Hände tippen auf einer Laptoptastatur an einem hellen Schreibtisch

Wer hat die Schlüssel zu deiner Website? Domain-Inhaber ermitteln und Zugänge prüfen

Die Website läuft, bis jemand etwas ändern muss. Die Domain soll zu einem anderen Anbieter, ein Postfach braucht ein neues Passwort, im Google-Profil stehen noch die alten Öffnungszeiten. Dann stellt sich heraus: Der Webdesigner, der das alles eingerichtet hat, ist nicht mehr erreichbar, und im Unternehmen kennt niemand das Hosting-Passwort.

Das Passwort ist dabei das kleinere Problem. Passwörter lassen sich zurücksetzen. Die Frage ist nur, für wen. Viele Anbieter schicken den Weg zurück ins Konto an eine hinterlegte Wiederherstellungsadresse, andere verlangen Nachweise vom Vertragspartner oder Inhaber. Gehören diese Angaben dem früheren Dienstleister, landet die Rücksetzmail bei ihm.

Hier steht, wie du den Domain-Inhaber ermittelst, wo du für Hosting, Google-Unternehmensprofil, Analytics, E-Mail, Website-Backend und Social-Media-Konten nachsiehst, in welcher Reihenfolge du fehlende Zugänge zurückholst und welche Wartezeiten die Anbieter selbst nennen.

In diesem Beitrag

Ein Passwort ist kein Schlüssel

Für jeden Baustein einer Website gibt es zwei Arten von Zugang, und sie werden ständig verwechselt. Die eine ist das Login: Benutzername, Passwort, vielleicht ein Code aufs Handy. Die andere ist die Inhaberschaft: auf wessen Namen der Vertrag läuft, wer im Konto die höchste Rolle hat und an welche Adresse ein Anbieter schreibt, wenn das Login verloren ist. Wer nur das Login hat, kann arbeiten. Wer die Inhaberschaft hat, entscheidet, auch über den Kopf aller anderen hinweg. Vertragspartner, höchste Rolle und Wiederherstellungsadresse können dabei bei drei verschiedenen Personen liegen, deshalb prüfst du sie getrennt.

Wie ernst die Anbieter diesen Unterschied nehmen, zeigen zwei Beispiele. Bei Microsoft 365 ist laut Microsoft die Person, die das Abonnement erworben und sich für die Dienste registriert hat, automatisch globaler Administrator. Hat der Webdesigner das Postfachpaket für dich gebucht, hält er damit die höchste Rolle. Und bei einer .de-Domain schickt die Registrierungsstelle DENIC den Code für einen Anbieterwechsel per Einschreiben an die Anschrift, die beim Domaininhaber hinterlegt ist, wenn der bisherige Anbieter nicht mitwirkt (DENIC, Providerwechsel). Ein Passwort, das im Büro auf einem Zettel steht, ändert an beidem nichts.

Die eigentliche Prüffrage

Nicht „Haben wir das Passwort?“, sondern „Auf wessen Namen läuft das Konto, und an wen geht die Wiederherstellung?“ Lautet die Antwort bei einem Baustein nicht auf dein Unternehmen, liegt der Schlüssel woanders.

Der Fünf-Minuten-Test: fünf Bausteine, fünf Prüforte

Fünf Minuten reichen, wenn du dich überall selbst anmelden kannst. Kommst du an einer Stelle nicht hinein, ist genau das der wichtigste Befund des Tests. Notiere für jeden Baustein vier Dinge: den Anbieter, den Vertragspartner oder eingetragenen Inhaber, die Personen mit der höchsten Rolle und die Adresse, an die die Wiederherstellung geht.

1. Domain-Inhaber ermitteln: wer im Register steht

Für .de-Domains ist DENIC die neutrale Stelle. Seit dem 6. Dezember 2025 gelten neue gesetzliche Vorgaben, nach denen die Domainabfrage auf denic.de bei juristischen Personen, also etwa einer GmbH, künftig wieder Name, Anschrift, E-Mail-Adresse und Telefonnummer des Domaininhabers ausgibt (DENIC Blog). Was die Abfrage bei deiner Domain heute zeigt, siehst du direkt auf denic.de. Bei natürlichen Personen, dazu zählt rechtlich auch, wer ein Einzelunternehmen führt, siehst du nur das Registrierungsdatum und das DENIC-Mitglied, über das die Domain verwaltet wird. Deine eigenen Daten bekommst du trotzdem: Du gibst die hinterlegte Postleitzahl oder E-Mail-Adresse ein, und DENIC schickt einen zeitlich begrenzten Abruflink an die hinterlegte Adresse.

Richtig ist es, wenn dort dein Unternehmen mit aktueller Post- und E-Mail-Anschrift steht. Die Anschrift ist kein Detail, denn an sie geht im Ernstfall der Brief mit dem Wechselcode, und an sie schreibt DENIC auch, wenn sich kein Anbieter mehr um die Domain kümmert. Steht dort der Name der Webagentur, ist im Register nicht dein Unternehmen Domaininhaber. Bei .com und anderen generischen Endungen heißt die Rolle Registrant, und Auskunft gibt der Registrar, bei dem die Domain liegt.

Prüfe bei der Gelegenheit, wo die DNS-Einträge der Domain verwaltet werden. Meist ist das der Anbieter, bei dem die Domain liegt, es kann aber auch ein eigener DNS-Dienst sein. Wer dort Einträge setzen darf, hält einen Schlüssel, den mehrere Rückholwege weiter unten voraussetzen.

2. Hosting: wer den Vertrag hat

Für das Hosting gibt es kein öffentliches Register. Die Rechnung liefert einen ersten Hinweis. Entscheidend sind der Vertrag und die hinterlegten Kundenkontodaten, denn wer bezahlt, wer die Rechnung bekommt und wer Vertragspartner ist, muss nicht dieselbe Person sein. Prüfe deshalb zusätzlich, wer bezahlt und wer die Rechnungen erhält.

Warum das zählt, zeigen die Hilfeseiten der Anbieter. Bei STRATO braucht eine Vertragsübergabe die unterschriebene Abtrittserklärung des bisherigen Vertragspartners und die Einverständniserklärung des neuen. Bei IONOS geht bei einem Inhaberwechsel das Kundenkonto mit allen Rechten und Pflichten auf den neuen Inhaber über, die Kontaktdaten der Domains werden dort getrennt geändert. Für den Fall, dass der bisherige Vertragspartner nicht mitwirkt, beschreiben beide Hilfeseiten keinen Weg (Stand Oktober 2026).

3. Google-Unternehmensprofil: Inhaber oder nur Administrator

Im Profil öffnest du über das Dreipunkt-Menü die Einstellungen für das Unternehmensprofil und dort Personen und Zugriff. Google unterscheidet Inhaber und Administratoren, und unter den Inhabern ist genau eine Person primärer Inhaber. Administratoren können im Wesentlichen dasselbe wie Inhaber, also Öffnungszeiten ändern, auf Rezensionen antworten, Fotos hochladen. Zwei Dinge dürfen sie nicht: Nutzer hinzufügen oder entfernen und das Profil löschen.

Richtig ist es, wenn eine Person aus deinem Unternehmen primärer Inhaber ist, mit einem Google-Konto, das zur Firma gehört. Eine Agentur, die das Profil pflegt, kommt mit der Rolle Administrator aus. Was im Profil für die Sichtbarkeit zählt, steht im Beitrag über die Ranking-Signale im Google-Unternehmensprofil.

4. Google Analytics: wer Administrator ist

In Google Analytics findest du die Nutzer unter Verwaltung, Konto, Zugriffsverwaltung für Konto. Die höchste Rolle heißt Administrator, darunter folgen Bearbeiter, Werbetreibender, Analyst und Betrachter. Nur Administratoren verwalten Nutzer.

Richtig ist es, wenn mindestens eine Person aus deinem Unternehmen Administrator auf Kontoebene ist. Siehst du das Konto gar nicht, obwohl die Website Daten sendet, läuft die Messung über ein Konto, auf das du keinen Zugriff hast.

5. E-Mail: wer die Postfächer verwaltet

Bei E-Mail-Adressen an der eigenen Domain hängt die Prüfung davon ab, wo die Postfächer liegen. Das verrät der MX-Eintrag der Domain, den jedes DNS-Abfragetool anzeigt. Läuft die Mail über Microsoft 365, siehst du im Microsoft 365 Admin Center unter Rollenzuweisungen, wer globaler Administrator ist. Bei Google Workspace steht die Verwaltung in der Admin-Konsole. Liegen die Postfächer beim Hoster, gilt dasselbe wie beim Hosting: Entscheidend ist, wer den Vertrag hat. Domain, DNS und Postfächer können bei drei verschiedenen Anbietern liegen, wer die Domain hat, verwaltet deshalb nicht automatisch die Mail.

Richtig ist es, wenn die höchste Rolle bei deinem Unternehmen liegt und eine zweite Person sie im Notfall wiederherstellen kann. Microsoft empfiehlt ausdrücklich, mindestens einen Administrator für privilegierte Authentifizierung zu haben, falls ein globaler Administrator aus seinem Konto ausgesperrt ist.

Baustein Wo du nachsiehst Richtig ist es, wenn
Domain Domainabfrage auf denic.de, bei eigener Domain die Selbstauskunft dein Unternehmen Inhaber ist, mit aktueller Anschrift
Hosting Vertrag und Kundenkonto des Hosters, Rechnung als Hinweis der Vertrag auf dein Unternehmen läuft
Google-Unternehmensprofil Einstellungen für das Unternehmensprofil, Personen und Zugriff jemand aus deinem Unternehmen primärer Inhaber ist
Google Analytics Verwaltung, Konto, Zugriffsverwaltung für Konto jemand aus deinem Unternehmen Administrator ist
E-Mail MX-Eintrag, dann Admin Center des Mailanbieters die höchste Rolle bei deinem Unternehmen liegt, mit Vertretung

Drei Schlüssel, die oft vergessen werden

Die fünf Bausteine oben entscheiden, ob deine Website erreichbar bleibt. Drei weitere entscheiden, ob du an ihr arbeiten und sie messen kannst.

Website-Backend: wer in WordPress Administrator ist

In WordPress siehst du unter Benutzer, Alle Benutzer jedes Konto, über der Tabelle lässt sich nach der Rolle Administrator filtern. Administratoren haben laut WordPress-Dokumentation Zugriff auf alle Verwaltungsfunktionen einer Website. Daneben gibt es eine zweite Stelle, die selten jemand prüft: Unter Einstellungen, Allgemein steht die Administrative E-Mail-Adresse. An sie gehen die Hinweise für administrative Zwecke. Ändern lässt sie sich nur mit Bestätigung, WordPress schickt dafür eine Mail an die neue Adresse, und erst nach dem Klick auf den Link ist sie aktiv.

Richtig ist es, wenn mindestens eine Person aus deinem Unternehmen ein eigenes Administratorkonto hat und die Administrative E-Mail-Adresse eine Adresse deines Unternehmens ist. Für den Indexierungs-Check etwa ist ein Adminzugang zum Backend die erste Voraussetzung. Prüfe zusätzlich, auf wen kostenpflichtige Themes und Plugins lizenziert sind. Ob Updates ohne gültige Lizenz weiterlaufen, regelt jeder Anbieter selbst.

Google Search Console: bestätigter oder delegierter Inhaber

Die Search Console kennt zwei Arten von Inhabern. Bestätigte Inhaber weisen sich über ein Token aus, etwa eine HTML-Datei auf dem Webspace oder einen DNS-Eintrag. Delegierte Inhaber bekommen ihren Status von einem bestätigten Inhaber. Du siehst beide unter Einstellungen, Nutzer und Berechtigungen.

Willst du einen früheren Dienstleister entfernen, reicht es nicht, seine Zugriffsrechte aufzuheben. Sein Token muss auch von der Website verschwinden, sonst kann er sich erneut bestätigen. Wie die Bestätigung grundsätzlich funktioniert, zeigt der Leitfaden zur Google Search Console.

Social-Media-Konten: in wessen Business-Portfolio die Seite liegt

Bei Facebook und Instagram ist die Frage nicht, wer posten darf, sondern in welchem Business-Portfolio die Seite liegt. Meta unterscheidet zwischen uneingeschränkter Kontrolle und eingeschränktem Zugriff. Wer uneingeschränkte Kontrolle über ein Asset hat, kann laut Meta alles verwalten, aber das Asset nicht mit einem anderen Unternehmen teilen: Das kann nur die Organisation, der es gehört. Liegt deine Seite im Portfolio der Agentur, gehört sie in diesem Sinn der Agentur, egal wie viele Rechte du auf deinem eigenen Konto hast.

Richtig ist es, wenn Seite und Werbekonto im Business-Portfolio deines Unternehmens liegen und die Agentur als Partner Zugriff bekommt. Meta hat dafür einen eigenen Weg: In der Meta Business Suite unter Einstellungen, Nutzer, Partner gibst du einem Partner Zugriff auf deine Assets, mit uneingeschränkter Kontrolle oder nur für bestimmte Aufgaben. Wenn wir Kanäle im Social Media Management übernehmen, gehört das Aufsetzen zu jedem Paket, und das ist der Moment, an dem diese Zuordnung entschieden wird.

Bei LinkedIn heißt die höchste Rolle einer Unternehmensseite Super-Admin, darunter gibt es Content-Admin und Analyst (LinkedIn-Hilfe). Fehlt dir der Zugang, kannst du Admin-Zugriff anfordern. Voraussetzung sind die aktuelle Position im eigenen Profil und eine bestätigte Unternehmens-E-Mail-Adresse. Wird die Seite aktiv verwaltet, müssen die amtierenden Super-Admins die Anfrage genehmigen. Wer im Team diese Rollen sicher bedienen will, findet die Plattformen einzeln in unseren Social-Media-Schulungen.

Erst Domain und Webspace, dann der Rest

Fehlt mehr als ein Zugang, entscheidet die Reihenfolge. Der Grund ist eine Gemeinsamkeit der Rückholwege: Mehrere Anbieter erkennen dich nicht an deinem Namen, sondern daran, dass du an der Domain oder auf dem Webspace etwas ändern kannst.

  • Google Workspace: Wer seinen Administrator nicht erreicht, bestätigt die Domain über einen CNAME- oder TXT-Eintrag beim Domainhost. Bis der Eintrag übernommen ist, können laut Google bis zu 24 Stunden vergehen. Danach wendet sich Google an die bisherigen Administratoren.
  • Google Analytics: Hat niemand mehr Administratorzugriff, verlangt Google eine Datei namens analytics.txt auf der Domain, mit einem festen Text samt E-Mail-Adresse und Mess-ID. Lässt die Website keinen Dateiupload zu, geht derselbe Text als Meta-Tag. Für beides brauchst du Zugriff auf den Webspace oder die Website. Sind Google Ads oder AdSense verknüpft, verlangt Google zusätzlich Nachweise zu diesen Konten, etwa Angaben zur letzten Zahlung und zur Rechnungsadresse.
  • Google Search Console: Der Nachweis als bestätigter Inhaber läuft über ein Token, als HTML-Datei auf dem Webspace oder als DNS-Eintrag.

Wer Domain und Webspace kontrolliert, kann diese Nachweise selbst erbringen. Wer sie nicht kontrolliert, steckt an jeder dieser Stellen fest. Deshalb kommen Domain und Hosting zuerst, auch wenn das Google-Profil gerade dringender wirkt. Eine Ausnahme ist das Google-Unternehmensprofil selbst: Es hängt nicht an der Domain, sondern an einem Antrag bei Google, und diesen Antrag kannst du parallel stellen. LinkedIn hängt nur mittelbar daran: Dort brauchst du eine bestätigte Unternehmens-E-Mail-Adresse, also in der Regel ein funktionierendes Postfach an deiner Firmendomain.

Schaubild: Domain und Webspace stehen am Anfang. Über einen DNS-Eintrag an der Domain lassen sich Google Workspace und die Search Console zurückholen, über eine Datei auf dem Webspace Google Analytics und ebenfalls die Search Console. Das Google-Unternehmensprofil läuft getrennt über einen Antrag bei Google.
Welcher Zugang welchen anderen freischaltet. Eigene Darstellung nach den Hilfeseiten von Google, Stand Oktober 2026.

Bei Google Analytics kommt eine Bedingung dazu. Google gewährt den Zugriff nur, wenn du die Inhaberschaft für alle Websites nachweist, die im Analytics-Konto hinterlegt sind. Hat ein Dienstleister die Websites mehrerer Kunden in einem Konto gesammelt, kannst du diesen Nachweis nicht für alle erbringen. Daraus folgt: Der Weg ist verschlossen, es bleibt eine neue Property, und die bisherigen Daten liegen weiter in einem Konto, das du nicht öffnen kannst.

Wenn niemand mehr für die Domain bezahlt

Ein Fall läuft ganz ohne Streit ab und wird deshalb leicht übersehen: Der Webdesigner gibt sein Geschäft auf oder kündigt die Domain bei seinem Anbieter, und niemand merkt es. Für .de-Domains hat DENIC dafür das TRANSIT-Verfahren. Wird eine Domain nicht mehr von einem Anbieter verwaltet, wird sie nicht sofort gelöscht, und während des Verfahrens kann sie niemand anderes registrieren. DENIC schreibt dem Domaininhaber einen Brief mit einem persönlichen Passwort und den nächsten Schritten.

1 Monat

So lange hat der Domaininhaber im TRANSIT-Verfahren Zeit, sich zu entscheiden. Das genaue Datum steht im Brief. Quelle: DENIC, TRANSIT Service

Der Inhaber hat laut DENIC drei Möglichkeiten: die Domain mit einem Providerwechsel-Passwort zu einem neuen Anbieter geben, sie löschen lassen oder sie gegen Gebühr bei DENICdirect verwalten lassen. Wechsel oder Löschung innerhalb der Frist sind bei DENIC kostenfrei. DENICdirect stellt aber weder E-Mail-Konten noch Webspace bereit. Die Domain bleibt dann erhalten, Website und Postfächer brauchen trotzdem einen neuen Anbieter.

Reagiert der Inhaber nicht in der Frist und zahlt auch nicht für DENICdirect, kündigt DENIC den Domainvertrag fristlos und löscht die Domain. Kommt der Brief gar nicht erst an, weil die Postanschrift veraltet ist, geht die Kündigung an die hinterlegte E-Mail-Adresse, und die Domain wird ebenfalls gelöscht. Steht im Register eine alte Adresse oder die des Dienstleisters, erreicht dich die einzige Warnung nicht.

Ablauf einer Rückholung: welche Wartezeiten die Anbieter nennen

Der folgende Ablauf ist ein Modell, kein Kundenfall. Er setzt die Schritte so zusammen, wie die Anbieter sie dokumentieren. Die Ausgangslage: Dein Unternehmen ist als Domaininhaber eingetragen, der frühere Dienstleister hält aber Hosting, Google-Profil, Analytics und das Microsoft-365-Konto und antwortet nicht.

Schritt Was passiert Dokumentierte Wartezeit
1. Domain umziehen Ein neuer Anbieter beantragt den Wechselcode bei DENIC, DENIC schickt ihn per Einschreiben an die Inhaberanschrift Postweg, der Code verfällt nach 30 Tagen
2. Website neu aufsetzen Ohne Zugriff auf den alten Webspace fehlt der vollständige Export aus Dateien und Datenbank. Vorher eigene Sicherungen, Hilfe des Hosters und Rechte an Texten und Bildern klären. Die öffentliche Seite hilft beim Nachbau, ersetzt den Export aber nicht keine dokumentiert, hängt an Sicherung, Hoster oder Neubau
3. Google-Profil Zugriff anfordern, der bisherige Inhaber wird benachrichtigt 3 Tage Antwortfrist, danach 7 Tage Sperre für neue Inhaber
4. Google Analytics analytics.txt hochladen, Formular an Google senden keine Frist dokumentiert
5. Microsoft 365 Übernahme per DNS-Eintrag ist nur für nicht verwaltete Verzeichnisse dokumentiert für ein laufendes Abonnement keine offizielle Anleitung gefunden

Zwei Einzelheiten stecken im Google-Profil. Reagiert der bisherige Inhaber drei Tage lang nicht, kannst du über die Bestätigungsmail selbst Anspruch auf das Profil erheben. Google schreibt aber dazu, dass diese Option nicht immer verfügbar ist. Und wer neu Inhaber oder Administrator wird, darf laut Google sieben Tage lang keine anderen Inhaber entfernen und sich nicht zum primären Inhaber machen.

Eine Modellrechnung aus diesen Angaben, gültig nur für diesen Weg über eine neue Aufnahme ins Profil: Drei Tage Antwortfrist plus sieben Tage Sperre ergeben mindestens zehn Tage, bis du beim Google-Profil den früheren Dienstleister entfernen kannst, vorausgesetzt, die Option zum Anspruch erscheint überhaupt. Für Domain, Analytics und Microsoft 365 nennen die Anbieter keine Gesamtdauer. Dort bestimmen Post, Support und die Mitwirkung anderer das Tempo. Wer für die ganze Rückholung eine Woche einplant, plant allein für das Google-Profil zu knapp.

Wenn die Domain nicht auf dein Unternehmen läuft

Dann hilft kein Formular. Der Wechselcode geht an die eingetragene Anschrift, also an den früheren Dienstleister, und ohne Domain bleiben auch Workspace, Analytics und Search Console verschlossen. Der einfache Weg ist ein Inhaberwechsel mit seiner Mitwirkung über den bisherigen Anbieter. Verweigert er sie oder ist er nicht erreichbar, gehört der Fall zu einer Anwältin oder einem Anwalt.

DENIC bietet für solche Streitfälle den DISPUTE-Eintrag. Eine Domain mit diesem Eintrag kann ihr Inhaber weiter nutzen, aber nicht an jemand anderen übertragen. Voraussetzung sind eigene Namens- oder Markenrechte und bereits eingeleitete Schritte gegen den Domaininhaber. Der Eintrag gilt zunächst ein Jahr und lässt sich verlängern. Ob deine Rechte dafür reichen, klärt die anwaltliche Prüfung. Bis dahin hilft es, alles zu sichern, was die Zusammenarbeit belegt: Angebot, Rechnungen und die E-Mails, in denen die Einrichtung beauftragt wurde.

Die Übergabeliste für den Dienstleisterwechsel

Am einfachsten holst du Zugänge zurück, solange der bisherige Dienstleister noch erreichbar ist und die Zusammenarbeit freundlich endet. Dann geht es nicht um Fristen, sondern um eine vollständige Liste. Diese acht Punkte gehören in die Übergabe, am besten schriftlich und mit Datum.

  1. Domain: Inhaberwechsel auf dein Unternehmen, falls nötig, und das Providerwechsel-Passwort, wenn die Domain zu einem neuen Anbieter zieht.
  2. Hosting: Vertragsübergabe auf dein Unternehmen oder, vor jeder Kündigung, eine vollständige Sicherung aus Dateien und Datenbank.
  3. WordPress: ein eigenes Administratorkonto für dein Unternehmen und die Administrative E-Mail-Adresse auf eine Firmenadresse. Erst danach wird das Konto des Dienstleisters entfernt oder herabgestuft.
  4. Lizenzen: Liste der kostenpflichtigen Themes und Plugins mit dem Konto, auf das sie lizenziert sind.
  5. Google-Unternehmensprofil: primäre Inhaberschaft übertragen. Das kann nur der bisherige primäre Inhaber. Die Sperre von sieben Tagen betrifft Personen, die gerade erst als Inhaber oder Administrator hinzugefügt wurden. Wer rechtzeitig eingetragen ist, wartet nicht noch einmal.
  6. Analytics und Search Console: Administratorrolle und bestätigte Inhaberschaft auf eine Person aus deinem Unternehmen, danach das Token des Dienstleisters von der Website entfernen.
  7. E-Mail: globale Administratorrolle an dein Unternehmen, danach neue Passwörter für alle Postfächer, die der Dienstleister kannte. Prüfe dabei auch aktive Sitzungen, Weiterleitungen und Wiederherstellungsadressen, denn ein neues Passwort allein beendet nicht jeden alten Zugriff.
  8. Social Media: Seiten und Werbekonten ins eigene Business-Portfolio, der Dienstleister als Partner. Bei LinkedIn ein Super-Admin aus deinem Unternehmen.

Besser noch steht diese Liste nicht am Ende einer Zusammenarbeit, sondern am Anfang. Wer einen Auftrag vergibt, kann im Angebot festhalten lassen, auf wessen Namen die Konten angelegt werden und was bei Vertragsende übergeben wird. Ob eine solche Vereinbarung rechtlich ausreicht, beurteilt im Zweifel eine Anwältin oder ein Anwalt.

Was der Dienstleister behalten darf

Die naheliegende Gegenposition lautet: Der Dienstleister braucht die Zugänge, sonst kann er nicht arbeiten, und ein Unternehmen ohne eigene Technik ist mit einem Ansprechpartner für alles gut bedient. Das stimmt für das Arbeiten, nicht für das Besitzen. Ob du mit einer Agentur oder einem Freelancer arbeitest, ändert daran nichts. Die Anbieter haben für genau diese Trennung abgestufte Rollen gebaut: Administrator statt Inhaber im Google-Profil, Partner statt Eigentümer bei Meta, eine Rolle mit den wenigsten nötigen Berechtigungen in Microsoft 365, wie Microsoft selbst rät, und ein eigener Zugang statt des Hauptkontos bei Domain, Hosting und WordPress, sofern der Anbieter das vorsieht.

Der eigentliche Zielkonflikt liegt woanders: Sicherheit gegen Ausfallsicherheit. Jede weitere Person mit Höchstrechten ist ein weiteres Konto, das angegriffen werden kann. Microsoft empfiehlt deshalb, so wenige globale Administratoren wie möglich zu haben. Eine einzige Person ist aber genau die Lage, aus der Rückholungen entstehen. Eine tragfähige Verteilung ist eine verantwortliche Person mit der höchsten Rolle und eine Vertretung mit eigenem Zugang, beide mit Zwei-Faktor-Anmeldung, und der Dienstleister eine Stufe darunter. Wie die Vertretung aussieht, regelt jeder Anbieter anders. Bei Google bleibt genau eine Person primärer Inhaber, die Vertretung ist ein weiterer Inhaber. Im Solobetrieb kann die Vertretung eine Vertrauensperson oder ein Dienstleister mit begrenzter Rolle sein. Neu verteilt wird, sobald eine dieser Personen das Unternehmen verlässt oder der Dienstleister wechselt. Steht eine Betriebsübergabe an, gehören dieselben Konten in die digitale Inventarliste für die Nachfolge, dort mit Verträgen, Abos und Stichtag.

Am wenigsten Aufwand macht die Verteilung am Anfang. Auf unserer Seite zum Webdesign steht dafür ein Satz, den du von jedem Anbieter hören solltest: Deine Seite gehört dir. Steht ohnehin ein Website-Relaunch an, ist er der natürliche Zeitpunkt, die Konten auf das Unternehmen zu ziehen.

Vorlage: die Zugangsliste

Die Zugangsliste hält fest, wem was gehört. Sie enthält keine Passwörter. Passwörter gehören in einen Passwortmanager mit Notfallzugang für eine zweite Person, die Liste sagt nur, wo sie liegen.

Frau mit Cap schreibt mit einem Stift in ein Notizbuch, daneben ein Laptop
Die Zugangsliste sagt, wem was gehört, nicht wie das Passwort lautet.
Spalte Was du einträgst Woher der Beleg kommt
Anbieter Name und Kundennummer Rechnung oder Kundenkonto
Eingetragener Inhaber Firma oder Person, wie beim Anbieter hinterlegt DENIC-Auskunft, Vertrag, Rollenansicht im Konto
Verantwortlich und Vertretung jeweilige Rolle und eigener Zugang, bei Google genau ein primärer Inhaber Personen und Zugriff, Zugriffsverwaltung, Rollenzuweisungen
Login und Wiederherstellung Login-Adresse und Weg zur Wiederherstellung Sicherheitseinstellungen im Konto
Dienstleister Name und Rolle dieselbe Rollenansicht
Zugang liegt in Ort des Passworts, nie das Passwort selbst Passwortmanager oder Notfallumschlag
Vertretung getestet am Datum und Kürzel Die Vertretung hat sich mit eigenem Zugang angemeldet und die vorgesehene Aufgabe erledigt

Die Zugangsliste als PDF enthält diese Spalten für Domain, Hosting, Google-Unternehmensprofil, Google Analytics, E-Mail, Search Console, Website-Backend und Social-Media-Konten, dazu eine freie Zeile, ein Feld für den nächsten Prüftermin und die Anlässe für eine Sofortprüfung.

Was du heute noch in den Tresor legst

Der Tresor ist hier ein Ort, kein Bild: der Passwortmanager oder der verschlossene Umschlag, auf den im Notfall zwei Personen Zugriff haben. Hinein gehören heute drei Dinge.

  1. Die DENIC-Auskunft zu deiner Domain, mit Datum.
  2. Die letzte Rechnung für Hosting und Domain, damit Vertragspartner und Kundennummer belegt sind.
  3. Die ausgefüllte Zugangsliste mit dem nächsten Prüftermin.

Eine Sache gehört nicht in den Tresor, sondern in den heutigen Kalender: Wenn du im Google-Profil, in Analytics und in WordPress bereits die höchste Rolle hast, trag dort eine Vertretung mit eigenem Zugang ein, im Google-Profil als weiteren Inhaber neben dem primären. Das ist der einzige Schritt in diesem Beitrag, der ohne den früheren Dienstleister sofort wirkt.

Abgehakt ist der Schritt erst nach einer Probe: Die Vertretung meldet sich mit ihrem eigenen Zugang an und erledigt die Aufgabe, für die sie eingetragen ist, etwa eine Rezension beantworten oder einen Bericht in Analytics öffnen. Alte Konten bleiben dabei unangetastet. Erst die Probe unterscheidet einen Namen in der Liste von einem Zugang, der im Ernstfall funktioniert.

Wenn du dabei Unterstützung willst, gibt es drei Einstiege. Wie wir neue Websites bauen, steht unter Webdesign aus dem Sauerland. Im Paket Lokales SEO auf unserer SEO-Seite wird das Google-Unternehmensprofil komplett aufgesetzt. Und alle Preise stehen offen auf der Preisseite. Hat der Test eine Lücke gezeigt, schreib uns, was du gefunden hast. Wir sagen dir, welcher Schritt zuerst kommt.

Häufige Fragen

Wie kann ich den Inhaber einer Domain ermitteln?

Bei .de-Domains über die Domainabfrage auf denic.de. Nach den seit dem 6. Dezember 2025 geltenden Vorgaben gibt sie bei juristischen Personen wie einer GmbH künftig wieder Name, Anschrift, E-Mail-Adresse und Telefonnummer des Inhabers aus. Was heute angezeigt wird, zeigt die Abfrage selbst. Bei natürlichen Personen, also auch bei Einzelunternehmen, erscheinen nur das Registrierungsdatum und der verwaltende Anbieter. Deine eigenen Daten kannst du trotzdem abrufen: über die hinterlegte Postleitzahl oder E-Mail-Adresse, DENIC schickt dann einen zeitlich begrenzten Link.

Was passiert, wenn der Webdesigner die Domain nicht mehr bezahlt?

Bei einer .de-Domain greift das TRANSIT-Verfahren von DENIC. Die Domain wird nicht sofort gelöscht, und DENIC schreibt dem eingetragenen Inhaber einen Brief. Der Inhaber hat dann einen Monat Zeit, die Domain zu einem neuen Anbieter zu geben, sie löschen zu lassen oder sie gegen Gebühr bei DENICdirect verwalten zu lassen. Reagiert niemand, wird die Domain gelöscht. Entscheidend ist deshalb, dass Inhaber und Anschrift im Register stimmen.

Was mache ich, wenn die Domain auf den Webdesigner eingetragen ist?

Dann ist im Register nicht dein Unternehmen Domaininhaber, und der Wechselcode von DENIC geht an die eingetragene Anschrift des Webdesigners. Der einfache Weg ist ein Inhaberwechsel mit seiner Mitwirkung über den bisherigen Anbieter. Verweigert er sie oder ist er nicht erreichbar, gehört der Fall zu einer Anwältin oder einem Anwalt. DENIC bietet zusätzlich den DISPUTE-Eintrag, der eine Übertragung an Dritte blockiert, setzt dafür aber eigene Namens- oder Markenrechte und bereits eingeleitete Schritte gegen den Domaininhaber voraus.

Kann ich mein Google-Unternehmensprofil zurückholen, wenn der alte Inhaber nicht antwortet?

Ja, über einen Antrag bei Google. Über business.google.com/add suchst du dein Unternehmen und forderst Zugriff an. Der bisherige Inhaber hat drei Tage Zeit zu antworten. Reagiert er nicht, kannst du über die Bestätigungsmail selbst Anspruch auf das Profil erheben, laut Google ist diese Option aber nicht immer verfügbar. Als neu hinzugefügter Inhaber darfst du sieben Tage lang keine anderen Inhaber entfernen.

Bekomme ich meine alten Analytics-Daten zurück?

Nur, wenn du die Inhaberschaft für alle Websites nachweisen kannst, die im Analytics-Konto hinterlegt sind. Google verlangt dafür eine Datei namens analytics.txt oder ein Meta-Tag auf jeder dieser Domains und ein Formular, bei verknüpften Google-Ads- oder AdSense-Konten auch Nachweise zu diesen Konten. Liegen im Konto auch Websites anderer Kunden des Dienstleisters, ist dieser Nachweis nicht möglich. Dann bleibt eine neue Property, und die bisherigen Daten bleiben im alten Konto.

Darf mein Dienstleister weiterhin Zugriff haben?

Ja, mit einer Rolle unterhalb der Inhaberschaft. Im Google-Unternehmensprofil reicht für die laufende Pflege die Rolle Administrator, die keine Nutzer verwalten und das Profil nicht löschen darf. Bei Meta arbeitet die Agentur als Partner in deinem Business-Portfolio. In Google Analytics und Microsoft 365 bekommt der Dienstleister die Rolle, die seine Aufgabe verlangt, und die höchste Rolle bleibt bei Personen aus deinem Unternehmen.

Gehören Passwörter in die Zugangsliste?

Nein. Die Zugangsliste hält fest, wer Inhaber ist, wer verantwortlich ist, wer vertritt und wo der Zugang aufbewahrt wird. Passwörter gehören in einen Passwortmanager mit Notfallzugang für eine zweite Person. Eine Liste mit Passwörtern wäre ein einzelnes Dokument, mit dem jemand alle Bausteine der Website übernehmen könnte.

Wie oft sollte ich die Zugänge prüfen?

Einmal im Jahr und zusätzlich bei jedem Wechsel: wenn ein Dienstleister geht oder kommt, wenn eine Person mit Höchstrechten das Unternehmen verlässt und wenn sich die Firmenanschrift ändert. Die Anschrift zählt, weil DENIC sowohl den Wechselcode als auch den Brief im TRANSIT-Verfahren an die hinterlegte Adresse des Domaininhabers schickt.

Quellen

Über die Autorin

Anna Cremer

Anna Cremer ist IHK-zertifizierte Fachkraft für Webdesign mit WordPress und SEO und seit 2012 im Online Marketing tätig. 2016 hat sie in Lennestadt CremerMedia gegründet. Für diesen Beitrag zählt die Webdesign-Seite ihrer Arbeit: Wer Websites einrichtet, entscheidet bei jedem Konto, auf wessen Namen es läuft. Mehr über CremerMedia

Weitere, interessante Beiträge für dich

Eine Social-Media-Strategie ist kein dickes Konzept, sondern fünf Entscheidungen auf einer Seite: ein Ziel, eine Zielgruppe, drei Themen, ein Kanal, eine Kennzahl. Mit ausgefülltem Beispiel und leerer Vorlage zum Selbst-Ausfüllen.
Welche Instagram Inhalte bei Google erscheinen können, warum Freigabe, Indexierung und Platzierung drei verschiedene Dinge sind und was Unternehmer an ihren Beiträgen konkret verbessern sollten.
Drei Physiopraxen aus derselben Stadt bieten CMD an. ChatGPT nannte am 10. Oktober 2026 keine davon. Was Websites, Verzeichnisse und ChatGPT Antworten zeigen und welche Angaben lokale Unternehmen prüfen sollten.
Projektanfrageinfo@cremermedia.deFragen offen?+49 151 599 398 66WhatsApp
Projektanfrage