ActiveCampaign Benutzerrechte verwalten: Gruppen richtig einrichten und absichern

Benutzerrechte in ActiveCampaign werden ausschließlich über Gruppen vergeben, nicht pro Person. Du erstellst eine Gruppe, legst fest, welche Listen, Kampagnen, Automationen und CRM-Bereiche sie sehen und bearbeiten darf, und ordnest dann Nutzer dieser Gruppe zu. Wer die Gruppen sauber plant, bevor er die erste anlegt, spart sich später aufwändige Korrekturen.

Das Wichtigste in Kürze

• ActiveCampaign kennt keine individuellen Benutzerrechte – alle Berechtigungen hängen an Gruppen, nicht an einzelnen Accounts.
• Die Admin-Gruppe ist voreingestellt und unveränderlich; alle anderen Gruppen erstellst und pflegst du selbst.
• Listen-Zugriff ist der wichtigste Hebel für DSGVO-Compliance: Nur Gruppen, die explizit einer Liste zugeordnet sind, sehen deren Kontakte.
• Automationen brauchen eine zweistufige Freigabe – das Gruppenrecht und eine Einzelfreigabe je Automation.
• Ein Nutzer kann mehreren Gruppen angehören; die Rechte addieren sich, was nützlich, aber auch unübersichtlich sein kann.

Wie das Gruppenmodell in ActiveCampaign funktioniert

ActiveCampaign unterscheidet zwei Ebenen: den Account-Admin und die Gruppenebene. Admins haben immer Vollzugriff und können keine Rechte verlieren. Alle anderen Nutzer bekommen Rechte ausschließlich über die Gruppe, der sie angehören. Das klingt simpel, hat aber eine wichtige Konsequenz: Wer einer Gruppe keinen Listen-Zugriff gibt, schränkt damit automatisch ein, welche Kontakte deren Mitglieder sehen können – die Steuerung passiert auf Gruppen-Ebene, nicht auf der Nutzerebene.

Das Gruppenmodell skaliert gut, weil du bei einem neuen Teammitglied nur die passende Gruppe zuweist statt jedes Recht einzeln zu setzen. Der Nachteil: Wenn Gruppen schlecht definiert sind, erben neue Nutzer automatisch falsche Rechte. Deshalb lohnt es sich, die Gruppenstruktur einmal sauber durchzuplanen, bevor das Team wächst.

Was Admins immer können – und was nicht delegierbar ist

Die Admin-Gruppe in ActiveCampaign ist unveränderlich. Admins dürfen alles: Integrationen einrichten, Abonnements verwalten, Site Tracking konfigurieren und alle anderen Gruppen anlegen oder löschen. Diese Rechte lassen sich nicht an andere Gruppen übertragen. Wenn jemand Integrationen verwalten soll, muss er Admin sein – es gibt dafür keine Teillösung.

Was häufig übersehen wird: Admins sehen auch alle Automationen aller Gruppen, unabhängig davon, welche Automation-Einzelfreigaben gesetzt sind. Das ist bei der Planung relevant, wenn Automationen gruppenspezifische Logik enthalten, die andere Teams nicht sehen sollen.

Welche Bereiche du in einer Benutzergruppe steuern kannst

Im Permissions-Tab einer Gruppe findest du mehrere Bereiche. Jeder steuert einen anderen Teil des Accounts. Hier ist, was du in der Praxis am häufigsten konfigurierst:

Die meisten Konflikte entstehen beim Bereich „Kampagnen“, weil Erstellen und Versenden häufig voneinander getrennt werden sollen. ActiveCampaign unterstützt das direkt: Du kannst einer Gruppe das Recht geben, Kampagnen zu erstellen und zu bearbeiten, aber nicht zu versenden. Das ergibt einen klaren Vier-Augen-Prozess ohne technischen Aufwand.

So planst du deine Gruppenstruktur – bevor du die erste anlegt

Die häufigste Ursache für Rechte-Chaos in ActiveCampaign ist, dass Gruppen ad hoc angelegt werden: erst eine für den Praktikanten, dann eine für den neuen Sales-Mitarbeiter, dann irgendwann eine „Allgemein“-Gruppe, der alle anderen angehören. Nach zwei Jahren weiß niemand mehr, welche Gruppe welche Rechte hat und warum. Sinnvoller ist ein Planungsschritt, der drei Fragen beantwortet, bevor die erste Gruppe angelegt wird.

Welche Rollen gibt es in deinem Team?

Rollen in ActiveCampaign richten sich nach dem, was jemand tun muss, nicht nach seiner Berufsbezeichnung. Ein Marketing-Manager, der auch Kampagnen versendet, braucht andere Rechte als ein Texter, der nur Inhalte erstellt. Typische Rollen, die sich in der Praxis durchgesetzt haben:

• Marketing Operativ: Kampagnen erstellen und bearbeiten, Listen einsehen, Kontakte verwalten – kein Versenden.
• Marketing Manager: Vollzugriff auf alle Marketing-Bereiche inklusive Versenden und Reports.
• Sales Team: Zugriff auf CRM, Deals und die Kontaktlisten, die für Vertriebsprozesse relevant sind – keine Kampagnenverwaltung.
• Reporting: Nur Lesezugriff auf Statistiken und Reports, keine Schreibrechte.
• Externe Dienstleister: Zugriff auf genau die Listen und Bereiche, die für ihr Projekt relevant sind – nach Projektende wird die Gruppe angepasst oder der Nutzer entfernt.

Welche Listen darf welche Gruppe sehen?

Listen-Zugriff ist der wichtigste Datenschutzhebel in ActiveCampaign. Eine Gruppe ohne Listen-Zugriff sieht keine Kontakte, auch wenn sie alle anderen Rechte hat. Das macht die Listen-Zugriffssteuerung zum zentralen Werkzeug, um Kontaktdaten nach dem Need-to-Know-Prinzip zu vergeben. Wie du Listen in ActiveCampaign richtig anlegst und strukturierst, beeinflusst direkt, wie sauber du Rechte vergeben kannst – wer hier sauber trennt, hat weniger Aufwand beim Rechte-Setup.

Für DSGVO-konforme Setups bedeutet das: Segment-Listen für bestimmte Produkte oder Kampagnen sind nur den Gruppen zugänglich, die damit arbeiten. Kunden-Listen mit vollständigen Kontaktdaten sehen nur Mitarbeiter, die das für ihre Arbeit brauchen. Prüfe beim Anlegen jeder neuen Liste direkt, welche Gruppen Zugriff erhalten sollen – nicht im Nachhinein, wenn das Team schon damit arbeitet.

Welche Gruppen werden dauerhaft gebraucht, welche nur temporär?

Projektbezogene Gruppen für externe Dienstleister oder saisonale Teams sind sinnvoll, müssen aber aktiv beendet werden. Lege temporäre Gruppen immer mit einer Notiz in der Gruppen-Beschreibung an, die festhält, wann und warum sie erstellt wurde. Das erleichtert Audits erheblich. Eine Gruppe, deren Beschreibungsfeld leer ist, wird sechs Monate später niemand mehr einordnen können.

So erstellst du eine Benutzergruppe in ActiveCampaign – Schritt für Schritt

Hier der genaue Ablauf, mit dem du eine neue Gruppe anlegst und konfigurierst. Plane am besten 20 Minuten pro Gruppe ein, wenn du die Rechte sorgfältig durchgehst.

1. Klicke auf das Zahnrad-Symbol unten links und wähle Einstellungen.
2. Klicke im linken Menü auf Benutzer und Gruppen.
3. Wechsle zum Tab Gruppen und klicke Neue Gruppe hinzufügen.
4. Fülle im Info-Tab Titel und Beschreibung aus. Schreibe in die Beschreibung, für welche Rolle diese Gruppe gedacht ist und seit wann sie besteht. Wähle darunter die Kontaktlisten aus, auf die diese Gruppe Zugriff haben soll. Nur die hier ausgewählten Listen sind für Mitglieder dieser Gruppe sichtbar.
5. Wechsle zum Tab Berechtigungen. Klappe jeden Bereich auf und aktiviere gezielt die Rechte, die diese Gruppe braucht. Nicht aktivierte Rechte sind automatisch gesperrt.
6. Öffne den Tab Limits, wenn du die Gruppe mengenmäßig einschränken willst – zum Beispiel maximale Kampagnenanzahl pro Monat oder maximale Anzahl importierbarer Kontakte.
7. Speichere die Gruppe.
8. Weise der Gruppe im Tab Benutzer die Mitglieder zu oder gib beim Einladen neuer Nutzer direkt die Gruppe an.

Starte bei Schritt 5 immer mit dem Minimum an Rechten und erweitere gezielt. Rechte hinzufügen ist schnell erklärt; Rechte entziehen führt regelmäßig zu Diskussionen.

Automationen freigeben: der Sonderfall im Berechtigungsmodell

Automationen haben in ActiveCampaign ein zweistufiges Freigabemodell, das viele Admins zunächst verwirrt. Stufe eins ist das Gruppenrecht: Im Permissions-Tab der Gruppe muss „Automationen verwalten“ aktiviert sein. Stufe zwei ist die Einzelfreigabe: Jede Automation hat in der Übersicht eine eigene Freigabe-Option, mit der du bestimmten Gruppen Zugang gewährst oder verweigerst.

Das bedeutet in der Praxis: Selbst wenn du einer Gruppe das Automatisierungs-Recht gibst, sieht sie nur die Automationen, für die sie explizit freigegeben wurde. Admins sehen immer alle, unabhängig von den Einzelfreigaben. Das ist ein sinnvolles Modell, wenn du Automationen nach Themenbereich trennen willst – etwa Sales-Automationen sichtbar nur für das Sales-Team, Newsletter-Automationen nur für das Marketing-Team.

Wenn Nutzer berichten, dass sie Automationen nicht sehen können, liegt es fast immer an der fehlenden Einzelfreigabe auf der Automation selbst, nicht am Gruppenrecht. Prüfe beides, bevor du die Konfiguration änderst: erst das Gruppenrecht, dann die Einzelfreigabe der jeweiligen Automation.

CRM und Deals: Zugriff für Sales-Teams strukturieren

Wenn du Unternehmensprofile und CRM-Funktionen in ActiveCampaign für ein Sales-Team einrichtest, ist die Rechtevergabe eng mit dem Gruppenmodell verknüpft. Das Sales-Team bekommt eine eigene Gruppe mit CRM-Rechten, Zugriff auf die Sales-relevanten Listen und – sofern nötig – Zugriff auf einzelne Pipelines.

Pipelines lassen sich in ActiveCampaign ebenfalls auf Gruppen einschränken. Unter CRM → Einstellungen → Pipelines kannst du festlegen, welche Gruppe eine Pipeline sehen darf. Das ist besonders nützlich, wenn mehrere Vertriebsteams mit eigenen Pipelines arbeiten und keine der Teams die Pipeline der anderen sehen soll. Ohne diese Einschränkung sehen alle CRM-berechtigten Nutzer alle Pipelines – das ist häufig nicht gewünscht.

Limits setzen – der oft übersehene Tab

Im Limits-Tab einer Gruppe kannst du festlegen, wie viel die Gruppe pro Monat tun darf, unabhängig davon, ob sie das Recht hat oder nicht. Die relevanten Grenzen:

• Maximale Anzahl Kampagnen pro Monat: sinnvoll für Dienstleister oder Gruppen, die ein bestimmtes Sendebudget haben.
• Maximale Anzahl versendeter E-Mails: schützt vor versehentlichen Massen-Sendungen durch unerfahrene Nutzer.
• Maximale Anzahl importierbarer Kontakte: verhindert unkontrollierten Kontakt-Import, der die Zustellbarkeit des gesamten Accounts gefährdet.

Limits sind kein Ersatz für Berechtigungen, sondern eine zusätzliche Sicherheitsschicht. Wenn ein Praktikant das Recht hat, Kampagnen zu versenden, kannst du trotzdem sicherstellen, dass er maximal fünf pro Monat absendet. Ohne Limits würde das ausschließlich durch Vertrauen geregelt. Besonders bei Accounts, in denen externe Dienstleister oder Praktikanten aktiv sind, lohnt sich der Blick auf diesen Tab.

Nutzer einer Gruppe zuweisen und mehrere Gruppen nutzen

Sobald eine Gruppe fertig konfiguriert ist, fügst du Nutzer hinzu. Der Weg: Einstellungen → Benutzer und Gruppen → Tab Benutzer → Nutzer auswählen → Gruppe zuweisen. Du kannst dabei direkt aus der Nutzerverwaltung zuweisen oder beim Einladen eines neuen Nutzers die Gruppe direkt angeben.

Ein Nutzer kann mehreren Gruppen angehören. Wenn er sowohl der Gruppe „Marketing Operativ“ als auch „Reporting“ angehört, sieht er alle Listen beider Gruppen und hat die Rechte beider Gruppen. Die Rechte addieren sich, es gibt keine Möglichkeit, die Summe zu deckeln. Das klingt praktisch, erzeugt aber schnell Rechte-Kombinationen, die niemand mehr überblickt. Als Faustregel: Wenn ein Nutzer dauerhaft mehr als zwei Gruppen braucht, ist das ein Hinweis, dass die Gruppenstruktur überdacht werden sollte, nicht dass ein dritte Gruppe zugewiesen werden sollte.

Typische Fehler bei der Rechtevergabe – und wie du sie vermeidest

Zu viele Gruppen ohne klare Abgrenzung

Manche Accounts haben nach zwei Jahren 15 Gruppen, von denen drei noch aktive Nutzer haben und der Rest historisch gewachsen ist. Das Ergebnis: Niemand weiß mehr, welche Gruppe welche Rechte hat. Besser sind wenige, gut dokumentierte Gruppen mit klarem Zweck. Wenn du eine neue Gruppe anlegen willst, prüfe zuerst, ob eine bestehende Gruppe angepasst werden kann statt eine neue hinzuzufügen.

Listen-Zugriff zu weit öffnen

Wenn alle Gruppen alle Listen sehen können, hat das Listen-Modell seinen Datenschutz-Zweck verloren. Der Fehler entsteht meist, weil es beim Anlegen einer Gruppe schnell geht, alle Listen zu markieren. DSGVO-konform ist das nicht. Formuliere beim Anlegen einer Gruppe explizit, welche Listen diese Gruppe wirklich braucht – und vergib ausschließlich diese.

Automations-Einzelfreigaben vergessen

Eine Gruppe hat das Automations-Recht, aber die Nutzer können keine Automationen sehen. Die Ursache ist fast immer die fehlende Einzelfreigabe. Prüfe in der Automationen-Übersicht, ob die Gruppe für die betroffene Automation freigegeben ist. Das ist ein separater Schritt, der nach dem Erstellen einer Automation aktiv gesetzt werden muss – und bei jeder neuen Automation erneut.

Ex-Mitarbeiter bleiben aktive Nutzer

ActiveCampaign deaktiviert Nutzer nicht automatisch, wenn jemand das Unternehmen verlässt. Ohne einen festen Offboarding-Prozess haben ehemalige Mitarbeiter weiterhin Zugriff auf Kontaktdaten und Kampagnen. Das ist ein Sicherheits- und Datenschutzproblem. Definiere im Onboarding-Prozess gleichzeitig den Offboarding-Schritt: Wer den Nutzer anlegt, ist auch dafür verantwortlich, ihn zu deaktivieren.

Keine Dokumentation der Gruppenlogik

Sechs Monate nach dem Setup weiß niemand mehr, warum die Gruppe „Marketing B“ andere Listen-Rechte hat als „Marketing A“. Nutze das Beschreibungsfeld der Gruppe und ergänze es um Verwendungszweck, Anlege-Datum und die zuständige Person. Das klingt bürokratisch, spart aber Zeit bei jedem Audit und verhindert, dass Rechte aus Unsicherheit einfach erweitert werden.

Wann das Gruppenmodell an seine Grenzen stößt

Das Gruppenmodell von ActiveCampaign ist für die meisten Setups ausreichend, stößt aber bei bestimmten Anforderungen an Grenzen. Wenn dein Setup eines dieser Muster zeigt, solltest du eine Alternative prüfen:

• Du brauchst echte Mandantentrennung, bei der verschiedene Teams vollständig separate Daten und Konfigurationen haben. Dafür ist ein eigener ActiveCampaign-Account je Mandant die sauberere Lösung, keine Gruppe.
• Du willst Rechte auf einzelne Kontakte oder Kontaktfelder einschränken, nicht nur auf ganze Listen. ActiveCampaign unterstützt das auf Listen-Ebene, nicht auf Kontakt-Ebene.
• Du willst Admin-Rechte teilweise delegieren – etwa „Gruppen verwalten, aber keine Integrationen“. Das ist im aktuellen Modell nicht möglich; Admin bedeutet immer Vollzugriff auf alle Funktionen.

Für Agenturen, die mehrere Kundenprojekte über einen Account abwickeln, ist das Gruppenmodell oft eine pragmatische Lösung, aber keine vollständige Mandantentrennung. Wie das in der Praxis strukturiert wird, zeigt der Beitrag über ActiveCampaign für Agenturen und die Verwaltung von Kundenprojekten.

Regelmäßige Audits: Was du quartalsweise prüfen solltest

Gruppenrechte sind keine Einmal-Konfiguration. Teams ändern sich, Projekte enden, neue Rollen entstehen. Ein quartalsweiser Check anhand dieser Fragen reicht aus, um den Überblick zu behalten:

• Haben alle aktiven Nutzer die Gruppen, die sie für ihre aktuelle Rolle brauchen – nicht mehr?
• Gibt es deaktivierte oder inaktive Nutzer, die noch einer Gruppe angehören und damit technisch noch Zugriff haben?
• Haben externe Dienstleister, deren Projekte abgeschlossen sind, noch Zugriff?
• Sind neue Listen entstanden, die noch keiner Gruppe zugeordnet sind – oder zu viele Gruppen haben Zugriff darauf?
• Entsprechen die Gruppen-Beschreibungen noch dem tatsächlichen Verwendungszweck?

Der Audit dauert in einem gut gepflegten Account unter einer Stunde. In einem Account, der noch nie systematisch geprüft wurde, kann er einen halben Tag in Anspruch nehmen. Wer einmal im Quartal prüft, hat in keinem dieser Fälle ein Problem.

Häufige Fragen

Kann ich in ActiveCampaign Rechte für einzelne Nutzer setzen, ohne eine Gruppe zu verwenden?

Nein. ActiveCampaign kennt keine individuellen Berechtigungen auf Nutzerebene außerhalb des Admin-Status. Jeder Nutzer ist entweder Admin mit Vollzugriff oder Mitglied einer Gruppe mit den Rechten dieser Gruppe. Wenn du für einen einzelnen Nutzer spezifische Rechte brauchst, erstellst du eine eigene Gruppe nur für diesen Nutzer – das ist technisch möglich, aber organisatorisch aufwändig zu pflegen.

Was passiert, wenn ich eine Gruppe lösche, der noch Nutzer zugeordnet sind?

ActiveCampaign lässt das Löschen einer Gruppe auch dann zu, wenn noch Nutzer zugeordnet sind. Diese Nutzer verlieren alle Rechte, die ausschließlich über diese Gruppe kamen. Sie bleiben als Nutzer im Account, können aber nur noch die Bereiche nutzen, auf die andere Gruppen-Mitgliedschaften Rechte geben. Prüfe vor dem Löschen einer Gruppe, welche Nutzer betroffen sind, und weise sie vorher der richtigen Gruppe zu.

Wie funktioniert der Listen-Zugriff, wenn ein Nutzer mehreren Gruppen angehört?

Die Listen-Zugriffsrechte addieren sich. Gehört ein Nutzer Gruppe A an, die Liste 1 sieht, und Gruppe B, die Liste 2 sieht, dann sieht dieser Nutzer beide Listen. Es gibt keine Möglichkeit, die Summe der Rechte aus mehreren Gruppen zu begrenzen. Das ist ein wichtiger Grund, Mehrfachmitgliedschaft bewusst zu handhaben und nicht als Standardlösung zu verwenden, wenn eigentlich eine einzige besser konfigurierte Gruppe ausreichen würde.

Kann ich die Standard-Admin-Gruppe einschränken oder umbenennen?

Nein. Die Admin-Gruppe ist in ActiveCampaign fest verankert und kann weder umbenannt noch in ihren Rechten eingeschränkt werden. Auch das Löschen der Admin-Gruppe ist nicht möglich. Wenn du granulare Rechte für leitende Mitarbeiter brauchst, ohne ihnen vollen Admin-Zugriff zu geben, erstellst du eine separate Gruppe mit den entsprechenden Rechten und gibst diesen Mitarbeitern keinen Admin-Status.

Wie gehe ich vor, wenn ein Nutzer plötzlich keine Automationen mehr sehen kann?

Prüfe in zwei Schritten. Schritt eins: Ist „Automationen verwalten“ im Permissions-Tab der Gruppe dieses Nutzers aktiv? Schritt zwei: Ist die Gruppe des Nutzers in der Einzelfreigabe der betroffenen Automation eingetragen? Beide Bedingungen müssen erfüllt sein. Fehlt das Gruppenrecht, muss die Gruppe angepasst werden. Fehlt die Einzelfreigabe, muss ein Admin die Automation für diese Gruppe freigeben. Diese zweistufige Prüfung löst den Großteil aller Sichtbarkeitsprobleme bei Automationen.

Wer ein ActiveCampaign-Konto mit mehreren Nutzern betreibt, legt mit einer sauber geplanten Gruppenstruktur den Grundstein für ein stabiles und datenschutzkonformes Setup. Die Konfiguration selbst dauert wenige Stunden; die Planung davor – welche Rollen es gibt, welche Listen sie brauchen und wie Audits ablaufen sollen – ist die eigentliche Arbeit. Wer das einmal sauber aufgesetzt hat, muss im Alltag kaum eingreifen.