Recht · November 2026 · Lesezeit 10 Minuten
Ein Angestellter richtet 2014 die Facebook-Seite seiner Firma ein, meldet sie aber auf seinen eigenen Namen an. Im Januar 2017 scheidet er aus. Im August 2017 tauscht er auf der Seite den Link zur Firmen-Website gegen die Adresse seiner neuen Firma aus. Die alte Firma erwirkt eine einstweilige Verfügung und verliert sie wieder: Das Amtsgericht Brandenburg an der Havel hob sie am 31. Januar 2018 auf (Az. 31 C 212/17). Dieser Artikel zeigt, wer in Ihrem Betrieb welche Admin-Rechte braucht, was am ersten Tag nach einem Hack zu tun ist und was Sie von einem Ex-Mitarbeiter verlangen können.
Rechtlich zählt zuerst, auf wen das Konto bei der Plattform registriert ist. Im Fall des Amtsgerichts Brandenburg an der Havel (Az. 31 C 212/17, Urteil vom 31.01.2018) hatte ein Angestellter die Facebook-Seite der Firma auf seinen Namen angelegt, und eine Regelung im Arbeitsvertrag fehlte. Das Gericht hob eine einstweilige Verfügung der Firma auf. Ob ein Anspruch auf Herausgabe besteht, entscheidet sich nach § 667 BGB je nach Einzelfall.
Wenn Sie sich noch anmelden können, ändern Sie das Passwort, beenden Sie alle laufenden Sitzungen und aktivieren Sie die zweistufige Authentifizierung. Wenn nicht, öffnen Sie instagram.com/hacked beziehungsweise facebook.com/hacked und folgen Sie den Schritten. Das BSI rät außerdem, Kontakte zu informieren und den Vorfall bei der Onlinewache der Polizei anzuzeigen.
Dem Grunde nach kann das so sein, § 667 BGB regelt die Herausgabe dessen, was jemand aus der Geschäftsbesorgung erlangt hat. Im Fall des Landesarbeitsgerichts Köln (Az. 6 Sa 240/23, Urteil vom 16.11.2023) blieb die Frage offen: Der Ex-Chef hatte Benutzernamen und Passwörter genannt, damit war der Anspruch erfüllt. Wer der Auskunft nicht glaubt, kann in entsprechender Anwendung von § 260 Abs. 2 BGB eine eidesstattliche Versicherung verlangen.
Meta kennt zwei Stufen: uneingeschränkten und eingeschränkten Zugriff. Wer uneingeschränkten Zugriff hat, kann alles verwalten, auch Personen entfernen und das Business-Portfolio löschen. Mitarbeiter, die nur posten, brauchen Basic-Zugriff auf die ihnen zugewiesenen Konten. Unsere Empfehlung: uneingeschränkten Zugriff nur für zwei Personen aus der Geschäftsführung.
Das kann jedem Betrieb passieren, der Social Media „mal eben“ an den Mitarbeiter mit dem besten Draht zum Smartphone delegiert hat. Der Mann war seit Mai 2009 bei der Firma angestellt, die Facebook-Seite entstand im August 2014. Sie war auf seinen Namen angemeldet, und er allein konnte sie administrieren. Im Arbeitsvertrag stand dazu nichts, und im Aufhebungsvertrag vom 31. Januar 2017 stand nur, dass mit dessen Erfüllung sämtliche Ansprüche aus dem Arbeitsverhältnis erledigt seien.
Das Gericht hielt den Antrag schon für unzulässig, weil für Streit zwischen Arbeitgeber und Arbeitnehmer die Arbeitsgerichte zuständig sind, nicht das Amtsgericht (§ 2 Abs. 1 Nr. 3 ArbGG). Es sah den Antrag außerdem in der Sache als unbegründet an. Als Inhaber war bei Facebook der Ex-Mitarbeiter registriert, und die Nutzungsbedingungen verbieten es, ein Konto ohne schriftliche Erlaubnis von Facebook Ireland an jemand anderen zu übertragen. Das Gericht nennt allerdings auch den Gegenpol: Hat ein Mitarbeiter ein Konto für die Firma registrieren lassen, kann die Firma nach seinem Ausscheiden unter Umständen die Herausgabe dessen verlangen, was er durch dieses firmenbezogene Geschäft erlangt hat (es zitiert dafür OLG Brandenburg, Urteil vom 12.02.2014, Az. 7 U 159/13). Die Rechtsgrundlage dafür ist § 667 BGB: Der Beauftragte muss dem Auftraggeber alles herausgeben, was er zur Ausführung des Auftrags erhält und aus der Geschäftsbesorgung erlangt.
Was heißt das für Sie? Ein Anspruch kann bestehen, aber ob er besteht, muss im Streitfall ein Arbeitsgericht klären, und das dauert. Die Firma aus Brandenburg hatte während dieser Zeit keinen Zugriff auf ihre eigene Seite. Die Frage vorher zu klären ist billiger: Wer legt das Konto an, auf wen läuft es, und wer hat außer ihm noch Zugriff?
Ein zweiter Fall zeigt, wie zäh die Herausgabe in der Praxis sein kann. Das Landesarbeitsgericht Köln (Az. 6 Sa 240/23, Urteil vom 16.11.2023) hatte über eine Kfz-Firma zu entscheiden, die von ihrem früheren Geschäftsführer und Kfz-Meister die Zugangsdaten zu Facebook, Instagram und YouTube verlangte. Das Arbeitsgericht Köln hatte ihr noch recht gegeben und eine arbeitsvertragliche Nebenpflicht angenommen, Zugangsdaten zu Social-Media-Konten herauszugeben (§ 242 BGB). In der Berufung nannte der Kläger Benutzernamen und die ihm zuletzt bekannten Passwörter und erklärte, die Daten seien nach seinem Ausscheiden geändert worden. Das Landesarbeitsgericht wies die Widerklage der Firma ab, weil die Auskunft den Anspruch erfüllt habe. Ob er dem Grunde nach bestand, ließ das Gericht ausdrücklich offen.
Interessant ist ein Satz in der Begründung: Wer der Auskunft nicht glaubt und Indizien für ihre Unvollständigkeit hat, kann in entsprechender Anwendung von § 260 Abs. 2 BGB die Abgabe einer eidesstattlichen Versicherung verlangen. Die Firma hatte das nicht beantragt. Zum Sachverhalt gehörte auch, dass es bei der Firma eine Excel-Liste mit sämtlichen Zugangsdaten gab, die nach dem Ausscheiden des Klägers mindestens zweimal geändert worden sein soll. Eine zentrale Zugangsliste ist nicht automatisch ein Fehler, aber sie braucht jemanden, der sie verantwortet.
Ein dritter Fall zeigt die Gegenrichtung. Das Hessische Landesarbeitsgericht (Az. 18 Sa 1109/19, Urteil vom 27.05.2020) wies die Klage einer Maßhemden-Firma ab, die von einem ausgeschiedenen Atelierleiter Herausgabe und Löschung seiner LinkedIn-Kontakte verlangte. Es ging um den LinkedIn-Account des Mitarbeiters, die Firma selbst hatte bei LinkedIn kein Unternehmenskonto. Das Arbeitsgericht Hamburg hatte schon am 24.01.2013 (Az. 29 Ga 2/13) im Eilverfahren um XING-Kontakte entschieden, dass sie nur dann ein Geschäftsgeheimnis des Arbeitgebers sein können, wenn sie im Rahmen der geschäftlichen Tätigkeit entstanden sind. In beiden Fällen ging es um Profile von Mitarbeitern, und die Betriebe gingen leer aus. Bei einem Konto des Betriebs liegt die Sache anders, aber nur, wenn Sie die Verhältnisse vorher klar geregelt haben.
Wir sind keine Rechtsanwälte, und die Urteile sind Einzelfallentscheidungen. Wenn es konkret wird, lassen Sie sich von einem Fachanwalt für Arbeitsrecht beraten.
Meta bietet für Betriebe das Business-Portfolio an (früher Business Manager). Es verwaltet Facebook-Seiten, Instagram-Konten, Werbekonten und weitere Assets an einem Ort. Nach dem Meta-Hilfebereich (abgerufen am 06.11.2026) gibt es dort zwei Zugriffsstufen: uneingeschränkten und eingeschränkten Zugriff. Das gilt für das Portfolio selbst und für jedes einzelne Asset darin.
Daraus ergibt sich eine Rollenverteilung, die wir für kleine Betriebe empfehlen (das ist unsere Einschätzung, keine Vorgabe von Meta). Das Portfolio legt die Geschäftsführung an, nicht der Auszubildende. Uneingeschränkten Zugriff haben zwei Personen aus der Leitung: eine reicht nicht, weil dann ein Urlaub oder ein verlorenes Handy zum Problem wird, und zehn sind zu viele, weil jede Person mit dieser Stufe auch Kollegen entfernen oder das Portfolio löschen kann. Wer täglich postet, bekommt Basic-Zugriff auf genau die Seite und das Instagram-Konto, die er betreut. Dieselbe Logik gilt auf der Ebene einer einzelnen Facebook-Seite: Nach dem Facebook-Hilfebereich kann nur, wer Facebook-Zugriff mit uneingeschränkter Kontrolle hat, den Zugriff anderer hinzufügen, bearbeiten oder entfernen.
Dazu gehören ein paar Selbstverständlichkeiten, die in der Praxis oft fehlen. Das Konto läuft auf eine Firmen-E-Mail-Adresse, die der Betrieb kontrolliert, also nicht auf die private Adresse eines Mitarbeiters. Auch die Telefonnummer, an die Sicherheitscodes gehen, sollte nicht der Privatanschluss des Praktikanten sein. Was im Betrieb gilt, steht in einer einfachen Regel zu den Social-Media-Zugängen, wie wir sie in Social-Media-Regeln für Mitarbeiter beschreiben.
Meta erlaubt Personen mit uneingeschränkter Kontrolle, für alle Nutzer eines Portfolios die zweistufige Authentifizierung (2FA) zu verlangen. Dann müssen alle, für die die Regel gilt, 2FA für ihr persönliches Facebook-Konto einrichten, bevor sie auf das Portfolio zugreifen. Bei Portfolios unter 90 Tagen ist das optional. Laut Meta verlangt das Unternehmen bei bestimmten Portfolios, die älter als 90 Tage sind, 2FA automatisch, und diese Anforderung lässt sich dann nicht abschalten (Stand 06.11.2026). Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät ohnehin, die Zwei-Faktor-Authentisierung zu aktivieren, wo immer sie möglich ist, weil sie Cyberkriminellen den Zugriff auch dann erschwert, wenn ein Passwort erraten oder veröffentlicht wurde.
Das BSI unterscheidet zwei Fälle. Im ersten Fall können Sie sich noch einloggen. Dann gilt, schnellstmöglich die Zugangsdaten zu ändern, alle laufenden Sitzungen zu beenden, das Passwort auch bei anderen Konten zu ändern, wenn Sie es dort ebenfalls verwendet haben, und die Einstellungen zu kontrollieren. Eindringlinge ändern zum Beispiel die E-Mail-Adresse, über die ein neues Passwort angefordert werden kann. Im zweiten Fall haben die Täter das Passwort geändert. Dann müssen Sie den Vorfall der Plattform melden und fragen, ob sie das Passwort zurücksetzen kann.
In beiden Fällen empfiehlt das BSI, Kontakte über den Vorfall zu informieren, am besten persönlich, und den Vorfall bei der Onlinewache der Landespolizei zur Anzeige zu bringen. Auch das gehört zum ersten Tag: Im Namen Ihres Betriebs können Täter Falschmeldungen verbreiten oder Ihre Kunden anschreiben. Wie Sie nach außen sprechen, wenn es schon passiert ist, steht in Krisenkommunikation im Kleinbetrieb.
Instagram verweist auf instagram.com/hacked (Hilfebereich, abgerufen am 06.11.2026). Der Ablauf laut Hilfeseite: Zuerst im E-Mail-Postfach nachsehen, ob Instagram eine Nachricht von [email protected] geschickt hat, weil Sie darüber eine Änderung der E-Mail-Adresse möglicherweise über „Mein Konto sichern“ rückgängig machen können. Danach einen Anmeldelink anfordern („Passwort vergessen?“) oder, wenn das scheitert, über ein Mobilgerät eine Support-Anfrage senden, mit einer sicheren E-Mail-Adresse, auf die nur Sie Zugriff haben. Bei Konten mit Fotos der Person verlangt Instagram ein Video-Selfie, das laut Hilfeseite nie öffentlich sichtbar ist und innerhalb von 30 Tagen gelöscht wird. Ein Firmenkonto ohne Gesichter läuft anders: Bei Konten ohne Fotos der Person fragt Instagram nach der E-Mail-Adresse oder Telefonnummer der Registrierung und dem damals genutzten Gerätetyp. Der Betrieb muss diese Registrierungsdaten also kennen.
Unter facebook.com/hacked führt Facebook Schritt für Schritt zurück ins Konto und rät, die Schritte möglichst auf dem Gerät auszuführen, auf dem Sie Facebook normalerweise verwenden. Haben Sie nur den Zugriff auf eine Seite verloren, weil jemand Sie entfernt hat, sagt die Hilfeseite „Facebook-Zugriff auf eine Seite beantragen“: Wenden Sie sich an jemanden, der Facebook-Zugriff mit uneingeschränkter Kontrolle hat. Das ist der Grund, warum wir zwei Personen mit dieser Stufe empfehlen. Ist die einzige Person mit dieser Rolle der Ex-Mitarbeiter, bleibt der Weg über den Meta-Support oder das Arbeitsgericht.
Aus den Urteilen ergibt sich ein Vorgehen, das wir Ihnen mit einem Anwalt zusammen empfehlen würden. Erstens: Bitten Sie schriftlich um Herausgabe, nennen Sie die Konten mit Namen und setzen Sie eine Frist. Zweitens: Entziehen Sie ihm den Zugriff, wo Sie es selbst können, also in der Business Suite, in der Passwortverwaltung und im E-Mail-Konto. Drittens: Wenn er nicht reagiert oder unvollständige Angaben macht, bleibt der Weg zum Arbeitsgericht. Dort kommt es darauf an, was in Arbeitsvertrag, Aufhebungsvertrag und Dokumentation steht, wie die Fälle aus Brandenburg und Köln zeigen. Wer die Auskunft für falsch hält, kann nach dem Landesarbeitsgericht Köln auf die eidesstattliche Versicherung gehen.
Besser ist, es gar nicht erst so weit kommen zu lassen. Am letzten Arbeitstag gehören diese Punkte in ein Austrittsprotokoll: Zugriff in der Business Suite entziehen, Passwörter und Sicherheitscodes ändern, die Zwei-Faktor-Methode auf ein Betriebsgerät umstellen, geteilte Konten und die Passwortliste prüfen. Wenn jemand das Konto mit seinem privaten Facebook-Profil angelegt hat, muss die Leitung vor dem Austritt als Administrator eingetragen sein. Ein Satz im Arbeitsvertrag, dass Zugangsdaten zu betrieblichen Konten Eigentum des Betriebs sind und bei Ausscheiden herauszugeben sind, schließt die Lücke, die in Brandenburg offen blieb. Formulierung und Wirksamkeit prüft Ihr Anwalt.
Welche Angaben ins Impressum Ihrer Kanäle gehören, steht in Impressum auf Instagram, Facebook, LinkedIn und YouTube.
Mit einem gelöschten oder dauerhaft gesperrten Konto verschwinden auch die Reels und Porträts, die Sie dort veröffentlicht haben. Wie viel Aufwand in einem guten Konto steckt, beschreibt Instagram für Handwerker 2026. Unsere Empfehlung ist unspektakulär: Bewahren Sie alle fertigen Videos als Datei auf einem Betriebsspeicher auf, mit Datum und Titel. Dann ist ein Hack ärgerlich, aber die Filme sind nicht weg, und Sie können sie auf einem neuen Konto wieder einstellen.
Schreiben Sie auf, welche Konten Ihr Betrieb bei Instagram, Facebook, YouTube und LinkedIn hat, wer als Inhaber registriert ist und welche E-Mail-Adresse dahintersteckt. Prüfen Sie, ob es ein Business-Portfolio gibt und wer dort uneingeschränkten Zugriff hat. Ziel sind zwei Personen aus der Leitung. Schalten Sie 2FA für alle ein, die Zugriff haben. Ergänzen Sie die Checkliste für den letzten Arbeitstag um die Social-Media-Zugänge. Und legen Sie die fertigen Videos auf einem Betriebsspeicher ab.
Starkefilme kommt einmal pro Quartal für einen Drehtag in Ihren Betrieb, egal wo in Deutschland Sie sind. Aus einem Drehtag entstehen acht bis zehn fertige Videos pro Monat, mit Untertiteln und in allen Formatvarianten. Schnitt und Technik sind dabei.
499 Euro pro Monat. Kein Drehtag ohne Vorbereitung, keine Vertragslaufzeit, kein Setup-Aufwand.
Unverbindlich kennenlernen →Quellen: Amtsgericht Brandenburg an der Havel, Urteil vom 31.01.2018, Az. 31 C 212/17 (Volltext bei aufrecht.de); Landesarbeitsgericht Köln, Urteil vom 16.11.2023, Az. 6 Sa 240/23 (nrwe.justiz.nrw.de); Hessisches Landesarbeitsgericht, Urteil vom 27.05.2020, Az. 18 Sa 1109/19 (openjur.de); Arbeitsgericht Hamburg, 24.01.2013, Az. 29 Ga 2/13 (dejure.org); Bürgerliches Gesetzbuch, § 667 (gesetze-im-internet.de, abgerufen am 06.11.2026); Meta Business-Hilfebereich, „Berechtigungen für das Business-Portfolio und Business-Assets in der Meta Business Suite“ und „So richtest du ein, dass die zweistufige Authentifizierung für die Nutzer*innen in deinem Meta-Business-Portfolio verpflichtend ist“ (facebook.com/business/help, abgerufen am 06.11.2026); Facebook-Hilfebereich, „Facebook-Seitenzugriff zuweisen, bearbeiten oder entfernen“ und facebook.com/hacked (abgerufen am 06.11.2026); Instagram-Hilfebereich, „Gehacktes Instagram-Konto“ und instagram.com/hacked (abgerufen am 06.11.2026); Bundesamt für Sicherheit in der Informationstechnik, „Gehackter Social-Media-Account“ und „Schutzmaßnahmen gegen Identitätsdiebstahl“ (bsi.bund.de). Dies ist keine Rechtsberatung.