Veröffentlicht: 28. Juli 2026

Lesezeit: 8 Minuten

Viele Sicherheitsvorfälle beginnen nicht mit einer technischen Schwachstelle, sondern mit einem legitimen Konto, das zu viele Rechte besitzt oder nach einem Projekt aktiv bleibt. Besonders kritisch wird das, wenn externe Dienstleister, wechselnde Teammitglieder und sensible Finanzfunktionen zusammenkommen.

Shopify stellt dafür Rollen, granulare Berechtigungen, Gastkonten und sichere Anmeldemethoden bereit. Wirksam werden diese Funktionen jedoch erst durch einen verbindlichen Prozess für Vergabe, Kontrolle und Entzug von Zugriffen.

Kurz & kompakt

✓ Vergeben Sie Zugriffsrechte nach Aufgaben statt nach Hierarchie oder Bequemlichkeit.

✓ Mehrere Rollen addieren ihre Berechtigungen und können unbemerkt zu weitreichendem Zugriff führen.

✓ Externe Partner sollten Gastkonten statt gemeinsam genutzter Logins verwenden.

✓ Passkeys oder Zwei-Faktor-Authentifizierung schützen Konten zusätzlich vor fremden Zugriffen.

✓ Ein dokumentierter Offboarding-Prozess ist ebenso wichtig wie die sichere Einladung neuer Benutzer.

Warum Zugriffsrechte zum Betriebsrisiko werden

Ein kompromittiertes Konto richtet nur dort Schaden an, wo es zugreifen darf. Besitzt ein Benutzer gleichzeitig Rechte für Bestellungen, Kundendaten, Apps, Themes, Einstellungen und Finanzen, vergrößert sich der mögliche Schadensumfang erheblich.

Das Risiko entsteht häufig schleichend. Ein Teammitglied übernimmt zusätzliche Aufgaben, erhält eine zweite Rolle und behält später beide Berechtigungspakete, obwohl der ursprüngliche Zugriff nicht mehr benötigt wird.

Shopify weist Rollen kumulativ zu: Mehrere Rollen ergeben zusammen die Berechtigungen aller zugewiesenen Rollen. Deshalb genügt es nicht, jede Rolle isoliert zu prüfen – entscheidend ist der effektive Gesamtzugriff einer Person.

Wichtig

Eine sinnvoll benannte Rolle ist noch kein Sicherheitsnachweis. Prüfen Sie die enthaltenen Einzelberechtigungen und testen Sie, ob die Person damit tatsächlich nur ihre vorgesehenen Aufgaben erledigen kann.

Rollen nach Aufgaben statt Personen aufbauen

Eine Rolle sollte eine wiederkehrende betriebliche Funktion abbilden, beispielsweise Produktpflege, Kundenservice oder Kampagnenmanagement. Personenbezogene Rollen wie „Zugriff für Max“ führen dagegen schnell zu Sonderfällen, die später kaum noch nachvollziehbar sind.

Shopify bietet verwaltete Rollen und – abhängig vom Plan und Organisationstyp – benutzerdefinierte Rollen. Benutzerdefinierte Shop-Rollen stehen laut Shopify für Shops und Organisationen mit allen Plänen außer Basic und Starter zur Verfügung; zusätzliche Organisationsfunktionen können an Shopify Plus oder bestimmte Organisationsmodelle gebunden sein.

Diese Aufteilung ist ein Ausgangspunkt, keine universelle Vorlage. Einzelne Arbeitsabläufe benötigen voneinander abhängige Berechtigungen; Shopify kann erforderliche Rechte beim Zuweisen automatisch ergänzen.

Sensible Rechte separat behandeln

Besondere Aufmerksamkeit verdienen Berechtigungen für Benutzerverwaltung, Finanzen, App-Entwicklung, Shop-Einstellungen und kostenpflichtige Apps oder Themes. Wer App-Kosten genehmigen darf, kann beispielsweise Installationen mit einmaligen oder wiederkehrenden Gebühren freigeben.

Trennen Sie solche Rechte nach Möglichkeit vom alltäglichen operativen Zugriff. Eine Person, die Produkte aktualisiert, benötigt normalerweise keine Berechtigung zur Verwaltung anderer Benutzer oder zur Änderung zentraler Sicherheitseinstellungen.

Externe Dienstleister kontrolliert einbinden

Agenturen und Freelancer sollten nicht den persönlichen Login eines Shop-Inhabers verwenden. Gemeinsam genutzte Zugangsdaten verhindern eine eindeutige Zuordnung von Aktionen und erschweren den sofortigen Entzug einzelner Zugriffe.

Für Shopify-Partner sind Gastkonten vorgesehen. Vor der Annahme einer Gastanfrage können Sie die automatisch erzeugte Rolle prüfen, Berechtigungen bearbeiten oder vorhandene Rollen zuweisen.

Praxis-Check

Behandeln Sie jede Gastanfrage wie eine formelle Freigabe: Auftrag bestätigen, benötigte Bereiche festlegen, Laufzeit notieren und eine verantwortliche Person für die spätere Entfernung bestimmen.

Shopify ermöglicht außerdem einen Code für Gastanfragen. Wird ein neuer Code generiert, verlieren ältere Codes ihre Gültigkeit – eine sinnvolle Maßnahme, wenn ein Code versehentlich weitergegeben wurde oder über längere Zeit unverändert blieb.

Nach Projektende sollte das Gastkonto entfernt werden. Frühere Aktionen des Gastes bleiben laut Shopify in relevanten Chroniken wie dem Aktivitätsprotokoll und der Bestellchronik erhalten.

Anmeldung und Berechtigung gemeinsam absichern

Granulare Rechte begrenzen den möglichen Schaden, verhindern aber keine Kontoübernahme. Jeder Benutzer benötigt deshalb ein eigenes Konto und eine sichere Anmeldemethode.

Shopify unterstützt Passkeys sowie Zwei-Faktor-Authentifizierung. Passkeys verwenden beispielsweise Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Bildschirmsperre und können besser vor Phishing schützen, weil kein Passwort auf einer nachgebauten Anmeldeseite eingegeben werden muss.

Absicherung nicht auf ein einziges Gerät stützen

Benutzer sollten zusätzliche Authentifizierungs- oder Wiederherstellungsmöglichkeiten einrichten. Shopify empfiehlt mehrere sichere Anmeldemethoden als Absicherung, falls die primäre Methode nicht verfügbar ist.

Wiederherstellungscodes gehören nicht in frei zugängliche Chatverläufe, Projektordner oder Tickets. Definieren Sie stattdessen einen geschützten Aufbewahrungsort und dokumentieren Sie, wer im Notfall verantwortlich ist.

Shopify-Plus-Organisationen können eine sichere Anmeldemethode organisationsweit verlangen. Dazu zählen Passkeys und Zwei-Faktor-Authentifizierung; bestimmte Benutzertypen und SAML-Konfigurationen können von der Durchsetzung ausgenommen sein.

Kontrollen in den Betrieb integrieren

Zugriffe sollten nicht nur beim Onboarding geprüft werden. Rollen ändern sich, Projekte enden und externe Partner wechseln – deshalb braucht der Shop einen festen Kontrollrhythmus.

Im Benutzerverwaltungs-Aktivitätsprotokoll lassen sich Ereignisse wie das Erstellen, Bearbeiten oder Löschen von Benutzern und Rollen nachvollziehen. Zusätzlich zeigt Shopify für Benutzer die fünf letzten Anmeldesitzungen mit Datum, IP-Adresse, Internetanbieter, Standort sowie Angaben zu Browser und Betriebssystem.

Warnsignal

Unbekannte Standorte, Internetanbieter oder Geräte beweisen allein noch keinen Angriff. Sie sind aber ein konkreter Anlass, den Benutzer zu kontaktieren, Zugriffe zu überprüfen und bei Verdacht Konto, E-Mail-Postfach und verwendete Geräte abzusichern.

Onboarding mit Ablaufdatum denken

Schon bei der Einladung sollten Rolle, geschäftlicher Zweck, freigebende Person und geplanter Prüftermin feststehen. Temporäre Projekte benötigen ein Enddatum, auch wenn Shopify den Zugriff nicht automatisch zu diesem Termin entfernt.

Neue Benutzer sollten erst dann produktiv arbeiten, wenn ihre sichere Anmeldung eingerichtet und getestet wurde. Bei besonders sensiblen Rollen empfiehlt sich außerdem eine zweite interne Prüfung der Berechtigungen.

Offboarding als Sofortprozess behandeln

Wenn eine Person das Unternehmen oder ein Projekt verlässt, sollte ihr Shopify-Zugriff nicht bis zur nächsten Quartalsprüfung bestehen bleiben. Shopify erlaubt es berechtigten Administratoren, Benutzer zu deaktivieren oder zu entfernen und Geräteberechtigungen zu widerrufen.

Prüfen Sie zugleich verbundene Systeme: E-Mail-Konto, Passwortmanager, Support-Plattform, Analysewerkzeuge, Werbekonten und externe Apps. Ein entzogenes Shopify-Konto reicht nicht aus, wenn alternative Zugänge weiterhin aktiv sind.

Was Shopbetreiber jetzt prüfen sollten

✓ Listen Sie alle aktiven Benutzer und Gastkonten mit ihrem geschäftlichen Zweck auf.

✓ Prüfen Sie bei Personen mit mehreren Rollen die kumulierten Gesamtberechtigungen.

✓ Entfernen Sie Rechte für Finanzen, Benutzer, Apps und Einstellungen, wenn sie nicht erforderlich sind.

✓ Kontrollieren Sie, ob jeder Benutzer eine sichere Anmeldemethode und eine Wiederherstellungsoption eingerichtet hat.

✓ Untersuchen Sie die letzten Anmeldesitzungen auf unbekannte Geräte, Standorte oder IP-Adressen.

✓ Deaktivieren Sie ehemalige Mitarbeiter und entfernen Sie abgeschlossene Gastzugänge unverzüglich.

✓ Legen Sie einen wiederkehrenden Termin für die Überprüfung aller Zugriffe fest.

Dokumentieren Sie Abweichungen bewusst. Wenn ein Benutzer aus betrieblichen Gründen weitreichende Rechte benötigt, sollten Zweck, Freigabe und nächste Überprüfung nachvollziehbar festgehalten werden.

Thinkideas View

Behandeln Sie Shopify-Zugriffe wie finanzielle Freigaben: individuell, minimal, nachvollziehbar und zeitlich überprüft. Priorisieren Sie zuerst Benutzerverwaltung, Finanzrechte, App-Zugriffe und externe Gastkonten – dort kann eine unnötige Berechtigung besonders weitreichende Folgen haben.

Fazit

Sichere Shopify-Zugriffsrechte entstehen aus der Kombination von klaren Rollen, individuellen Konten, geschützter Anmeldung und konsequentem Offboarding. Einzelne Sicherheitseinstellungen ersetzen diesen Prozess nicht.

Beginnen Sie mit einer vollständigen Benutzerinventur und reduzieren Sie anschließend jeden Zugriff auf die tatsächlich benötigten Aufgaben. Danach sollte die Prüfung als wiederkehrender Bestandteil Ihres Shopbetriebs eingeplant werden.