Rollen und Zugriff in WordPress: Welche Berechtigungen geben Sie einem Social-Media-Manager gegenüber einem Buchhalter

Sie haben eine WordPress-Website, und irgendwann sind Sie nicht mehr der Einzige, der sich einloggt. Jemand soll auf dem Blog veröffentlichen, jemand anderes die Bestellungen für die Buchhaltung sehen, vielleicht ein Entwickler, der etwas anpasst. Der Reflex vieler ist, „Zugriff“ zu gewähren, ohne nachzudenken — also allen die Rolle Administrator zu geben. Das ist der häufigste und teuerste Fehler.

WordPress hat ein Rollensystem, das genau dafür gedacht ist: Jede Person bekommt nur, was sie für ihre Arbeit braucht, nichts darüber hinaus. Ein Social-Media-Manager hat in den Zahlungseinstellungen nichts verloren, und ein Buchhalter muss weder Seiten löschen noch das Theme wechseln können. In diesem Artikel zeige ich Ihnen konkret, welche Rolle Sie wem geben und warum.

Die fünf Standardrollen in WordPress, kurz erklärt

WordPress bringt von Haus aus fünf Rollen mit, von der mächtigsten bis zur eingeschränktesten:

• Administrator — kann absolut alles tun: Theme wechseln, Plugins installieren, Seiten löschen, Nutzer hinzufügen und entfernen, Einstellungen ändern. Das ist der „Generalschlüssel“.
• Redakteur (Editor) — veröffentlicht, bearbeitet und löscht jeden Artikel oder jede Seite, auch die anderer, verwaltet Kommentare. Rührt Einstellungen, Themes oder Plugins nicht an.
• Autor — schreibt, veröffentlicht und bearbeitet nur eigene Artikel. Sieht und verändert nicht, was andere tun.
• Mitwirkender (Contributor) — schreibt eigene Artikel, kann sie aber nicht selbst veröffentlichen; reicht sie zur Freigabe ein. Kann keine Bilder hochladen.
• Abonnent — liest nur und verwaltet sein Profil. Nützlich für Bereiche mit eingeschränktem Inhalt.

Die einfache Regel: Geben Sie die kleinste Rolle, mit der die Person ihre Aufgabe erledigen kann. Sie können jederzeit aufstufen, aber ein bereits entstandener Schaden lässt sich nicht so einfach rückgängig machen.

Social-Media-Manager: meist Redakteur, manchmal Autor

Ein Social-Media-Manager oder Content-Ersteller muss auf dem Blog veröffentlichen, Bilder einfügen, vielleicht eine Kampagnenseite aktualisieren können. All das deckt die Rolle Redakteur ab, ohne ihm Zugriff auf Einstellungen, Zahlungen oder die Struktur der Website zu geben.

Arbeiten Sie mit jemandem Neuem oder Externem und möchten Sie zusätzliche Sicherheit, beginnen Sie mit Autor: Diese Person veröffentlicht nur ihre eigenen Artikel und kann nicht in der Arbeit anderer herumpfuschen. Möchten Sie jeden Beitrag selbst prüfen, bevor er erscheint, ist Mitwirkender ideal — die Person schreibt, Sie geben frei.

Was Sie NICHT tun sollten: Administrator vergeben, „damit es schneller geht“. Ein durch Phishing kompromittiertes Social-Media-Konto wird mit Administrator-Rolle zur offenen Tür für die ganze Website. Mit Redakteur-Rolle ist der maximale Schaden ein zu löschender Artikel.

Der Buchhalter: der Sonderfall ohne fertige Rolle

Hier wird es komplizierter, denn WordPress hat keine Rolle „Buchhalter“. Ein Buchhalter möchte meist Bestellungen, Rechnungen und Verkaufsberichte sehen — nicht Artikel schreiben oder im Inhalt herumfuhrwerken.

Haben Sie einen Shop mit WooCommerce, gibt es die Rolle Shop-Manager, die Bestellungen und Berichte einsehen und verwalten kann. Achtung jedoch: Shop-Manager ist mächtig — kann Produkte, Preise und sogar manche Nutzer ändern. Für einen Buchhalter, der nur Daten extrahieren muss, ist das oft zu viel.

Die gesündesten Varianten:

• Eine benutzerdefinierte, „nur lesende“ Rolle für Bestellungen und Berichte, erstellt mit einem Plugin zur Rollenverwaltung.
• Oder, noch einfacher: Sie senden ihm regelmäßig Exporte (CSV/PDF) und geben ihm gar kein Konto in der Website.

Oft braucht der Buchhalter gar keinen Live-Zugriff — er braucht saubere Daten, pünktlich.

Benutzerdefinierte Rollen: wenn die Standardrollen nicht passen

Die Realität ist, dass nicht jede Person perfekt in eine der fünf Rollen passt. Hier kommen Plugins zur Rollenverwaltung ins Spiel (etwa Members oder User Role Editor), mit denen Sie eine Rolle genau nach Bedarf bauen können: „sieht Bestellungen, kann sie aber nicht löschen“, „bearbeitet nur die Dienstleistungsseiten“, „sieht Berichte, aber nicht Einstellungen“.

Das Prinzip bleibt dasselbe und heißt „geringstes Privileg“: Jeder erhält genau die Berechtigungen, die er braucht, nicht mehr. Das klingt nach Bürokratie, erspart Ihnen aber unangenehme Diskussionen, wenn ein Konto gehackt wird oder ein Mitarbeiter verärgert geht.

Ein praktischer Tipp: Halten Sie fest, wer welche Rolle hat und warum. In sechs Monaten wissen Sie nicht mehr, warum „Andrei“ Zugriff auf Bestellungen hat — eine klare Liste ist die erste Verteidigungslinie.

Zugriffshygiene: einige Regeln, die wichtiger sind als die Rolle selbst

Die richtige Rolle ist die halbe Geschichte. Der Rest ist Disziplin:

• Ein Konto pro Person. Niemals ein „Firmen“-Login, das drei Leute nutzen — dann wissen Sie nicht mehr, wer was gemacht hat.
• Starke Passwörter und Zwei-Faktor-Authentifizierung (2FA), besonders für Administrator-Konten.
• Wenn jemand geht, löschen oder deaktivieren Sie das Konto noch am selben Tag, nicht „wenn ich Zeit habe“.
• Halten Sie die Zahl der Administratoren möglichst gering. Idealerweise ein oder zwei vertrauenswürdige Personen.
• Prüfen Sie regelmäßig die Nutzerliste und entfernen Sie Konten, die Sie nicht mehr wiedererkennen.

Bei MPO Web Studio übergeben wir Websites mit sauber eingerichteten Rollen und erklären Ihnen genau, wer was haben sollte. Haben Sie bereits eine Website und sind unsicher, wer worauf Zugriff hat, schreiben Sie uns auf WhatsApp — wir prüfen das gemeinsam schnell und unkompliziert.