Verbindungslinks für Kunden: Zugriff auf Social-Media-Konten ganz ohne Passwörter
Wie Agenturen per Verbindungslink Zugriff auf Kundenkonten bei Facebook, Instagram, YouTube, X, LinkedIn und TikTok erhalten: ohne Passwort, ohne Shager-Konto.
Ein Verbindungslink ist ein Link, den die Agentur an ihren Kunden schickt. Darüber verbindet der Kunde seine Facebook-Seite, sein Instagram-Profikonto oder seinen YouTube-Kanal selbst mit dem Workspace der Agentur. Er meldet sich direkt beim Netzwerk an und erteilt dort den Zugriff. Ein Passwort gibt er dabei nie weiter, und ein Shager-Konto braucht er auch nicht. Für Agenturen, die mit KI-Agenten arbeiten, heißt das außerdem: Ein Agent kann das Onboarding vorbereiten, während der Kunde die Hoheit über seine Zugangsdaten behält.
Gerade beim Onboarding fangen viele Agenturbeziehungen holprig an. Die erste Woche geht für Telefonate drauf, in denen geklärt wird, wer auf welcher Seite Admin ist. Ein Passwort wandert per Chat hin und her, und der Zwei-Faktor-Code landet auf dem alten Handy von irgendwem. Verbindungslinks sollen aus dieser Woche eine einzige Nachricht machen.
Warum sind geteilte Passwörter ein Problem, selbst bei Kunden, denen man vertraut?
Das Sicherheitsargument ist alt und gut dokumentiert. Die OAuth-2.0-Spezifikation, RFC 6749, zählt gleich zu Beginn auf, was schiefgeht, wenn Dritte das Passwort eines Nutzers kennen: Sie müssen es speichern, sie bekommen mehr Zugriff als nötig, und der Inhaber kann einem einzelnen Dritten den Zugriff nicht entziehen, ohne das Passwort für alle zu ändern.
Für Agenturen kommen ganz praktische Probleme dazu. Passwörter gehen mit, wenn Mitarbeitende das Team verlassen. Anmeldungen von neuen Geräten und Orten können Sicherheitsprüfungen der Netzwerke auslösen, die den Kunden aussperren. Und wenn etwas schiefläuft, lässt sich nicht nachvollziehen, wer was getan hat, weil alle denselben Login benutzt haben.
Delegierte Autorisierung löst das. Google beschreibt in seiner Dokumentation, wie die eigenen APIs OAuth 2.0 nutzen und dass Access Tokens nur für die Vorgänge und Ressourcen in ihrem Scope gelten. Der Kunde genehmigt einen klar umrissenen Zugriff und kann ihn in seinen eigenen Kontoeinstellungen jederzeit wieder entziehen.
Wie funktioniert ein Verbindungslink, Schritt für Schritt?
Für den Kunden ist der Ablauf kurz:
- Der Kunde öffnet den Link, den die Agentur geschickt hat.
- Er wählt das Netzwerk: Facebook, Instagram, YouTube, X, LinkedIn oder TikTok.
- Er meldet sich auf der Seite des Netzwerks selbst an, nicht in einem Formular der Agentur.
- Er wählt aus, welche Seiten, Konten oder Kanäle verbunden werden sollen, und bestätigt die Berechtigungen.
- Die verbundenen Konten erscheinen im Workspace der Agentur für diesen Kunden.
Auf Agenturseite muss niemand etwas im Namen des Kunden eintippen. Die Konten tauchen als Kanäle auf und lassen sich sofort in Gruppen ordnen und gezielt ansteuern.
Wie erstellt ein Agent Verbindungslinks?
Shager stellt dafür das Tool create_connect_link auf seinem MCP-Server bereit, zusätzlich als REST-Operation. Eine Onboarding-Abfolge, die ein Agent schon am ersten Tag ausführen kann:
whoami confirm the key belongs to the agency organization
create_workspace "Copperline Coffee"
create_connect_link for the new workspace, returns the link to send
(wait for the client to complete the flow)
list_channels confirm which accounts were connected
create_group "All cafes", "Instagram only", by region if useful
Ein Prompt an den Agenten:
New client: Copperline Coffee, 14 cafes, Facebook Pages and Instagram.
Create a workspace, create a connect link, and draft a short email to
their marketing lead explaining what the link does in plain language.
Mention that they will sign in on Facebook and Instagram directly and
won't share any password with us. Do not send the email; give it to me.
Tomorrow, check which channels are connected and propose groups by city.
Eine Einschränkung gibt es: Eine Agenten-Sandbox, die sich selbst registriert hat, kann erst dann Verbindungslinks erstellen, wenn ein Mensch sie übernommen hat. Das ist Absicht. Wer Zugriff auf fremde Konten anfragt, sollte sich auf eine verantwortliche Person zurückführen lassen. Wie die Übernahme funktioniert, erklärt unser Artikel zu Selbstregistrierung und Übernahme von Agenten.
Was sollte in der Nachricht an den Kunden stehen?
Kunden sind zu Recht skeptisch, wenn ein Link Zugriff auf ihre Social-Media-Konten verlangt. Die Nachricht, die den Link begleitet, leistet deshalb viel. Halte sie kurz und konkret:
Hi Dana,
Here is the link to connect Copperline's Facebook and Instagram accounts
to our publishing workspace: <link>
You'll sign in on Facebook and Instagram directly, choose which cafe
accounts to connect, and approve publishing access. We never see your
password. You can remove our access at any time from your account settings.
It takes about five minutes. If a cafe account is missing from the list,
it usually means your login doesn't have full control of it; tell us and we'll help.
Der letzte Absatz verhindert das häufigste Support-Ticket. Ein Kunde kann nur Konten verbinden, auf die sein eigener Login ausreichende Rechte hat. Bei Marken mit vielen Standorten, wo verschiedene Filialleitungen verschiedene Seiten verwalten, muss den Link deshalb womöglich mehr als eine Person öffnen.
Wie passt das zu den Partnerzugängen der Netzwerke?
Die Netzwerke haben eigene Werkzeuge für den Agenturzugriff, etwa das Teilen von Assets zwischen Business-Portfolios in den Business-Tools von Meta. Die sind nützlich für Werbung und Teamverwaltung, und viele Agenturen nutzen beides. Ein Verbindungslink ist enger gefasst: Er gibt der Publishing-Plattform genau den Zugriff, den sie braucht, um für diese Konten zu veröffentlichen, zu planen und Ergebnisse auszulesen. Für einen Kunden, der einfach möchte, dass Beiträge unter seiner Marke erscheinen, ist das meist der einfachere Weg.
Was passiert, wenn sich der Zugriff ändern muss?
Drei Situationen kommen regelmäßig vor.
Kommt beim Kunden ein Standort dazu, schickst du einfach wieder so einen Link, und der Kunde verbindet das neue Konto. Der Agent kann es anschließend den passenden Gruppen hinzufügen.
Beendet ein Kunde die Zusammenarbeit, entzieht er den Zugriff auf seiner Seite, und die Agentur entfernt die Kanäle aus dem Workspace. Passwörter, die geändert werden müssten, gibt es nicht.
Funktioniert ein Token nicht mehr, was nach einer Passwortänderung oder geänderten Berechtigungen beim Netzwerk passieren kann, muss der Kanal neu verbunden werden. Die OAuth-Dokumentation von Google weist darauf hin, dass Anwendungen damit rechnen müssen, dass ein erteiltes Refresh Token irgendwann nicht mehr funktioniert. Ein wöchentlicher Check durch den Agenten, der list_channels mit der erwarteten Kontoliste des Kunden abgleicht und fehlgeschlagene Beiträge mit get_post prüft, fängt das früh ab.
Was hat das mit Agenten zu tun?
Distribution, die ein Agent steuert, steht und fällt mit sauberen Zugängen. Hängt die Verbindung der Agentur zu vierzig Kundenseiten an einem geteilten Passwort, erbt der Agent die ganze Fragilität dieser Konstruktion. Verbindungen, die der Kunde selbst erteilt hat, sind dagegen jeweils eine klare Berechtigung: auflistbar, gruppierbar, prüfbar und widerrufbar. Auf diesem Fundament baut das übrige Betriebsmodell der Agentur auf.
FAQ
Braucht der Kunde ein Shager-Konto, um einen Verbindungslink zu nutzen?
Nein. Der Kunde öffnet den Link, meldet sich beim Netzwerk an und erteilt den Zugriff. Er legt kein Shager-Konto an und gibt kein Passwort weiter.
Welche Netzwerke unterstützen Verbindungslinks?
Alle Netzwerke, die Shager unterstützt: Facebook-Seiten, Instagram-Profikonten, YouTube-Kanäle, X-Konten, persönliche LinkedIn-Profile und TikTok-Konten. TikTok ist live, wartet aber noch auf die App-Prüfung durch TikTok. Bis zur Freigabe gehen Beiträge nur an private Konten und werden als privat veröffentlicht. LinkedIn-Unternehmensseiten warten noch auf die Freigabe der Community Management API durch LinkedIn.
Kann ein KI-Agent Verbindungslinks selbstständig an Kunden schicken?
Ein Agent mit einem übernommenen Schlüssel kann den Link erstellen. Wir empfehlen trotzdem, dass ein Mensch ihn mit einer persönlichen Nachricht verschickt, denn eine Anfrage nach Kontozugriff sollte von jemandem kommen, den der Kunde kennt.
Zum Ausprobieren legst du für deinen nächsten Kunden einen Workspace an und erzeugst im Dashboard einen Link. Oder du lässt das deinen Agenten über den MCP-Server erledigen, den wir auf der Einstiegsseite für Agenten beschreiben.
