt hat.
• Tag 5 — Schreib zwei Seiten: die Zugriffsregeln (wer hält was, was beim Offboarding passiert) und die Aussperr-Übung von oben.

Setz danach die Quartalsprüfung an: Zugriffsliste erneut lesen, entziehen, was veraltet ist, Backup-Codes neu erzeugen, bestätigen, dass die Wiederherstellungs-E-Mail noch jemandem gehört, der hier arbeitet.

FAQ

Wie gibst du einem Freelancer am sichersten Zugriff?

Über Plattformrollen, wo es sie gibt, beschränkt aufs Veröffentlichen, plus einen Platz in deinem Scheduler statt echter Logins. Sie halten nie Zugangsdaten, ihre Aktivität ist zuordenbar, und sie am Ende des Auftrags zu entfernen ist eine einzige Handlung statt einer Runde Passwort-Resets.

Sollten Solo-Creator sich damit überhaupt beschäftigen?

Ja, mit einer kürzeren Liste: 2FA per Authenticator-App, eine unternehmenseigene Wiederherstellungs-E-Mail, die du getestet hast, offline gespeicherte Backup-Codes, ein Quartals-Check der verbundenen Apps. Solo-Betreibende sind stärker exponiert, nicht weniger, weil es keine zweite Admin-Person gibt, die den Account für sie zurückholt — ein Unterschied zwischen Solo- und Team-Setups, der sich am schlimmsten Tag am deutlichsten zeigt.

Verbessert ein Freigabe-Workflow die Sicherheit?

Indirekt, und spürbar. Ein zweites Paar Augen vor der Veröffentlichung bedeutet, dass ein kompromittierter oder unachtsamer Account nichts allein live schieben kann, und es hält fest, wer was freigegeben hat. Bau das in deinen Content-Freigabe-Workflow ein, statt eine separate Kontrolle danebenzustellen.