Kundenkonto und Login im Shop: Funktionen und Datenschutz

Ein Kundenkonto entscheidet mit, wie viele Daten Ihr Shop dauerhaft speichert und wie viel Betreuung der Login kostet. Die vier Wege in dieser Übersicht unterscheiden sich nicht im Kaufabschluss, sondern in Betreuung, Missbrauchsrisiko und Datenschutzpflichten. Wer die Felder und den Bestellbutton schon geklärt hat, findet diese Fragen in Checkout gestalten.

Wann sich ein Konto für den Shop lohnt

Ein Konto spart Wiederholungen: Adressbuch, Bestellhistorie, Retouren und Merkliste liegen bereit, und bei Reklamationen ist der Vorgang auffindbar. Für Abonnements und digitale Produkte ist ein Konto die praktikable Form, weil der Zugang wiederkehrend geprüft wird (Abo-Modell im Onlineshop).

Dem steht ein dauerhafter Pflegeaufwand gegenüber: Passwort-Resets, geänderte Adressen und Löschbegehren müssen Sie bearbeiten können. Rechnen Sie diese Betreuung mit, wenn Sie über den Weg entscheiden.

Kauf und Buchhaltung hängen nicht am Konto: Die Rechnung entsteht aus der Bestellung, und die Belege unterliegen den Aufbewahrungspflichten des jeweiligen Landes (Deutschland acht Jahre, Österreich sieben Jahre, Schweiz zehn Jahre für buchführungspflichtige Unternehmen). Ein Konto ist dafür nicht nötig, und seine Löschung ändert an diesen Fristen nichts.

Die vier Wege im Vergleich

Die Tabelle ordnet die vier Wege nach dem, was Sie speichern, und nennt je Weg die Bedingung, unter der er sicher vertretbar ist.

Weg	Was der Shop speichert	Was die Kundschaft tut	Sicherheitshinweis (Bedingung)
Gastbestellung	nur die Bestelldaten, kein Login	gibt die Adresse je Kauf ein	wenige gespeicherte Daten, dafür jede Bestellung neu; keine Anmeldung, kein Passwortrisiko
Konto mit Passwort	Login-Kennung, Adressen, Bestellhistorie	wählt ein Passwort	Passwörter sind nicht phishingresistent (NIST SP 800-63B-4, Abschnitt 3.1); Sperrliste, gesalzenes Hashing mit Kostenfaktor und Fehlversuchsgrenze nötig (dieselbe Richtlinie, Abschnitte 3.1.1.2 und 3.2.2)
Social Login (OpenID Connect)	Kennung des Anmeldedienstes und freigegebene Profilangaben	meldet sich beim Anmeldedienst an	der Shop erhält Daten Dritter; exakte Redirect-URI und PKCE nötig (RFC 9700, Standard), Information nach Art. 14 DSGVO (Deutschland, Österreich) beziehungsweise Art. 19 DSG (Schweiz)
Passkey (WebAuthn)	öffentlicher Schlüssel je Credential, kein Passwort	bestätigt mit PIN oder Biometrie	gilt als phishingresistent, weil Origin und RP ID in die Anmeldung einbezogen werden (W3C WebAuthn Level 3, Abschnitte 1.2.1 und 5, Standard); ein solches Credential kann als multi-device credential auf weiteren Geräten vorhanden sein (Abschnitt 6.1.3, Flags BE und BS), und synchronisierbare Authenticatoren sind im NIST-Niveau AAL3 nicht zugelassen (NIST SP 800-63B-4, Abschnitt 2.3.2)

Ein Konto mit Passwort können Sie um einen Einmalcode ergänzen; das NIST-Niveau AAL2 verlangt, dass der Anmeldedienst zusätzlich mindestens einen phishingresistenten Weg anbietet (NIST SP 800-63B-4, Abschnitt 2.2.2).

Was der Datenschutz verlangt

In Deutschland und Österreich gilt die DSGVO unmittelbar. Für einen Shop ohne Niederlassung in der Union, etwa mit Sitz in der Schweiz, gilt sie nach Art. 3 Abs. 2 DSGVO, soweit er Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten in der Union beobachtet. Erhebung und Voreinstellung sind auf das für den Zweck notwendige Maß beschränkt (Art. 5 Abs. 1 Buchst. c und Art. 25 Abs. 2 DSGVO); ein voreingestelltes Newsletter-Häkchen ist schon keine wirksame Einwilligung (Art. 4 Nr. 11 DSGVO, Erwägungsgrund 32). Rechtsgrundlage für Bestell- und Kontodaten ist die Vertragserfüllung (Art. 6 Abs. 1 Buchst. b DSGVO), für freiwillige Zusätze wie Werbe-E-Mails die jederzeit widerrufbare Einwilligung (Art. 6 Abs. 1 Buchst. a, Art. 7 Abs. 3 DSGVO).

In der Schweiz gilt das DSG: Bearbeitung rechtmäßig, nach Treu und Glauben und verhältnismäßig, auf einen erkennbaren Zweck beschränkt und beendet, sobald der Zweck sie nicht mehr verlangt (Art. 6 Abs. 1 bis 4 DSG); Voreinstellungen auf das nötige Mindestmaß (Art. 7 Abs. 3 DSG).

Beim Social Login kommen die Angaben vom Anmeldedienst, nicht von der Kundschaft; dafür gilt die Informationspflicht nach Art. 14 DSGVO (Deutschland, Österreich) und Art. 19 DSG (Schweiz). Ordnen Sie Konten über Anbieter plus Nutzerkennung zu; die E-Mail-Adresse allein ist keine stabile Kennung (OpenID Connect Core 1.0, Abschnitt 5.7).

Zur Kundschaft gehören auch Rechte: Auskunft, Löschung und Übertragbarkeit in Deutschland und Österreich (Art. 15, 17 und 20 DSGVO); in der Schweiz wird die Auskunft in der Regel innert 30 Tagen erteilt (Art. 25 Abs. 7 DSG), und herauszuverlangen sind die bekanntgegebenen Personendaten in einem gängigen elektronischen Format, wenn der Verantwortliche sie automatisiert und mit Einwilligung oder in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags bearbeitet (Art. 28 Abs. 1 DSG). Bauen Sie für jeden dieser Wege eine Funktion oder wenigstens einen Kontaktweg in den Shop ein.

So sichern Sie Login und Konten ab

Die Grundpflicht ist länderspezifisch: In Deutschland und Österreich verlangt Art. 32 Abs. 1 DSGVO dem Risiko angemessene technische und organisatorische Maßnahmen einschließlich Verschlüsselung, in der Schweiz gilt Art. 8 DSG. Die technischen Standards, die die folgenden Punkte nennen, sind Empfehlungen, keine Gesetze.

• Übertragen Sie Anmeldedaten nur verschlüsselt. Das BSI empfiehlt in TR-02102-2 (Version 2026-01) TLS 1.3, TLS 1.2 nur noch bis Ende 2031 und rät von TLS 1.0 und TLS 1.1 ab.
• Prüfen Sie gewählte Passwörter gegen eine Sperrliste und speichern Sie nur gesalzene Hashes mit Kostenfaktor; verlangen Sie keine Zeichenklassen und keinen Wechsel in festen Abständen. Einen Wechsel verlangen Sie nur, wenn Anzeichen dafür sprechen, dass der Authenticator kompromittiert ist (NIST SP 800-63B-4, Abschnitt 3.1.1.2).
• Begrenzen Sie Fehlversuche: Nach höchstens 100 aufeinanderfolgenden Fehlversuchen mit einem Authenticator auf einem Konto ist dieser zu sperren; die 100 sind eine Obergrenze, niedrigere Grenzen sind zulässig (NIST SP 800-63B-4, Abschnitt 3.2.2).
• Setzen Sie Sitzungen ein Ablaufdatum und bieten Sie ein Abmelden an. NIST verlangt ein Gesamt-Timeout; es soll im Niveau AAL1, in dem ein einzelner Faktor genügt, höchstens 30 Tage dauern, und ein Inaktivitäts-Timeout ist dort optional, aber nicht verlangt. Bei Mehrfaktor-Anmeldung (AAL2) soll die Gesamtdauer höchstens 24 Stunden und die Inaktivität höchstens eine Stunde betragen (NIST SP 800-63B-4, Abschnitte 2.1.3, 2.2.3 und 5.2).
• Bieten Sie einen Passkey an. Er gilt als phishingresistent, weil der Client Origin und RP ID in jede Anmeldung einbezieht und eine Antwort nicht gegen eine andere Seite verwendbar ist (W3C WebAuthn Level 3, Abschnitt 5); Passwörter sind nach NIST nicht phishingresistent (NIST SP 800-63B-4, Abschnitt 3.1). Ein Passkey kann als multi-device credential (synchronisierter Passkey) auf weiteren Geräten desselben Kontos vorhanden sein (W3C WebAuthn Level 3, Abschnitt 6.1.3, Flags BE und BS); im NIST-Niveau AAL3 sind synchronisierbare Authenticatoren deshalb nicht zugelassen (NIST SP 800-63B-4, Abschnitt 2.3.2).
• Beim Social Login gilt: exakte Übereinstimmung der Redirect-URI, PKCE für öffentliche Clients und keine Weiterleitungen auf frei wählbare Adressen (RFC 9700, Abschnitte 2.1 und 4.5.3.1).

Für die Sitzungsspeicherung selbst ist in Deutschland und Österreich keine Einwilligung nötig, soweit sie für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG; § 165 Abs. 3 Satz 3 TKG 2021); für Analyse- und Werbecookies bleibt es bei der Einwilligung. In der Schweiz verlangt Art. 45c FMG Information und einen Hinweis auf die Ablehnungsmöglichkeit.

Ein Rechenbeispiel

Die Zahlen sind erfunden und dienen nur der Rechnung. Ein Shop hat 1.500 Bestellungen im Monat, davon 450 aus Kundenkonten. Angenommen, vier Prozent dieser Kundschaft braucht einen Passwort-Reset: Das sind 18 Vorgänge. Bei sechs Minuten je Vorgang bindet der Passwortweg 108 Minuten Servicezeit im Monat. Ob Passkey oder Social Login diesen Aufwand senken, zeigt erst der eigene Versuch über mehrere Wochen.

Typische Fehler

• Die Anmeldung ist Pflicht, bevor bestellt werden kann. Bieten Sie stattdessen die Gastbestellung an; das Konto kann nach der Bestellung folgen.
• Passwortregeln verlangen Sonderzeichen und einen Wechsel in festen Abständen, etwa alle 90 Tage. Das widerspricht NIST SP 800-63B-4, Abschnitt 3.1.1.2; prüfen Sie, ob Ihre Regeln solche Vorgaben enthalten und ob sie einen Wechsel nur bei Anzeichen einer Kompromittierung vorsehen.
• Beim Social Login dient die E-Mail-Adresse als Kontoschlüssel. Nach OpenID Connect Core ist sie keine stabile oder eindeutige Kennung; zwei Konten können kollidieren.
• Die Sitzung läuft nie ab und ein Abmelden fehlt. NIST nennt als Richtwerte höchstens 30 Tage Gesamtdauer im Niveau AAL1 und bei Mehrfaktor-Anmeldung (AAL2) höchstens 24 Stunden Gesamtdauer mit höchstens einer Stunde Inaktivität; ein Inaktivitäts-Timeout ist im Niveau AAL1 optional. Ein Abmelden ist dort als Anlass vorgesehen, eine Sitzung zu beenden (NIST SP 800-63B-4, Abschnitte 2.1.3, 2.2.3 und 5.1).
• Kontodaten bleiben unbegrenzt gespeichert. Das verstößt gegen die Zweck- und Speicherbegrenzung (Deutschland und Österreich: Art. 5 Abs. 1 Buchst. c und e DSGVO; Schweiz: Art. 6 Abs. 3 und 4 DSG).

So gehen Sie vor

1. Legen Sie je Produktart fest, welcher Weg Standard ist; die Gastbestellung bleibt überall möglich.
2. Notieren Sie zu jedem Feld den Zweck; Felder für Newsletter und Profil bleiben ausdrücklich freiwillig.
3. Sichern Sie den Login ab: TLS, gesalzenes Hashing mit Sperrliste, Fehlversuchsgrenze, Sitzungs-Timeout.
4. Bauen Sie den Social Login nur mit exakter Redirect-URI und PKCE ein und ordnen Sie Konten über Anbieter plus Nutzerkennung zu.
5. Richten Sie Auskunft, Löschung und Datenherausgabe als Wege ein und halten Sie Rechnungsdaten getrennt von den freiwilligen Angaben.
6. Spielen Sie Anmeldung, Passwort vergessen und Kontolöschung einmal durch (Testbestellungen vor dem Start).

Wie viel Konto zulässig ist, hängt auch von den Feldern im Checkout ab; das behandelt Kundenkonto und Gastbestellung, die Absicherung des gesamten Shops die Shop-Sicherheit-Checkliste.