Kontosicherheit für Shopify-Händler:innen

Wenn du zu den Menschen gehörst, die vor dem Verlassen des Hauses die Tür abschließen und zur Sicherheit noch einmal kontrollieren, weißt du bereits, wie wichtig guter Schutz ist. Das gilt auch für dein Unternehmen: Dein Shopify-Konto und andere geschäftlich genutzte Konten können Zugriff auf sensible Daten, Finanzinformationen und wichtige Einstellungen ermöglichen. Mit den richtigen Maßnahmen kannst du deine Kontosicherheit erhöhen und das Risiko von E-Commerce-Betrug verringern.

Was ist Kontosicherheit?

Kontosicherheit umfasst alle Maßnahmen, mit denen du deine Onlinekonten vor unbefugtem Zugriff und Missbrauch schützt. Dazu gehören beispielsweise sichere Anmeldedaten, eine zusätzliche Authentifizierung, klar geregelte Zugriffsrechte und der Schutz der Geräte und E-Mail-Konten, über die du auf deine Geschäftskonten zugreifst.

Für Shopify-Händler:innen ist Kontosicherheit besonders wichtig. Wer Zugriff auf deinen Shop erhält, kann je nach Berechtigung beispielsweise auf Geschäfts- und Kundendaten zugreifen, Einstellungen verändern oder andere sensible Bereiche deines Unternehmens einsehen. Ein kompromittiertes Konto kann deshalb finanzielle Schäden verursachen, deinen Arbeitsalltag beeinträchtigen und das Vertrauen deiner Kund:innen in deine Marke gefährden.

Kontosicherheit ist damit ein wichtiger Teil der Cybersicherheit deines Unternehmens. Während Cybersicherheit den Schutz von Systemen, Netzwerken, Geräten und Daten insgesamt umfasst, konzentriert sich Kontosicherheit speziell darauf, den Zugriff auf deine Accounts und die darin verfügbaren Informationen und Funktionen abzusichern.

Wie wird ein Konto kompromittiert?

Angreifer:innen können auf verschiedenen Wegen versuchen, Zugriff auf dein Shopify-Konto oder andere geschäftlich genutzte Konten zu erhalten. Dabei müssen sie nicht unbedingt technische Sicherheitslücken ausnutzen. Häufig versuchen sie stattdessen, Zugangsdaten zu stehlen, bestehende Logins zu übernehmen oder dich und deine Mitarbeiter:innen dazu zu bringen, vertrauliche Informationen preiszugeben.

Zu den wichtigsten Angriffswegen gehören:

• Phishing, Vishing und Smishing: Angreifer:innen geben sich beispielsweise per E-Mail, auf gefälschten Websites, am Telefon oder per SMS als vertrauenswürdige Unternehmen oder Personen aus. Ihr Ziel ist es, dich dazu zu bringen, Passwörter, Codes für die Zwei-Faktor-Authentifizierung oder andere vertrauliche Informationen preiszugeben. Auch schädliche Links oder Anhänge können Teil solcher Angriffe sein.
• Gestohlene oder geleakte Zugangsdaten: Werden deine E-Mail-Adresse und dein Passwort bei einem Datenleck offengelegt, können Kriminelle versuchen, sich damit bei anderen Diensten anzumelden. Besonders riskant ist es deshalb, dasselbe Passwort für mehrere Konten zu verwenden.
• Schwache oder leicht zu erratende Passwörter: Einfache Passwörter erleichtern es Angreifer:innen, Zugang zu einem Konto zu erhalten. Einzigartige und sichere Passwörter sorgen dafür, dass ein kompromittiertes Passwort nicht automatisch weitere Konten gefährdet.
• Geteilte Anmeldedaten: Nutzen mehrere Personen dieselben Zugangsdaten, steigt das Sicherheitsrisiko. Außerdem lässt sich schwerer nachvollziehen, wer auf das Konto zugegriffen oder bestimmte Änderungen vorgenommen hat. Bei Shopify sollte deshalb jede Person mit Zugriff auf den Shop eigene Anmeldedaten und die für ihre Aufgaben erforderlichen Berechtigungen erhalten.
• Kompromittierte E-Mail-Konten: Dein E-Mail-Konto spielt eine wichtige Rolle für die Sicherheit anderer Accounts. Darüber können beispielsweise Verifizierungs- und Benachrichtigungs-E-Mails oder Nachrichten zum Zurücksetzen deines Passworts eingehen. Erhalten Unbefugte Zugriff auf deine E-Mails, können dadurch auch weitere Konten gefährdet sein.
• Verlorene, gestohlene oder kompromittierte Geräte: Smartphones und Computer können Zugang zu deinen geschäftlichen Konten ermöglichen. Gelangt ein unzureichend geschütztes Gerät in falsche Hände oder wird es mit Schadsoftware infiziert, können dadurch auch sensible Informationen und Konten gefährdet werden.
• Malware: Schädliche Software kann beispielsweise über manipulierte Links, Downloads oder E-Mail-Anhänge auf ein Gerät gelangen. Je nach Art der Malware können Angreifer:innen anschließend auf vertrauliche Informationen zugreifen.
• Social Engineering: Nicht jeder Angriff beginnt mit Schadsoftware oder einem gestohlenen Passwort. Beim Social Engineering versuchen Kriminelle, Menschen gezielt zu manipulieren. Sie können sich beispielsweise als Support-Mitarbeiter:innen, Kolleg:innen oder andere vertrauenswürdige Personen ausgeben und dich unter Druck setzen, vertrauliche Informationen preiszugeben oder eine bestimmte Aktion auszuführen.

Eine erfolgreiche Kontoübernahme wird auch als Account Takeover (ATO) bezeichnet. Dabei erhalten Unbefugte Zugriff auf dein Konto und damit möglicherweise auch auf sensible Unternehmens-, Finanz- oder Kundendaten. Je nachdem, welche Berechtigungen mit dem Konto verbunden sind, können sie außerdem Einstellungen verändern oder andere Aktionen in deinem Shop durchführen.

Je früher du deine Kontosicherheit priorisierst, desto schwieriger machst du es Angreifer:innen, einen dieser Wege erfolgreich auszunutzen. Im nächsten Schritt erfährst du, mit welchen konkreten Best Practices du die Kontosicherheit in deinem Unternehmen verbesserst.

So schützt du deine Konten: 15 Maßnahmen für deine Kontosicherheit im E-Commerce

Mit den richtigen Sicherheitsmaßnahmen kannst du das Risiko deutlich reduzieren, dass Unbefugte Zugriff auf deine Geschäftskonten erhalten. Dabei solltest du nicht nur dein Shopify-Konto schützen. Auch dein E-Mail-Konto, die verwendeten Geräte und die Zugänge deiner Mitarbeiter:innen spielen eine wichtige Rolle.

1. Nutze sichere Anmeldemethoden

Ein Passwort allein bietet nur begrenzten Schutz. Aktiviere deshalb für wichtige Geschäftskonten sichere Anmeldemethoden wie die Zwei-Faktor-Authentifizierung (2FA). Dabei benötigst du neben deinen Anmeldedaten einen zweiten Faktor, beispielsweise eine Authentifizierungs-App oder einen Sicherheitsschlüssel.

Für dein Shopify-Konto kannst du außerdem einen Passkey einrichten. Damit meldest du dich beispielsweise per Fingerabdruck, Gesichtserkennung oder Geräte-PIN an. Passkeys bieten zusätzlichen Schutz vor Phishing, da du beim Login kein Passwort eingeben musst.

Tipp: Wenn du Shopify Plus nutzt, kannst du eine sichere Anmeldemethode für alle Benutzer:innen deiner Organisation verpflichtend machen. Dabei kannst du festlegen, dass sich Benutzer:innen mit einem Passkey oder mit Zwei-Faktor-Authentifizierung anmelden müssen. So stellst du die zusätzliche Absicherung nicht nur für dein eigenes Konto, sondern für deine gesamte Organisation sicher.

2. Verwende starke und einzigartige Passwörter

Nutze für jedes Geschäftskonto ein eigenes Passwort. So verhinderst du, dass Angreifer:innen mit gestohlenen Zugangsdaten gleichzeitig auf mehrere deiner Konten zugreifen können. Lange, zufällig generierte Passwörter sind dabei besser geeignet als leicht zu erratende Kombinationen aus Namen, Wörtern oder Zahlen.

3. Nutze einen Passwortmanager

Ein Passwortmanager wie 1Password hilft dir dabei, für jedes Konto ein starkes, einzigartiges Passwort zu erstellen und sicher zu speichern. So musst du dir nicht zahlreiche komplexe Passwörter merken und vermeidest, dieselben Zugangsdaten für mehrere Dienste zu verwenden.

4. Teile keine Anmeldedaten

Jede Person, die auf deinen Shopify-Shop zugreift, sollte einen eigenen Benutzerzugang erhalten. Teile insbesondere die Zugangsdaten des oder der Shop-Inhaber:in nicht mit Mitarbeiter:innen, Agenturen oder anderen externen Personen.

Eigene Zugänge verbessern nicht nur die Sicherheit. Du kannst dadurch auch genauer steuern, wer auf welche Bereiche deines Shops zugreifen darf.

Tipp: Im Shopify Help Center erfährst du mehr über die ⁠Verwaltung von Benutzer:innen.

5. Vergib nur die wirklich benötigten Berechtigungen

Nicht jede Person in deinem Team benötigt Zugriff auf alle Bereiche deines Shops. Vergib Rollen und Berechtigungen deshalb nach dem Prinzip der geringsten Rechte: Mitarbeiter:innen erhalten nur die Zugriffe, die sie für ihre Aufgaben tatsächlich benötigen. Prüfe besonders sorgfältig Berechtigungen für sensible Bereiche wie Finanzen, Benutzerverwaltung oder Shop-Einstellungen.

6. Überprüfe Zugänge regelmäßig

Kontosicherheit endet nicht mit der Einrichtung deiner Benutzerkonten. Prüfe regelmäßig, wer Zugriff auf deinen Shop und andere wichtige Geschäftskonten hat. Entferne Zugänge, die nicht mehr benötigt werden, beispielsweise wenn Mitarbeiter:innen dein Unternehmen verlassen oder die Zusammenarbeit mit einer Agentur endet. Überprüfe bei dieser Gelegenheit auch, ob bestehende Rollen noch zu den aktuellen Aufgaben der jeweiligen Personen passen.

7. Behalte Login-Historie und Benutzeraktivitäten im Blick

Kontrolliere regelmäßig, ob es ungewöhnliche Aktivitäten in deinem Shopify-Konto gibt. In der Login-Historie kannst du beispielsweise prüfen, von welchen Standorten, IP-Adressen und Geräten auf die Benutzerkonten deines Shops zugegriffen wurde. Unbekannte Zugriffe können darauf hindeuten, dass ein Konto kompromittiert wurde. Behalte auch Änderungen an Benutzer:innen und Rollen im Blick. So kannst du schneller erkennen, wenn unbekannte Zugänge hinzugefügt oder Berechtigungen ohne dein Wissen verändert wurden.

8. Sichere dein E-Mail-Konto

Deine E-Mail-Adresse spielt bei der Kontowiederherstellung eine zentrale Rolle. Wird dein E-Mail-Konto kompromittiert, können Angreifer:innen möglicherweise Passwörter zurücksetzen oder Sicherheitsnachrichten abfangen. Schütze deshalb auch dein geschäftliches E-Mail-Konto mit einem einzigartigen Passwort und einer zusätzlichen Authentifizierung. Kontrolliere außerdem verdächtige Weiterleitungen oder Filter, die wichtige Sicherheits-E-Mails unbemerkt verschieben könnten.

9. Überprüfe die Zugriffsrechte deiner Apps

Nicht nur Mitarbeiter:innen und externe Partner:innen können Zugriff auf Daten und Funktionen deines Shops haben. Auch installierte Apps erhalten je nach Funktion bestimmte Berechtigungen. Prüfe deshalb regelmäßig, welche Apps installiert sind und auf welche Bereiche deines Shops sie zugreifen können. Entferne Apps, die du nicht mehr benötigst, und kontrolliere insbesondere weitreichende oder nicht mehr verwendete Berechtigungen. Shopify zeigt dir bei Drittanbieter-Apps außerdem an, wann sie zuletzt auf bestimmte Bereiche deines Shops zugegriffen haben.

10. Bewahre Wiederherstellungscodes sicher auf

Wenn du die Zwei-Faktor-Authentifizierung für dein Shopify-Konto einrichtest, erhältst du Wiederherstellungscodes. Mit ihnen kannst du dich weiterhin anmelden, wenn deine reguläre Authentifizierungsmethode nicht verfügbar ist. Bewahre diese Codes an einem sicheren und vertraulichen Ort auf. Speichere sie nicht ausschließlich auf dem Smartphone oder einem anderen Gerät, das du gleichzeitig für die Authentifizierung verwendest.

11. Schütze deine Geräte

Auch sichere Zugangsdaten helfen wenig, wenn Angreifer:innen Zugriff auf ein bereits angemeldetes Gerät erhalten. Schütze Smartphones, Tablets und Computer deshalb mit einer Bildschirmsperre und halte Betriebssysteme, Browser und Apps auf dem aktuellen Stand. Installiere Software und Browser-Erweiterungen nur aus vertrauenswürdigen Quellen. Prüfe außerdem regelmäßig, welche Anwendungen Zugriff auf deine Geschäftskonten haben.

12. Reagiere auf unbekannte Login-Versuche

Ignoriere keine Benachrichtigungen über Anmeldungen, die du nicht selbst vorgenommen hast. Überprüfe bei verdächtigen Aktivitäten deine Login-Historie und Sicherheitseinstellungen und ändere dein Passwort, wenn du einen unbefugten Zugriff vermutest. Erkennt Shopify ungewöhnliche Login-Aktivitäten, kann der Zugriff auf dein Konto vorübergehend eingeschränkt werden und eine zusätzliche Identitätsprüfung erforderlich sein. Stammt der Anmeldeversuch nicht von dir, musst du dein Passwort zurücksetzen, bevor du wieder auf dein Konto zugreifen kannst. Prüfe anschließend, ob weitere Sicherheitseinstellungen, Benutzerzugänge oder Berechtigungen verändert wurden.

13. Schütze besonders sensible Konten zusätzlich

Dein Shopify-Konto ist Teil einer größeren Infrastruktur. Schütze deshalb auch die Konten, über die Angreifer:innen indirekt Kontrolle über deinen Shop erlangen könnten. Dazu gehören insbesondere dein geschäftliches E-Mail-Konto sowie Zugänge zu Zahlungsdiensten, Bankkonten und deinem Domain-Provider. Aktiviere auch dort sichere Anmeldemethoden und beschränke den Zugriff auf die Personen, die ihn tatsächlich benötigen.

14. Bereite dich auf den Verlust eines Geräts oder Zugangs vor

Überlege bereits im Voraus, wie du wieder Zugriff auf deine wichtigsten Geschäftskonten erhältst, wenn dein Smartphone verloren geht, ein Gerät gestohlen wird oder eine Authentifizierungsmethode ausfällt. Hinterlege verfügbare Backup-Authentifizierungsmethoden, sichere deine Wiederherstellungscodes und stelle sicher, dass die mit deinem Shopify-Konto verknüpfte E-Mail-Adresse aktuell und erreichbar ist.

15. Überprüfe deine Kontosicherheit regelmäßig

Zugänge, Mitarbeiter:innen und verwendete Tools verändern sich mit deinem Unternehmen. Überprüfe deshalb regelmäßig deine Benutzerkonten, Rollen, Berechtigungen, Anmeldemethoden und hinterlegten Kontaktdaten. So kannst du nicht mehr benötigte Zugänge entfernen und Sicherheitslücken schließen, bevor sie zum Problem werden.

Kontosicherheit im Team

Mit klaren Zugriffsregeln, sicheren Anmeldemethoden und einem vorbereiteten Team kannst du das Risiko einer Kontoübernahme reduzieren und schneller reagieren, wenn doch etwas passiert.

Bitte stelle sicher, dass du stets innerhalb der Shopify-Nutzungsbedingungen handelst.