Security-Basics für Shopify 10 Checks für sichere Shopify-Stores

Anbieter zum Thema

cidaas by Widas ID GmbH

Shopify-Stores wachsen oft über Jahre und werden dabei zunehmend unübersichtlich. Zeit, Ordnung ins Setup zu bringen. Die Plattform selbst ist solide, nimmt Unternehmen aber nicht jede Verantwortung ab. Mit zehn gezielten Checks lässt sich die eigene Sicherheitslage schnell einordnen.

Check 1: Ungenutzte Shops deaktivieren

In vielen Shopify-Setups existieren neben dem produktiven Shop mehrere Test-, Länder- oder Kampagnenshops. Das kann berechtigt und notwendig sein, es kann aber auch historisch ge­wach­sen sein, sodass niemand mehr genau weiß, wer wofür verantwortlich ist. Jeder zu­sätz­liche Shop ist allerdings eine zusätzliche Angriffsfläche. Im ersten Schritt sollte deshalb eine Liste aller Shops erstellt werden. Danach braucht jeder Shop einen klaren Business Owner und eine begründete Aufgabe. Shops ohne klare Funktion sollten deaktiviert oder gelöscht werden.

Bei regulären Shopify-Plänen kann die Deaktivierung über die Einstellungen erfolgen, im Falle von Shopify Plus Stores sollte man vorher prüfen, welche vertraglichen und or­ga­ni­sa­to­rischen Abhängigkeiten bestehen und ob der Shopify Plus Support eingebunden werden muss. In der Regel ist der Shopify Customer Success Manager hier der richtige Ansprechpartner.

Cybersicherheitsmonitor 2026

Jeder neunte Webnutzer von Online-Kriminalität betroffen

Check 2: Nicht mit Realdaten testen

In Test-Shops sollten keine echten Kundendaten liegen. Das klingt selbstverständlich, wird in der Praxis aber immer wieder ignoriert. Produktivdaten sind bequem und werden oft im­por­tiert, weil sie realistische Bestellungen, Adressen, Warenkörbe und Kundentypen enthalten. Genau deshalb sind sie aber auch riskant.

Testumgebungen werden häufig lockerer behandelt als Produktivsysteme. Es werden Apps ausprobiert, Skripte eingefügt, Zugriffe geteilt und Workarounds getestet. Der „ich teste mal eben etwas, Security ist da nicht so wichtig“-Faktor ist in Testumgebungen, wie der Name es schon sagt, deutlich höher. Wenn dort echte Kundendaten liegen, entsteht aus einer ver­meint­lich unkritischen Spielwiese schnell ein meldepflichtiger Sicherheitsvorfall. Häufig sind in Testsystemen auch keine oder deutlich weniger Rollenbeschränkungen der einzelnen User aktiv.

Für Tests sollten deshalb ausschließlich erfundene, pseudonymisierte oder synthetische Daten genutzt werden. Besonders kritisch sind Bestellungen, Kundendatensätze, E-Mail-Adressen, Telefonnummern, Lieferadressen und historische Supportfälle. Wenn Zahlungsdaten selbst verarbeitet und gespeichert werden, sind diese natürlich am kritischsten. Wer realitätsnahe Testdaten braucht, sollte dafür einen klaren Prozess definieren, statt Daten aus dem Produktivshop zu kopieren.

Zu Black Friday und Cyber Monday startet die Hochsaison für Cyberbetrug

Fake-Shops und Phishing erkennen und sicher Online einkaufen

Check 3: Apps, Plugins, Skripte und API-Zugänge überprüfen

Viele Shopify-Stores wachsen über Jahre. Neue Zahlungsarten, Versanddienstleister, Tracking­lösungen, Feed-Tools und Marketing-Apps werden installiert, getestet und manchmal nie wieder entfernt. Jede App kann zusätzliche Berechtigungen, externe Datenflüsse, Skripte oder Abhängigkeiten mitbringen. Deshalb sollte regelmäßig geprüft werden, welche Apps tatsächlich noch benötigt werden.

Nicht mehr benötigte Apps sollten deinstalliert werden. Bei weiterhin benötigten Apps sollten die Berechtigungen überprüft werden. Besonders kritisch sind Zugriffe auf Kundendaten, Bestellungen, Gutscheine, Checkout und Exporte. Auch Custom Apps, API-Keys und Access Tokens sollten in diese Prüfung einbezogen werden. Grundsätzlich sollten mindestens alle schreibenden Zugriffe in Frage gestellt werden: Muss wirklich geschrieben werden oder reicht auch ein Lesezugriff?

Gen Z

Junge Onliner tappen oft in Phishing-Fallen

Check 4: SSO aktivieren, Passkey nutzen oder 2FA verpflichtend machen

Bei Shopify Plus besteht die Möglichkeit, Zugriffe über SSO abzusichern und verpflichtend zu machen. Dadurch erfolgt die Anmeldung über den Identity Provider des Unternehmens, zum Beispiel Microsoft Entra ID, Okta oder Ping Identity. Shopify bietet eine Anleitung zum Einrichten.

Für Nutzer ist das oft einfacher, weil sie kein separates Shopify-Passwort verwalten müssen. Für Security-Teams ist es sinnvoll, weil Login-Regeln, MFA, Conditional Access und Auditierung zentral über den Identity Provider gesteuert werden können. Shopify bietet selbst keine öffentliche Schnittstelle für das Abrufen von Audit Logs, daher können Security Teams via SSO zumindest Logins selbst überwachen.

Wenn SSO nicht verfügbar ist oder noch nicht umgesetzt werden kann, sollten Passkeys für den Login bei Shopify verwendet werden.

Falls diese ebenfalls nicht umgesetzt werden können, besteht für Plus Stores die Möglichkeit, Zwei-Faktor-Authentifizierung verpflichtend zu aktivieren. Da in nicht-plus Stores technisch keine Authentifizierungsmethode erzwungen werden kann, ist hier die Kommunikation mit den Usern besonders wichtig.

Authentifizierungsbarotmeter der FIDO Alliance

Verbraucher haben keine Lust auf Passwörter

Check 5: Domain verifizieren

Wer SSO nutzen will, muss die eigene Domain in Shopify verifizieren. Erst dadurch kann Shopify zuverlässig erkennen, welche Nutzerkonten zur eigenen Organisation gehören und welche Login-Anforderungen für diese Konten gelten sollen.

Die Domain-Verifizierung hilft außerdem im Betrieb. Wenn ein Nutzer mit einer verifizierten Domain den Zugriff auf seine Zwei-Faktor-Authentifizierung verliert, kann ein Shopify Admin für diesen Nutzer 2FA zurücksetzen. Das ist sonst nur über den Shopify Support möglich.

Check 6: Legacy Rollen abschaffen

Im Mai 2025 hat Shopify sein Berechtigungsmodell in Richtung rollenbasierter Zugriffskontrolle umgestellt. Zuvor wurden Rechte an User oder Usergruppen direkt vergeben, jetzt besteht die Möglichkeit, entweder vordefinierte oder selbst erstellte Rollen mit Berechtigungen anzulegen.

Das ist eine gute Gelegenheit, alte Rechte nicht einfach zu übernehmen, sondern bewusst zu bereinigen. Bei historisch gewachsenen Setups haben Nutzer oft mehr Rechte, als sie für ihre eigentliche Aufgabe benötigen.

Es sollte vor allem darauf geachtet werden, dass keine Legacy Access Gruppen mehr existieren! Falls doch müssen diese überprüft und aufgelöst werden.

Cybersicherheitsmonitor 2025

Schutz vor Cybercrime: Verbraucher werden nachlässiger

Check 7: Ein Rollenkonzept mit Least Privilege implementieren

Der wichtigste Grundsatz lautet Least Privilege. Jeder Nutzer bekommt nur die Rechte, die er wirklich braucht. Ein Support-Mitarbeiter muss Bestellungen bearbeiten können, braucht aber in der Regel keinen Zugriff auf Theme-Code, App-Entwicklung oder vollständige Datenexporte. Ein Marketing-Team braucht vielleicht Kampagnen- und Content-Rechte, aber nicht automatisch Zugriff auf alle Kundendaten oder Store-Einstellungen.

Besonders kritisch sind Owner- und Administratorrollen. Jeder Store und jede Organisation braucht einen Owner, aber diese Rolle sollte nicht als bequeme Standardlösung vergeben werden.

C-Level-Zugänge sind ebenfalls kritisch. Geschäftsführung und Management brauchen häufig Reports, aber selten operative Admin-Rechte im Shop. Gleichzeitig sind diese besonders häufig das Ziel von Phishing-Angriffen. Wenn solche Zugänge trotzdem existieren, sollten sie auf das Minimum reduziert und besonders stark abgesichert werden.

Check 8: Gift-Card-, Export- und Kundendatenrechte einschränken

Gift Cards sind kritisch, weil sie monetären Wert repräsentieren. Exportrechte sind kritisch, weil sie große Datenmengen schnell aus dem System herausbringen können. Kundendatenrechte sind kritisch, weil hier Datenschutz, Betrugsrisiko und Reputationsschäden zusammenkommen.

Diese Rechte sollten nicht breit vergeben werden. Wer sie benötigt, sollte sie begründet bekommen und wer sie nicht benötigt, sollte sie verlieren. Für besonders sensible Rechte kann zusätzlich ein Vier-Augen-Prinzip sinnvoll sein. Shopify bildet nicht jeden Freigabeprozess technisch ab, aber Unternehmen sollten organisatorisch festlegen, dass bestimmte Aktionen dokumentiert oder vorher freigegeben werden müssen.

Ändere-dein-Passwort-Tag

„123456“ als Passwort ganz vorn

Check 9: Ehemalige Mitarbeiter und Dienstleister konsequent entfernen

Klingt logisch, muss aber trotzdem umgesetzt werden. Viele Sicherheitsvorfälle beginnen nicht mit einer neuen Schwachstelle, sondern mit einem alten Zugang.

Offboarding darf deshalb nicht nur in HR und Microsoft 365 stattfinden. Shopify muss Teil des Offboarding-Prozesses sein und sobald jemand das Unternehmen oder ein Projekt verlässt, sollten Shopify-Zugänge geprüft und entfernt werden.

Zusätzlich sollte es ein regelmäßiges Review der User geben. Alle aktiven Nutzer, Rollen, externen Zugänge und offenen Einladungen werden überprüft und im Zweifel entfernt. Wichtig ist, dass jemand fachlich verantwortlich ist.

Check 10: Logs prüfen und Incidentmanagement vorbereiten

Niemand macht sich gerne Gedanken über den Ernstfall, er sollte aber trotzdem geprobt oder zumindest besprochen werden. Es könnte z.B. sein, dass im Internet eine Liste aller Kunden eines Shops veröffentlicht wird. In diesem Fall muss geprüft werden, ob diese Daten aus Shopify abgeflossen sind und falls ja, wie genau.

Der Shopify Plus Support hat Zugriff auf Auditdaten, die man als normaler Admin nicht einsehen kann. Es ist unter anderem möglich, die Exportaktionen aus der Vergangenheit auflisten zu lassen. So kann z.B. herausgefunden werden, ob ein bestimmter User einen Export aller Kundendaten getriggert hat oder nicht.

Für diese Abfragen gelten viele Bestimmungen und vor allem hält sich Shopify extrem bedeckt und macht wenig Aussagen, für was genau Audit Logs vorliegen. Für reguläre Aktionen scheinen Logs maximal 14 Tage lang einsehbar zu sein, Exports können aber auch länger zurück liegen.

Fakt ist auch, dass nicht jeder User Logs beim Plus Support anfragen kann, diese Requests müssen immer vom Store Owner freigegeben werden (in der Regel per E-Mail).

Plus Stores sollten diesen Prozess testen, damit klar ist, wie er im Ernstfall angestoßen werden kann.

Über den Autor: Vita: Mika Schmidt ist Gründer von Six Eight Consulting und spezialisiert auf IT-Security im Bereich E-Commerce.

Security-Insider Podcast – Folge 119

Deepfakes erkennen, wenn das Auge versagt

(ID:50925225)