Mobile-Menu

Least Privilege für Shopify-Stores Shopify-Sicherheit beginnt beim Rollenmodell

Ein Gastbeitrag von Mika Schmidt 4 min Lesedauer

Anbieter zum Thema

cidaas by Widas ID GmbH

„Wer Shopify-Rollen nach Jobtitel vergibt, weiß am Ende oft nicht mehr, wer welche Kundendaten einsehen oder Zahlungen freigeben darf. Weil sich Berechtigungen mehrerer Rollen addieren, reicht die Kontrolle einzelner Zuweisungen nicht aus. Wir zeigen, welche Rollenkombination Unternehmen dabei am häufigsten unterschätzen.

Berechtigungen in Online-Shops wachsen oft unbemerkt mit jeder neuen Aufgabe. Wer nur einzelne Rollen prüft statt des gesamten Zugriffs, übersieht genau die Kombination, die zum Sicherheitsrisiko wird.(Bild: © Mymemo - stock.adobe.com)
Berechtigungen in Online-Shops wachsen oft unbemerkt mit jeder neuen Aufgabe. Wer nur einzelne Rollen prüft statt des gesamten Zugriffs, übersieht genau die Kombination, die zum Sicherheitsrisiko wird.
(Bild: © Mymemo - stock.adobe.com)

TLDR:

  • Rollen sollten aus konkreten Aufgaben entstehen und auf die benötigten Shops und Apps begrenzt bleiben.
  • Mehrere Shopify-Rollen wirken kumulativ. Deshalb zählt der gesamte Zugriff einer Person, nicht die einzelne Rolle.
  • Sensible Befugnisse sollten risikobasiert getrennt oder durch Freigaben und nachgelagerte Kontrollen abgesichert werden.
  • Access Reviews sollten fest in Eintritt, Aufgabenwechsel und Austritt eingebaut sein.

Ein ehemaliger Dienstleister kann weiter Kundendaten exportieren, während der Kunden­service Erstattungen ausführt und Apps installiert.Rollenprobleme und kritische Zugriffe entstehen selten auf einmal, sondern wachsen meistens schrittweise und sammeln sich über die Zeit hinweg an: Neue Rechte kommen hinzu, alte Zuweisungen bleiben bestehen. Nur ein effektives Rollenmodell macht solche Probleme sichtbar und beherrschbar.

Der effektive Zugriff ist die zentrale Prüfeinheit

Shopify ordnet Rollen den Kategorien Organisation, Shop, Point of Sale und Partner zu. Eine Rolle gehört genau einer Kategorie. Ein Benutzer kann mehrere Rollen erhalten, auch aus verschiedenen Kategorien. Deren Rechte addieren sich. Wird eine Berechtigung aus einer Rolle entfernt, kann eine zweite Rolle sie weiterhin gewähren.

Diese kumulative Wirkung ist bei jedem Review der Zugänge zu berücksichtigen. Die verfügbaren Kategorien hängen außerdem von Plan und Organisationskonfiguration ab.

Aus meiner Projekterfahrung bewährt sich eine möglichst kleine Rollenanzahl mit Zweck, Verantwortlichem und Geltungsbereich. Ziel ist der kleinste Katalog, der Aufgaben trennscharf abbildet. Zu wenige Rollen werden zu breit, zu viele erschweren die Unterscheidung.

Mit Aufgaben und vorhandenen Rollen beginnen

Jobtitel in Form von Rollen zu verarbeiten kann ich explizit nicht empfehlen. Niemand weiß am Ende, was genau ein Lead Customer Support Manager macht und was der Unterschied zum Senior Customer Support Agent ist. Um nötige Rollen zu identifizieren, sollten stattdessen Fragen nach den tatsächlichen Tätigkeiten gestellt werden:

  • Was muss die Person erledigen?
  • Muss sie Daten anzeigen, bearbeiten, exportieren oder löschen?
  • Für welche Shops und Apps wird Zugriff benötigt?
  • Welche Kunden-, Finanz- oder Unternehmensdaten sind betroffen?
  • Wer genehmigt sensible Aktionen oder Ausnahmen?
  • Wann wird der effektive Zugriff geprüft?

Anschließend können unter Einstellungen > Benutzer > Rollen die vorhandenen Rollen und Zuweisungen erfasst werden. Gleichzeitig sollte zu jeder Rolle Zweck, Rollenverantwortlicher, Shops und Apps, Benutzerzahl und nächster Review-Termin festgelegt und dokumentiert werden.

Als Ausgangspunkt lohnen sich zunächst die vordefinierten Shop-Rollen, etwa Kundensupport, Merchandiser oder Onlineshop-Editor. Sie können bearbeitet oder gelöscht werden und sollten vor der Nutzung mit dem eigenen Aufgabenprofil abgeglichen werden.

Davon zu unterscheiden sind die von Shopify verwalteten Rollen. Sie lassen sich nicht anpassen oder löschen. Der „Benutzeradministrator der Organisation“ darf Benutzer verwalten und Rollen zuweisen, aber keine Rollen entwerfen oder Produkte und Bestellungen bearbeiten. Für eine abgegrenzte Benutzerverwaltung ist das oft passender als eine breite Administratorrolle.

Rollen sollten so klein wie möglich gebaut werden

Screenshot der Rechte für Bestellungen.(Bild: M. Schmitd)
Screenshot der Rechte für Bestellungen.
(Bild: M. Schmitd)

Passt keine vorhandene Rolle, lässt sich aus der Aufgabenmatrix eine eigene ableiten. Ein Name wie „Shop Kundenservice Stufe 1“ ist hilfreicher als „Zusätzlicher Zugriff“. Die Rollenbeschreibung sollte Zweck, Rollenverantwortlichen, Shops und Genehmigungsprozess nennen. Um Least Privilege direkt von Anfang an mitzudenken, kann man mit Anzeigerechten beginnen und nur benötigte Aktionen ergänzen, falls nötig.

Shopify unterscheidet Rechte sehr granular und bspw. bei Bestellungen wird zwischen Anzeigen, Bearbeiten, Zahlungserfassung, Stornieren, Exportieren, Löschen, Retouren und Rückerstattungen unterschieden:

Generell sollte im Zweifel ein Recht immer erstmal nicht gegeben und später ergänzt werden, statt von Anfang an mächtige Rollen zu schnüren.

Sensible Rechte risikobasiert kontrollieren

Screenshot der Rechte für Apps.(Bild: M. Schmitd)
Screenshot der Rechte für Apps.
(Bild: M. Schmitd)

Technische Funktionstrennung verteilt Rechte über Shopify-Rollen. Organisatorische Kontrolle ergänzt sie durch Tickets, Vier-Augen-Freigaben oder nachgelagerte Prüfungen. Das kann Teams helfen, die Aufgaben nicht personell trennen können.

Shopify weist vertrauliche Berechtigungen für Kundendaten, Zahlungs- und Abrechnungseinstellungen sowie Unternehmensdaten aus und empfiehlt, solche Aufgaben auf mehrere Rollen und Benutzer zu verteilen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Abhängig vom Risiko sollten insbesondere die folgenden Kombinationen getrennt oder zusätzlich kontrolliert werden:

  • Benutzer anlegen und Rollen zuweisen sowie Rollen entwerfen oder verändern.
  • Rückerstattungen ausführen und finanziell kontrollieren.
  • Zahlungsmethoden und Abrechnung ändern sowie Finanzdaten auswerten.
  • Apps installieren oder löschen und App-Gebühren genehmigen.
  • Einzelne Apps nutzen und die generelle App-Verwaltung ausüben.

Shopify bildet App-Nutzung, App-Installation und Kostengenehmigung als getrennte Berechtigungen ab. Eine Rolle kann außerdem nur Zugriff auf ausgewählte Apps erhalten. Wer eine freigegebene App bedient, benötigt daher nicht automatisch Rechte für Installation oder Kostenfreigabe.

Wo eine technische oder personelle Trennung nicht praktikabel ist, sollte ein Ticket Anlass, Genehmiger, Zeitfenster und Ergebnis dokumentieren.

Zugriffe über den Benutzerlebenszyklus steuern

Personenbezogene Einzelkonten erleichtern Zuordnung und Offboarding. Teamkonten oder shared Accounts sollten immer vermieden werden.

Beim Eintritt erhält eine Person eine zum Aufgabenprofil passende Ausgangsrolle. Beim Aufgabenwechsel sollten nicht mehr benötigte Rechte umgehend entfernt werden. Beim Austritt müssen Shopify- und Gastzugänge im Offboardingprozess gelöscht oder deaktiviert werden.

Ein Access Review betrachtet den effektiven Zugriff einer Person und bestätigt Zuweisungen formell und wiederkehrend. Der Review der Rollen prüft dagegen Zuschnitt, Überschneidungen und Verantwortliche. Beide Reviews sollten regelmäßig in einem fest definierten Rhythmus durchgeführt werden (z.B. einmal pro Quartal). Das konkrete Intervall sollte sich nach dem Risiko der Rolle richten.

Shopify protokolliert Änderungen an Benutzern und Rollen im Benutzeraktivitätsprotokoll. Berechtigte Administratoren können außerdem die jüngste Login-Historie prüfen. Beides gehört in risikobasierte Reviews und in Kontrollen nach Eintritt, Wechsel und Austritt. Aktivitätsdaten, Login-Informationen, E-Mail-Adressen oder private Kennungen gehören nie in öffentliche Dokumentationen oder Screenshots.

Fazit

Ein gutes Shopify-Rollensystem braucht klar abgegrenzte Rollen, risikobasierte Kontrollen und einen festen Lebenszyklus. Entscheidend bleibt der kumulative Zugriff einer Identität. Mit Aufgabenmatrix, Rollenverantwortlichem, begrenztem Umfang und Review-Termin bleiben Sicherheit und Administration im Alltag vereinbar.

Über den Autor: Vita: Mika Schmidt ist Gründer von Six Eight Consulting und spezialisiert auf IT-Security im Bereich E-Commerce.

(ID:50940869)

Weiterführende Inhalte