.webp){kind=logo}
.svg){kind=small}
.svg){kind=small}
.svg){kind=small}
Nutzer in Google Analytics hinzufügen dauert etwa eine Minute. Die richtige Person, die richtige Zugriffsebene und die richtige Rolle auszuwählen, erfordert mehr Überlegung. Diese Entscheidung beeinflusst jeden Bericht, mit dem Ihr Team Budgets einsetzt und Ergebnisse bewertet.
Google Analytics ist der weltweit meistgenutzte Webanalysedienst. Seine aktuelle Version GA4 war im August 2023 auf rund 13,5 Millionen Websites im Einsatz. Für die meisten Unternehmen ist die Analytics-Property ein gemeinsamer Arbeitsbereich für Marketingteams, Entwickler, Agenturen und Führungskräfte. Damit ist der Zugriff ebenso eine Frage der Sicherheit wie der praktischen Nutzung.
Die Zahlen sprechen für Vorsicht. Laut der Cyber Security Breaches Survey 2025/2026 der britischen Regierung stellten 43% der britischen Unternehmen in den vorherigen 12 Monaten einen Cybersicherheitsvorfall oder Angriff fest. Gleichzeitig beschränken nur 73% die IT-Administrations- und Zugriffsrechte auf bestimmte Nutzer. Somit fehlt etwa jedem vierten Unternehmen eine Regel zur Begrenzung von Administratorrechten.
Zunächst die kurze Antwort: Um einen Nutzer in GA4 hinzuzufügen, öffnen Sie Verwaltung, wählen Zugriffsverwaltung für Property oder Zugriffsverwaltung für Konto und klicken auf das Pluszeichen (+). Wählen Sie Nutzer hinzufügen, geben Sie die E-Mail-Adresse des Google-Kontos der Person ein, wählen Sie eine Rolle und klicken Sie auf Hinzufügen. In diesem Leitfaden erfahren Sie, wie der GA4-Zugriff funktioniert, welche Rolle zu welcher Person passt, wie Sie sicher Zugriff gewähren und wie Sie die Zugriffsrechte beim Wachstum Ihres Teams übersichtlich halten.
Google Analytics ist der weltweit meistgenutzte Webanalysedienst. Seine aktuelle Version GA4 war im August 2023 auf rund 13,5 Millionen Websites im Einsatz. Für die meisten Unternehmen ist die Analytics-Property ein gemeinsamer Arbeitsbereich für Marketingteams, Entwickler, Agenturen und Führungskräfte. Damit ist der Zugriff ebenso eine Frage der Sicherheit wie der praktischen Nutzung.
Die Zahlen sprechen für Vorsicht. Laut der Cyber Security Breaches Survey 2025/2026 der britischen Regierung stellten 43% der britischen Unternehmen in den vorherigen 12 Monaten einen Cybersicherheitsvorfall oder Angriff fest. Gleichzeitig beschränken nur 73% die IT-Administrations- und Zugriffsrechte auf bestimmte Nutzer. Somit fehlt etwa jedem vierten Unternehmen eine Regel zur Begrenzung von Administratorrechten.
Zunächst die kurze Antwort: Um einen Nutzer in GA4 hinzuzufügen, öffnen Sie Verwaltung, wählen Zugriffsverwaltung für Property oder Zugriffsverwaltung für Konto und klicken auf das Pluszeichen (+). Wählen Sie Nutzer hinzufügen, geben Sie die E-Mail-Adresse des Google-Kontos der Person ein, wählen Sie eine Rolle und klicken Sie auf Hinzufügen. In diesem Leitfaden erfahren Sie, wie der GA4-Zugriff funktioniert, welche Rolle zu welcher Person passt, wie Sie sicher Zugriff gewähren und wie Sie die Zugriffsrechte beim Wachstum Ihres Teams übersichtlich halten.
So funktioniert der Zugriff auf Google Analytics 4
Die meisten Fehler bei Zugriffsrechten in Google Analytics beginnen mit einer veralteten Vorstellung vom Aufbau des Systems. Viele Marketingfachleute haben Webanalyse mit Universal Analytics gelernt. Dort enthielt ein Konto Properties, und jede Property enthielt Datenansichten. Teams nutzten Datenansichten, um bestimmte Daten vor einzelnen Personen zu verbergen. Beispielsweise zeigte eine Datenansicht einem Regionalleiter nur ein Land. GA4 hat keine Datenansichten. Gewohnheiten, die auf Datenansichten basieren, schützen daher keine Daten mehr.
In GA4 gewähren Sie Zugriff auf zwei Hauptebenen: Konto und Property. Ein Konto ist der oberste Container und steht in der Regel für ein Unternehmen. Eine Property enthält die Daten einer Website, einer App oder einer Gruppe davon. Datenstreams sind die einzelnen Quellen, die Daten an die Property liefern, etwa Ihre Website oder Ihre Android-App. Sie können keinen Nutzer zu einem einzelnen Datenstream hinzufügen.
In GA4 gewähren Sie Zugriff auf zwei Hauptebenen: Konto und Property. Ein Konto ist der oberste Container und steht in der Regel für ein Unternehmen. Eine Property enthält die Daten einer Website, einer App oder einer Gruppe davon. Datenstreams sind die einzelnen Quellen, die Daten an die Property liefern, etwa Ihre Website oder Ihre Android-App. Sie können keinen Nutzer zu einem einzelnen Datenstream hinzufügen.
Kontozugriff und Property-Zugriff im Vergleich
Ein auf Kontoebene hinzugefügter Nutzer erhält dieselbe Rolle für jede Property in diesem Konto, auch für später erstellte Properties. Ein auf Property-Ebene hinzugefügter Nutzer sieht nur diese Property. Dieser Unterschied ist wichtiger, als er zunächst erscheint.
Nehmen Sie einen Händler mit einem Konto und drei Properties: dem Hauptshop, einem Großhandelsportal und einer neuen Marke, die im nächsten Quartal startet. Wenn der Händler seiner SEO-Agentur auf Kontoebene die Rolle Bearbeiter gibt, kann die Agentur die Property der neuen Marke ab dem Tag ihrer Erstellung sehen und ändern. Niemand hat das beabsichtigt, doch die Vererbung hat es automatisch ermöglicht.
Nehmen Sie einen Händler mit einem Konto und drei Properties: dem Hauptshop, einem Großhandelsportal und einer neuen Marke, die im nächsten Quartal startet. Wenn der Händler seiner SEO-Agentur auf Kontoebene die Rolle Bearbeiter gibt, kann die Agentur die Property der neuen Marke ab dem Tag ihrer Erstellung sehen und ändern. Niemand hat das beabsichtigt, doch die Vererbung hat es automatisch ermöglicht.
Wie die Vererbung bestimmt, was ein Nutzer tun kann
GA4 fasst alle Rollen einer Person zu effektiven Berechtigungen zusammen. Dabei gilt die Rolle mit den weitreichendsten Berechtigungen. Die effektiven Berechtigungen umfassen Rollen aus dem Konto, aus Nutzergruppen und aus einer Organisation sowie jede direkt auf der Property zugewiesene Rolle.
Das hat eine praktische Konsequenz. Hat ein Berater auf Kontoebene die Rolle Bearbeiter, können Sie seine Rechte für eine einzelne Property nicht auf Betrachter begrenzen. Die Rolle Bearbeiter auf Kontoebene gilt dort weiterhin. Dieselbe Logik gilt für Dateneinschränkungen: Eine vom Konto geerbte Einschränkung lässt sich auf Property-Ebene nicht entfernen. Sie können dort jedoch weitere Einschränkungen hinzufügen.
Das hat eine praktische Konsequenz. Hat ein Berater auf Kontoebene die Rolle Bearbeiter, können Sie seine Rechte für eine einzelne Property nicht auf Betrachter begrenzen. Die Rolle Bearbeiter auf Kontoebene gilt dort weiterhin. Dieselbe Logik gilt für Dateneinschränkungen: Eine vom Konto geerbte Einschränkung lässt sich auf Property-Ebene nicht entfernen. Sie können dort jedoch weitere Einschränkungen hinzufügen.
Was sich gegenüber Universal Analytics geändert hat
Universal Analytics stellte die Datenerfassung am 1. Juli 2023 ein. Der Zugriff auf die Benutzeroberfläche endete am 1. Juli 2024. Die bisherigen Berechtigungen wurden in GA4 umbenannt: Aus Nutzer verwalten wurde Administrator, aus Bearbeiten wurde Bearbeiter, aus Zusammenarbeiten wurde Analyst und aus Lesen & Analysieren wurde Betrachter. GA4 führte außerdem die neue Rolle Marketingexperte für Personen ein, die Zielgruppen und Schlüsselereignisse verwalten.
Auch die Einschränkung des Datenzugriffs hat sich geändert. Berichtsfilter in GA4 helfen Nutzern, sich auf relevante Daten zu konzentrieren. Nutzer können sie jedoch entfernen. Deshalb erleichtern sie die Arbeit, sind aber keine Sicherheitsmaßnahme. Um bestimmte Daten tatsächlich vor einzelnen Personen zu verbergen, können Sie Dateneinschränkungen für Kosten und Umsatz, separate Properties für separate Unternehmen und untergeordnete Properties nutzen. Letztere sind nur in Analytics 360 verfügbar. Unternehmen in regulierten Branchen wie dem Gesundheitswesen oder Finanzdienstleistungssektor benötigen meist die strengeren Optionen, da ihre Datenschutzpflichten über die übliche Marketingpraxis hinausgehen.
Auch die Einschränkung des Datenzugriffs hat sich geändert. Berichtsfilter in GA4 helfen Nutzern, sich auf relevante Daten zu konzentrieren. Nutzer können sie jedoch entfernen. Deshalb erleichtern sie die Arbeit, sind aber keine Sicherheitsmaßnahme. Um bestimmte Daten tatsächlich vor einzelnen Personen zu verbergen, können Sie Dateneinschränkungen für Kosten und Umsatz, separate Properties für separate Unternehmen und untergeordnete Properties nutzen. Letztere sind nur in Analytics 360 verfügbar. Unternehmen in regulierten Branchen wie dem Gesundheitswesen oder Finanzdienstleistungssektor benötigen meist die strengeren Optionen, da ihre Datenschutzpflichten über die übliche Marketingpraxis hinausgehen.
Praxistipp: Planen Sie die Zugriffsrechte, bevor Sie jemanden einladen
Eine kurze Übersicht der Zugriffsrechte spart später Stunden. Listen Sie Ihr Konto, jede zugehörige Property und die Personen oder Unternehmen auf, die die jeweilige Property benötigen. Schreiben Sie neben jeden Namen, welche Entscheidung diese Person anhand der Daten trifft.
Daraus folgt eine einfache Regel: Zugriff auf Property-Ebene ist der Standard. Zugriff auf Kontoebene bleibt den internen Personen vorbehalten, die die gesamte Analytics-Einrichtung verantworten. Das funktioniert, weil der Zugriff auf Property-Ebene die Reichweite eines einzelnen Fehlers begrenzt. Eine neue Property bleibt privat, bis Sie entscheiden, wer darauf zugreifen soll. Ein externer Partner erhält niemals automatisch Zugriff auf Daten, für deren Bearbeitung er nicht beauftragt wurde.
Daraus folgt eine einfache Regel: Zugriff auf Property-Ebene ist der Standard. Zugriff auf Kontoebene bleibt den internen Personen vorbehalten, die die gesamte Analytics-Einrichtung verantworten. Das funktioniert, weil der Zugriff auf Property-Ebene die Reichweite eines einzelnen Fehlers begrenzt. Eine neue Property bleibt privat, bis Sie entscheiden, wer darauf zugreifen soll. Ein externer Partner erhält niemals automatisch Zugriff auf Daten, für deren Bearbeitung er nicht beauftragt wurde.
Warum geteilte Zugriffsrechte in Google Analytics Ihr Marketing verbessern
Zugriffskontrolle klingt zunächst nach einer Liste von Einschränkungen. In vielen Unternehmen ist das größere Problem jedoch das Gegenteil: Zu wenige Personen können die Daten sehen. In einem typischen kleinen Unternehmen hat eine Person vor Jahren Google Analytics eingerichtet und besitzt weiterhin die einzigen Anmeldedaten, die alle nutzen. Das Team erhält Berichte als monatliche Screenshots. Bis ein Content-Autor erfährt, dass ein Artikel zu Registrierungen geführt hat, ist die zugehörige Kampagne bereits beendet.
Screenshots schaffen ein zweites Problem: Niemand kann sie überprüfen. Ein zugeschnittenes Diagramm verbirgt den Zeitraum, den Vergleichszeitraum und die verwendeten Filter. Wenn zwei Teams unterschiedliche Screenshots in dasselbe Meeting mitbringen, geht es plötzlich nicht mehr um das Kundenverhalten, sondern darum, wessen Zahl stimmt.
Ein drittes Problem entsteht, wenn eine Person am Ende alle Aufgaben übernimmt. Die Marketingfachkraft, die eine Kampagne startet, wertet auch deren Ergebnisse aus und berichtet sie an die Geschäftsleitung. Die Buchhaltung hat dieses Problem längst durch Funktionstrennung gelöst. Nach diesem Prinzip sollte mehr als eine Person an einer Aufgabe beteiligt sein, damit Fehler und Missbrauch früh auffallen. Analytics profitiert von derselben Kontrolle.
Screenshots schaffen ein zweites Problem: Niemand kann sie überprüfen. Ein zugeschnittenes Diagramm verbirgt den Zeitraum, den Vergleichszeitraum und die verwendeten Filter. Wenn zwei Teams unterschiedliche Screenshots in dasselbe Meeting mitbringen, geht es plötzlich nicht mehr um das Kundenverhalten, sondern darum, wessen Zahl stimmt.
Ein drittes Problem entsteht, wenn eine Person am Ende alle Aufgaben übernimmt. Die Marketingfachkraft, die eine Kampagne startet, wertet auch deren Ergebnisse aus und berichtet sie an die Geschäftsleitung. Die Buchhaltung hat dieses Problem längst durch Funktionstrennung gelöst. Nach diesem Prinzip sollte mehr als eine Person an einer Aufgabe beteiligt sein, damit Fehler und Missbrauch früh auffallen. Analytics profitiert von derselben Kontrolle.
Bezahlte Kampagnen zeigen den Nutzen einer zweiten prüfenden Person
Bezahlte Werbung ist ein anschauliches Beispiel. Wenn Sie Display- oder Native-Ad-Kampagnen über SparkTraffic schalten, zeigt die Werbeplattform Ihre Anzeigen echten Besuchern auf den Websites von Partner-Publishern. Das Targeting erfolgt nach Land, Stadt und Gerät. Das Kampagnen-Dashboard meldet die Auslieferung, während Ihre eigene GA4-Property erfasst, wie sich die weitergeleiteten Besucher auf Ihrer Website verhalten. Erst wenn jemand beide Quellen vergleicht, liefern sie belastbare Belege. Ein Kollege mit der Rolle Betrachter kann prüfen, ob Städte und Geräte in GA4 zum Targeting passen, ob Verweisquellen von Publisher-Domains stammen und ob Sitzungen mit Interaktionen und Schlüsselereignisse das Budget rechtfertigen.
Die Werbeplattform selbst benötigt zu keinem Zeitpunkt Zugriff auf Ihre Analytics-Daten. UTM-Parameter, die kurzen Kennzeichnungen am Ende eines Kampagnenlinks, zeigen GA4, welche Kampagne den jeweiligen Besuch gebracht hat. So kann Ihr Team die Ergebnisse in seiner eigenen Property überprüfen. Ihre Daten bleiben unter Ihrer Kontrolle, und die Prüfung übernehmen Personen, die die Kampagne nicht durchgeführt haben.
Die Werbeplattform selbst benötigt zu keinem Zeitpunkt Zugriff auf Ihre Analytics-Daten. UTM-Parameter, die kurzen Kennzeichnungen am Ende eines Kampagnenlinks, zeigen GA4, welche Kampagne den jeweiligen Besuch gebracht hat. So kann Ihr Team die Ergebnisse in seiner eigenen Property überprüfen. Ihre Daten bleiben unter Ihrer Kontrolle, und die Prüfung übernehmen Personen, die die Kampagne nicht durchgeführt haben.
Praxistipp: Gewähren Sie direkten Zugriff statt Screenshots zu versenden
Ersetzen Sie regelmäßig versendete Screenshots durch direkten Zugriff mit der Rolle Betrachter für Personen, die anhand der Daten Entscheidungen treffen. Beginnen Sie mit einer Liste der Zugriffszwecke: jede Person, ihre Entscheidung und die niedrigste Rolle, die diese Aufgabe ermöglicht. Eine Content-Leitung, die entscheidet, welche Themen ausgebaut werden, benötigt beispielsweise die Rolle Betrachter für Berichte zu Landingpages und Interaktionen, und nicht mehr.
Dieser Ansatz funktioniert aus drei Gründen. Wer Zahlen selbst prüfen kann, vertraut ihnen stärker und diskutiert weniger darüber. Mehr Personen, die Berichte lesen, entdecken Trackingfehler früher, weil ein defektes Tag als ungewöhnlicher Rückgang in einem regelmäßig genutzten Bericht auffällt. Und weil jede Person die niedrigste Rolle erhält, die zu ihrem Zweck passt, bedeutet mehr Einblick nicht mehr Risiko.
Dieser Ansatz funktioniert aus drei Gründen. Wer Zahlen selbst prüfen kann, vertraut ihnen stärker und diskutiert weniger darüber. Mehr Personen, die Berichte lesen, entdecken Trackingfehler früher, weil ein defektes Tag als ungewöhnlicher Rückgang in einem regelmäßig genutzten Bericht auffällt. Und weil jede Person die niedrigste Rolle erhält, die zu ihrem Zweck passt, bedeutet mehr Einblick nicht mehr Risiko.
Nutzerrollen und Berechtigungen in Google Analytics: Welche Rolle passt zu wem?
Die häufigste Abkürzung in GA4 besteht darin, allen „sicherheitshalber“ die Rolle Administrator zu geben. Das wirkt hilfreich, weil niemand weitere Rechte anfordern muss. In der Praxis kann dann jeder Nutzer die Datenaufbewahrung ändern, Schlüsselereignisse löschen, Attributionseinstellungen bearbeiten und weitere Personen einladen.
Kleine Änderungen durch wohlmeinende Personen können die Berichterstattung über Monate beeinträchtigen. Ein freier Autor mit der Rolle Bearbeiter könnte beim Testen einen Datenfilter erstellen. Datenfilter schließen passende Daten dauerhaft von der Verarbeitung aus. Eine Junior-Marketingfachkraft mit der Rolle Marketingexperte könnte das Attributionsmodell wechseln. Das verändert, wie die Beiträge zu Schlüsselereignissen in den Berichten zugerechnet werden. Keine der beiden Personen hat in böser Absicht gehandelt. Sie hatten schlicht mehr Befugnisse, als ihre Aufgabe erforderte.
Sicherheitsfachleute nennen die Lösung das Prinzip der geringsten Rechte. NIST definiert es als Beschränkung des Nutzerzugriffs „auf das zur Erfüllung der zugewiesenen Aufgaben notwendige Minimum“ (NIST-Glossar). Jerome Saltzers ursprüngliche Formulierung besagt, dass „jedes Programm und jeder privilegierte Nutzer des Systems mit den geringstmöglichen Berechtigungen arbeiten sollte, die zur Erledigung der Aufgabe erforderlich sind“ (Wikipedia).
Kleine Änderungen durch wohlmeinende Personen können die Berichterstattung über Monate beeinträchtigen. Ein freier Autor mit der Rolle Bearbeiter könnte beim Testen einen Datenfilter erstellen. Datenfilter schließen passende Daten dauerhaft von der Verarbeitung aus. Eine Junior-Marketingfachkraft mit der Rolle Marketingexperte könnte das Attributionsmodell wechseln. Das verändert, wie die Beiträge zu Schlüsselereignissen in den Berichten zugerechnet werden. Keine der beiden Personen hat in böser Absicht gehandelt. Sie hatten schlicht mehr Befugnisse, als ihre Aufgabe erforderte.
Sicherheitsfachleute nennen die Lösung das Prinzip der geringsten Rechte. NIST definiert es als Beschränkung des Nutzerzugriffs „auf das zur Erfüllung der zugewiesenen Aufgaben notwendige Minimum“ (NIST-Glossar). Jerome Saltzers ursprüngliche Formulierung besagt, dass „jedes Programm und jeder privilegierte Nutzer des Systems mit den geringstmöglichen Berechtigungen arbeiten sollte, die zur Erledigung der Aufgabe erforderlich sind“ (Wikipedia).
Die fünf GA4-Rollen einfach erklärt
GA4 bietet fünf Rollen sowie die Option Keine. Höhere Rollen umfassen die Berechtigungen der darunterliegenden Rollen.
- Administrator: vollständige Kontrolle über das Konto oder die Property, einschließlich Hinzufügen und Entfernen von Nutzern sowie Zuweisen beliebiger Rollen.
- Bearbeiter: vollständige Kontrolle über die Property-Einstellungen, etwa Datenstreams, Ereignisse und Integrationen, aber keine Nutzerverwaltung.
- Marketingexperte: erstellt und bearbeitet Zielgruppen, Ereignisse und Schlüsselereignisse, bearbeitet Attributionseinstellungen und kann Schlüsselereignisse in Google Ads importieren. Ein Schlüsselereignis ist eine Aktion, die Sie als wichtig kennzeichnen, etwa einen Kauf oder eine Registrierung.
- Analyst: teilt explorative Datenanalysen mit anderen Nutzern und erstellt Anmerkungen, also Notizen in Berichtsdiagrammen. Explorative Datenanalysen sind die Arbeitsbereiche für individuelle Analysen in GA4.
- Betrachter: sieht Daten und Einstellungen, fügt Berichten Vergleiche und sekundäre Dimensionen hinzu und erstellt eigene explorative Datenanalysen.
- Keine: keine Rolle für diese Ressource. Die Person kann jedoch an anderer Stelle eine Rolle haben.
Die Rolle „Analyst“ passt oft am besten zu Teammitgliedern, die Analysen für andere erstellen. Ein Analyst kann eine explorative Datenanalyse, die beispielsweise Verweise von ChatGPT in GA4 erfasst, mit dem gesamten Team teilen, ohne eine einzige Property-Einstellung ändern zu können.
Dateneinschränkungen für Kosten und Umsatz
Rollen steuern, was eine Person tun kann. Dateneinschränkungen steuern, was eine Person sehen kann. GA4 bietet zwei Optionen: „Keine Kostenmesswerte“ blendet Werbekostendaten aus. „Keine Umsatzmesswerte“ blendet Umsatzdaten wie den Kaufumsatz und den Lifetime-Wert aus.
Nutzer mit diesen Einschränkungen sehen anstelle der ausgeblendeten Werte eine Null. Die Einschränkung gilt auch, wenn sie Daten über die API abrufen. Eine Content-Agentur kann beispielsweise untersuchen, welche Artikel engagierte Besucher anziehen, ohne Ihren Umsatz zu sehen. Dieser kann bei einem nicht börsennotierten Unternehmen vertraulich sein.
Nutzer mit diesen Einschränkungen sehen anstelle der ausgeblendeten Werte eine Null. Die Einschränkung gilt auch, wenn sie Daten über die API abrufen. Eine Content-Agentur kann beispielsweise untersuchen, welche Artikel engagierte Besucher anziehen, ohne Ihren Umsatz zu sehen. Dieser kann bei einem nicht börsennotierten Unternehmen vertraulich sein.
Eine passende Einstiegsrolle für jede Aufgabe
Die folgende Liste ordnet typischen Aufgaben eine sinnvolle Einstiegsrolle zu:
- Interne Analytics-Verantwortliche: Administrator, vergeben an zwei Personen auf Kontoebene.
- Entwickler, der das Tracking implementiert: Bearbeiter auf Property-Ebene für die Dauer des Projekts.
- Paid-Media-Agentur: Marketingexperte auf Property-Ebene, damit das Team Zielgruppen erstellen und Schlüsselereignisse verwalten kann.
- SEO- oder Content-Berater: Betrachter oder Analyst auf Property-Ebene, häufig mit „Keine Umsatzmesswerte“.
- Führungskräfte und Finanzabteilung: Betrachter mit vollständigem Einblick in die Umsatzdaten.
- Reporting-Tools und Datenpipelines: Betrachter, einem Dienstkonto zugewiesen.
Praxistipp: Beginnen Sie eine Berechtigungsstufe niedriger als zunächst geplant
Wenn Sie zwischen zwei Rollen schwanken, ist die niedrigere der bessere Ausgangspunkt. Sobald ein Nutzer tatsächlich an eine Berechtigungsgrenze stößt, dauert die Vergabe einer höheren Rolle weniger als eine Minute. Einen permanenten Datenfilter rückgängig zu machen, ist unmöglich.
Dieser Ansatz liefert auch nützliche Informationen. Jede Anfrage nach einer höheren Rolle zeigt Ihnen genau, was eine Person tun möchte. So können Sie entscheiden, ob die höhere Rolle sinnvoll ist oder ob ein anderes Teammitglied die Aufgabe übernehmen sollte.
Dieser Ansatz liefert auch nützliche Informationen. Jede Anfrage nach einer höheren Rolle zeigt Ihnen genau, was eine Person tun möchte. So können Sie entscheiden, ob die höhere Rolle sinnvoll ist oder ob ein anderes Teammitglied die Aufgabe übernehmen sollte.
Nutzer in Google Analytics hinzufügen: Schritt für Schritt
Einen Nutzer hinzuzufügen ist technisch einfach. Gerade deshalb passieren dabei so häufig Fehler. Am häufigsten stimmen die eingeladenen und die verwendeten Anmeldedaten nicht überein. Sie laden jane@agency.com ein, aber Jane meldet sich mit ihrer privaten Gmail-Adresse bei Google an. Sie stellt fest, dass sie keinen Zugriff hat, und schreibt Ihnen zwei Tage später eine E-Mail. Ein weiterer häufiger Fehler: Sie fügen den Nutzer zur falschen Property hinzu, weil die Property-Auswahl noch die zuletzt besuchte Property angezeigt hat.
Weniger auffällig ist es, wenn Sie jemanden aus Gewohnheit auf Kontoebene hinzufügen, obwohl die Aufgabe nur eine Property betrifft. Am ersten Tag geht nichts schief. Der Fehler bleibt daher verborgen, bis eine neue Property hinzukommt, auf die eine externe Person bereits Zugriff hat.
Weniger auffällig ist es, wenn Sie jemanden aus Gewohnheit auf Kontoebene hinzufügen, obwohl die Aufgabe nur eine Property betrifft. Am ersten Tag geht nichts schief. Der Fehler bleibt daher verborgen, bis eine neue Property hinzukommt, auf die eine externe Person bereits Zugriff hat.
Was Sie vor dem Start benötigen
Drei Voraussetzungen müssen erfüllt sein, bevor Sie die Zugriffsverwaltung öffnen:
- Sie haben die Rolle „Administrator“ auf der Ebene, auf der Sie den Nutzer hinzufügen möchten, also für das Konto oder die Property.
- Sie kennen die genaue E-Mail-Adresse, mit der sich die Person bei Google anmeldet. Das kann eine Gmail-Adresse, eine Google Workspace-Adresse oder jede andere E-Mail-Adresse sein, die als Google-Konto registriert ist.
- Sie haben anhand Ihres Zugriffsplans die Ebene, die Rolle und die Dateneinschränkungen festgelegt.
Einen Nutzer auf Property-Ebene hinzufügen
Für die meisten Personen ist der Zugriff auf Property-Ebene die richtige Wahl. Der Vorgang umfasst sechs Schritte:
- Sie melden sich bei Google Analytics an und wählen „Verwaltung“, das Zahnradsymbol unten im linken Menü.
- Sie prüfen die Property-Auswahl oben auf dem Bildschirm und stellen sicher, dass die richtige Property aktiv ist.
- Sie wählen im Property-Bereich der Verwaltung „Zugriffsverwaltung für Property“ aus.
- Sie wählen das Pluszeichen (+) und anschließend „Nutzer hinzufügen“ aus.
- Sie geben die E-Mail-Adresse der Person ein, lassen „Neue Nutzer per E-Mail benachrichtigen“ aktiviert und wählen die Rolle sowie gegebenenfalls Dateneinschränkungen aus.
- Sie wählen „Hinzufügen“ aus. Die Person erscheint mit ihrer Rolle in der Zugriffsliste.
Einen Nutzer auf Kontoebene hinzufügen
Der Ablauf bleibt gleich, mit einer Änderung: In Schritt 3 wählen Sie im Kontobereich der Verwaltung „Zugriffsverwaltung für Konto“ aus. Der Nutzer erhält dann die gewählte Rolle für jede bestehende und künftige Property im Konto.
Zugriff auf Kontoebene ist für interne Analytics-Verantwortliche und eine kleine Zahl leitender Mitarbeiter sinnvoll. Für Agenturen und Freelancer ist Zugriff auf Property-Ebene fast immer die bessere Wahl.
Zugriff auf Kontoebene ist für interne Analytics-Verantwortliche und eine kleine Zahl leitender Mitarbeiter sinnvoll. Für Agenturen und Freelancer ist Zugriff auf Property-Ebene fast immer die bessere Wahl.
Prüfen, ob die Einladung funktioniert hat
Eine Einladung ist erst abgeschlossen, wenn die Person die richtigen Daten sehen kann. Eine kurze Prüfung schafft Gewissheit. Sie bitten den neuen Nutzer, sich mit genau der eingeladenen Adresse anzumelden und zu bestätigen, dass die Property in seiner Property-Auswahl erscheint. Anschließend suchen Sie seinen Namen in der Zugriffsliste und prüfen die Rolle.
Das dauert zwei Minuten und deckt abweichende Anmeldedaten schon am ersten Tag auf, bevor sie eine Frist gefährden. Außerdem bestätigt die Prüfung, dass die Benachrichtigungs-E-Mail angekommen ist und nicht im Spamordner gelandet ist.
Das dauert zwei Minuten und deckt abweichende Anmeldedaten schon am ersten Tag auf, bevor sie eine Frist gefährden. Außerdem bestätigt die Prüfung, dass die Benachrichtigungs-E-Mail angekommen ist und nicht im Spamordner gelandet ist.
Zugriffsanfragen bearbeiten
In GA4 können Personen Zugriff anfordern. Wenn jemand ohne Berechtigung einen geteilten Berichtslink öffnet, kann diese Person eine Rolle auswählen und eine Anfrage senden. Alle Administratoren erhalten die Anfrage zusammen mit dem Namen und der E-Mail-Adresse per E-Mail.
Anfragen erfordern dieselbe Sorgfalt wie jede Einladung. Phishing bleibt mit Abstand die häufigste Angriffsart: Dieselbe britische Umfrage ergab, dass 38 % der Unternehmen im vergangenen Jahr Phishing-Angriffe erlebt hatten. Wenn eine Anfrage von einer Adresse kommt, die wie die eines Kollegen aussieht, sollten Sie diese kurz über einen bereits vertrauenswürdigen Kanal bestätigen lassen, etwa per Anruf oder über Ihren Firmenchat, bevor Sie sie genehmigen.
Anfragen erfordern dieselbe Sorgfalt wie jede Einladung. Phishing bleibt mit Abstand die häufigste Angriffsart: Dieselbe britische Umfrage ergab, dass 38 % der Unternehmen im vergangenen Jahr Phishing-Angriffe erlebt hatten. Wenn eine Anfrage von einer Adresse kommt, die wie die eines Kollegen aussieht, sollten Sie diese kurz über einen bereits vertrauenswürdigen Kanal bestätigen lassen, etwa per Anruf oder über Ihren Firmenchat, bevor Sie sie genehmigen.
Nutzer in Google Analytics ändern oder entfernen
Zugriffsrechte nehmen meist zu und werden selten reduziert. Ein Mitarbeiter wechselt vom Marketing in den Vertrieb, behält aber die Rechte als Bearbeiter. Ein Agenturvertrag endet, doch niemand entfernt die fünf Nutzer der Agentur. Ein Freelancer schließt im März ein Projekt ab und hat im Dezember immer noch Zugriff.
Eine typische erste Zugriffsprüfung bei einem mittelgroßen Onlineshop sieht so aus: Sie findet 23 Nutzer, von denen neun nicht mehr mit dem Unternehmen zusammenarbeiten. Zwei dieser neun haben noch die Rolle „Administrator“. Einer davon ist ein ehemaliger Mitarbeiter, der sich mit einer privaten Gmail-Adresse angemeldet hat. Die Schließung seines Firmen-E-Mail-Kontos hatte daher keinerlei Auswirkungen auf seinen Analytics-Zugriff. Dieses Muster wird oft als „Permission Creep“, also schleichende Ausweitung von Berechtigungen, bezeichnet. So gelangen sensible Daten zu Personen, die keinen Grund haben, sie zu sehen.
Eine typische erste Zugriffsprüfung bei einem mittelgroßen Onlineshop sieht so aus: Sie findet 23 Nutzer, von denen neun nicht mehr mit dem Unternehmen zusammenarbeiten. Zwei dieser neun haben noch die Rolle „Administrator“. Einer davon ist ein ehemaliger Mitarbeiter, der sich mit einer privaten Gmail-Adresse angemeldet hat. Die Schließung seines Firmen-E-Mail-Kontos hatte daher keinerlei Auswirkungen auf seinen Analytics-Zugriff. Dieses Muster wird oft als „Permission Creep“, also schleichende Ausweitung von Berechtigungen, bezeichnet. So gelangen sensible Daten zu Personen, die keinen Grund haben, sie zu sehen.
Die Rolle eines Nutzers ändern
Sie ändern eine Rolle auf derselben Seite der Zugriffsverwaltung, auf der Sie sie vergeben haben. Sie suchen die Person anhand ihrer vollständigen E-Mail-Adresse oder eines Teils davon, wählen ihren Namen aus, passen die Rolle oder die Dateneinschränkungen an und speichern.
Wenn sich die Rolle nicht wie erwartet ändert, liegt das meist an der Vererbung. Eine Rolle, die auf Kontoebene, über eine Nutzergruppe oder über eine Organisation zugewiesen wurde, hat Vorrang vor einer niedrigeren Rolle auf Property-Ebene. Sie lösen das Problem, indem Sie die Rolle an ihrer Quelle ändern.
Wenn sich die Rolle nicht wie erwartet ändert, liegt das meist an der Vererbung. Eine Rolle, die auf Kontoebene, über eine Nutzergruppe oder über eine Organisation zugewiesen wurde, hat Vorrang vor einer niedrigeren Rolle auf Property-Ebene. Sie lösen das Problem, indem Sie die Rolle an ihrer Quelle ändern.
Einen Nutzer entfernen
Um jemanden zu entfernen, aktivieren Sie das Kästchen neben seinem Namen in der Zugriffsliste und wählen „Entfernen“. Dabei gelten einige Regeln. Nur ein Administrator auf Kontoebene kann einen Nutzer aus dem gesamten Konto entfernen. Der letzte Administrator kann sich nicht selbst entfernen. Das schützt das Konto davor, ohne Inhaber zurückzubleiben. Wenn Sie untergeordnete Properties verwenden, wird ein Nutzer beim Entfernen aus der Quell-Property auch aus deren untergeordneten Properties entfernt.
Praxistipp: Integrieren Sie den Entzug von Analytics-Zugriffen in Ihre bestehenden Offboarding-Prozesse
Die zuverlässigste Offboarding-Routine läuft ab, ohne dass jemand daran denken muss. Sie ergänzen „Google Analytics-Zugriff entfernen“ in der Austrittscheckliste der Personalabteilung und in den Abschlussschritten jedes Agentur- oder Freelancer-Vertrags. Vor dem Entfernen bitten Sie die Person, alle explorativen Datenanalysen zu teilen, die das Team noch nutzt. Persönliche explorative Datenanalysen gehören nämlich der Person, die sie erstellt hat.
So erfolgt der Zugriffsentzug am selben Tag, an dem die Zusammenarbeit endet, und nicht erst Monate später bei einer Prüfung. Das unterstützt auch die Erfüllung Ihrer gesetzlichen Pflichten. Wenn Ihre Analytics-Daten personenbezogene Daten enthalten, verlangt die DSGVO ein Verfahren zur „regelmäßigen Überprüfung, Bewertung und Evaluierung“ Ihrer Sicherheitsmaßnahmen (Artikel 32 DSGVO). Ein dokumentiertes Offboarding ist Teil dieses Nachweises.
So erfolgt der Zugriffsentzug am selben Tag, an dem die Zusammenarbeit endet, und nicht erst Monate später bei einer Prüfung. Das unterstützt auch die Erfüllung Ihrer gesetzlichen Pflichten. Wenn Ihre Analytics-Daten personenbezogene Daten enthalten, verlangt die DSGVO ein Verfahren zur „regelmäßigen Überprüfung, Bewertung und Evaluierung“ Ihrer Sicherheitsmaßnahmen (Artikel 32 DSGVO). Ein dokumentiertes Offboarding ist Teil dieses Nachweises.
So geben Sie einer Agentur oder einem Freelancer Zugriff auf Google Analytics
Bei externen Partnern sind Entscheidungen über Zugriffsrechte besonders schwierig. Agenturen verlangen oft die Rolle „Administrator“, um „alles einzurichten“. Freelancer bitten um ein Passwort, weil es schneller geht. Manche Partner fügen ihre eigenen Subunternehmer hinzu, ohne Sie zu informieren. Jede dieser Abkürzungen wirkt zu Projektbeginn harmlos und wird am Ende teuer.
Besonders schmerzhaft ist der Verlust der Inhaberschaft. Ein Start-up beauftragt eine Agentur mit der Einrichtung von Analytics, und die Agentur erstellt das Konto unter ihrem eigenen Google-Login. Zwei Jahre später endet der Vertrag im Streit, und das Start-up hat keinen Administrator für seine eigenen Daten. Um die Kontrolle zurückzuerlangen, muss es die Inhaberschaft jeder Website im Konto nachweisen. Dazu muss es in der Regel eine Bestätigungsdatei namens analytics.txt auf der Domain ablegen und anschließend eine Anfrage beim Google-Support einreichen. Ist das Konto auch mit Werbekonten verknüpft, muss deren Inhaberschaft zusätzlich anhand von Zahlungsdetails nachgewiesen werden.
Besonders schmerzhaft ist der Verlust der Inhaberschaft. Ein Start-up beauftragt eine Agentur mit der Einrichtung von Analytics, und die Agentur erstellt das Konto unter ihrem eigenen Google-Login. Zwei Jahre später endet der Vertrag im Streit, und das Start-up hat keinen Administrator für seine eigenen Daten. Um die Kontrolle zurückzuerlangen, muss es die Inhaberschaft jeder Website im Konto nachweisen. Dazu muss es in der Regel eine Bestätigungsdatei namens analytics.txt auf der Domain ablegen und anschließend eine Anfrage beim Google-Support einreichen. Ist das Konto auch mit Werbekonten verknüpft, muss deren Inhaberschaft zusätzlich anhand von Zahlungsdetails nachgewiesen werden.
Warum die Inhaberschaft im Unternehmen bleiben sollte
Ihr Unternehmen sollte das Konto mit einem Google-Konto erstellen, das es selbst kontrolliert. Mindestens zwei Ihrer eigenen Mitarbeiter sollten die Rolle „Administrator“ haben. Agenturen erhalten dann die Rolle „Bearbeiter“ oder „Marketingexperte“ für die Properties, an denen sie arbeiten.
So hängt die Inhaberschaft nie von der Beziehung zu einem Dienstleister ab. Endet die Zusammenarbeit, entfernen Sie die Nutzer der Agentur in einer Minute. Ihr Verlauf, Ihre Einstellungen und Ihre Integrationen bleiben erhalten.
So hängt die Inhaberschaft nie von der Beziehung zu einem Dienstleister ab. Endet die Zusammenarbeit, entfernen Sie die Nutzer der Agentur in einer Minute. Ihr Verlauf, Ihre Einstellungen und Ihre Integrationen bleiben erhalten.
Warum gemeinsam genutzte Anmeldedaten ein Risiko darstellen
Das Passwort eines Google-Kontos mit einem Partner zu teilen, ist riskanter, als es zunächst wirkt. Hinter dem Google Analytics-Login steht ein vollständiges Google-Konto. Dasselbe Passwort kann daher auch Zugang zu E-Mails, Dokumenten und anderen Google-Diensten gewähren. Gemeinsam genutzte Anmeldedaten verhindern außerdem eine klare Zuordnung der Verantwortung. Der Änderungsverlauf erfasst das Konto, das jede Änderung vorgenommen hat. Bei einem gemeinsam genutzten Login können Sie nicht erkennen, welche Person eine Einstellung geändert hat.
Individuelle Einladungen lösen beide Probleme. Jeder Partner meldet sich mit seinem eigenen Konto an, das durch seine eigene Multi-Faktor-Authentifizierung geschützt ist. Jede Änderung lässt sich einer realen Person zuordnen. Das ist wichtig, denn laut derselben Regierungsumfrage verlangen nur 47% der britischen Unternehmen überhaupt eine Zwei-Faktor-Authentifizierung.
Individuelle Einladungen lösen beide Probleme. Jeder Partner meldet sich mit seinem eigenen Konto an, das durch seine eigene Multi-Faktor-Authentifizierung geschützt ist. Jede Änderung lässt sich einer realen Person zuordnen. Das ist wichtig, denn laut derselben Regierungsumfrage verlangen nur 47% der britischen Unternehmen überhaupt eine Zwei-Faktor-Authentifizierung.
Umfang, Dauer und Datenschutz schriftlich festhalten
Eine kurze schriftliche Festlegung des Umfangs verhindert die meisten Streitigkeiten. Sie nennt die Property, die Rolle, etwaige Dateneinschränkungen sowie das Start- und Enddatum. Außerdem hält sie fest, dass der Partner keine weiteren Nutzer hinzufügen darf. Eine Kalendererinnerung zum Enddatum sorgt dafür, dass Sie die Vereinbarung auch umsetzen.
Wenn Ihre Property personenbezogene Daten enthält, etwa Nutzer-IDs aus einem Anmeldesystem, kann der Partner als Auftragsverarbeiter im Sinne der DSGVO tätig sein. Artikel 28 verpflichtet Sie, nur Auftragsverarbeiter einzusetzen, die „hinreichende Garantien“ bieten, und die Tätigkeit vertraglich zu regeln. Artikel 32 verlangt außerdem, dass jede Ihnen unterstellte Person mit Zugang zu personenbezogenen Daten diese nur auf Ihre Weisung verarbeitet. Zugriffsrollen sind die technische Seite dieser rechtlichen Zusage.
Wenn Ihre Property personenbezogene Daten enthält, etwa Nutzer-IDs aus einem Anmeldesystem, kann der Partner als Auftragsverarbeiter im Sinne der DSGVO tätig sein. Artikel 28 verpflichtet Sie, nur Auftragsverarbeiter einzusetzen, die „hinreichende Garantien“ bieten, und die Tätigkeit vertraglich zu regeln. Artikel 32 verlangt außerdem, dass jede Ihnen unterstellte Person mit Zugang zu personenbezogenen Daten diese nur auf Ihre Weisung verarbeitet. Zugriffsrollen sind die technische Seite dieser rechtlichen Zusage.
Zugriff über Produktverknüpfungen
Manche Zugriffe erscheinen nicht als namentlich genannte Person. Wenn Sie ein Google Ads-Konto mit einer GA4-Property verknüpfen, erhalten die Nutzer dieses Ads-Kontos Analytics-Rollen über verknüpfte Nutzer, die Personengruppen repräsentieren. Die empfohlene Zuordnung gibt Ads-Administratoren die Rolle „Bearbeiter“ und Standardnutzern die Rolle „Marketingexperte“. Nutzer mit Lesezugriff, Abrechnungszugriff oder ausschließlichem E-Mail-Zugriff erhalten die Rolle „Betrachter“. Verknüpfungen mit Firebase-Projekten funktionieren bei App-Properties ähnlich.
Diese verknüpften Nutzer erscheinen in der Zugriffsliste Ihrer Property. Sie können ihre Rollen wie bei jedem anderen Nutzer ändern. Eine kurze Prüfung nach jeder neuen Verknüpfung verhindert, dass ein großes Ads-Team mehr Analytics-Berechtigungen erhält als beabsichtigt. Dieselbe Prüfung lohnt sich immer dann, wenn ein Partner bezahlte Werbekampagnen zur Steigerung Ihres Traffics startet. Neue Kampagnen bringen oft neue Verknüpfungen und neue Personen mit sich.
Diese verknüpften Nutzer erscheinen in der Zugriffsliste Ihrer Property. Sie können ihre Rollen wie bei jedem anderen Nutzer ändern. Eine kurze Prüfung nach jeder neuen Verknüpfung verhindert, dass ein großes Ads-Team mehr Analytics-Berechtigungen erhält als beabsichtigt. Dieselbe Prüfung lohnt sich immer dann, wenn ein Partner bezahlte Werbekampagnen zur Steigerung Ihres Traffics startet. Neue Kampagnen bringen oft neue Verknüpfungen und neue Personen mit sich.
Warum Sie in Google Analytics keinen Nutzer hinzufügen können: Häufige Fehler und Lösungen
Die meisten Zugriffsprobleme folgen wenigen Mustern: falsche Identität, falsche Ebene, geerbte Berechtigungen und Organisationsrichtlinien. Wenn Sie das Muster kennen, wird aus einem frustrierenden Support-Austausch eine Lösung in zwei Minuten.
Die E-Mail-Adresse gehört zu keinem Google-Konto
In GA4 können Sie nur Adressen hinzufügen, die zu einem Google-Konto gehören. Wenn ein Partner eine Firmen-E-Mail-Adresse verwendet, die nicht über Google Workspace läuft, kann er mit dieser bestehenden Adresse ein kostenloses Google-Konto erstellen, statt eine neue Gmail-Adresse anzulegen. Nach der Bestätigung können Sie die Adresse hinzufügen. So bleibt die berufliche Identität des Partners von seinem privaten Konto getrennt. Das erleichtert später das Offboarding.
Der Nutzer kann die Property nicht sehen
Wenn ein eingeladener Nutzer meldet, dass er keinen Zugriff hat, ist er meist mit einem anderen Konto angemeldet. Viele Menschen verwenden mehrere Google-Konten in einem Browser. GA4 öffnet sich mit dem jeweils aktiven Konto. Bitten Sie die Person, das Kontosymbol oben rechts zu prüfen oder ein privates Browserfenster zu verwenden. Das löst die meisten Fälle. Liegt es nicht daran, wurde der Nutzer möglicherweise einer anderen Property mit ähnlichem Namen hinzugefügt.
Die Berechtigungsstufe lässt sich nicht herabsetzen
Wenn GA4 Sie eine Rolle nicht herabsetzen lässt, stammt die höhere Rolle aus einer anderen Quelle: der Kontoebene, einer Nutzergruppe oder einer Organisation. Sie finden die Quelle in den effektiven Berechtigungen des Nutzers und ändern die Rolle dort. So vermeiden Sie widersprüchliche Einstellungen, die die nächste Person bei der Zugriffsprüfung verwirren.
Der Nutzer verstößt gegen die Nutzerrichtlinie der Organisation
Unternehmen mit einer Organisation in Google Marketing Platform können eine Nutzerrichtlinie festlegen, die nur bestimmte E-Mail-Domains zulässt. Wird diese Richtlinie erzwungen, blockiert GA4 Einladungen an andere Domains. Laden Sie den Partner über seine zugelassene Adresse ein. Alternativ bitten Sie einen Organisationsadministrator, die Domain oder die genaue E-Mail-Adresse des Partners in die Zulassungsliste aufzunehmen.
Die Option „Nutzer hinzufügen“ fehlt
Wenn Sie das Pluszeichen oder die Option „Nutzer hinzufügen“ nicht sehen, haben Sie auf dieser Ebene nicht die Rolle „Administrator“. Ein bestehender Administrator kann den Nutzer für Sie hinzufügen oder Ihre Rolle heraufsetzen.
Ein Dienstkonto lässt sich nicht hinzufügen
Dienstkonten sind nichtmenschliche Google Cloud-Identitäten, die Tools und Skripte verwenden. Eine fehlgeschlagene Einladung liegt meist an einem Tippfehler in der langen Adresse. Kopieren Sie sie direkt aus der Google Cloud Console. Das löst die meisten Fälle. Auch das Deaktivieren der E-Mail-Benachrichtigung ist sinnvoll, da niemand dieses Postfach liest. Für Berichte über die Data API reicht die Rolle „Betrachter“ aus.
Erweiterte Zugriffsverwaltung für wachsende Teams
Manuelle Zugriffsverwaltung funktioniert für ein Team mit fünf Personen und einer Property. Bei 50 Nutzern, einem Dutzend Properties, mehreren Agenturen und regelmäßigen Personalwechseln stößt sie an ihre Grenzen. Bei dieser Größe erinnert sich niemand mehr daran, warum eine bestimmte Person Bearbeiterrechte hat. Jede Prüfung wird zur Untersuchung.
Wachstum schafft außerdem kritische Abhängigkeiten von einzelnen Personen. Wenn nur eine Person die Rolle „Administrator“ hat und plötzlich ausscheidet, stehen Routineaufgaben still, bis der Zugriff wiederhergestellt ist. Dazu gehören das Hinzufügen einer neuen Agentur oder das Reparieren einer fehlerhaften Integration.
Wachstum schafft außerdem kritische Abhängigkeiten von einzelnen Personen. Wenn nur eine Person die Rolle „Administrator“ hat und plötzlich ausscheidet, stehen Routineaufgaben still, bis der Zugriff wiederhergestellt ist. Dazu gehören das Hinzufügen einer neuen Agentur oder das Reparieren einer fehlerhaften Integration.
Die Regel der zwei Administratoren
Softwareteams verwenden den Begriff Bus-Faktor für die Anzahl der Personen, die ausfallen müssten, bevor ein Projekt ins Stocken gerät. Ein Bus-Faktor von eins bedeutet eine kritische Abhängigkeit von einer einzelnen Person. Für Analytics löst eine klare Regel das Problem: Mindestens zwei interne Mitarbeiter mit Firmen-E-Mail-Adressen haben jederzeit die Rolle „Administrator“ auf Kontoebene.
So bleibt die Inhaberschaft auch bei Urlaub, Krankheit und Kündigungen gesichert. Außerdem bleibt Ihnen das Wiederherstellungsverfahren mit Bestätigungsdateien und Supportformularen erspart.
So bleibt die Inhaberschaft auch bei Urlaub, Krankheit und Kündigungen gesichert. Außerdem bleibt Ihnen das Wiederherstellungsverfahren mit Bestätigungsdateien und Supportformularen erspart.
Nutzergruppen und Nutzerrichtlinien
Eine Organisation in Google Marketing Platform ist ein Container oberhalb Ihrer Analytics-Konten. GA4 führt Sie durch die Erstellung, wenn Sie Ihre erste Nutzergruppe einrichten. Sie bietet zwei Werkzeuge zur Zugriffssteuerung. Mit Nutzergruppen vergeben Sie eine Rolle an eine Gruppe. Ein neuer Analyst, der „Analytics-Betrachter: EMEA“ beitritt, erhält so in einem Schritt den richtigen Zugriff. Mit Nutzerrichtlinien lassen Sie nur genehmigte E-Mail-Domains zu. Wenn Sie die Richtlinie erzwingen, werden Einladungen außerhalb dieser Liste blockiert.
Klare Namen halten Gruppen nutzbar. Rollenbezogene Namen wie „Datenanalysten: Nordamerika“ oder „Paid Media: Agenturpartner“ zeigen sofort, wer wohin gehört. Wenn jemand die Stelle wechselt, entziehen Sie ihm durch das Entfernen aus einer Gruppe den Zugriff überall dort, wo diese Gruppe gilt.
Klare Namen halten Gruppen nutzbar. Rollenbezogene Namen wie „Datenanalysten: Nordamerika“ oder „Paid Media: Agenturpartner“ zeigen sofort, wer wohin gehört. Wenn jemand die Stelle wechselt, entziehen Sie ihm durch das Entfernen aus einer Gruppe den Zugriff überall dort, wo diese Gruppe gilt.
Dienstkonten für Tools und Dashboards
Dashboards, Data Warehouses und Berichtsskripte laufen oft über den persönlichen Login ihrer Ersteller. Wenn diese Person ausscheidet und ihr Konto entfernt wird, fallen die Berichte aus. Ein Dienstkonto, das Sie der Property mit der Rolle „Betrachter“ hinzufügen, gibt dem Tool eine eigene Identität. Sie hängt von keinem Mitarbeiter ab.
Dieser Ansatz folgt auch dem Prinzip der geringsten Rechte. Das Tool kann Daten lesen, aber keine Einstellungen ändern. Sein Zugriff erscheint klar in Ihrer Nutzerliste. Die Berichte laufen für alle weiter, die sie brauchen, ob sie Traffic-Quellen, Content-Performance und Nutzerverhalten untersuchen oder eine monatliche Zusammenfassung für den Vorstand vorbereiten.
Dieser Ansatz folgt auch dem Prinzip der geringsten Rechte. Das Tool kann Daten lesen, aber keine Einstellungen ändern. Sein Zugriff erscheint klar in Ihrer Nutzerliste. Die Berichte laufen für alle weiter, die sie brauchen, ob sie Traffic-Quellen, Content-Performance und Nutzerverhalten untersuchen oder eine monatliche Zusammenfassung für den Vorstand vorbereiten.
Änderungsverlauf und Datenzugriffsberichte als Prüfprotokolle
GA4 führt zwei Arten von Protokollen. Der Änderungsverlauf ist für Bearbeiter und Administratoren verfügbar. Er listet jede Änderung an Konto- und Property-Einstellungen der letzten zwei Jahre auf, einschließlich Zeitpunkt, Element, Aktion und ausführender Person. Datenzugriffsberichte zeigen, wer wann und wie Daten gelesen hat, zum Beispiel über die Benutzeroberfläche, die API oder Google Ads.
In der Standardversion von GA4 sind Datenzugriffsberichte über die Admin API verfügbar. Die integrierte Seite zum Datenzugriffsverlauf ist dagegen auf Analytics 360 beschränkt. In beiden Fällen helfen die Protokolle, Konten zu finden, die seit Monaten nicht mehr genutzt wurden. Nur 33% der britischen Unternehmen überwachen überhaupt Nutzeraktivitäten. Schon eine einfache Prüfung bringt Sie daher weiter als die meisten.
In der Standardversion von GA4 sind Datenzugriffsberichte über die Admin API verfügbar. Die integrierte Seite zum Datenzugriffsverlauf ist dagegen auf Analytics 360 beschränkt. In beiden Fällen helfen die Protokolle, Konten zu finden, die seit Monaten nicht mehr genutzt wurden. Nur 33% der britischen Unternehmen überwachen überhaupt Nutzeraktivitäten. Schon eine einfache Prüfung bringt Sie daher weiter als die meisten.
Zugriffsrechte vierteljährlich in 20 Minuten prüfen
Eine kurze Prüfung pro Quartal hält die Zugriffsrechte auf dem aktuellen Stand:
- Sie prüfen die Zugriffsliste für das Konto und jede Property.
- Sie gleichen jeden Namen mit Ihrer aktuellen Liste der Mitarbeitenden und Partner ab.
- Sie prüfen, ob mindestens zwei interne Personen, idealerweise aber nicht mehr als drei, die Rolle „Administrator“ haben.
- Sie setzen die Berechtigungsstufe von Nutzern herab oder entfernen sie, wenn sie seit 90 Tagen nicht auf Daten zugegriffen haben.
- Sie prüfen nach jeder neuen Integration die Nutzer aus verknüpften Google Ads- und Firebase-Konten.
- Sie dokumentieren das Datum und die Änderungen in einem gemeinsam genutzten Dokument.
Die meisten Teams überspringen die Dokumentation. Doch genau dieser Schritt belegt, dass Ihre Kontrollen funktionieren, wenn ein Kunde, ein Prüfer oder eine Aufsichtsbehörde danach fragt.
Analytics-Daten transparent mit Käufern, Investoren und Sponsoren teilen
Zugriff auf Analytics erhalten oft auch Personen außerhalb des Unternehmens. Ein Website-Käufer bittet während der Due-Diligence-Prüfung um Zugriff, ein Investor möchte das Wachstum sehen oder ein Sponsor verlangt vor Vertragsabschluss einen Nachweis über die Zielgruppe. In solchen Situationen entsteht Druck, ein möglichst positives Bild zu vermitteln.
Eine veraltete Praxis sind Screenshots in einer Präsentation für potenzielle Geschäftspartner: ein gezielt ausgewählter Zeitraum, ein Diagramm ohne Vergleich und Traffic aus allen Quellen, zusammengefasst in einer beeindruckenden Kurve. Solche Screenshots können später zu Streit führen. Wenn ein Käufer feststellt, dass eine Traffic-Spitze aus einer bezahlten Kampagne oder einem einmaligen Ereignis stammt, bricht das Vertrauen in das gesamte Geschäft zusammen. Wer irgendeine Traffic-Quelle nutzt, um eine Zielgruppe größer erscheinen zu lassen, als sie ist, täuscht die Menschen, die sich auf diese Zahlen verlassen. Verantwortungsvolle Werbeplattformen lehnen Kampagnen ab, die diesem Zweck dienen.
Eine veraltete Praxis sind Screenshots in einer Präsentation für potenzielle Geschäftspartner: ein gezielt ausgewählter Zeitraum, ein Diagramm ohne Vergleich und Traffic aus allen Quellen, zusammengefasst in einer beeindruckenden Kurve. Solche Screenshots können später zu Streit führen. Wenn ein Käufer feststellt, dass eine Traffic-Spitze aus einer bezahlten Kampagne oder einem einmaligen Ereignis stammt, bricht das Vertrauen in das gesamte Geschäft zusammen. Wer irgendeine Traffic-Quelle nutzt, um eine Zielgruppe größer erscheinen zu lassen, als sie ist, täuscht die Menschen, die sich auf diese Zahlen verlassen. Verantwortungsvolle Werbeplattformen lehnen Kampagnen ab, die diesem Zweck dienen.
Praxistipp: Geprüften, gekennzeichneten und zeitlich begrenzten Zugriff gewähren
Die zeitgemäße Alternative ist direkter Lesezugriff mit klaren Kennzeichnungen. Sie fügen den Käufer oder Investor in der betreffenden Property als Betrachter hinzu und vereinbaren ein Enddatum. Vor dem ersten Zugriff sorgen Sie dafür, dass die Daten für sich sprechen.
Drei Gewohnheiten machen das möglich. Jede bezahlte Kampagne verwendet einheitliche UTM-Tags. So erscheinen ihre Besuche unter einer eigenen Quelle und einem eigenen Medium, statt im direkten Traffic unterzugehen. Jede Kampagne, Website-Migration oder Tracking-Änderung erhält eine Anmerkung. Nutzer mit der Rolle „Analyst“ oder einer höheren Berechtigungsstufe können diese direkt in Berichtsdiagrammen hinzufügen. Wenn Sie bezahlten Traffic genutzt haben, um einen A/B-Test für eine Landingpage durchzuführen, sollte auch der Testzeitraum eine eigene Anmerkung erhalten. Ein Berichtsvergleich zeigt Besuche aus bezahlten Kampagnen getrennt von organischen und direkten Besuchen. So sieht die lesende Person, wie die Zielgruppe ohne Werbung aussieht.
Diese konsequente Kennzeichnung gilt auch für neuere Quellen. Besuche von KI-Assistenten liefern oft nur wenige Verweisdaten. Eine klare Methode zum Erfassen von KI-Traffic verhindert deshalb, dass diese Sitzungen das Gesamtbild verzerren. Dieser Ansatz funktioniert, weil die andere Partei jede Zahl selbst überprüfen kann. Ehrliche, gekennzeichnete Daten verkürzen die Due-Diligence-Prüfung, reduzieren Nachverhandlungen und schaffen einen Ruf, der das nächste Geschäft erleichtert.
Drei Gewohnheiten machen das möglich. Jede bezahlte Kampagne verwendet einheitliche UTM-Tags. So erscheinen ihre Besuche unter einer eigenen Quelle und einem eigenen Medium, statt im direkten Traffic unterzugehen. Jede Kampagne, Website-Migration oder Tracking-Änderung erhält eine Anmerkung. Nutzer mit der Rolle „Analyst“ oder einer höheren Berechtigungsstufe können diese direkt in Berichtsdiagrammen hinzufügen. Wenn Sie bezahlten Traffic genutzt haben, um einen A/B-Test für eine Landingpage durchzuführen, sollte auch der Testzeitraum eine eigene Anmerkung erhalten. Ein Berichtsvergleich zeigt Besuche aus bezahlten Kampagnen getrennt von organischen und direkten Besuchen. So sieht die lesende Person, wie die Zielgruppe ohne Werbung aussieht.
Diese konsequente Kennzeichnung gilt auch für neuere Quellen. Besuche von KI-Assistenten liefern oft nur wenige Verweisdaten. Eine klare Methode zum Erfassen von KI-Traffic verhindert deshalb, dass diese Sitzungen das Gesamtbild verzerren. Dieser Ansatz funktioniert, weil die andere Partei jede Zahl selbst überprüfen kann. Ehrliche, gekennzeichnete Daten verkürzen die Due-Diligence-Prüfung, reduzieren Nachverhandlungen und schaffen einen Ruf, der das nächste Geschäft erleichtert.
Häufige Fragen zum Hinzufügen von Nutzern in Google Analytics
Fast jedes Team, das eine GA4-Property gemeinsam nutzt, stellt dieselben Fragen. Die kurzen Antworten unten fassen die Regeln aus diesem Leitfaden zusammen.
Kann ich jemanden ohne Gmail-Adresse zu Google Analytics hinzufügen?
Ja. GA4 akzeptiert jede E-Mail-Adresse, die als Google-Konto registriert ist. Dazu gehören Google Workspace-Adressen und geschäftliche E-Mail-Adressen, die die Person bei Google registriert hat. Die Person muss sich mit genau dieser Adresse anmelden, um die Property zu sehen.
Was ist der Unterschied zwischen Kontozugriff und Property-Zugriff?
Bei Kontozugriff gilt die gewählte Rolle für jede Property im Konto, auch für später erstellte Properties. Property-Zugriff gilt nur für eine Property. Für die meisten Personen und für alle externen Partner ist Property-Zugriff die sicherere Standardeinstellung.
Wie gebe ich jemandem Zugriff auf Google Analytics, ohne die Rolle „Administrator“ zu vergeben?
Sie wählen in Schritt 5 der Einladung eine Rolle mit weniger Berechtigungen: Betrachter zum Lesen von Berichten, Analyst zum Teilen explorativer Datenanalysen, Marketingexperte für Zielgruppen und Schlüsselereignisse oder Bearbeiter für Property-Einstellungen. Nur Administratoren können Nutzer verwalten. Mit einer niedrigeren Rolle bleibt die Nutzerverwaltung daher in Ihren Händen.
Kann ich den Zugriff auf einen einzelnen Bericht oder Datenstream beschränken?
Nein. In der Standardversion von GA4 ist die Property die kleinste Einheit, für die Sie Zugriff gewähren können. Berichtsfilter können eine Ansicht eingrenzen, aber Nutzer können sie entfernen. Für eine strengere Trennung können Sie Dateneinschränkungen, separate Properties oder untergeordnete Properties in Analytics 360 verwenden.
Erhält der neue Nutzer eine Einladung per E-Mail?
Ja, wenn „Neue Nutzer per E-Mail benachrichtigen“ beim Hinzufügen aktiviert bleibt. Die E-Mail ist eine Benachrichtigung, kein Genehmigungsschritt. Der Zugriff beginnt daher sofort. Der Nutzer muss sich trotzdem mit der eingeladenen Adresse anmelden.
Wie viele Administratoren sollte ein Google Analytics-Konto haben?
Zwei oder drei interne Administratoren sind ein sinnvoller Standard. Bei nur einem Administrator hängt alles von einer einzigen Person ab. Eine lange Liste von Administratoren erschwert dagegen jede Prüfung und erhöht das Risiko einer unerwünschten Änderung.
Zugriffsverwaltung mit dem Menschen im Mittelpunkt: So führen Sie alles zusammen
Jede Einstellung in diesem Leitfaden hat einen Grund: Die Menschen, die Ihre Berichte lesen, treffen Entscheidungen, die echte Kunden betreffen. Ein Texter entscheidet, welche Themen er behandelt. Ein Medieneinkäufer entscheidet, wohin das Budget fließt. Ein Gründer entscheidet, ob ein Kanal weitere Investitionen verdient. Gute Zugriffsverwaltung gibt jeder dieser Personen genaue Daten und nichts, was sie nicht benötigt.
Abkürzungen sind immer verlockend: Administratorrechte für alle, ein gemeinsames Passwort für die Agentur, Screenshots statt Zugriff oder eine Prüfung, die nie stattfindet. Jede davon spart ein paar Minuten und schafft ein Problem, das Stunden oder mehr kostet. Bewährte Vorgehensweisen sind weniger spektakulär: standardmäßig Zugriff auf Property-Ebene, die niedrigste zur Aufgabe passende Rolle, zwei interne Administratoren, individuelle Anmeldungen mit Multi-Faktor-Authentifizierung, ein schriftlich festgelegter Zugriffsumfang für Partner und eine kurze vierteljährliche Prüfung.
Abkürzungen sind immer verlockend: Administratorrechte für alle, ein gemeinsames Passwort für die Agentur, Screenshots statt Zugriff oder eine Prüfung, die nie stattfindet. Jede davon spart ein paar Minuten und schafft ein Problem, das Stunden oder mehr kostet. Bewährte Vorgehensweisen sind weniger spektakulär: standardmäßig Zugriff auf Property-Ebene, die niedrigste zur Aufgabe passende Rolle, zwei interne Administratoren, individuelle Anmeldungen mit Multi-Faktor-Authentifizierung, ein schriftlich festgelegter Zugriffsumfang für Partner und eine kurze vierteljährliche Prüfung.
Praxistipp: Eine einseitige Richtlinie für Zugriffsrechte erstellen
Am einfachsten verankern Sie diese Gewohnheiten mit einer einseitigen Richtlinie, die jeder in Ihrem Team in fünf Minuten lesen kann. Sie legt fest, wem das Konto gehört, welche Rolle jede Aufgabe erhält, wie Partner hinzugefügt und entfernt werden und wann Prüfungen stattfinden. Sie legen die Richtlinie bei Ihrer Analytics-Dokumentation ab und aktualisieren sie nach jeder vierteljährlichen Prüfung.
Eine schriftliche Richtlinie funktioniert, weil sie individuelle Einschätzungen in einen gemeinsamen Standard überführt. Neue Teammitglieder befolgen sie vom ersten Tag an. Partner kennen die Regeln, bevor sie nachfragen. Und Ihre Analytics-Daten bleiben das, was sie sein sollten: eine vertrauenswürdige Dokumentation darüber, wie echte Menschen mit Ihrem Unternehmen interagieren.
Eine schriftliche Richtlinie funktioniert, weil sie individuelle Einschätzungen in einen gemeinsamen Standard überführt. Neue Teammitglieder befolgen sie vom ersten Tag an. Partner kennen die Regeln, bevor sie nachfragen. Und Ihre Analytics-Daten bleiben das, was sie sein sollten: eine vertrauenswürdige Dokumentation darüber, wie echte Menschen mit Ihrem Unternehmen interagieren.
