Wissen / Zusammenarbeit

Website-Übergabe: Zugänge, Dateien und Dokumentation.

Kurz gesagt: Eine Website ist erst sauber übergeben, wenn das Unternehmen die nötigen Konten, Dateien, Nutzungsrechte, Konfigurationen und Ansprechpartner kennt. Dazu gehören Domain, DNS, Hosting, Quellcode oder CMS, Medien, Analysezugänge, Backups und ein verständlicher Betriebsstand. Eine Passwortliste allein reicht nicht: Zuständigkeiten, sichere Übergabewege und offene Aufgaben müssen ebenfalls dokumentiert sein.

Veröffentlicht am / Redaktion: Ruhrstack / 12 Minuten Lesezeit

01 / ERGEBNIS

Übergabe bedeutet Handlungsfähigkeit.

Eine Dateisammlung ist nur dann wertvoll, wenn klar ist, wozu sie gehört und wie sie weiterverwendet wird.

Am Ende eines Website-Projekts sollte das Unternehmen nicht von einer einzelnen Person oder einem unbekannten Hauptkonto abhängig bleiben. Eine gute Übergabe macht sichtbar, aus welchen Systemen die Website besteht, wer sie verwalten darf, welche Dateien den aktuellen Stand bilden und welche Aufgaben offen oder wiederkehrend sind. Dadurch kann die vereinbarte Betreuung fortgesetzt, intern übernommen oder später geordnet an einen anderen Dienstleister übergeben werden.

Vollständigkeit ist dabei projektspezifisch. Eine statische Informationsseite benötigt andere Quellen als ein WordPress-System mit Formularen, Datenbank, Erweiterungen und Redaktionskonten. Ein eigenständig registrierter Domainname ist etwas anderes als ein Unterkonto in einem Agenturpaket. Die Übergabeliste entsteht deshalb aus dem realen System und nicht aus einer pauschalen Ordnerstruktur.

Entscheidend ist auch der Zustand. Eine Sicherung ohne Datum, ein Quellcodeordner ohne veröffentlichte Version oder ein Administrationskonto ohne bekannte Wiederherstellungsadresse schafft neue Fragen. Zu jedem Übergabeobjekt gehören mindestens Zweck, aktueller Stand, verwaltende Stelle und ein sicherer Zugriff. Bei kritischen Konten kommt hinzu, wer Rechte vergeben oder im Notfall wiederherstellen kann.

02 / KONTEN

Eine Website hat mehr Zugänge als das Redaktionssystem.

Die sichtbare Seite ist häufig nur die gemeinsame Oberfläche mehrerer Verträge und Dienste.

Domain und Registrar
Registrierter Name, Vertragsinhaber, Laufzeit, Verlängerung, Kontaktadresse, Transfersperre und Wiederherstellungsweg.
DNS und Zertifikate
Verwaltete Zone, Nameserver, wichtige Einträge, Automatisierung und Zuständigkeit für Änderungen oder Erneuerung.
Hosting und Server
Vertrag, Administrationsoberfläche, Speicherorte, Datenbanken, Laufzeiten, Deployment und technische Ansprechpartner.
Website und Redaktion
CMS, Rollen, Benutzerkonten, Erweiterungen, Quellcode, Inhaltsfreigaben und eventuell getrennte Testumgebung.
Kommunikation und Messung
Formulardienst, SMTP, Analyse, Search Console, Kartenprofil, Newsletter oder weitere eingebundene Dienste.
Sicherung und Überwachung
Backupziel, Aufbewahrung, Wiederherstellungsweg, Verfügbarkeitsprüfung, Alarmempfänger und Vertretung.

Die Liste benennt nicht nur Produktnamen. Sie zeigt Beziehungen. Ein DNS-Zugang kann Website, E-Mail und Zertifikatsprüfung gleichzeitig beeinflussen. Ein Analysezugang kann an einer privaten Adresse des früheren Projektpartners hängen. Ein Serverkonto kann Dateien bereitstellen, ohne Zugriff auf Domain oder Abrechnung zu geben. Wer diese Ebenen trennt, kann eine spätere Änderung gezielt vorbereiten.

Für jedes System sollte ein primärer organisatorischer Kontakt erkennbar sein. Persönliche Adressen können für individuelle Konten sinnvoll sein, sollten aber nicht die einzige Wiederherstellungsmöglichkeit für ein Unternehmenskonto darstellen. Ebenso wichtig sind Rechnungs- und Verlängerungshinweise. Eine technisch funktionierende Domain kann ausfallen, wenn niemand eine Vertragsnachricht erhält.

03 / BERECHTIGUNGEN

Kontrolle heißt nicht, alle zu Administratoren zu machen.

Eigene Konten und passende Rollen sind belastbarer als ein gemeinsam genutztes Hauptpasswort.

Das Unternehmen braucht die Fähigkeit, Verträge, zentrale Konten und Berechtigungen zu verwalten. Für die tägliche Arbeit wird diese Kontrolle in begrenzte Rollen übersetzt. WordPress unterscheidet beispielsweise Fähigkeiten für Administration, Redaktion, Veröffentlichung und reine Nutzung. Die genaue Rollenlogik variiert je System, das Prinzip bleibt: Jede Person erhält nur die Rechte, die sie für ihre Aufgabe benötigt.

Eine Übergabe dokumentiert deshalb nicht nur Benutzernamen, sondern die Reichweite jedes Kontos. Wer darf Inhalte veröffentlichen, Erweiterungen installieren, DNS ändern, Rechnungen sehen oder weitere Benutzer anlegen? Besonders privilegierte Konten benötigen eine klare verantwortliche Stelle, Mehrfaktor-Authentifizierung und verwahrte Notfallcodes. Frühere Projektbeteiligte werden nach Abschluss nicht stillschweigend als Administratoren behalten.

NIST beschreibt geringste Berechtigung und regelmäßige Überprüfung von Privilegien als eigene Kontrollen. Auf eine kleinere Website übertragen heißt das nicht, ein kompliziertes Rechteprojekt aufzubauen. Es heißt, Redaktion, Technik, Abrechnung und Notfallzugriff nicht gedankenlos in einem Zugang zu vermischen. Die Rollenliste wird verständlich genug gehalten, dass sie bei personellen Änderungen tatsächlich geprüft werden kann.

Auch maschinelle Zugänge gehören dazu: API-Schlüssel, Deployment-Schlüssel, SMTP-Zugang, Webhooks und Integrationskonten arbeiten ohne sichtbare Anmeldung. Sie brauchen Zweck, Speicherort, Berechtigung und einen Weg zur Erneuerung oder Sperrung. Ein unbekannter Schlüssel ist kein verlässlicher Bestandteil der Übergabe, selbst wenn die Website heute damit funktioniert.

04 / DATEIEN

Der veröffentlichte Stand braucht nachvollziehbare Quellen.

Eine Browseransicht allein zeigt nicht, wie die Website geändert oder wiederhergestellt werden kann.

Welche Dateien benötigt werden, hängt von der Umsetzung ab. Dazu können Quellcode, Datenbankexport, hochgeladene Medien, Schriftlizenzen, Logo- und Grafikquellen, Konfigurationen, Abhängigkeitslisten und Buildhinweise gehören. Bei einem CMS reicht eine Datenbank ohne Uploadverzeichnis ebenso wenig wie ein Themeordner ohne Angabe zu aktiven Erweiterungen und Laufzeitversionen.

Der Übergabestand erhält ein Datum oder eine Versionsbezeichnung und stimmt mit der veröffentlichten Seite überein. Wenn ein Repository verwendet wird, ist klar, welcher Stand produktiv läuft und wie Änderungen dorthin gelangen. Wenn Dateien direkt verwaltet werden, braucht es eine andere nachvollziehbare Änderungsregel. Die Methode darf klein sein, muss aber verhindern, dass drei ähnlich benannte ZIP-Dateien als gleichwertige Wahrheit gelten.

Editierbare Quellen und für das Web optimierte Ausgaben erfüllen unterschiedliche Aufgaben. Ein komprimiertes Bild kann für die Website richtig sein, ersetzt aber nicht automatisch die vereinbarte hochauflösende oder bearbeitbare Quelle. Umgekehrt muss nicht jede interne Arbeitsdatei Teil des Auftrags sein. Der vereinbarte Umfang entscheidet, welche Quellen, Formate und Anwendungsregeln übergeben werden.

Geheimnisse gehören nicht unverschlüsselt in Quellcode oder allgemeine Archive. Produktionsschlüssel, Mailzugänge und private Konfigurationen werden getrennt übertragen und an ihrem vorgesehenen sicheren Ort eingerichtet. Die Dokumentation darf erklären, welche Variable oder Verbindung benötigt wird, ohne das eigentliche Geheimnis dauerhaft in jede Kopie zu schreiben.

05 / DOMAIN

Domain, DNS, Hosting und E-Mail bleiben getrennte Zuständigkeiten.

Wer nur einen FTP-Zugang erhält, kann die Website noch nicht vollständig kontrollieren.

ICANN beschreibt den Registranten als die Person oder Organisation, die einen Vertrag mit einem Registrar über die Registrierung und Verwaltung eines Domainnamens eingeht. Für die Übergabe ist deshalb wichtig, wer im Vertrag geführt wird, welche Kontaktadresse hinterlegt ist und wie Verlängerung, Verwaltung oder ein späterer Transfer funktionieren. Das ist präziser als die umgangssprachliche Aussage, jemand „besitze“ eine Domain.

DNS kann beim Registrar, Hoster oder einem eigenen DNS-Dienst verwaltet werden. Die Übergabe hält Nameserver und wichtige Einträge fest, insbesondere Webziele, Mailzustellung, Absenderprüfungen und Verifikationen. Änderungen an einer Website dürfen bestehende E-Mail-Einträge nicht nebenbei überschreiben. Der Grundlagenartikel Domain, DNS, Hosting und TLS erklärt die technischen Rollen ausführlicher.

Beim Hosting zählen Vertrag und technische Umgebung. Wo liegen Dateien und Datenbank, welche Laufzeiten werden benötigt, welche Sicherungen existieren und wer kann Logs oder Konfigurationen einsehen? Bei verwalteten Angeboten sind manche Ebenen bewusst nicht direkt zugänglich. Dann muss die Übergabe statt eines Serverpassworts den Leistungsumfang, Supportweg und die verfügbaren Exportmöglichkeiten benennen.

Ein Anbieterwechsel beginnt nicht mit der Kündigung. Zuerst wird geprüft, ob alle benötigten Inhalte, DNS-Werte, Postfächer und Vertragsdaten verfügbar sind. Die Hosting- und Migrationsleistung von Ruhrstack beschreibt diese Inventur als ersten Schritt und bezieht Domain, Zertifikate und E-Mail ausdrücklich ein.

06 / RECHTE

Dateibesitz, Nutzungsrecht und Kontozugriff sind nicht dasselbe.

Vertragliche Fragen werden konkret benannt, nicht mit einer pauschalen Eigentumsformel verdeckt.

Das deutsche Urheberrechtsgesetz unterscheidet bei Werken zwischen Urheberrecht und eingeräumten Nutzungsrechten. Nach Paragraf 31 können Nutzungsrechte einfach oder ausschließlich sowie räumlich, zeitlich oder inhaltlich beschränkt eingeräumt werden. Welche Regel für Gestaltung, Fotos, Texte, Schriften oder Code gilt, hängt vom konkreten Vertrag und Material ab. Eine allgemeine Übergabeliste ersetzt keine rechtliche Prüfung.

Praktisch sollte die Dokumentation deshalb festhalten, welche gelieferten Elemente in welchem Umfang verwendet, bearbeitet oder weitergegeben werden dürfen und wo Fremdlizenzen gelten. Bei Schriften, Stockmedien, Erweiterungen oder SaaS-Diensten kann ein vorhandener Dateizugriff allein keine Lizenz übertragen. Ebenso kann ein Nutzungsrecht bestehen, obwohl keine editierbare Quelldatei vereinbart war.

Werden im Betrieb personenbezogene Daten durch einen Dienstleister im Auftrag verarbeitet, kann Artikel 28 DSGVO vertragliche Regelungen zur Auftragsverarbeitung verlangen. Ob und für welche Dienste dies zutrifft, hängt von tatsächlicher Verarbeitung und Rollenverteilung ab. Die Übergabe führt daher Formulare, Analyse, Hosting, Backups und eingebundene Anbieter auf, ohne daraus pauschal eine bestimmte rechtliche Bewertung abzuleiten.

Offene Fragen werden nicht als erledigt markiert. Fehlt etwa die Freigabe für ein Foto, ist das ein dokumentierter Punkt mit Verantwortlichem und Termin. So verhindert die Übergabe, dass technische Verfügbarkeit mit geklärter Verwendung verwechselt wird.

07 / DOKUMENTATION

Eine gute Betriebsnotiz beantwortet die nächste echte Frage.

Dokumentation wird für die Person geschrieben, die später ändern, prüfen oder reagieren muss.

Eine hundertseitige Systembeschreibung kann ebenso unbrauchbar sein wie gar keine. Für eine Unternehmenswebsite sind meist eine Systemübersicht, Zugangsmatrix, Veröffentlichungsweg, Sicherungs- und Wiederherstellungsbeschreibung, Prüfliste sowie offene Punkte entscheidend. Jede Angabe erhält einen klaren Geltungsbereich und möglichst einen letzten Prüfstand.

Die Betriebsnotiz erklärt alltägliche Abläufe: Wie wird eine Seite bearbeitet und freigegeben? Wer prüft ein Update? Wie lässt sich ein Formular testen, ohne echte Kundendaten zu verwenden? Wo wird ein Fehler gemeldet? Welche Änderung erfordert Rücksprache, weil sie Domain, E-Mail oder Datenschutz berührt? Diese Fragen verbinden Technik und Zuständigkeit.

Offene Aufgaben gehören mit Priorität, Verantwortlichem und nächstem Schritt in die Übergabe. Dazu können ausstehende Inhalte, eine spätere Weiterleitung, ein noch nicht getesteter Wiederherstellungsweg oder eine zeitlich begrenzte Übergangskonfiguration zählen. Eine bekannte Grenze ist weniger riskant als eine stillschweigende Annahme.

Nach der gemeinsamen Durchsicht wird geprüft, ob Empfänger die zentralen Konten tatsächlich erreichen und die Dokumentation finden können. Ein Link auf einen internen Ordner genügt nicht, wenn Zugriffsrechte fehlen. Erst diese kurze Gegenprobe macht aus dem Versand eine Übergabe.

08 / RUHRSTACK

Ruhrstack denkt Übergabe und Betrieb im Projekt mit.

Der belegte Ansatz setzt auf direkte Ansprechpartner und nachvollziehbare Zuständigkeiten.

Ruhrstack beschreibt auf der Seite Über uns eine direkte Zusammenarbeit mit Isabelle Bille und Justin Gottwald. Ziel, Umfang, Risiken und offene Informationen werden vor einem Angebot benannt. Design, Entwicklung und Betrieb sollen denselben Prioritäten und Dokumentationen folgen. Zur Zusammenarbeit gehört eine saubere Übergabe, bei der Zugänge, Dateien und Zuständigkeiten auch nach dem Launch nachvollziehbar bleiben.

Der konkrete Übergabeumfang folgt dem Auftrag. Bei Design können benötigte Web-, Druck- oder editierbare Formate vorab festgelegt werden. Bei Websites umfasst der beschriebene Prozess Prüfung und Übergabe von Funktionen, Darstellung, Performance und Zuständigkeiten. Bei Hosting sollen Konten und Verträge, wo sinnvoll und technisch möglich, unter der Kontrolle des Unternehmens bleiben.

Das bedeutet nicht, dass jedes Projekt dieselbe Dokumentationsmappe oder uneingeschränkten Serverzugriff erhält. Ein verwaltetes System hat andere technische Grenzen als eine individuell betriebene Website. Entscheidend ist, dass diese Grenzen, Exportwege und Rollen vorab verständlich vereinbart werden und der gelieferte Stand dazu passt.

Für die erste Anfrage sind keine Zugangsdaten nötig. Eine URL, der bisherige Dienstleister oder Anbieter und eine Beschreibung dessen, was übernommen oder geklärt werden soll, reichen zur Einordnung. Sichere Zugriffswege werden erst danach abgestimmt.

09 / CHECKLISTE

Diese Übergabeliste deckt die wichtigsten Ebenen ab.

Nicht jeder Punkt ist in jedem Projekt vorhanden, jeder vorhandene Punkt braucht aber eine klare Antwort.

  1. Domain und DNS: Registrar, Registrant, Verlängerung, Nameserver, Zone, wichtige Einträge und Änderungsweg.
  2. Hosting: Vertrag, Umgebung, Laufzeiten, Speicherorte, Datenbank, Support, Abrechnung und Kündigungsfristen.
  3. Website: CMS oder Quellcode, produktiver Versionsstand, Deployment, Erweiterungen, Themes und technische Abhängigkeiten.
  4. Konten: persönliche Rollen, privilegierte Verwaltung, Mehrfaktor-Authentifizierung, Notfallzugriff und ehemalige Beteiligte.
  5. Inhalte und Medien: aktueller Bestand, editierbare Quellen, Formate, Freigaben, Nutzungsrechte und Fremdlizenzen.
  6. Dienste: E-Mail, Formulare, Analyse, Search Console, Kartenprofil, Newsletter und sonstige Integrationen.
  7. Sicherung: Umfang, Takt, Aufbewahrung, Speicherort, Verschlüsselung und letzter Wiederherstellungstest.
  8. Betrieb: Updateweg, Monitoring, Alarmempfänger, Inhaltsverantwortung, Support und Vertretung.
  9. Offene Punkte: bekannte Grenzen, Priorität, verantwortliche Person, Frist und nächster Prüftermin.
  10. Abnahme: Empfänger erreichen Konten und Dateien, verstehen die Dokumentation und bestätigen den vereinbarten Stand.

10 / KURZANTWORTEN

Vier häufige Fragen kurz beantwortet.

Praktische Grenzen zwischen Zugang, Quelle, Nutzungsrecht und Betreuung.

Muss das Unternehmen jedes Administratorpasswort erhalten?

Es braucht Kontrolle über zentrale Verträge und die Möglichkeit, Berechtigungen zu verwalten. Nicht jede Person benötigt jedoch jede technische Berechtigung. Persönliche Konten mit passenden Rollen sind sicherer und nachvollziehbarer als ein gemeinsam verwendetes Hauptpasswort.

Gehören editierbare Design- und Quelldateien immer dazu?

Das hängt vom vereinbarten Leistungsumfang und den Nutzungsrechten ab. Webausgaben, editierbare Quellen und interne Arbeitsdateien sind unterschiedliche Ergebnisse. Benötigte Formate und spätere Bearbeitungsmöglichkeiten sollten deshalb vor dem Auftrag ausdrücklich festgelegt werden.

Reicht ein vollständiges Website-Backup als Übergabe?

Nein. Ein Backup kann Dateien und Daten enthalten, erklärt aber weder Verträge, Rollen, Lizenzen, DNS, externe Dienste noch offene Aufgaben. Außerdem muss bekannt sein, ob und wie sich der gesicherte Stand tatsächlich wiederherstellen lässt.

Kann eine Agentur die Website nach der Übergabe weiter betreuen?

Ja, wenn Umfang, Zuständigkeiten und Zugänge vereinbart sind. Übergabe und Betreuung schließen sich nicht aus. Eine nachvollziehbare Übergabe macht die laufende Zusammenarbeit belastbarer, weil sie Abhängigkeiten und Verantwortliche sichtbar hält.

11 / QUELLEN

Quellen und redaktioneller Stand.

Offizielle Grundlagen zu Domainverwaltung, Rollen, geringster Berechtigung, Sicherheitsverantwortung, Nutzungsrechten und Auftragsverarbeitung. Der Artikel wurde am 2. September 2026 veröffentlicht.

Redaktion
Ruhrstack, Dortmund
Veröffentlicht
Quellen geprüft
  1. Internet Corporation for Assigned Names and Numbers: Information for Domain Name Registrants, abgerufen am 2. September 2026.
  2. Internet Corporation for Assigned Names and Numbers: FAQs for Registrants: Transferring Your Domain Name, abgerufen am 2. September 2026.
  3. WordPress.org: Roles and Capabilities, abgerufen am 2. September 2026.
  4. National Institute of Standards and Technology: SP 800-53 Revision 5, Update 1, Kontrollen zu Account Management und Least Privilege.
  5. National Institute of Standards and Technology: The NIST Cybersecurity Framework 2.0, Februar 2024.
  6. Bundesministerium der Justiz: Paragraf 31 UrhG, Einräumung von Nutzungsrechten, abgerufen am 2. September 2026.
  7. Europäische Union: Artikel 28 DSGVO, Auftragsverarbeiter, konsolidierte Fassung.

Redaktioneller Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Einzelfallprüfung. Trotz sorgfältiger Recherche wird keine Gewähr für Vollständigkeit und fortdauernde Aktualität übernommen. Eine Haftung nach zwingenden gesetzlichen Vorschriften bleibt unberührt. Redaktionelle Einordnung.

Website oder Übergabezustand gemeinsam ordnen?

Eine URL, der aktuelle Anbieter und eine kurze Beschreibung reichen. Zugangsdaten werden erst nach der Einordnung über einen abgestimmten Weg benötigt.

Übergabe einordnen