unternehmensnachfolge-anwalt.at
Mag. Bernhard Brandauer, Rechtsanwalt
Adminrechte, Zwei-Faktor-Authentifizierung und Übergabeprotokoll bei der Unternehmensnachfolge rechtlich und praktisch ordnen.
Bei der Unternehmensnachfolge entscheidet sich die Handlungsfähigkeit oft an digitalen Zugängen. Der Nachfolger braucht Zugriff auf geschäftliche E-Mail, Buchhaltung, Cloudspeicher, Zahlungsfreigaben oder Verwaltungsportale. Ein Passwortzettel genügt dafür nicht. Entscheidend sind die rechtliche Zuordnung, die richtige Rolle, eine neue Zwei-Faktor-Authentifizierung und ein nachvollziehbarer Abschluss.
Dieser Beitrag behandelt vertraglich oder organisatorisch übertragbare Administrations- und Nutzungsrechte. Personengebundene Konten gehen nicht automatisch auf eine andere Person über. Der Anbieter, die Kontoinhaberschaft und die konkrete Funktion müssen jeweils geprüft werden. Der Themenbereich Nachfolgeplanung gibt den größeren rechtlichen Rahmen vor.
Der Check ordnet Kontozuordnung, 2FA und Dokumentation. Das Ergebnis kann mit den Eckdaten an die Kanzlei gesendet werden.
Sie wissen schon, dass Sie eine Anfrage stellen wollen? Direkt zum Anfrageformular.
Die technische Änderung muss zur Kontoinhaberschaft und zur vorgesehenen Unternehmensrolle passen.
Erstellen Sie eine Liste der betroffenen Systeme. Halten Sie je Konto fest, wem es rechtlich zugeordnet ist, welche Rolle übertragen werden soll und welche Bedingungen des Anbieters gelten.
Richten Sie die Authenticator-App, das Sicherheitstelefon oder den Sicherheitsschlüssel des Nachfolgers ein. Prüfen Sie eine Anmeldung und die Wiederherstellung. Danach werden Sitzungen, alte Geräte und frühere Recovery-Codes kontrolliert beendet oder ersetzt.
Dokumentieren Sie System, Konto, Rolle, Zeitpunkt, Übergabemethode, Test, geschlossene Altberechtigungen und offene Punkte. Bewahren Sie das Protokoll getrennt von Passwörtern und Wiederherstellungscodes auf.
Die Übergabemappe beginnt mit einer vollständigen Systemliste. Erfasst werden geschäftliche E-Mail- und Kalenderverwaltung, Buchhaltung, Lohnverrechnung, Cloudspeicher, Zahlungs- und Bankportale, Warenwirtschaft, CRM, Hosting und interne Verwaltungszugänge. Entscheidend ist die Funktion im Betrieb. Der Nachfolger muss erkennen, welches System für welche Aufgabe gebraucht wird.
§ 914 ABGB verlangt bei der Auslegung von Verträgen, die Absicht der Parteien und die Übung des redlichen Verkehrs zu berücksichtigen. Für digitale Rechte bedeutet das: Eine allgemeine Formulierung wie „alle Passwörter“ beantwortet noch nicht, welche Rolle, welches Konto und welcher Umfang gemeint sind. Die Übergabevereinbarung sollte Systeme, Verantwortungsbereich und Zeitpunkt der Umstellung konkret zuordnen.
In die Liste gehören auch Abhängigkeiten. Ein Zahlungsportal kann an eine geschäftliche E-Mail, ein Mobiltelefon oder eine zweite Freigabeperson gebunden sein. Eine Datensicherung kann an einen Cloudadministrator gekoppelt sein. Solche Verbindungen werden sichtbar, bevor der alte Zugang geschlossen wird.
Ein Unternehmensaccount mit mehreren Rollen ist anders zu behandeln als ein persönliches Profil einer natürlichen Person. Bei einem geschäftlichen Administrationskonto kann die Organisation eine Übertragung oder neue Administratorbestellung vorsehen. Bei einem persönlichen Profil entscheiden zusätzlich Anbieterbedingungen, Identitätsprüfung und der Zweck des Kontos.
Der Nachfolger erhält daher keine pauschale Berechtigung für alle Konten des Übergebers. Zuerst wird festgestellt, ob das Konto dem Unternehmen, einer Gesellschaft, einem Dienstleister oder einer Person zugeordnet ist. Danach wird die zulässige Änderung mit dem Anbieter abgestimmt. § 914 ABGB unterstützt eine Auslegung nach dem wirtschaftlichen Zweck, ersetzt aber keine zwingenden Anbieterbedingungen oder eine fehlende Übertragbarkeit.
Die Prüfung von Firmenbuch und Vollmachten ergänzt diese digitale Ebene. Sie zeigt, warum interne Berechtigungen, organschaftliche Vertretung und technische Zugänge gemeinsam betrachtet werden müssen.
Zwei-Faktor-Authentifizierung, kurz 2FA, verlangt neben dem Passwort einen zweiten Nachweis. Das kann ein Code aus einer Authenticator-App, eine SMS, ein Sicherheitsschlüssel oder eine Bestätigung auf einem registrierten Gerät sein. Bei der Nachfolge muss dieser zweite Faktor auf die neue verantwortliche Person oder auf eine definierte Unternehmensrolle übergehen.
Die Reihenfolge ist wichtig. Zuerst werden neue Geräte oder Schlüssel registriert, ein Anmeldeversuch durchgeführt und die Wiederherstellung geprüft. Erst danach werden alte Sitzungen, Geräte, Mobilnummern, App-Schlüssel und Recovery-Codes entfernt oder ersetzt. Für kritische Systeme sollte eine zweite berechtigte Person den Test bestätigen.
Passwörter und Wiederherstellungscodes gehören nicht in ein ungeschütztes E-Mail oder in dasselbe Protokoll wie die Berechtigungsmatrix. Eine sichere Übergabemethode kann ein freigegebener Passwortmanager, ein vom Anbieter unterstützter Rollenwechsel oder eine andere kontrollierte Übermittlung sein. Die konkrete Methode richtet sich nach System, Risiko und Vertrag.
Ein gutes Übergabeprotokoll beschreibt den Zustand vor und nach der Änderung. Für jedes System werden Bezeichnung, URL oder technische Kennung, Unternehmenszweck, bisherige und neue Rolle, Umstellungszeitpunkt, Übergabemethode und Teststatus festgehalten. Passwörter selbst werden dort nicht eingetragen.
Der Nachweis sollte außerdem zeigen, welche alten Rechte geschlossen wurden. Dazu zählen aktive Sitzungen, frühere Administratoren, hinterlegte Wiederherstellungsadressen, API-Schlüssel, App-Passwörter und Freigabegeräte, soweit das jeweilige System diese Funktionen anbietet. Wenn eine Schließung noch nicht möglich ist, wird der Grund mit einer verantwortlichen Person und einem Folgetermin dokumentiert.
Das Protokoll ist eine Vollzugsliste und kein Ersatz für den Übergabevertrag. Es hält fest, wie die vereinbarte Änderung umgesetzt wurde. Bei späteren Unklarheiten lässt sich damit unterscheiden, ob eine Rolle nie übertragen, nur vorbereitet oder bereits getestet und abgeschlossen wurde.
Administrationsrechte eröffnen oft Zugriff auf personenbezogene Daten. Das betrifft etwa Kundendaten im CRM, Mitarbeiterdaten in der Lohnverrechnung, E-Mails oder Supportfälle. Art. 5 DSGVO nennt unter anderem Zweckbindung, Datenminimierung sowie Integrität und Vertraulichkeit. Art. 24 DSGVO weist dem Verantwortlichen die Verantwortung für eine geeignete Organisation zu. Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen.
Für die Nachfolge folgt daraus eine Berechtigungsmatrix nach Aufgaben. Der Nachfolger braucht jene Rechte, die für seine Funktion erforderlich sind. Ein Übergeber behält Zugriff nur, wenn dafür ein konkreter betrieblicher Grund besteht. Die Umstellung wird mit Protokollen, Rollenbeschreibung und den internen Verantwortlichkeiten abgestimmt.
Der Beitrag zu Kundendaten, Newsletter und DSGVO behandelt die datenschutzrechtliche Ebene der Datenbestände. Hier steht die Zugangskontrolle im Vordergrund. Beide Fragen können zusammentreffen, bleiben aber prüfungslogisch getrennt.
Signing, Closing und die tatsächliche Übernahme der Geschäftsführung fallen nicht immer auf denselben Tag. Die Übergabemappe sollte daher drei Zustände unterscheiden: vorbereitet, technisch getestet und endgültig umgestellt. Für die Zwischenphase werden Zweck, Umfang und Dauer jedes verbleibenden Altzugangs festgelegt.
Ein sinnvoller Ablauf beginnt mit der Inventur und der Prüfung der Kontoinhaberschaft. Danach werden neue Rollen angelegt, 2FA und Recovery getestet und die wichtigsten Systeme gemeinsam durchgesehen. Erst wenn die Nachfolgerseite handlungsfähig ist, werden nicht mehr benötigte Altberechtigungen geschlossen. Bei Bank- oder Zahlungsfreigaben braucht es zusätzlich eine abgestimmte Freigabekette.
Die Unterlagen für das erste Nachfolgegespräch helfen, Gesellschaftsvertrag, Vollmachten und Beteiligte zu ordnen. Für digitale Zugänge wird diese Liste um Systemverantwortliche, Anbieter und technische Restpunkte ergänzt.
Ein häufiger Fehler ist die Übergabe eines einzigen Hauptpassworts ohne Rollenprüfung. Dadurch bleibt unklar, ob das Konto dem Unternehmen oder einer Person gehört und ob der Anbieter die Änderung erlaubt. Ein zweiter Fehler ist die Abschaltung des alten Faktors, bevor der neue Zugang getestet wurde. Das kann den laufenden Betrieb blockieren.
Auch ein unterschriebenes Übergabeprotokoll beweist allein keinen funktionierenden Zugriff. Der Anmeldeversuch, die Testfreigabe und der Readback des neuen Rollenstands müssen festgehalten werden. Umgekehrt reicht ein erfolgreicher Login nicht aus, wenn frühere Administratoren und Recovery-Wege weiter aktiv bleiben.
Der Gesellschaftsvertrag in der Nachfolge kann für Zuständigkeiten und Zustimmungserfordernisse relevant sein. Die technische Administration ersetzt keine erforderlichen Beschlüsse oder Vertretungsregelungen.
Zum Abschluss gehören eine System- und Kontenliste, die Berechtigungsmatrix, die Vereinbarung zur Zuständigkeit, die sichere Übergabemethode und der Testnachweis. Zusätzlich wird vermerkt, welche Altgeräte, Sitzungen, Recovery-Adressen und Tokens geschlossen oder ersetzt wurden.
Offene Punkte erhalten eine konkrete verantwortliche Person und einen Termin. Das gilt etwa für Anbieterbestätigungen, ausstehende Rollenwechsel oder Systeme mit manueller Prüfung. Die Abschlussmappe sollte so geführt sein, dass die neue Geschäftsführung den Stand nachvollziehen kann, ohne sensible Zugangsdaten im Klartext zu erhalten.
Ein solcher Readback schafft Klarheit über den tatsächlichen Vollzug. Er hilft auch dann, wenn die Nachfolge in mehreren Schritten erfolgt und einzelne Systeme erst nach dem Übergabestichtag umgestellt werden können.
Nein. Entscheidend sind Kontoinhaberschaft, Unternehmensbezug, Anbieterbedingungen und die vereinbarte Rolle. Personengebundene Konten müssen gesondert beurteilt werden.
Der neue Faktor sollte vor der Schließung alter Geräte und Wiederherstellungswege eingerichtet und mit einer Anmeldung oder Freigabe getestet werden. Erst danach wird der alte Zugriff kontrolliert beendet.
Festgehalten werden System, Zweck, bisherige und neue Rolle, Zeitpunkt, Übergabemethode, Teststatus, geschlossene Altberechtigungen und offene Punkte. Passwörter und Recovery-Codes gehören nicht in das Protokoll.
Vereinbaren Sie ein Erstgespräch. Wir klären den rechtlichen Rahmen, die kritischen Dokumente und die nächsten Schritte. Rückruf innerhalb eines Werktags.
Kontakt aufnehmen