Eine Person schreibt Beiträge, eine andere prüft Inhalte, und die technische Betreuung kümmert sich um die Installation. Trotzdem erhalten im Alltag manchmal alle denselben umfangreichen Zugang. Mit passenden WordPress-Benutzerrollen können Sie Aufgaben bewusster verteilen. Ausgangspunkt ist dabei die tatsächliche Arbeit, nicht die Stellung im Unternehmen.
Dieser Leitfaden hilft kleinen und mittleren Unternehmen, ihre vorhandenen Zugriffe zu ordnen und anschließend praktisch zu prüfen. Er behandelt die Bearbeitung und Verwaltung der Website. Wer geschützte Inhalte als Besucher lesen darf, ist eine zusätzliche Frage und braucht ein eigenes Konzept.
1. Schreiben Sie zuerst die benötigten Aufgaben auf
Beginnen Sie mit einer kurzen Liste pro Person: eigene Neuigkeiten entwerfen, fremde Texte korrigieren, Leistungsseiten aktualisieren, Bilder ergänzen oder technische Einstellungen betreuen. Trennen Sie gelegentliche Unterstützung von regelmäßiger Verantwortung. Wer einmal einen Text liefert, braucht möglicherweise überhaupt keinen eigenen Zugang zur Website.
Ergänzen Sie jeweils, ob die Person Änderungen selbst veröffentlichen darf. „Kann Texte bearbeiten“ und „darf diese ohne weitere Prüfung veröffentlichen“ sind unterschiedliche Entscheidungen. Unser Leitfaden zum Content-Freigabeprozess hilft dabei, die redaktionelle Verantwortung festzulegen. Eine Benutzerrolle ersetzt diese Abstimmung nicht.
Notieren Sie außerdem, welche Inhalte betroffen sind. Nur eigene Blogbeiträge zu schreiben ist etwas anderes, als sämtliche Unternehmensseiten pflegen zu müssen. Diese Unterscheidung verhindert, dass Sie eine Rolle allein nach ihrem sympathisch klingenden Namen auswählen.
2. Ordnen Sie die Standardrollen richtig ein
Die offizielle WordPress-Dokumentation beschreibt Rollen als Bündel erlaubter Aufgaben. Für eine normale Einzelinstallation lassen sich die wichtigsten Standardrollen so einordnen:
- Administrator: umfangreiche Verwaltung der einzelnen Website, einschließlich technischer Einstellungen und Benutzerverwaltung.
- Redakteur: Beiträge und Seiten bearbeiten und veröffentlichen, auch Inhalte anderer Nutzer.
- Autor: eigene Beiträge bearbeiten und veröffentlichen; keine allgemeine Pflege aller Seiten.
- Mitarbeiter: eigene Beiträge vorbereiten, ohne sie selbst zu veröffentlichen; standardmäßig keine Medien hochladen.
- Abonnent: im Standard vor allem das eigene Profil verwalten, keine redaktionelle Inhaltsbearbeitung.
Multisite-Netzwerke haben zusätzliche Besonderheiten. Auch Erweiterungen oder individuelle Anpassungen können Rechte verändern. Die Liste beschreibt deshalb die Ausgangslage, nicht automatisch Ihre konkrete Installation. Die Grundlagen des Systems erläutert unser Beitrag „Was ist WordPress?“.
3. Prüfen Sie Lücken statt vorschnell mehr Rechte zu geben
Wenn eine Aufgabe mit der gewählten Rolle nicht gelingt, halten Sie zunächst den konkreten Arbeitsschritt fest. Fehlt eine Bearbeitungsmöglichkeit für einen bestimmten Inhalt? Ist eine Funktion des verwendeten Editors nicht erreichbar? Oder soll die Person etwas veröffentlichen, obwohl intern eine Freigabe vorgesehen ist? Diese Fälle brauchen unterschiedliche Entscheidungen.
Ein fehlender Menüpunkt ist kein ausreichender Grund, sofort Administratorrechte zu vergeben. Lassen Sie Ihre technische Betreuung die benötigte Funktion und ihre Berechtigung prüfen. Die Dokumentation für WordPress-Entwickler zu Rollen und Rechten zeigt, dass Rollen und einzelne Berechtigungen technisch angepasst werden können. Solche Änderungen sollten nachvollziehbar dokumentiert und an Ihrer Installation getestet werden.
Prüfen Sie zugleich die andere Richtung: Welche zusätzlichen Bereiche werden mit einer vorgeschlagenen Lösung erreichbar? Wenn nur eine Personenseite gepflegt werden soll, ist umfassende Kontrolle über sämtliche Inhalte möglicherweise ein zu großer Umfang. Halten Sie fest, welche Einschränkung tatsächlich benötigt wird, statt sie aus einem Rollennamen abzuleiten.
Fiktives Beispiel: Ein Seminaranbieter trennt Redaktion und Technik
Das folgende Unternehmen ist erfunden. Ein kleiner Seminaranbieter veröffentlicht Kurstermine, aktualisiert Beschreibungen und berichtet über neue Themen. Eine externe Person liefert gelegentlich einen Artikelentwurf. Die interne Redaktionsleitung prüft die Aussagen und übernimmt die Veröffentlichung. Für Änderungen an Erweiterungen gibt es eine getrennte technische Betreuung.
Das Team beginnt mit einer Aufgabenübersicht. Die externe Person soll zunächst nur ihren Entwurf vorbereiten. Für Bilder wird ein abgestimmter Übergabeweg festgelegt. Die Redaktionsleitung braucht dagegen Zugriff auf die regelmäßig gepflegten Inhalte. Die technische Betreuung erhält den für ihre vereinbarten Arbeiten erforderlichen Zugang.
Vor der Freigabe lässt das Team jede Person ihre echte Aufgabe mit Testinhalten ausführen. Dabei zeigt sich, dass ein spezielles Kursfeld nicht über denselben Weg bearbeitet wird wie ein gewöhnlicher Beitrag. Dieser Befund wird gezielt geklärt. Das Beispiel zeigt eine Entscheidungsmethode, keine bereits umgesetzte KIM-Kundenlösung und keinen belegten Sicherheitsgewinn.
4. Testen Sie erlaubte und unerwünschte Aktionen getrennt
Nutzen Sie einen passenden Testzugang mit der vorgesehenen Rolle. Melden Sie sich tatsächlich damit an, statt nur die Ansicht des Administratorzugangs zu betrachten. Halten Sie für jede Aufgabe das erwartete Ergebnis fest:
- Lässt sich der vorgesehene Testinhalt öffnen, bearbeiten und speichern?
- Entspricht die erreichbare Veröffentlichung dem vereinbarten Freigabeprozess?
- Funktionieren benötigte Medien und die tatsächlich verwendeten Eingabefelder?
- Sind Bereiche außerhalb der Aufgabe ausreichend begrenzt?
- Bleibt die veröffentlichte Darstellung nach einer freigegebenen Änderung korrekt?
Führen Sie Prüfungen mit möglichen Nebenwirkungen an Testinhalten oder in einer geschützten Umgebung durch. Unser Leitfaden zu WordPress-Staging beschreibt die dafür nötige Trennung von Test und Betrieb. Testen Sie keine Löschung oder technische Änderung an wichtigen Live-Inhalten, nur um eine Berechtigung nachzuweisen.
5. Halten Sie Zugänge auch nach der Einrichtung aktuell
Verwenden Sie personenbezogen zugeordnete Konten für die tägliche Zusammenarbeit. Dokumentieren Sie intern Aufgabe, vereinbarten Umfang und zuständige Kontaktperson. Passwörter gehören nicht in diese Aufgabenliste. Wenn sich eine Zusammenarbeit ändert oder endet, prüfen Sie den Zugang erneut, statt alte Berechtigungen ungeklärt weiterlaufen zu lassen.
Vor dem Entfernen eines Kontos muss geklärt sein, welche Inhalte und laufenden Aufgaben damit verbunden sind. Bewahren Sie keine unnötigen technischen Zugriffe nur deshalb auf, weil niemand die Übergabe organisiert hat. Umgekehrt sollte eine spontane Kontenbereinigung nicht wichtige redaktionelle Arbeit unterbrechen.
Eine brauchbare Übergabe besteht aus einem passenden Zugang, einem demonstrierten Arbeitsablauf und einer klaren Ansprechperson. Wenn Bearbeitung, Website-Aufbau und technische Betreuung gemeinsam abgestimmt werden sollen, unterstützt KIM Systems Sie bei Webdesign und WordPress-Websites für KMU.