Auf wen laufen die Lizenzen, Geräte und Zugänge Ihrer Agentur?

Auf wen läuft eigentlich Ihr Adobe-Abo? In vielen Agenturen sorgt diese Frage für einen kurzen, unangenehmen Moment. Nicht weil niemand antworten will, sondern weil die ehrliche Antwort lautet: auf den, der es damals angelegt hat.

Wo hängt es überall?

• der Rechner, den jemand privat vorgestreckt hat,
• das Passwort zum Kundenserver, das in einem alten Chatverlauf steckt,
• die Dropbox, die auf einer privaten E-Mail-Adresse läuft,
• Abos, die über eine private Kreditkarte bezahlt werden,
• die Apple-Accounts auf den Geräten, mit denen Apps gekauft und Daten synchronisiert werden.

Wann fällt es auf?

Solange alle da sind, gar nicht. Es fällt an dem Tag auf, an dem jemand geht. Dann stellt sich heraus, welche Lizenzen, Zugänge und Daten auf Privatkonten hängen, und wer sie zurückholen darf, ist plötzlich keine technische, sondern eine rechtliche Frage.

Das BSI beschreibt im IT-Grundschutz, was beim Weggang geregelt sein muss: Von ausscheidenden Mitarbeitenden müssen alle im Rahmen ihrer Tätigkeit erhaltenen Unterlagen, Schlüssel und Geräte sowie Ausweise und Zutrittsberechtigungen eingezogen werden. Einziehen kann man nur, was der Firma gehört und wovon sie weiß, dass es existiert.

Was ändert sich, wenn Konten der Firma gehören?

Dann liegt die Kontrolle dort, wo die Verantwortung liegt. Zwei Beispiele aus den Werkzeugen, mit denen Agenturen täglich arbeiten:

• Apple. Verwaltete Apple-Accounts in Apple Business sind nach Apples eigener Beschreibung für eine Organisation angelegt, gehören ihr und werden von ihr verwaltet. Die Organisation kann Passwörter zurücksetzen und legt fest, welche Dienste verfügbar sind. App-Lizenzen, die über Apple Business in Stückzahl beschafft werden, bleiben im Besitz der Organisation und lassen sich entziehen und anderen Geräten oder Personen neu zuweisen.
• Adobe. Wird in der Admin Console ein Benutzer aus einem Produkt entfernt, verliert er sofort den Zugriff, und die Lizenz wird frei für eine andere Person.

Beides funktioniert nur, wenn die Lizenz von Anfang an auf der Agentur läuft. Ein privat abgeschlossenes Abo lässt sich so nicht umhängen.

Wie kommen Sie vom Ist-Zustand zu Firmenkonten?

Der Weg ist kein großes Projekt. Er folgt einer festen Reihenfolge:

1. Liste anlegen. Jedes Gerät, jede Lizenz, jeder Zugang mit der Frage: auf wen läuft es, wer bezahlt, wer hat Zugriff?
2. Nach Risiko sortieren. Zuerst, was Kundendaten berührt: Kundenserver, Cloudspeicher, Mailkonten.
3. Umziehen. Abos und Konten auf Firmenadressen und Firmenzahlungsmittel, Geräte in die zentrale Verwaltung.
4. Offboarding festlegen. Eine kurze Liste, die beim nächsten Austritt abgearbeitet wird: Geräte zurück, Zugänge entzogen, Passwörter geändert, Lizenzen neu zugewiesen.

Am Ende stehen zwei Dokumente, die Sie jederzeit vorzeigen können: ein Compliance-Bericht, wer auf welches Zugangsdatum Zugriff hat, und ein Geräteinventar mit Nachweis der Festplattenverschlüsselung. Genau diese Unterlagen verlangt früher oder später ein Auftraggeber, wie der Beitrag zum Sicherheitsfragebogen vom Auftraggeber zeigt.

Warum ist das kein Misstrauen gegenüber dem Team?

Geräte, Lizenzen und Zugänge gehören auf die Firma, weil eine Agentur ein Unternehmen ist und Unternehmen eigene Konten brauchen. Für die Mitarbeitenden ist es sogar eine Entlastung: Wer geht, muss nichts mehr von privaten Konten herauslösen, und wer neu kommt, bekommt einen fertigen Arbeitsplatz statt einer Liste mit Passwörtern. Was bei privaten Cloudkonten am Ende eines Arbeitsverhältnisses auf dem Spiel steht, zeigt der Beitrag Was lehrt der Streit zwischen Apple und OpenAI über Offboarding?.

Wo liegt die Grenze?

Wir sortieren Konten, Geräte und Zugänge und ziehen sie auf die Firma um. Ob ein privat vorgestreckter Rechner der Agentur gehört oder wer ein privat abgeschlossenes Abo kündigen darf, ist eine arbeits- oder vertragsrechtliche Frage. Die beantwortet Ihre Rechtsberatung, nicht Ihr IT-Dienstleister. Und nicht jedes Werkzeug kennt Firmenkonten im gleichen Umfang. Wo ein Dienst keine zentrale Verwaltung anbietet, bleibt nur die saubere Dokumentation, wer den Zugang hat.

Wie viele offene Punkte es bei Ihnen gibt, zeigt vorab die Checkliste mit 20 Fragen. Wie wir Agenturen beim Umzug auf Firmenkonten begleiten und wie Sie ein Erstgespräch vereinbaren, steht auf der Seite IT für Kreativagenturen.