ActiveCampaign Automation Berechtigungen richtig verwalten: Schutz für sensible Marketing-Daten

ActiveCampaign kontrolliert den Zugriff auf Automationen über zwei unabhängige Ebenen: die globale Gruppeneinstellung unter Einstellungen → Benutzer und Gruppen sowie die automation-spezifische Freigabe im Dropdown-Menü jeder einzelnen Automation. Beide Ebenen müssen aktiv sein, damit eine Nutzergruppe eine Automation sehen und bearbeiten kann. Wer nur eine davon setzt, erreicht keinen wirksamen Schutz.

Das Wichtigste in Kürze

• ActiveCampaign-Berechtigungen arbeiten auf zwei Ebenen: globale Gruppenrechte in den Einstellungen und automation-spezifische Freigaben direkt je Automation.
• Admin-Nutzer sehen und bearbeiten immer alle Automationen, unabhängig von gesetzten Freigaben – Admin-Zugänge daher nicht für den täglichen Betrieb nutzen.
• Eine Nutzergruppe braucht beides: das globale Recht "Automationen verwalten" und die explizite Freigabe an der einzelnen Automation.
• Quarterly Audits und ein sauberer Offboarding-Prozess verhindern, dass ehemalige Mitarbeiter oder Dienstleister dauerhaft Zugriff behalten.

Wie das Zwei-Ebenen-Modell in ActiveCampaign funktioniert

Viele Teams stellen nach dem ersten Einrichten fest, dass die Berechtigungen nicht greifen, obwohl sie alles korrekt gesetzt zu haben glauben. Der häufigste Grund: ActiveCampaign trennt globale Gruppenrechte von automation-spezifischen Freigaben, und beide Ebenen müssen gleichzeitig passen.

Ebene 1: Globale Gruppenrechte

Unter Einstellungen → Benutzer und Gruppen legst du fest, was eine Nutzergruppe grundsätzlich in ActiveCampaign darf. Der relevante Schalter heißt "Automationen verwalten" – im englischen Interface "Manage automations". Ist dieser Schalter für eine Gruppe deaktiviert, sieht die gesamte Gruppe den Menüpunkt "Automationen" gar nicht, egal welche Freigaben du je Automation setzt.

Diese Ebene ist die Grundvoraussetzung. Ohne aktives "Automationen verwalten" nützt jede automation-spezifische Freigabe nichts. Der Fehler passiert häufig bei neuen externen Gruppen, die schnell für einen Dienstleister angelegt werden: Die Gruppe existiert, hat aber noch keine Rechte gesetzt bekommen und greift deshalb nicht.

Ebene 2: Automation-spezifische Freigaben

Auf der zweiten Ebene entscheidest du je Automation, welche Gruppen sie sehen und bearbeiten dürfen. Das Menü erreichst du über die Automationsübersicht: Zeile der gewünschten Automation anklicken, Dropdown öffnen, dann "Permissions" wählen. Im Dialog erscheinen alle Nutzergruppen, die auf Ebene 1 das Recht "Automationen verwalten" besitzen. Du aktivierst die Checkboxen der Gruppen, die Zugriff erhalten sollen.

Wer hier keine Gruppen auswählt, lässt die Automation für alle zugänglich, die Ebene 1 erfüllen. Das ist der Standard-Zustand nach dem Erstellen einer neuen Automation. Sensible Workflows müssen also aktiv eingeschränkt werden – eine automatische Sichtbarkeitsbegrenzung gibt es nicht.

Admin ist immer dabei

Die Admin-Gruppe hat per Definition vollen Zugriff auf alle Automationen, ohne in den Freigaben explizit aufgeführt sein zu müssen. Das lässt sich nicht abschalten. Daraus folgt: Admin-Zugänge sind für die Systemverwaltung, nicht für den Arbeitsalltag. Wer täglich mit ActiveCampaign arbeitet, sollte einem eingeschränkteren Profil angehören – sonst hebelt die eigene Rolle das gesamte Berechtigungskonzept aus.

Welche Standardrollen ActiveCampaign mitbringt

ActiveCampaign liefert voreingestellte Rollenprofile, die du als Basis für eigene Gruppen nutzen oder direkt zuweisen kannst. Die genauen Rechtekombinationen lassen sich je Gruppe anpassen; die folgende Tabelle zeigt die Standardwerte für automationsbezogene Rechte.

Die Rollen "Designer" und "Vertrieb" haben in der Standardeinstellung keinen Zugriff auf Automationen. Das macht in den meisten Teams Sinn: Ein E-Mail-Designer braucht keine Einblicke in Scoring-Logik oder interne Benachrichtigungs-Automationen. Wer für einen spezifischen Workflow Zugriff braucht, bekommt ihn über die automation-spezifische Freigabe auf Ebene 2 – vorausgesetzt, das globale Recht ist entsprechend gesetzt. Ohne diesen zweistufigen Gedanken vergeben viele Teams zu viele Rechte, weil der schnellste Weg immer die nächsthöhere Standardrolle ist.

Eigene Nutzergruppen aufbauen: drei sinnvolle Strukturen

Die Standard-Rollen decken einfache Konstellationen ab. Sobald externe Partner, mehrere Teams oder unterschiedlich sensible Datenbereiche hinzukommen, lohnt sich eine eigene Gruppenstruktur. Drei Strukturen haben sich in der Praxis bewährt.

Kleine Teams bis fünf Personen

Zwei Gruppen genügen fast immer: Admin für die Person, die ActiveCampaign konfiguriert und pflegt, und Operativ für alle, die täglich damit arbeiten. Die operative Gruppe bekommt das Recht, Automationen zu sehen und zu bearbeiten. Alle Automationen bleiben für beide Gruppen sichtbar – der Aufwand für automation-spezifische Einschränkungen lohnt sich bei fünf Personen selten, weil der Kommunikationsweg kürzer ist als jede Berechtigungsregel.

Mittlere Teams mit Agenturpartner

Hier entstehen typischerweise drei Gruppen: Admin, internes Marketing-Team und eine Agentur-Gruppe. Die Agentur-Gruppe sieht und bearbeitet nur die Kampagnen-Automationen, die explizit freigegeben sind – Lead-Scoring, interne Benachrichtigungen und Pricing-Automationen bleiben verborgen. Diese Konstellation setzt voraus, dass du beim Anlegen jeder neuen Automation bewusst entscheidest, ob die Agentur Zugriff braucht. Wer das vergisst, öffnet neue Automationen automatisch für alle.

Größere Unternehmen mit mehreren Abteilungen

Ab vier bis fünf Fachbereichen empfiehlt sich eine vierstufige Struktur:

• Admin-Gruppe für IT-Verantwortliche und technische Ansprechpartner – so klein wie möglich halten.
• Bereichs-Gruppen je Abteilung (Marketing, Vertrieb, HR) – jede sieht nur die eigenen Automationen.
• Lese-Gruppe für Führungskräfte, die Einblick brauchen, aber nichts verändern sollen.
• Externe-Gruppe für Dienstleister mit stark eingeschränkten Rechten und gezielten Freigaben.

In dieser Struktur ist jede neue Automation initial nur für die Admin-Gruppe sichtbar. Das Freigeben für weitere Gruppen wird ein bewusster Schritt im Deployment-Prozess einer Automation – kein Nachgedanke. Das klingt nach Mehraufwand, ist aber in größeren Accounts die einzige Methode, die langfristig funktioniert.

So richtest du Automation-Berechtigungen ein – Schritt für Schritt

Das folgende Vorgehen setzt voraus, dass die Nutzergruppen bereits angelegt sind. Fehlen die Gruppen noch, beginne mit Einstellungen → Benutzer und Gruppen → Gruppe hinzufügen, bevor du die einzelnen Automationen bearbeitest. Andernfalls tauchen die Gruppen im Permissions-Dialog gar nicht auf.

1. Globale Rechte prüfen: Gehe zu Einstellungen → Benutzer und Gruppen. Öffne jede Gruppe, die Automationen sehen soll. Stelle sicher, dass der Schalter "Automationen verwalten" aktiv ist. Speichere die Gruppe, bevor du weitergehst – ungespeicherte Änderungen werden in späteren Schritten nicht berücksichtigt.
2. Automations-Übersicht öffnen: Navigiere im Hauptmenü zu Automationen. Du siehst die Liste aller Automationen des Accounts.
3. Permissions-Menü aufrufen: Bewege den Cursor über die Zeile der Automation, die du einschränken möchtest. Am rechten Ende erscheint ein Dropdown-Pfeil. Klicke darauf und wähle "Permissions".
4. Gruppen auswählen: Im Permissions-Dialog erscheinen alle Gruppen mit dem Recht "Automationen verwalten". Aktiviere die Checkboxen der Gruppen, die Zugriff erhalten sollen. Nicht aktivierte Gruppen sehen die Automation danach nicht mehr.
5. Speichern: Klicke auf "Save Changes". Die Einstellung gilt sofort – kein Neustart oder Cache-Leerung nötig.
6. Testen: Logge dich mit einem Testkonto ein, das einer eingeschränkten Gruppe angehört, und prüfe, ob die Automation in der Übersicht erscheint oder nicht. Dieser Schritt ist nicht optional: Fehlerquellen zeigen sich zuverlässig erst im Test, nicht in den Einstellungen selbst.

Wenn die Automation nach dem Speichern für die eingeschränkte Gruppe noch sichtbar ist, liegt das fast immer an Ebene 1: Der globale Schalter "Automationen verwalten" ist für diese Gruppe noch aktiv. Prüfe die Gruppenrechte in den Einstellungen erneut und speichere die Gruppe nach jeder Änderung.

Typische Fehler beim Einrichten von Automation-Berechtigungen

Nur eine der beiden Ebenen gesetzt

Wer ausschließlich die automation-spezifische Freigabe setzt, ohne die globalen Gruppenrechte zu prüfen, wundert sich, warum die Einschränkung nicht wirkt. Oder umgekehrt: Wer globale Rechte setzt, aber vergisst, neue Automationen explizit zu beschränken, lässt sie offen. Beide Fehler entstehen aus demselben Denkfehler – es gibt nicht eine Berechtigungsebene, sondern zwei, und beide müssen aktiv gesetzt sein.

Admin-Accounts im täglichen Betrieb

Wenn das Marketing-Team täglich mit Admin-Konten arbeitet, greifen alle anderen Berechtigungseinstellungen ins Leere. Admins sehen alles, immer. In größeren Unternehmen führt das dazu, dass sensible Automationen – Personalentscheidungen, Preisregeln, Eskalationsprozesse – für alle sichtbar sind, die irgendwann eine Admin-Lizenz zugeteilt bekommen haben. Gegenmaßnahme: Admin-Konten für administrative Aufgaben reservieren, für den Alltag eine eigene Nutzergruppe mit passgenauen Rechten anlegen.

Externe Dienstleister in der falschen Gruppe

Eine Agentur, die zur schnellen Einarbeitung in die Manager-Gruppe gesetzt wird, sieht unter Umständen mehr als sie sollte. Die Manager-Gruppe hat in der Standardkonfiguration breite Rechte. Externe bekommen besser eine eigene Gruppe mit eng definierten Rechten, unabhängig davon, wie eng die Zusammenarbeit ist. Das gilt auch, wenn die Agentur das Setup übernimmt und temporär Admin-Zugriff braucht – dieser Zugang sollte nach Abschluss des Projekts zurückgestuft werden.

Fehlende Offboarding-Prozesse

Mitarbeiter, die das Unternehmen verlassen, oder Dienstleister, deren Vertrag ausläuft, bleiben häufig im System aktiv. Der Account ist noch vorhanden, die Berechtigungen noch gültig. Ein sauberer Offboarding-Prozess enthält: Konto in ActiveCampaign deaktivieren, Zugriffsrechte der Gruppe prüfen und Automationen auf andere Eigentümer übertragen, falls die Person Workflows besessen hat.

Keine Dokumentation der Berechtigungslogik

Wer in sechs Monaten nachfragt, warum eine bestimmte Automation nur für eine bestimmte Gruppe sichtbar ist, findet häufig keine Antwort. Die Person, die die Einstellung vorgenommen hat, ist nicht mehr im Unternehmen, oder die Begründung ist schlicht nicht aufgeschrieben. Ein kurzes Berechtigungs-Dokument – welche Gruppe hat welchen Zugriff, warum, wann zuletzt geprüft – spart später erheblich Zeit und verhindert, dass Regeln beim nächsten Mitarbeiterwechsel unwissentlich gebrochen werden.

Wann Automation-Berechtigungen nicht die richtige Antwort sind

Automation-Berechtigungen steuern, wer eine Automation sehen und bearbeiten kann. Sie regeln nicht, wer die Daten sieht, die eine Automation verarbeitet. Wer sensible Kontaktinformationen schützen will – zum Beispiel interne Scoring-Werte, individuelle Preiskonditionen auf Kontaktfeldern oder DSGVO-relevante Kategorienmerkmale – muss das auf Feldebene lösen. ActiveCampaign bietet dafür die Option, individuelle Felder auf bestimmte Gruppen zu beschränken, getrennt vom Automation-Berechtigungsmodell.

Auch für die Kontrolle, wer Kontakte exportieren oder löschen darf, sind Automation-Berechtigungen nicht das richtige Werkzeug. Diese Rechte werden unter Einstellungen → Benutzer und Gruppen → Kontakte gesetzt, getrennt von allem, was Automationen betrifft. Wer beides nicht sauber trennt, riskiert, dass ein Benutzer zwar keine Automation bearbeiten kann, aber über die Kontaktliste dieselben Daten einsieht, die die Automation verarbeitet – das untergräbt den Schutzgedanken vollständig.

Kurzum: Automation-Berechtigungen schützen deine Workflows vor unberechtigten Änderungen und vor Einblicken in deine Geschäftslogik. Datenschutz auf Kontaktebene ist ein separates Thema, das zusätzliche Einstellungen in einem anderen Bereich der Account-Verwaltung erfordert.

Berechtigungs-Audit: was du einmal pro Quartal prüfst

Ein Audit muss nicht aufwändig sein. Die folgende Liste lässt sich in 20 bis 30 Minuten abarbeiten und gibt dir schnell Sicherheit darüber, ob der Zustand noch dem gewünschten Konzept entspricht:

• Alle aktiven Benutzer mit Admin-Zugriffsrecht auflisten – wer ist noch im Unternehmen, wer sollte heruntergestuft werden?
• Externe Gruppen prüfen: Haben alle darin enthaltenen Personen noch eine aktive Zusammenarbeit mit dem Unternehmen?
• Neue Automationen der letzten drei Monate durchsehen: Sind sensible Automationen explizit eingeschränkt oder noch offen?
• Deaktivierte Benutzer aus allen Gruppen entfernen – nicht nur den Account deaktivieren, sondern die Gruppenzugehörigkeit aktiv bereinigen.

Einblick in mehr als 200 Unternehmen im Advertal-Partnernetzwerk zeigt: Das häufigste Governance-Problem ist nicht das falsche Berechtigungs-Setup beim Start, sondern das Fehlen eines Wartungsprozesses. Wer einmal im Quartal eine halbe Stunde in diesen Audit investiert, hat keine unangenehmen Überraschungen beim nächsten Datenschutz-Audit oder beim nächsten Agenturwechsel.

Häufige Fragen

Kann ich verhindern, dass jemand eine Automation kopiert, auch wenn er sie sehen darf?

Nein. Wer eine Automation sehen darf, kann sie in der Standardkonfiguration auch kopieren. Das Kopieren ist an die Sichtberechtigung geknüpft und nicht separat steuerbar. Wenn das ein Problem ist – etwa weil eine Agentur Workflows nicht mitnehmen soll – ist die einzige zuverlässige Lösung, diese Automationen für die Agentur gar nicht freizugeben und stattdessen mit Übergabe-Exports auf Anfrage zu arbeiten.

Werden Berechtigungen auf Automation-Kopien übertragen?

Nein. Wenn du eine Automation kopierst, erhält die Kopie keine Berechtigungen aus dem Original. Sie ist zunächst für alle Gruppen sichtbar, die das globale Recht "Automationen verwalten" haben. Das ist ein häufiger blinder Fleck: Eine geschützte Automation wird kopiert, die Kopie bleibt offen, und niemand merkt es – bis ein Dienstleister meldet, er sehe plötzlich Automationen, die er nicht sehen sollte.

Wie viele Nutzergruppen kann ich in ActiveCampaign anlegen?

ActiveCampaign setzt keine feste Obergrenze für Nutzergruppen. In der Praxis entsteht ab mehr als zehn Gruppen Verwaltungsaufwand, der den Sicherheitsgewinn aufhebt. Eine gut strukturierte Logik mit vier bis sechs Gruppen ist zuverlässiger zu pflegen als ein feingranulares System mit vielen Gruppen, das niemand mehr vollständig überblickt.

Was passiert mit den Berechtigungen, wenn ich eine Gruppe umbenenne?

Die Berechtigungen bleiben erhalten. Der Name einer Gruppe ist nur ein Label; die interne Gruppen-ID bleibt dieselbe. Das gilt auch für Automationen, die bereits auf diese Gruppe eingeschränkt sind: Sie verweisen auf die ID, nicht auf den Namen. Umbenennen ist sicher und bricht keine bestehenden Freigaben.

Kann ein Benutzer ohne Admin-Rechte selbst Berechtigungen für seine Automation setzen?

Nein. Nur Mitglieder der Admin-Gruppe können Automation-Berechtigungen setzen oder ändern. Nicht-Admin-Nutzer, die eine Automation erstellen, können danach nicht steuern, wer sie sieht. Diese Einschränkung schützt davor, dass einzelne Mitarbeiter versehentlich sensible Automationen öffnen oder schließen – die Kontrolle liegt ausschließlich bei den Account-Administratoren.

Gibt es eine Möglichkeit, alle Automation-Berechtigungen auf einmal zu exportieren?

ActiveCampaign bietet dafür keine eingebaute Export-Funktion. Wer den Überblick braucht, muss die Permissions-Einstellungen manuell je Automation aufrufen und dokumentieren. Das ist ein bekannter Engpass bei größeren Accounts mit vielen Automationen. Für die Dokumentation hat sich eine einfache Tabelle bewährt: Automation-Name, Gruppen mit Zugriff, Datum der letzten Prüfung.

Wer die Berechtigungsstruktur in ActiveCampaign grundlegend neu aufsetzen möchte, findet im Leitfaden zu ActiveCampaign-Automationen den strukturellen Überblick als Ausgangspunkt. Wer tiefer in alle Konfigurationsmöglichkeiten einsteigen will, deckt das der ActiveCampaign-Kurs zu Funktionen und Einstellungen Schritt für Schritt ab.