Der Server ist weg, die Schlüssel bleiben: Kontosicherheit nach dem Shopify-Umstieg

Am Tag nach dem Go-live stellt jemand eine Frage, die im alten Shop nie jemand stellen musste: „Wer hat eigentlich alles Zugriff auf den Shop?“

Im alten System hat der Server diese Frage beantwortet, ohne dass es aufgefallen wäre. In vielen Häusern war das Backend nur aus dem Büro oder über VPN erreichbar, die Admin-Adresse war umbenannt, und wer an die Datenbank wollte, brauchte einen SSH-Schlüssel, den der Hoster verwaltet hat. Eine Liste der Zugänge hat niemand geführt, weil der Zaun um das Grundstück die Arbeit erledigt hat.

Nach dem Umstieg auf Shopify gibt es diesen Zaun nicht mehr. Der Admin ist für jedes gültige Konto von überall erreichbar — aus dem Büro, aus dem Homeoffice, aus einem Hotel in einem anderen Land. Das ist keine Schwäche der Plattform. Es ist eine Verschiebung: Die Sicherheitsaufgabe verschwindet nicht, sie wandert vom Server zu den Zugängen. Und diese Verschiebung steht in keinem Migrationsplan, weil sie in keinem Datenfeld auftaucht.

Was der Server nebenbei geschützt hat

Ein selbst betriebenes Shopware oder Magento bringt eine Reihe von Schutzmechanismen mit, die nie als Anforderung formuliert wurden. Sie sind Nebenwirkungen der Infrastruktur: Firewall-Regeln, die ein Hoster vor Jahren eingerichtet hat, ein umbenannter Admin-Pfad, ein gemeinsames Admin-Konto, dessen Passwort drei Personen kennen. Weil diese Dinge nie bestellt wurden, werden sie beim Umstieg auch nicht abbestellt. Sie sind einfach weg.

Was der Server nebenbei erledigt hat

Die Schutzmechanismen, die niemand bestellt hat

9 Dinge haben ein selbst betriebenes Shopsystem geschützt, ohne dass sie je in einem Pflichtenheft standen. 3 davon übernimmt Shopify vollständig, 2 entfallen ersatzlos. 3 wandern als Pflegeaufgabe in den Shop — und genau dort setzen Angriffe nach dem Umstieg an.

3

Übernimmt Shopify

Fällt aus Ihrer Verantwortung heraus. Hier lag der größte Teil der Arbeit im Altsystem.

2

Entfällt

Gibt es nicht mehr und lässt sich nicht nachbauen. Was sie geschützt haben, braucht einen anderen Schutz.

3

Wandert zu Ihnen

Im Altsystem Sache von Hoster oder Entwicklung, jetzt eine Pflegeaufgabe im Shop — mit besseren Werkzeugen.

1

Bleibt bei Ihnen

Unverändert Ihre Aufgabe, aber mit mehr Gewicht als vorher.

• Im Altsystem

  Sicherheitsupdates für Shopsystem und Plugins

  Nach dem Umstieg

  Die Plattform aktualisiert Shopify, ohne Wartungsfenster. Apps pflegt der jeweilige Anbieter.

  Übernimmt Shopify

• Im Altsystem

  Server-Härtung, Firewall, TLS-Zertifikate

  Nach dem Umstieg

  Teil der Plattform. Zertifikate für verbundene Domains stellt Shopify automatisch aus.

  Übernimmt Shopify

• Im Altsystem

  PCI-Nachweis für Zahlungsdaten

  Nach dem Umstieg

  Shopify ist nach PCI DSS Level 1 zertifiziert; der Checkout liegt innerhalb dieses Rahmens.

  Übernimmt Shopify

• Im Altsystem

  Backend nur aus dem Büronetz oder per VPN erreichbar

  Nach dem Umstieg

  Der Admin ist für jedes gültige Konto von überall erreichbar. Die Netzwerkgrenze gibt es nicht mehr — die Anmeldung ist jetzt die Grenze.

  Entfällt

• Im Altsystem

  Umbenannte Admin-URL statt /admin

  Nach dem Umstieg

  Alle Shops teilen sich dieselbe Anmeldeadresse. Ein echter Verlust ist das nicht: Die umbenannte Adresse hat automatisierte Scans gebremst, keinen gezielten Angriff.

  Entfällt

• Im Altsystem

  Datenbankzugang nur per SSH-Schlüssel

  Nach dem Umstieg

  Einen Datenbankzugang gibt es nicht. An seine Stelle treten App- und API-Zugänge — jeder mit eigenem Berechtigungsumfang, jeder in Ihrer Verantwortung.

  Wandert zu Ihnen

• Im Altsystem

  Ein gemeinsames Admin-Konto im Backend

  Nach dem Umstieg

  Persönliche Konten mit einzeln vergebenen Berechtigungen. Das Werkzeug ist besser, aber es muss jemand pflegen.

  Wandert zu Ihnen

• Im Altsystem

  Server-Logs als Spur, wer was geändert hat

  Nach dem Umstieg

  Login-Historie je Konto im Admin. Aussagekräftig ist sie nur, solange niemand ein Konto mit anderen teilt.

  Wandert zu Ihnen

• Im Altsystem

  Domain, DNS und geschäftliche E-Mail

  Nach dem Umstieg

  Unverändert Ihre Aufgabe — aber wichtiger als vorher, weil über genau diese Konten der Zugang zum Shop wiederhergestellt wird.

  Bleibt bei Ihnen

Unterm Strich ist das ein Tausch zu Ihren Gunsten: Der Teil, über den Onlineshops in der Vergangenheit tatsächlich angegriffen wurden — ungepatchte Plugins, veraltete Serversoftware —, liegt nicht mehr bei Ihnen. Was zu Ihnen wandert, ist kleiner. Aber ohne Netzwerkgrenze reicht dort ein gestohlenes Passwort — es sei denn, das Konto verlangt einen zweiten Faktor.

Die Bilanz dieses Tauschs ist eindeutig positiv, und das gehört festgehalten, bevor es um die Restaufgaben geht. Die großen Angriffswellen gegen Onlineshops liefen in den vergangenen Jahren über ungepatchte Erweiterungen und veraltete Installationen — also über genau die Zeilen, die Shopify jetzt trägt. Wer von einem System kommt, bei dem jedes Sicherheitsupdate ein Wartungsfenster und einen Kompatibilitätstest der Plugins bedeutet hat, gibt mit dem Umstieg die aufwendigere Hälfte ab.

Was bleibt, ist kleiner, aber anders gelagert. Ohne Netzwerkgrenze ist ein gestohlenes Passwort kein halber Zugang mehr, sondern ein ganzer — es sei denn, das Konto verlangt einen zweiten Faktor. Deshalb ist die erste Maßnahme nach dem Umstieg auch die unspektakulärste: Zwei-Faktor-Authentifizierung oder ein Passkey für jedes Konto, das sich im Admin anmelden kann.

Zwischen beiden gibt es einen Unterschied, der bei Phishing den Ausschlag gibt. Einen Code aus der Authentifizierungs-App kann man auf einer gefälschten Anmeldeseite eintippen. Ein Passkey funktioniert nur auf der echten Seite, für die er angelegt wurde — eine Fälschung kann ihn nicht abgreifen. Auf Shopify Plus lässt sich eine sichere Anmeldemethode für alle Benutzer:innen der Organisation verpflichtend machen. In allen anderen Fällen sollten Sie sich nicht darauf verlassen, dass jedes Konto sie eingerichtet hat, sondern nachsehen.

Die Migration ist der Moment mit den meisten Schlüsseln im Umlauf

Ausgerechnet in der Phase, in der der alte Zaun wegfällt, sind so viele Personen und Systeme im Shop wie nie wieder. Zwei Systeme laufen parallel. Eine Agentur baut, ein:e Freelancer:in setzt das Theme um, eine App schiebt Kundendaten herüber, der ERP-Partner richtet die Anbindung ein, eine SEO-Agentur prüft die Weiterleitungen. Jeder dieser Zugänge ist in seiner Phase richtig.

Zugänge über die Projektzeit

Jeder Zugang hat einen Anfang. Kaum einer hat ein Ende

Kurz vor dem Go-live sind in einem typischen Projekt 9 Zugänge gleichzeitig nötig — das ist in Ordnung. Sechs Monate später sind es noch 2. Offen sind in der Regel trotzdem alle 9, weil beim Anlegen niemand festgelegt hat, wann sie enden.

9

gleichzeitig nötig vor dem Go‑live

2

nötig sechs Monate danach

7

offen ohne Aufgabe

• nötig in dieser Phase
• dauerhaft nötig
• typischer Überhang: offen, weil niemand ein Ende festgelegt hat

Das Muster dahinter ist banal. Ein Zugang wird mit einem Klick angelegt, meist unter Zeitdruck, und niemand trägt ein Enddatum ein, weil es dafür kein Feld gibt. Nach dem Go-live gilt das Projekt als abgeschlossen, und mit dem Projekt endet die Aufmerksamkeit — nicht der Zugang.

Daraus folgt die wirksamste Einzelregel dieses Artikels: Jeder Zugang bekommt beim Anlegen einen Namen und ein Enddatum. Nicht in Shopify, sondern in einer schlichten Liste, die im Projekt mitläuft. Am Ende der Hypercare-Phase wird diese Liste einmal von oben nach unten abgearbeitet. Das dauert eine Stunde und ist die einzige Sicherheitsmaßnahme im Projekt, die keine Technik braucht.

Zwei Zeilen aus der Grafik verdienen eine gesonderte Bemerkung, weil sie in keiner Benutzerliste auftauchen.

Die Exporte sind der Zugang, an den niemand denkt. Für eine Datenmigration werden Kunden, Bestellungen und Adressen als Tabellen aus dem Altsystem gezogen, geprüft, bereinigt und wieder hochgeladen. Diese Dateien liegen danach in geteilten Ordnern, in Mail-Anhängen und in Download-Verzeichnissen. Sie haben keine Anmeldung, kein Protokoll und keine Berechtigungen — und sie enthalten personenbezogene Daten, für die Sie verantwortlich bleiben, auch wenn der Shop längst woanders läuft. Das Löschen gehört in den Abnahmeplan, mit einer Person, die es bestätigt.

Das Altsystem ist nach dem Go-live am verwundbarsten. Es enthält weiterhin die vollständige Kundendatenbank, aber es wird nicht mehr benutzt — und was nicht benutzt wird, wird nicht mehr aktualisiert und nicht mehr beobachtet. Ein Lesezugriff für die ersten Wochen ist sinnvoll, um Altbestellungen nachzuschlagen. Danach gehören die Backend-Konten deaktiviert, der Server abgeschaltet und die Daten nach einem festgelegten Aufbewahrungskonzept archiviert oder gelöscht. Welche Daten wie lange aufbewahrt werden müssen, klären Steuerberatung und Datenschutz, nicht die Agentur.

Für externe Beteiligte bringt Shopify ein Werkzeug mit, das den häufigsten Grund für geteilte Logins beseitigt: Partner-Zugänge. Agenturen und Freelancer:innen fragen den Zugriff über ihr Shopify-Partnerkonto an, Sie bestätigen die Anfrage und legen fest, welche Bereiche sie sehen dürfen. Partner-Zugänge werden nicht auf die Mitarbeiterkonten angerechnet, die im Tarif enthalten sind — laut Shopify-Preisseite bis zu 5 bei Grow, bis zu 15 bei Advanced und unbegrenzt bei Plus (Stand September 2026). Wer einer Agentur „das Admin-Passwort“ schickt, weil die Konten knapp sind, löst also ein Problem, das es nicht gibt. Zusätzlich lässt sich einstellen, dass eine Zugriffsanfrage nur mit einem Code gestellt werden kann, den Sie vorher herausgeben.

Wer den Shop besitzt, steht in keinem Angebot

Unter allen Konten gibt es eines, das sich von den anderen grundsätzlich unterscheidet: das Inhaberkonto. Es hat alle Rechte, lässt sich nicht einschränken und kann jeden anderen Zugang entfernen — einschließlich der Zugänge derjenigen, die den Shop aufgebaut haben.

Bei Migrationen entsteht das Inhaberkonto oft beiläufig. Häufig beginnt ein Projekt als Entwicklungsshop im Partnerkonto der Agentur und wird zum Go-live an den Händler übertragen. Manchmal legt jemand aus dem Team den Shop mit der eigenen Adresse an, weil er oder sie die Testphase gestartet hat. Beides ist unproblematisch, solange zum Go-live eine Frage beantwortet wird, die in keinem Angebot steht: Welche Person in Ihrem Haus ist Inhaber:in, und an welcher Adresse hängt das Konto?

Die richtige Antwort hat drei Eigenschaften. Die Person gehört zu Ihrem Unternehmen, nicht zur Agentur und nicht zu einem externen Dienstleister. Die Adresse liegt auf Ihrer Firmendomain, nicht bei einem privaten Mail-Anbieter. Und sie gehört zu genau einer Person, nicht zu einem Team-Postfach. Wechselt die Person, wird die Inhaberschaft übertragen — was deutlich einfacher ist, solange sie noch im Haus ist.

Dass die Adresse so viel Gewicht hat, liegt an einer Kette, die in den meisten Unternehmen niemand vollständig aufzeichnen kann.

Der Weg hinter dem Login

Wer die Domain hat, kann den Shop zurücksetzen

Das Inhaberkonto ist das stärkste Konto im Shop. Geschützt wird es aber nicht nur durch sein Passwort, sondern durch 4 weitere Konten, die mit Shopify nichts zu tun haben. Gelesen wird die Kette von unten nach oben: Wer ein Glied kontrolliert, kommt an das darüber.

1. 01

   Shopify-Anmeldung

   Inhaberkonto

   „Passwort vergessen“ schickt einen Link an das hinterlegte Postfach.

   Liegt bei Geschäftsführung

   Mit zweitem Faktor oder Passkey endet die Kette hier: Ein zurückgesetztes Passwort allein öffnet den Shop nicht.

2. 02

   Postfach

   Adresse des Inhaberkontos

   Wer es liest, kann jeden Zugang zurücksetzen, der Mails an diese Adresse schickt. Nicht nur den Shop.

   Liegt bei eine Person — oder ein ganzes Team

3. 03

   Mail-Plattform

   Verwaltung von Microsoft 365, Google Workspace o. ä.

   Administratoren können Postfach-Passwörter neu setzen und Weiterleitungen anlegen.

   Liegt bei IT-Dienstleister

4. 04

   Domain und DNS

   MX-Einträge der Firmendomain

   Wer die MX-Einträge ändert, leitet die gesamte E-Mail der Domain auf einen eigenen Server.

   Liegt bei oft der frühere Hoster

5. 05

   Registrar-Konto

   Login beim Domain-Anbieter

   Die Wiederherstellungsadresse gehört nicht selten einer Person, die längst nicht mehr im Haus ist.

   Liegt bei häufig ungeklärt

• Beim Go-live wird das letzte Glied zum ersten Mal seit Jahren angefasst

  Für den Umzug der Domain auf Shopify müssen DNS-Einträge geändert werden. Spätestens dann zeigt sich, wer die Zugangsdaten zum Registrar hat. Lautet die Antwort „die Agentur, die den alten Shop betrieben hat“, ist das der richtige Zeitpunkt, die Domain in ein eigenes Konto zu holen — solange die Zusammenarbeit noch freundlich ist.

• Ein zweiter Faktor unterbricht die Kette nur dort, wo er sitzt

  Mit Zwei-Faktor-Authentifizierung oder Passkey am Shopify-Konto genügt ein zurückgesetztes Passwort nicht mehr. Das Postfach bleibt aber der Wiederherstellungsweg für Zahlungsanbieter, Marktplätze und Werbekonten. Deshalb gehört der zweite Faktor an jedes Glied dieser Kette, nicht nur an das vorderste.

• Ein geteiltes Postfach ist ein Generalschlüssel

  Hängt das Inhaberkonto an shop@ oder info@, kann jede Person mit Zugriff auf dieses Postfach den Zugang zurücksetzen. Die Adresse des Inhaberkontos gehört zu einer Person auf der Firmendomain. Wechselt die Person, wird die Inhaberschaft übertragen — nicht das Postfach weitergereicht.

Die Kette erklärt, warum Kontosicherheit nach dem Umstieg nicht im Shopify-Admin endet. Sie erklärt auch, warum die DNS-Umstellung am Go-live-Tag mehr ist als ein technischer Handgriff: In vielen Projekten ist sie die einzige Gelegenheit, bei der ohnehin jemand ins Registrar-Konto muss. Wer dabei Inhaberschaft, Wiederherstellungsadresse und zweiten Faktor einmal prüft, schließt das schwächste Glied im selben Arbeitsgang. Wie die Umstellung selbst ohne Rankingverluste gelingt, steht in SEO bei der Shopify-Migration.

Die Inventur: Was alles ein Zugang ist

Wer die Frage „Wer hat Zugriff?“ ernsthaft beantworten will, muss den Begriff weiter fassen als die Benutzerliste. Ein Zugang ist alles, womit jemand im Shop etwas tun oder an dessen Daten kommen kann — mit oder ohne Anmeldung.

Die Zugangsinventur

Die Benutzerliste zeigt nur einen Teil der Antwort

Nach dem Umstieg gibt es 11 Arten von Zugang zu Ihrem Geschäft. 6 davon stehen im Shopify-Admin, 5 liegen außerhalb — und keine einzige endet von selbst. Die letzte Zeile jedes Eintrags sagt, was nötig ist, damit sie endet.

Im Admin sichtbar 6

Hier hilft Shopify: Login-Historie je Konto, Berechtigungen je Bereich, bei Apps die Angabe, wann sie zuletzt zugegriffen haben.

• Inhaberkonto

  Einstellungen › Benutzer:innen · Geschäftsführung

  Schlimmstenfalls Alles, einschließlich Auszahlungskonto und dem Entfernen jedes anderen Zugangs. Das einzige Konto, dessen Rechte sich nicht einschränken lassen.

  Endet Endet nur durch Übertragung an eine andere Person

• Mitarbeiterkonten

  Einstellungen › Benutzer:innen · Ihr Team

  Schlimmstenfalls Je nach Berechtigung: Kundendaten exportieren, Erstattungen auslösen, Theme-Code ändern.

  Endet Bleibt aktiv, bis jemand es entfernt — auch nach dem letzten Arbeitstag

• Partner-Zugänge

  Einstellungen › Benutzer:innen · Agenturen, Freelancer:innen

  Schlimmstenfalls Dasselbe wie ein Mitarbeiterkonto — bei Personen, deren Wechsel oder Weggang Sie nicht mitbekommen.

  Endet Bleibt aktiv, bis jemand ihn entfernt

• Installierte Apps

  Einstellungen › Apps · App-Anbieter

  Schlimmstenfalls Lesen und schreiben in allen Bereichen, denen bei der Installation zugestimmt wurde — bei Migrations-Apps meist Produkte, Kunden und Bestellungen.

  Endet Bis zur Deinstallation, auch wenn die App seit Monaten nichts tut

• Eigene Apps und API-Zugangsdaten

  Einstellungen › Apps · ERP-, PIM- oder Integrationspartner

  Schlimmstenfalls Dauerhafter Maschinenzugang ohne Anmeldung und ohne zweiten Faktor, abgelegt in der Konfiguration eines fremden Systems.

  Endet Bis jemand die Zugangsdaten widerruft oder die App entfernt

• Kassen-PINs nur mit Filialen

  Shopify POS · Filialteam

  Schlimmstenfalls Rabatte und Erstattungen am Tresen — unter dem Namen der Person, deren PIN gerade benutzt wird.

  Endet Bleibt gültig, bis jemand sie ändert

Außerhalb von Shopify 5

Hier sieht Shopify nichts. Diese Zugänge tauchen in keiner Liste auf, solange niemand eine anlegt.

• Postfach des Inhaberkontos

  Mail-Plattform · IT oder Geschäftsführung

  Schlimmstenfalls Passwort-Resets für den Shop und für jedes andere Geschäftskonto, das an dieser Adresse hängt.

  Endet Unbefristet

• Domain-Registrar und DNS

  Konto beim Domain-Anbieter · oft der frühere Hoster

  Schlimmstenfalls Die Shop-Domain auf eine fremde Seite zeigen lassen, die E-Mail der Domain umleiten.

  Endet Unbefristet — nur die Domain selbst läuft ab, wenn die Rechnung an eine tote Adresse geht

• Zahlungsanbieter und Bank

  Konten bei PayPal, Klarna, Hausbank · Buchhaltung

  Schlimmstenfalls Auszahlungen umlenken, Zahlungsarten abschalten, Erstattungen auslösen.

  Endet Unbefristet

• Altsystem

  Backend, Server, Datenbank · früherer Hoster oder frühere Agentur

  Schlimmstenfalls Die vollständige Kundendatenbank samt Bestellhistorie — auf einem System, das niemand mehr beobachtet und niemand mehr aktualisiert.

  Endet Läuft, bis jemand den Vertrag kündigt und die Daten löscht

• Exporte aus der Migration

  Cloud-Ordner, Mail-Anhänge, Laptops · Projektteam

  Schlimmstenfalls Kundendaten als Tabelle, ohne Zugriffskontrolle und ohne Protokoll, wer sie geöffnet hat.

  Endet Nie

Die Inventur ist in einer Stunde gemacht, wenn sie vor dem Go-live stattfindet, und in einem Tag, wenn sie nach einem Vorfall stattfindet. Der eigentliche Wert liegt in der rechten Hälfte: Die Zugänge außerhalb von Shopify haben keinen Ort, an dem man sie nachschlagen kann — außer der Liste, die Sie jetzt anlegen.

Zwei Einträge verdienen besondere Aufmerksamkeit, weil sie typisch für Migrationen sind.

Migrations-Apps bleiben installiert. Werkzeuge für den Datenimport brauchen weitreichende Schreibrechte, und sie brauchen sie bis zum letzten Delta-Import am Go-live-Wochenende. Danach tun sie nichts mehr — behalten ihre Rechte aber, bis jemand sie deinstalliert. Shopify zeigt bei Drittanbieter-Apps an, wann sie zuletzt auf bestimmte Bereiche des Shops zugegriffen haben. Eine App mit Zugriff auf Kundendaten, die seit dem Go-live nicht mehr zugegriffen hat, ist ein Kandidat für die Deinstallation.

API-Zugangsdaten haben keinen zweiten Faktor. Die Anbindung an Warenwirtschaft, PIM oder Buchhaltung läuft über Zugangsdaten, die in einem anderen System gespeichert sind. Sie können genau so viel wie die Berechtigungen, die beim Anlegen vergeben wurden, und sie bleiben gültig, bis jemand sie widerruft. Wechselt der Integrationspartner, werden sie neu erzeugt, nicht an den Nachfolger weitergereicht. Welche Muster sich für solche Anbindungen bewährt haben, steht in ERP-Shopify-Integration: fünf Architektur-Muster.

Weniger Rechte, nicht weniger Konten

Nach der Inventur liegt ein Reflex nahe, der in die falsche Richtung führt: Konten zusammenlegen, damit die Liste kürzer wird. Ein geteiltes Konto macht die Liste tatsächlich kürzer. Es macht aber auch die Login-Historie wertlos, weil sie nicht mehr zeigt, wer sich angemeldet hat. Und es macht das Entziehen unmöglich, ohne allen anderen den Zugang ebenfalls zu nehmen.

Die richtige Richtung ist die umgekehrte: viele persönliche Konten mit wenigen Rechten. Ein kompromittiertes Konto richtet dann genau den Schaden an, den seine Berechtigungen zulassen, und keinen darüber hinaus.

Weniger Rechte, nicht weniger Konten

Wer was darf: ein Ausgangspunkt für 7 Rollen

Von 56 Feldern stehen 14 auf vollem Zugriff. In 4 der 8 Bereiche ist es genau eine Person — dort, wo ein kompromittiertes Konto Geld umlenken, Daten abziehen oder alle anderen aussperren könnte.

Empfohlene Berechtigungen je Rolle über acht sensible Bereiche des Shopify-Admins

Rolle	Bestellungen bearbeiten	Erstattungen	Kundendaten exportieren	Theme-Code	Apps installieren	Benutzer verwalten	Zahlungen & Auszahlungen	Domains
Geschäftsführung Inhaberkonto	voller Zugriff	voller Zugriff	voller Zugriff	voller Zugriff	voller Zugriff	voller Zugriff	voller Zugriff	voller Zugriff
Shop-Management Mitarbeiterkonto	voller Zugriff	voller Zugriff	eingeschränkt oder zeitlich begrenzt	kein Zugriff	voller Zugriff	eingeschränkt oder zeitlich begrenzt	kein Zugriff	kein Zugriff
Kundenservice Mitarbeiterkonto	voller Zugriff	eingeschränkt oder zeitlich begrenzt	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff
Lager & Versand Mitarbeiterkonto	eingeschränkt oder zeitlich begrenzt	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff
Marketing Mitarbeiterkonto	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	eingeschränkt oder zeitlich begrenzt	kein Zugriff	kein Zugriff	kein Zugriff
Agentur Partner-Zugang	kein Zugriff	kein Zugriff	kein Zugriff	voller Zugriff	eingeschränkt oder zeitlich begrenzt	kein Zugriff	kein Zugriff	eingeschränkt oder zeitlich begrenzt
ERP-Anbindung API-Zugangsdaten	voller Zugriff	eingeschränkt oder zeitlich begrenzt	eingeschränkt oder zeitlich begrenzt	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff
Voller Zugriff	4	2	1	2	2	1	1	1

• voller Zugriff
• eingeschränkt oder zeitlich begrenzt
• kein Zugriff

Die Matrix ist bewusst streng in den Spalten, in denen ein Konto Geld oder Daten bewegen kann, und großzügig dort, wo sich Fehler rückgängig machen lassen. Ein falsch gepflegter Artikel ist ärgerlich; ein geändertes Auszahlungskonto oder ein exportierter Kundenstamm ist ein Vorfall. Wer im Altsystem mit einem Admin-Konto für alle gearbeitet hat, muss die Rechte beim Umstieg ohnehin neu aufstellen. Es kostet nichts, das gleich in der richtigen Richtung zu tun.

Wenn es doch passiert: die erste Stunde

Ein Notfallplan für ein kompromittiertes Konto ist kurz, und er ist nur etwas wert, wenn er vorher geschrieben wurde. Die Reihenfolge folgt einer einfachen Logik: erst den Weg schließen, über den jemand wieder hineinkommt, dann nachsehen, was verändert wurde.

Schritt	Was zu tun ist	Warum an dieser Stelle
1	Postfach des betroffenen Kontos sichern: Passwort, zweiter Faktor, Weiterleitungen, Filter	Solange das Postfach offen ist, lässt sich jedes neue Shop-Passwort wieder zurücksetzen
2	Passwort und Anmeldemethode des Shopify-Kontos ändern	Erst jetzt hält die Änderung
3	Benutzer:innen, Partner-Zugänge und Apps auf neue Einträge prüfen	Wer einmal drin war, legt sich gern einen zweiten Weg an
4	Auszahlungskonto, Zahlungsanbieter und Domains kontrollieren	Hier entsteht der direkte finanzielle Schaden
5	Login-Historie sichern und festhalten, was wann verändert wurde	Grundlage für alles Weitere — auch für eine mögliche Meldung
6	Änderungen am Theme aus den letzten Tagen prüfen	Eine veränderte Seite kann Kund:innen auf fremde Formulare leiten, ohne dass im Admin etwas auffällt
7	Shopify-Support kontaktieren und die Datenschutzverantwortlichen einbinden	Sind personenbezogene Daten betroffen, kann nach DSGVO eine Meldepflicht mit 72-Stunden-Frist bestehen

Checkliste

Kontosicherheit beim Umstieg: fünfzehn Punkte

Die Punkte eins bis fünf gehören an den Projektstart, sechs bis zehn in die Wochen vor dem Go-live, der Rest ans Ende der Hypercare-Phase. Ihre Häkchen bleiben in diesem Browser gespeichert.

• Festgelegt, welche Person Inhaber:in des Shops wird — mit einer persönlichen Adresse auf der Firmendomain
• Agenturen und Freelancer:innen ausschließlich über Partner-Zugänge eingebunden, kein geteiltes Login
• Zugangsliste angelegt: jeder Zugang mit Namen, Zweck und Enddatum — auch Apps, API-Zugangsdaten und Exporte
• Ablageort für Migrationsexporte festgelegt, mit Zugriffsbeschränkung und Löschtermin
• Geklärt, wer Zugang zum Registrar-Konto hat und an welche Adresse dessen Wiederherstellung geht
• Zwei-Faktor-Authentifizierung oder Passkey für jedes Konto eingerichtet, das sich im Admin anmelden kann
• Berechtigungen je Rolle vergeben; Auszahlungen, Benutzerverwaltung und Domains bei so wenigen Personen wie möglich
• Zweiten Faktor am Postfach des Inhaberkontos, an der Mail-Plattform und beim Registrar geprüft
• Wiederherstellungscodes getrennt von dem Gerät abgelegt, das den zweiten Faktor erzeugt
• Notfallplan für ein kompromittiertes Konto aufgeschrieben, mit Ansprechperson und Reihenfolge
• Testkonten der Abnahme und nicht mehr benötigte Partner-Zugänge entfernt
• Migrations-Apps deinstalliert, deren Arbeit mit dem Go-live erledigt ist
• Backend-Konten im Altsystem deaktiviert, Abschaltung und Datenaufbewahrung mit Termin festgelegt
• Exporte mit Kundendaten gelöscht und die Löschung von einer Person bestätigt
• Login-Historie einmal durchgesehen und einen festen Termin für die nächste Zugangsprüfung eingetragen

---

Was für Ihre Ausgangslage sinnvoll ist

Ihre Situation	Der nächste Schritt
Migration ist beschlossen, der Partner noch nicht gewählt	Im Auswahlgespräch fragen, wie Zugänge angelegt und wieder beendet werden. Die Antwort sagt viel über die Arbeitsweise: Umsetzungspartner auswählen
Das Projekt läuft, alle arbeiten mit einem Login	Heute auf Partner-Zugänge umstellen. Sie werden nicht auf das Kontingent an Mitarbeiterkonten angerechnet
Der alte Hoster verwaltet auch die Domain	Die Domain vor dem Go-live in ein eigenes Registrar-Konto holen, nicht danach
Das Inhaberkonto hängt an einer Agentur- oder Privatadresse	Inhaberschaft übertragen, solange alle Beteiligten erreichbar sind
Der Go-live liegt Wochen zurück, das Altsystem läuft noch	Backend-Konten deaktivieren und einen Abschalttermin festlegen. Jeder Monat Weiterbetrieb ist ein Monat ohne Updates
Warenwirtschaft oder PIM sind per API angebunden	Prüfen, welche Berechtigungen die Zugangsdaten tatsächlich haben — und wer sie im Partnersystem einsehen kann
Sie haben Filialen mit Shopify POS	Persönliche PINs statt einer Kassen-PIN für alle. Wie Kasse und Shop zusammenspielen: Kasse und Onlineshop beim Umstieg
Sie sind auf Shopify Plus	Sichere Anmeldung für die gesamte Organisation verpflichtend machen. Das ist die eine Einstellung, die jedes künftige Konto automatisch abdeckt
Das Team ist klein, und alle dürfen alles	Mit drei Bereichen anfangen: Auszahlungen, Benutzerverwaltung, Kundenexport. Der Rest darf vorerst bleiben, wie er ist
Es gab bereits einen verdächtigen Login	Die Reihenfolge aus dem Notfallplan einhalten: erst das Postfach, dann der Shop
Die Migration steht erst noch bevor	Drei Positionen in den Projektplan: Zugangsliste mit Enddaten, Inhaberschaft und Registrar klären, Abschaltplan fürs Altsystem

Was Sie aus diesem Artikel mitnehmen sollten

Kontosicherheit ist nach dem Umstieg auf Shopify kleiner als vorher, aber sie liegt an einer anderen Stelle — und genau deshalb fällt sie durch das Raster eines Migrationsplans.

Die Grenze wandert vom Netzwerk zur Anmeldung. Patches, Server und PCI trägt Shopify. Was bleibt, sind die Konten, und ohne Netzwerkgrenze ist ein gestohlenes Passwort ein ganzer Zugang, solange kein zweiter Faktor dahintersteht.

Die Migration verteilt mehr Schlüssel als jede andere Projektphase, und kaum einer hat ein Enddatum. Agentur, Apps, Exporte, Testkonten und das Altsystem bleiben offen, weil das Projekt endet und nicht der Zugang. Eine Liste mit Namen und Enddatum, am Ende der Hypercare einmal abgearbeitet, schließt den größten Teil davon.

Der Shop ist nur so sicher wie die Konten dahinter. Postfach, Mail-Plattform und Registrar entscheiden mit, wer den Shop zurücksetzen kann. Die DNS-Umstellung am Go-live ist die Gelegenheit, das schwächste Glied einmal in die Hand zu nehmen.

Wenn Sie vor einem Wechsel stehen und die Zugänge von Anfang an sauber aufsetzen wollen — oder wenn der Umstieg hinter Ihnen liegt und niemand genau sagen kann, wer heute noch Zugriff hat: Lassen Sie uns sprechen. Wie wir Migrationen aufsetzen, steht auf Shopsystem-Migration; die systemspezifischen Fälle auf Shopware zu Shopify und Magento zu Shopify. Was sich beim Wechsel vom eigenen Server auf eine gehostete Plattform sonst an Zuständigkeiten verschiebt, haben wir in Eigener Server oder Cloud aufgeschlüsselt.