Agenturstart: Wem gehören Werbekonto und Zugänge?

Du hast dich für eine Social-Media-Agentur entschieden, der Vertrag ist unterschrieben, und jetzt fragt die Agentur nach „Zugängen“. Genau an dieser Stelle passieren die teuersten Fehler der ganzen Zusammenarbeit. Nicht sofort, sondern zwei Jahre später: wenn das Werbekonto plötzlich der Agentur gehört, das Pixel in einem fremden Business-Portfolio hängt oder ein gehackter Mitarbeiter-Login dein Werbebudget verbrennt.

Dieser Artikel ist für Geschäftsführer:innen und Marketingverantwortliche im Mittelstand, die gerade eine Agentur beauftragen oder bald beauftragen wollen. Du erfährst, wie du Meta, Google Ads, TikTok und LinkedIn so aufsetzt, dass das Eigentum immer bei dir bleibt und die Agentur trotzdem vom ersten Tag an arbeiten kann.

Warum ist das Zugangs-Setup vor dem Agenturstart so wichtig?

Kurz gesagt: Wer ein Werbekonto anlegt, besitzt es meist auch, und Eigentum lässt sich später nur mühsam oder gar nicht übertragen. Deshalb entscheidet die erste Woche einer Agenturzusammenarbeit darüber, ob deine Daten, Zielgruppen und dein Konto-Verlauf in zwei Jahren noch dir gehören.

Das klingt nach Formalie, hat aber handfeste Folgen:

• Konto-Historie ist Kapital. Ein Werbekonto mit sauberer Zahlungshistorie und Lernphase wird von den Plattformen anders behandelt als ein frisches Konto. Wer neu anfangen muss, startet wieder bei null.
• Pixel- und Conversion-Daten wandern nicht mit. Hängt dein Meta-Dataset (früher „Pixel“) im Portfolio der Agentur, sind Monate an Tracking-Daten und Custom Audiences im Zweifel weg.
• Zahlungsmittel und Rechnungen. Läuft das Budget über die Kreditkarte der Agentur, verlierst du Transparenz über deine echten Mediakosten.

Aus unserer Erfahrung mit Mittelständlern in ganz Bayern gilt: Die meisten Probleme beim Agenturwechsel lassen sich auf ein falsches Setup am Anfang zurückführen. Was in den Wochen nach dem Start sonst noch passieren sollte, steht in unserem Artikel Die ersten 90 Tage mit einer Social-Media-Agentur. Hier geht es um die Zugänge, damit ein späterer Wechsel gar nicht erst wehtut.

Wem sollte das Werbekonto gehören: dir oder der Agentur?

Das Werbekonto, die Unternehmensseite, das Tracking und das Zahlungsmittel gehören immer dem Unternehmen. Die Agentur bekommt nur Zugriff. Das ist der Branchenstandard bei seriösen Agenturen und sollte nicht verhandelbar sein.

Eine einfache Regel hilft dir bei jeder Plattform:

Die Ausnahme: Manche Agenturen schalten bewusst über eigene Konten, etwa bei sehr kleinen Testbudgets. Das kann funktionieren, aber dann muss im Vertrag stehen, wie Konto, Zielgruppen und Daten am Ende übertragen werden. Ohne diese Klausel bist du abhängig.

Wie gibst du einer Agentur bei Meta richtig Zugriff?

Bei Meta legst du ein eigenes Business-Portfolio an und fügst die Agentur dort als Partner hinzu, nicht ihre Mitarbeitenden einzeln als Personen. Die Agentur verteilt den Zugriff dann intern an ihr Team.

So gehst du vor:

1. Eigenes Business-Portfolio anlegen (das frühere „Business Manager“-Konto), mit einer Firmen-E-Mail, nicht mit dem privaten Facebook-Profil einer Aushilfe.
2. Mindestens zwei Admins aus deinem Unternehmen eintragen. Fällt eine Person weg (Kündigung, Elternzeit, gesperrtes Profil), kommst du trotzdem noch an dein Konto.
3. Assets ins eigene Portfolio holen: Facebook-Seite, Instagram-Konto, Werbekonto, Dataset/Pixel, Domain.
4. Domain verifizieren, und zwar im eigenen Portfolio, nicht in dem der Agentur.
5. Agentur als Partner hinzufügen: Du gibst die Business-ID der Agentur ein und teilst gezielt einzelne Assets.
6. Zahlungsmittel selbst hinterlegen. Die Agentur braucht dafür keinen Zugriff.

Der Vorteil des Partner-Modells: Wenn bei der Agentur jemand das Team verlässt, entzieht die Agentur selbst den Zugriff. Du musst nicht jeden Mitarbeitenden einzeln verwalten. Und wenn die Zusammenarbeit endet, entfernst du mit einem Klick den Partner statt zwölf Einzelpersonen.

Wie du einzelne Personen ins Portfolio aufnimmst, erklären wir Schritt für Schritt in der Anleitung Mitarbeiter im Meta Business Manager hinzufügen.

Wie funktioniert der Zugang bei Google Ads, TikTok und LinkedIn?

Das Prinzip ist überall gleich: Das Konto gehört dir, die Agentur verknüpft sich über ihre eigene Struktur oder bekommt eine Rolle. Nur die Begriffe unterscheiden sich.

Google Ads: Die Agentur verknüpft dein Werbekonto mit ihrem Verwaltungskonto (MCC). Die Anfrage kommt von der Agentur, du nimmst sie an. Laut Google ändert die Verknüpfung weder das Konto noch seinen Verlauf, der ursprüngliche Inhaber behält Anmeldung und Abrechnung. Ein Werbekonto kann mit bis zu fünf Verwaltungskonten verbunden sein. Wichtig: Behalte selbst Administratorzugriff, denn nur Admins können zum Beispiel die Rechnungsstellung ändern.

Google Analytics & Tag Manager: Die Property bzw. der Container gehört deinem Unternehmenskonto. Die Agentur bekommt eine Nutzerrolle (meist „Bearbeiter“), nicht „Administrator“.

TikTok: Über das TikTok Business Center legst du dein eigenes Center an, holst Werbekonto und Pixel hinein und fügst die Agentur als Partner hinzu, genau wie bei Meta.

LinkedIn: Die Unternehmensseite und das Werbekonto im Campaign Manager gehören dir. Die Agentur bekommt im Werbekonto eine Rolle wie „Campaign Manager“ und auf der Seite eine Admin-Rolle mit eingeschränkten Rechten. Die Rolle „Billing Admin“ bleibt bei dir.

Was hat die aktuelle Phishing-Welle mit deinem Setup zu tun?

Gestohlene Werbekonten sind 2026 ein eigener Schwarzmarkt, und schlecht verwaltete Zugänge sind das Einfallstor. Ein sauberes Rechte-Setup ist deshalb nicht nur Ordnung, sondern Schutz deines Budgets.

Die Zahlen sind deutlich:

• Das Threat-Research-Team von Mimecast zählte über vier Jahre 6,4 Millionen erkannte Diebstahlversuche bei Meta-Business- und Google-Ads-Konten. Allein im zweiten Halbjahr 2025 waren es rund 1,86 Millionen, so viele wie in keinem Zeitraum davor (Help Net Security, 29.07.2026).
• Check Point dokumentierte Ende 2025 eine Kampagne mit über 40.000 Phishing-Mails an mehr als 5.000 Organisationen, verschickt über Metas eigene Business-Funktionen. Trustwave SpiderLabs beschrieb im April 2026, wie Angreifer dafür Metas echte Funktion für Partneranfragen missbrauchen. Die Mails kommen deshalb tatsächlich von Metas Absenderadresse und rutschen durch übliche Spamfilter.

Warum Konten so begehrt sind: Ältere Konten mit sauberer Zahlungshistorie gelten bei den Plattformen als vertrauenswürdiger. Betrüger kapern sie, tragen eigene Admins ein, stufen den Inhaber herab und schalten Anzeigen auf deine Kosten. Die Wiederherstellung kann laut Mimecast Monate dauern.

Was das für dein Setup heißt:

• Nimm nie eine Partneranfrage an, die du nicht selbst erwartest. Die Agentur kündigt ihre Anfrage vorher an, per Telefon oder im Projekt-Chat, nicht nur per Mail.
• Zwei-Faktor-Authentifizierung für alle Admins, und Codes nie auf einer Seite eingeben, die du über einen Mail-Link erreicht hast.
• Keine geteilten Passwörter. Jede Person hat ihren eigenen Login. Ein „Marketing@“-Sammelzugang, den fünf Leute kennen, ist das größte Risiko.
• Quartalsweise Zugriffe prüfen: Wer hat heute Zugriff, und braucht er ihn noch?

Wenn es doch passiert ist, hilft unser Leitfaden Gehacktes Meta-Werbekonto: Was kann ich tun?

Welche Rechte braucht die Agentur wirklich?

So viel wie nötig, so wenig wie möglich: Die Agentur braucht Bearbeitungsrechte für Kampagnen und Inhalte, aber keine Rechte an Zahlungsmitteln, Eigentum oder Admin-Verwaltung. Fachleute nennen das Prinzip der minimalen Rechte.

Eine praxistaugliche Aufteilung:

• Werbekonto: Kampagnen erstellen, bearbeiten, Berichte sehen: ja. Zahlungsmittel verwalten: nein.
• Seite / Instagram: Inhalte posten, Nachrichten und Kommentare beantworten, Statistiken sehen: ja. Seite löschen oder Admins entfernen: nein.
• Dataset / Pixel: Events nutzen und einrichten: ja. Dataset an andere Portfolios weitergeben: nein.
• Domain: Die Verifizierung bleibt bei dir.

Seriöse Agenturen fragen von sich aus nicht nach Vollzugriff auf alles. Wenn eine Agentur darauf besteht, dein gesamtes Portfolio zu „übernehmen“, ist das ein Warnsignal.

Checkliste: Zugänge in 60 Minuten sauber aufsetzen

Mit dieser Liste schaffst du das komplette Setup in etwa einer Stunde, am besten gemeinsam mit der Agentur im Kick-off-Call.

1. Firmen-E-Mail für Plattform-Logins festlegen (kein privates Postfach).
2. Zwei interne Admins pro Plattform bestimmen, beide mit 2FA.
3. Meta-Business-Portfolio prüfen oder anlegen, alle Assets hineinholen.
4. Domain im eigenen Meta-Portfolio verifizieren.
5. Agentur über ihre Business-ID als Partner hinzufügen und die Anfrage vorher telefonisch ankündigen lassen.
6. Google-Ads-Verknüpfung über das Verwaltungskonto der Agentur annehmen, eigenen Admin behalten.
7. Analytics und Tag Manager: Agentur als Bearbeiter, nicht als Administrator.
8. TikTok Business Center und LinkedIn-Rollen nach gleichem Muster.
9. Zahlungsmittel überall selbst hinterlegen.
10. Eine Zugriffsliste anlegen (Plattform, Asset, wer, welche Rolle, seit wann) und einen Kalendertermin für die Quartalsprüfung setzen.

Wie machen wir das bei [mediarenner]?

Bei [mediarenner], der Social-Media-Agentur aus Regensburg mit Standort in München, bleiben Werbekonten, Seiten und Tracking grundsätzlich im Eigentum unserer Kunden. Wir arbeiten über Partnerzugriff und Verwaltungskonten und gehen das Setup im Kick-off gemeinsam durch.

Unsere 33 Mitarbeitenden betreuen Unternehmen in ganz Bayern, vom Handwerksbetrieb in der Oberpfalz bis zum Mittelständler in Oberbayern. Gerade bei Unternehmen, die vorher mit einer anderen Agentur gearbeitet haben, finden wir in der ersten Woche oft Altlasten: Pixel im falschen Portfolio, ehemalige Mitarbeitende mit Admin-Rechten oder Werbekonten, die gar nicht dem Unternehmen gehören. Das räumen wir zuerst auf, bevor die erste Kampagne startet.

FAQ: Zugänge beim Agenturstart

Muss ich der Agentur mein Passwort geben?

Nein. Eine seriöse Agentur braucht kein Passwort. Bei Meta, Google, TikTok und LinkedIn gibt es eigene Partner- oder Rollensysteme, über die die Agentur mit eigenen Logins arbeitet. Geteilte Passwörter sind ein Sicherheitsrisiko und machen später nicht nachvollziehbar, wer was geändert hat.

Was ist der Unterschied zwischen Partnerzugriff und Personenzugriff bei Meta?

Beim Partnerzugriff teilst du Assets mit dem Business-Portfolio der Agentur, die den Zugriff intern an ihr Team vergibt. Beim Personenzugriff fügst du einzelne Menschen direkt hinzu. Für Agenturen ist der Partnerzugriff besser: weniger Verwaltung, und beim Ende der Zusammenarbeit entfernst du nur einen Partner.

Was passiert mit meinem Google-Ads-Konto, wenn ich die Agentur wechsle?

Wenn das Konto dir gehört und nur mit dem Verwaltungskonto der Agentur verknüpft ist, löst du einfach die Verknüpfung. Konto, Verlauf und Daten bleiben bei dir. Problematisch wird es nur, wenn die Agentur das Konto ursprünglich selbst angelegt hat und du keinen Administratorzugriff hast.

Woran erkenne ich eine gefälschte Partneranfrage?

Am Kontext: Kam die Anfrage unangekündigt, verlangt sie eine Anmeldung über einen Link in der Mail oder droht sie mit Kontosperrung, ist Vorsicht angesagt. Prüfe Anfragen immer direkt in deinem Business-Portfolio statt über Links und lass dir echte Agenturanfragen vorher persönlich ankündigen.

Wie oft sollte ich die Zugriffe prüfen?

Mindestens einmal pro Quartal und zusätzlich bei jedem Personalwechsel, intern wie bei der Agentur. Entferne alle Personen und Partner, die den Zugriff nicht mehr brauchen. Eine einfache Zugriffsliste mit Plattform, Rolle und Datum macht diese Prüfung zur Sache von 15 Minuten.

Fazit: Eigentum zuerst, dann Kampagnen

Das Zugangs-Setup ist der unspektakulärste Teil einer Agenturzusammenarbeit und einer der wichtigsten. Wenn Werbekonten, Seiten, Tracking und Zahlungsmittel von Anfang an dir gehören und die Agentur nur über Partnerzugriff und klare Rollen arbeitet, bist du unabhängig, sicher und behältst deine Daten.

Du willst mit einer Agentur starten, die das von Tag eins an sauber aufsetzt? 👉 Vereinbare ein kostenloses Beratungsgespräch mit [mediarenner]. Wir prüfen gemeinsam dein bestehendes Setup und zeigen dir, wo du Altlasten aufräumen solltest, bevor die erste Kampagne läuft.