Social-Media-Rollen und Berechtigungen: Das 6-Rollen-Setup für Agenturen

Rollenbasierte Zugriffskontrolle (RBAC) heißt: Die Rolle entscheidet, was jemand darf, nicht die Person. Für ein Social-Media-Team brauchst du sechs Rollen, nicht zwanzig: Creator, Editor, Approver, Publisher, Analyst, Admin. Grenze jede Person auf bestimmte Kundenkonten ein, damit niemand Arbeit sieht, die nicht seine ist, und halte fest, wer was freigegeben hat.

Agenturen scheitern meist in eine von zwei Richtungen. Entweder teilen sich alle einen Login, oder jeder Post wartet auf den Gründer. Beides ist an einem Nachmittag lösbar.

TLDR: Sechs Rollen, pro Kunde abgegrenzt, mit Freigaben als Tor und jeder Unterschrift dokumentiert. Ausnahmen pro Person sind das, was das ganze Modell unwartbar macht.

Die sechs Rollen, die fast jedes Team abdecken

Rolle	Darf	Darf nicht
Creator	Posts entwerfen, Assets hochladen	Veröffentlichen, Konten verbinden
Editor	Jeden Entwurf im Scope bearbeiten, zur Freigabe einreichen	Die eigene Arbeit freigeben
Approver	Entwürfe freigeben, ablehnen, kommentieren	Verbundene Konten bearbeiten
Publisher	Freigegebene Posts planen und veröffentlichen	Freigeben, Nutzer hinzufügen
Analyst	Analysen lesen, Reports exportieren	Content anfassen
Admin	Konten verbinden, Nutzer und Rollen verwalten	Nichts, also beschränk das auf zwei Personen

Zwei Regeln verhindern, dass das ausufert. Niemand gibt die eigene Arbeit frei, und Admin bleibt bei genau zwei Personen, damit es immer einen Backup gibt und nie ein Komitee.

Widersteh der Versuchung von Einzelberechtigungen. Sobald du „Sarah, aber sie darf donnerstags auch veröffentlichen“ hast, hast du ein Setup, das niemand mehr sechs Monate später prüfen kann. Handle die Ausnahme mit einem temporären Rollenwechsel und setz sie danach zurück.

Scope: Der Teil, den Agenturen falsch machen

Eine Rolle allein reicht nicht. Ein Creator für Kunde A darf Kunde B nicht sehen können. Das ist Scope, und es ist das Erste, was bricht, wenn eine Agentur über einen gemeinsamen Login hinauswächst.

Scope auf drei Achsen:

• Kunde oder Marke. Die harte Grenze. Contractor bekommen genau einen.
• Kanal. Jemand kann Instagram und TikTok bespielen, ohne die LinkedIn-Unternehmensseite anzufassen.
• Stufe. Zugriff auf Entwürfe bedeutet nie Zugriff auf Veröffentlichung.

Das braucht echte Trennung, keinen Filter. Wenn ein Contractor im Kontenauswahl-Menü wechseln und im Posteingang eines anderen Kunden landen kann, hast du eine Standardansicht statt Isolation. Workspaces ist, wie Mydrop diese Linie zieht: Jeder Kunde ist ein eigener Bereich mit eigenen Mitgliedern, Kalender und verbundenen Konten.

Kunden-Stakeholder sind ein anderes Problem. Die meisten sollten gar keine Nutzer sein. Ein Client-Portal ohne Login lässt sie ihre eigenen Inhalte prüfen und freigeben, ohne Sitzplatz, Passwort oder eine Berechtigungsstufe, die du nach Projektende ewig pflegst.

Freigaben sind das Tor, nicht die Karriereleiter

Berechtigungen entscheiden, wer handeln darf. Freigaben entscheiden, wann. Halt beides getrennt, sonst machst du Leute zu Admins, nur um einen Freitags-Post freizubekommen.

Steuere nach Risiko, nicht nach Jobtitel:

Content	Reviewer
Vorlagenbasierte, wiederkehrende Posts	Ein Editor
Neue Kampagne oder neue Behauptung	Kunde oder Brand-Lead
Reguliert, rechtlich oder Krise	Benannter Legal-Reviewer, ohne Fallback

Gib den ersten beiden Zeilen einen Fallback-Approver, damit ein Feiertag das Publizieren nicht stoppt. Die dritte Zeile sollte wirklich blockieren. Freigabe-Workflows halten den Post zurück, bis alle Unterschriften da sind. So bleiben „freigegeben“ und „veröffentlicht“ ein einziger Datensatz statt zwei Listen, die du von Hand abgleichst.

Was dein Audit-Log festhalten muss

„Wer hat das geändert?“ kommt immer im schlechtesten Moment, und ein Log, das nur den aktuellen Stand speichert, kann die Frage nicht beantworten.

Halte fünf Dinge pro Aktion fest:

1. Wer es getan hat, als benannte Person und nie als gemeinsames Konto.
2. Welche Rolle sie zu dem Zeitpunkt hatten. Menschen wechseln Rollen, und ein Log, das die Rolle erst beim Lesen auflöst, schreibt Geschichte stillschweigend um.
3. Was sich geändert hat, wobei die vorherige Version noch lesbar bleibt.
4. Wann, mit Zeitzone.
5. Unter welcher Freigabe es veröffentlicht wurde.

Zwei praktische Regeln. Bewahre Freigabe-Aufzeichnungen länger auf als operative Logs, denn die Freigabe ist das, wonach wirklich gefragt wird. Und mach sie nach Kunde und Zeitraum durchsuchbar, denn so kommt jede Audit-Anfrage daher.

Vendoren zu vergleichen ist einfach: Bitte jeden, den Freigabeverlauf für einen bestimmten Post von vor drei Monaten herauszuziehen. Entweder existiert er im Demo, oder nicht.

Was du vor dem Kauf prüfen solltest

Die Features, die ein echtes Berechtigungsmodell von einer Einstellungsseite trennen:

• Rollen pro Kunde definierbar, nicht eine globale Rolle pro Nutzer.
• Isolation, die den Kontenwechsel überlebt, getestet mit einem echten Contractor-Login.
• Freigabe-Routing mit benannten Reviewern und definiertem Fallback.
• Exportierbarer Freigabeverlauf für einen einzelnen Post.
• Reviewer-Zugriff ohne Sitzplatz, damit Kunden-Freigaben keine Lizenz kosten.
• SSO und Directory-Provisioning, wenn IT deine Nutzerliste verwaltet. Die meisten Social-Tools reservieren das für Enterprise-Pläne, also frag gleich im ersten Call statt erst beim Vertrag.

Planable und Sprout Social können beide mehrstufige Freigaben mit definierten Rollen. Mydrop bringt kundenbezogene Workspaces, Rollen, Kommentare direkt am Entwurf, Freigabe-Tore und den Review-Link ohne Login in einem System zusammen, also genau die Kombination, die Agenturen sonst aus zwei getrennten Tools bauen. Für den Rest des Betriebs-Setups rundherum deckt Social-Media-Agenturen den größeren Stack ab.

Richte es diese Woche ein

Drei Schritte, in dieser Reihenfolge:

1. Liste jeden Menschen auf, der heute veröffentlichen kann. Inklusive ehemaliger Contractor und dem gemeinsamen Login. Die Liste ist immer länger, als alle erwarten.
2. Gib jedem genau eine Rolle und genau einen Kunden-Scope. Keine Ausnahmen im ersten Durchgang.
3. Stell Kunden-Stakeholder auf Review-Links um und lösche ihre Benutzerkonten.

Setz dir eine 90-Tage-Erinnerung in den Kalender, um Schritt eins zu wiederholen, denn veraltete Zugriffe sind der Fehler, der jedes Mal zurückkommt. Du kannst kostenlos starten und die Rollen und Kunden-Workspaces sind gemappt, bevor die nächste Kampagne startet.