Zugriffe und Rechte im Shop: Rollenkonzept und Offboarding

Gilt für: Shops in Deutschland, Österreich und der Schweiz; versionsunabhängig; Rechte je System einzeln prüfen (Shopsystem, Warenwirtschaft, Hosting, Zahlungsdienst)

Ein Shopsystem entscheidet mit jedem Konto, was eine Person darf: Produkte anlegen, Preise ändern, Bestellungen bearbeiten, Erstattungen auslösen, Kundendaten exportieren, Rollen vergeben. Ein Rollenkonzept hält diese Entscheidungen in einer Matrix fest, und das Offboarding setzt sie beim Austritt wieder zurück. Die Schritte unten führen von den Aufgaben der Personen über eine Rechte-Matrix zu einer Abwicklung, die auch dann hält, wenn jemand kurzfristig geht.

Was die Vorschriften verlangen

In Deutschland und Österreich gilt die Datenschutz-Grundverordnung unmittelbar und ab dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Art. 32 Abs. 1 DSGVO verlangt unter Berücksichtigung des Stands der Technik, der Implementierungskosten und des Risikos geeignete technische und organisatorische Maßnahmen; Buchst. b nennt die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen, Abs. 2 die Risiken durch unbefugten Zugang, Abs. 4, dass die dem Verantwortlichen unterstellten Personen personenbezogene Daten nur auf seine Anweisung verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. Nach Art. 3 Abs. 2 DSGVO gilt die Verordnung auch für einen Anbieter außerhalb der Union, der Personen in der Union Waren oder Dienstleistungen anbietet.

In der Schweiz verlangt Art. 8 Abs. 1 DSG eine dem Risiko angemessene Datensicherheit durch geeignete technische und organisatorische Maßnahmen (in Kraft seit 1. September 2023). Die Mindestanforderungen stehen in der DSV: Art. 2 Buchst. a verlangt, dass bearbeitete Daten nur Berechtigten zugänglich sind, Art. 3 Abs. 1 Buchst. a, dass berechtigte Personen nur auf die Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen, Art. 3 Abs. 3 Buchst. a, dass überprüfbar ist, welche Personendaten zu welcher Zeit von welcher Person eingegeben oder verändert wurden.

Das IT-Grundschutz-Kompendium des BSI ist keine Rechtsvorschrift; seine Anforderungen binden, soweit ein Gesetz oder ein Vertrag auf sie verweist. Der Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023, verfügbar seit 1. Februar 2023) beschreibt den Aufbau, der Baustein ORP.2 Personal die Einarbeitung und den Weggang. Die Anforderungen tragen einen Typ: Basis-Anforderungen MÜSSEN erfüllt werden, Standard-Anforderungen SOLLTEN erfüllt werden, und die Anforderungen bei erhöhtem Schutzbedarf sind exemplarische Vorschläge, die nach einer individuellen Risikoanalyse in Betracht gezogen werden. Für einen kleinen Shop sind die Basis-Anforderungen der Ausgangspunkt.

Was Sie vorab brauchen

Liste aller Systeme mit Zugang: Shopsystem, Warenwirtschaft oder ERP, Hosting und Server, Konto beim Zahlungsdienstleister, E-Mail- und Newsletter-Werkzeug, Versand- und Analysedienste, Verwaltung von Domain und DNS
Liste aller Personen und Dienstkonten, die heute Zugang haben: Inhaber, Angestellte, Aushilfen, Buchhaltung, Versand, Agentur, Freelancer
je Person in ein bis zwei Sätzen die Aufgaben, die sie im Shop erledigt
die Antwort, welche Daten besonders schützenswert sind: Zahlungsdaten, Kundenstammdaten, Zugangsdaten, Protokolle
eine Person, die Rollen vergibt, und eine zweite, die die Vergabe prüft
ein Ort für die Matrix mit Datum und Verantwortlichem sowie ein Termin für die nächste Prüfung

Schritt für Schritt: Von der Aufgabe zur gesperrten Kennung

Schritt 1: Aufgaben beschreiben

Schreiben Sie je Person auf, was sie im Shop tut: Produkte und Inhalte pflegen, Preise und Aktionen setzen, Bestellungen bearbeiten, versenden, Erstattungen auslösen, Kundendaten exportieren, Konfiguration ändern, Rollen vergeben. Fassen Sie Aufgaben, die in derselben Funktion zusammen vorkommen, zu einem Profil zusammen. Trennen Sie Aufgaben, die sich gegenseitig kontrollieren; welche Aufgaben unvereinbar sind, legt Ihre Institution selbst fest. ORP.4.A4 verlangt, die so definierten unvereinbaren Aufgaben und Funktionen (siehe Baustein ORP.1 Organisation) durch das Identitäts- und Berechtigungsmanagement zu trennen. A1 und A2 verlangen, dass Kennungen und Gruppen sowie Berechtigungen ausschließlich über administrative Rollen eingerichtet werden, die von der Benutzerrolle getrennt sind; eine Trennung von Kennungsverwaltung und Rechtevergabe auf zwei Personen verlangen sie nicht. Ob Sie beide Tätigkeiten trennen, ist Ihre Entscheidung (Empfehlung). Ergebnis: je Person ein Profil aus Aufgaben statt aus Systemnamen.

Schritt 2: Rollen und Matrix bilden

Tragen Sie Rollen als Zeilen und Funktionen als Spalten in eine Matrix ein, wie im Beispiel unten. Beginnen Sie bei allen Feldern mit einer Absage und tragen Sie nur ein, was eine Aufgabe verlangt; ORP.4.A2 verlangt die Vergabe nur nach tatsächlichem Bedarf. ORP.4.A16 verlangt als Standard-Anforderung (SOLLTE) Standard-Rechteprofile nach Funktion und Aufgabe sowie je IT-System eine schriftliche Zugriffsregelung. Ergebnis: eine Matrix, die eine außenstehende Person lesen und gegen das System prüfen kann.

Schritt 3: Kennungen anlegen und absichern

Legen Sie je Person eine eigene Kennung an: ORP.4.A1 verlangt als Basis-Anforderung (MUSS), dass jede Kennung eindeutig einer Person zugeordnet werden kann; ORP.4.A14 verlangt als Standard-Anforderung (SOLLTE) die Kontrolle, dass nicht mehrere Personen unter derselben Kennung arbeiten. Nicht benötigte Kennungen, etwa standardmäßig eingerichtete Gastkonten oder Standard-Administrierendenkennungen, deaktivieren oder löschen Sie (ORP.4.A1); vorkonfigurierte Authentisierungsmittel ändern Sie vor dem produktiven Einsatz (ORP.4.A9). Weitreichende Kennungen schützen Sie mit Mehr-Faktor-Authentisierung (ORP.4.A10, Standard-Anforderung: SOLLTE, für Kennungen mit weitreichenden Berechtigungen; ORP.4.A21 führt sie bei erhöhtem Schutzbedarf als exemplarischen Vorschlag). Ergebnis: eine Kontenliste, in der jede Zeile eine Person und eine Rolle nennt.

Schritt 4: Im Betrieb prüfen

Vergleichen Sie in festen Abständen die Kontenliste mit der Personenliste und die Matrix mit den tatsächlich vergebenen Rechten; ORP.4.A3 verlangt, die Dokumentation der Kennungen, Gruppen und Rechteprofile regelmäßig auf den tatsächlichen Stand zu prüfen. Für längere Abwesenheiten nennen ORP.4.A5 bis A7 das vorübergehende Sperren der berechtigten Personen. Ergebnis: ein Prüfprotokoll mit Datum, Abweichung und Zuständigem.

Schritt 5: Den Austritt abwickeln

Beginnen Sie vor dem letzten Arbeitstag, nicht danach: ORP.2.A2 verlangt, dass eine Nachfolgeperson rechtzeitig eingewiesen wird oder, wenn eine Übergabe nicht möglich ist, eine ausführliche Dokumentation entsteht. Die Reihenfolge der Schritte steht in der Checkliste unten; sie deckt Angestellte, Aushilfen, Freelancer und Agenturen ab.

Schritt 6: Nachweise und Löschfristen festhalten

Halten Sie in der Rechteübersicht je Änderung Person, Datum und Rolle fest (Empfehlung); ORP.4.A3 verlangt, die zugelassenen und angelegten Kennungen, Gruppen und Rechteprofile zu dokumentieren, die Dokumentation regelmäßig gegen den tatsächlichen Stand der Rechtevergabe zu prüfen und sie vor unberechtigtem Zugriff zu schützen. Entscheiden Sie außerdem für jede Aufzeichnung, wie lange Sie sie brauchen: Eine Kennung macht Anmeldeprotokolle zu personenbezogenen Daten (in Deutschland und Österreich Art. 4 Nr. 1 DSGVO; in der Schweiz Art. 5 Buchst. a DSG). In Deutschland und Österreich begrenzt Art. 5 Abs. 1 Buchst. e DSGVO die Speicherung auf die Zeit, die der Zweck verlangt; für im öffentlichen Interesse liegende Archivzwecke sowie für wissenschaftliche, historische und statistische Zwecke nach Art. 89 Abs. 1 DSGVO gilt eine Ausnahme. In der Schweiz sind Personendaten zu vernichten oder zu anonymisieren, sobald der Zweck sie nicht mehr verlangt (Art. 6 Abs. 4 DSG). Prüfen Sie deshalb vor dem Löschen eines Kontos, welche Protokolle und Vorgänge die Kennung noch brauchen.

Die Rollen- und Rechte-Matrix

Die Matrix ist ein Beispiel für einen Shop mit Shopsystem, Warenwirtschaft, Kartenzahlung und Newsletter. Die acht Rollen sind unsere Arbeitsgliederung; die Spalten füllen Sie mit Ihren Systemen. Die ORP-Nummern sind Anforderungen des BSI-IT-Grundschutzes (Edition 2023, Deutschland), die nur binden, soweit ein Gesetz oder ein Vertrag auf sie verweist; wir verwenden sie hier als Aufbauhilfe für alle drei Länder. Jede Zeile trägt ihre Bedingung selbst. Führt eine Person den Shop allein, schrumpft die Matrix auf eine Zeile; der Entzug bleibt auch dort ein Thema, weil Buchhaltung, Agentur und Aushilfen eigene Konten haben. Fallen in einem kleinen Shop mehrere Rollen auf dieselbe Person, tragen Sie beide Rollen getrennt in die Rechteübersicht ein, statt eine gemeinsame Rolle mit allen Rechten zu bilden (Empfehlung).

Rolle	Darf im Shop	Darf nicht	Bedingung	Entzug bei
Inhaber oder Geschäftsführung	alle Funktionen, auch Preise und Rollen	keine Einschränkung	eigene Kennung; weitreichende Rechte mit Mehr-Faktor-Authentisierung (ORP.4.A10, Standard-Anforderung)	Austritt oder Verkauf des Shops, mit Übergabe
Technische Administration	Konfiguration, Erweiterungen, Kennungen und Rollen	Preise ändern, Bestellungen bearbeiten, Erstattungen auslösen	Kennungen und Gruppen werden ausschließlich über diese administrative Rolle angelegt und gelöscht (ORP.4.A1); Berechtigungen vergibt nur eine administrative Rolle (ORP.4.A2); Mehr-Faktor-Authentisierung (ORP.4.A10, Standard-Anforderung)	Aufgabenwechsel oder Ende des Dienstleistervertrags
Katalog und Inhalte	Produkte, Kategorien, Texte, Bilder	Preise, Bestellungen, Kundendaten, Rollen	Vergabe nur nach tatsächlichem Bedarf (ORP.4.A2)	Aufgabenwechsel
Preise und Aktionen	Preise, Rabatte, Gutscheine	Rollen, Bestellungen, Kundendatenexport	Preis-, Rabatt- und Gutscheinänderungen werden protokolliert und in einem Bericht geprüft (Empfehlung)	Aufgabenwechsel
Bestellungen und Versand	Bestellungen bearbeiten, Versandlabels erstellen, Sendungen verfolgen	Preise, Rollen, Erstattungen, vollständiger Kundendatenexport	Sicht auf die für die Lieferung erforderlichen Daten; in der Schweiz verlangt Art. 3 Abs. 1 Buchst. a DSV den Zugriff nur auf die Daten, die die Aufgabe verlangt	Aufgabenwechsel oder Ende der Aushilfstätigkeit
Kundenservice	Bestellungen einsehen, Anfragen bearbeiten, Erstattungen bis zu einer festgelegten Grenze	Preise, Rollen, Konfiguration	Erstattungsgrenze und der Fall für eine zweite Person sind schriftlich festgelegt (Empfehlung)	Aufgabenwechsel
Buchhaltung	Rechnungen, Zahlungen und Exporte einsehen und exportieren	Bestellungen ändern, Rollen, Konfiguration	eigener Lesezugriff statt Weitergabe fremder Zugangsdaten	Ende des Mandats oder Aufgabenwechsel
Externe Agentur oder Freelancer	befristet die vereinbarten Funktionen	Rollenvergabe, Zahlungsdaten	Vertraulichkeitsvereinbarung vor dem Zugang (ORP.2.A5); Rückgabe der Zugangsberechtigungen am Ende (ORP.2.A4)	Ablauf der vereinbarten Frist

Checkliste für den Austritt

Die Liste gilt für Angestellte, Aushilfen, Freelancer und Agenturen. Jede Zeile nennt die Anforderung, die sie trägt: Anforderungen mit ORP-Nummer stehen im BSI-IT-Grundschutz (Edition 2023, Deutschland) und binden, soweit ein Gesetz oder ein Vertrag auf sie verweist.

Vor dem letzten Arbeitstag:

Nachfolge einweisen: laufende Bestellungen, offene Vorgänge, Einstellungen; ist eine Übergabe nicht möglich, eine ausführliche Dokumentation anfertigen (ORP.2.A2).
Zugänge und Mittel auflisten, die die Person hat: Kennungen in allen Systemen, dazu Schlüssel, Ausweise, Geräte und Karten (ORP.4.A5 bis A7, ORP.2.A2).
Klären, wer Aufgaben übernimmt, für die keine Vertretung besteht, und die betroffenen Stellen informieren: Versand, Support, Buchhaltung, Hoster, Zahlungsdienstleister.
Bei Dienstkonten und Schnittstellenschlüsseln klären, ob die Person die Geheimnisse kennt.

Am letzten Arbeitstag:

Persönliche Kennungen sperren oder löschen und alle Rollen entziehen (ORP.4.A1, ORP.4.A2).
Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittskarten einziehen (ORP.2.A2).
Auf die Verschwiegenheitspflicht hinweisen (ORP.2.A2).
Betroffene Stellen über das Ausscheiden informieren und Notfall- und Ablaufpläne aktualisieren, in denen die Person steht (ORP.2.A2).

In der ersten Woche danach:

Kontenliste jedes Systems durchsehen: Shopsystem, Warenwirtschaft, Hosting, Zahlungsdienstleister, Newsletter, Analysedienste.
Geheimnisse wechseln, die die Person kannte: Schnittstellenschlüssel, Zugangsdaten von Dienstkonten, Passwort eines gemeinsamen Postfachs.
Löschfrist für Konto und Protokolle festlegen und das Ergebnis der Abwicklung mit Datum, Namen und geprüften Systemen ablegen.

So prüfen Sie das Ergebnis

Die Anmeldung mit einer gesperrten Kennung wird abgewiesen, und der Versuch erscheint im Protokoll.
Jede Zeile der Kontenliste nennt eine Person und eine Rolle; keine Zeile trägt einen Sammelnamen.
Ein Konto der Rolle Bestellungen und Versand kann keinen Preis ändern; der Versuch wird protokolliert.
Jede Rolle der Matrix existiert im System, und jede im System vorhandene Rolle steht in der Matrix.
Externe Zugänge tragen ein Enddatum.
Die Rechteübersicht dokumentiert die zugelassenen Kennungen, Gruppen und Rechteprofile und stimmt mit dem tatsächlichen Stand der Rechtevergabe überein (ORP.4.A3).

Wenn etwas nicht klappt

Symptom	Ursache	Behebung
Ein Zugang einer ausgeschiedenen Person funktioniert weiter	Gesperrt wurde nur im Shopsystem, nicht in Warenwirtschaft, Hosting, Zahlungsdienstleister oder Newsletter	Kontenliste je System abarbeiten und die Abwicklung künftig über die Checkliste führen
Nach einem Aufgabenwechsel tauchen alte Rechte auf	Bei der personellen Veränderung wurden nicht mehr benötigte Berechtigungen nicht entfernt (ORP.4.A2)	Die Rolle aus der neuen Aufgabe neu aufbauen, statt Rechte zu addieren
Zwei Personen arbeiten mit derselben Kennung	Gemeinsames Konto für das Team	Je Person eine eigene Kennung anlegen (ORP.4.A1); ohne eigene Kennung lässt sich in der Schweiz die Eingabekontrolle nach Art. 3 Abs. 3 Buchst. a DSV nicht belegen
Die Matrix stimmt nicht mit den vergebenen Rechten überein	Die Dokumentation wurde nicht regelmäßig geprüft (ORP.4.A3)	Rechte im System ablesen, Abweichungen eintragen und die Dokumentation nachziehen
Ein Agenturzugang bleibt über den Auftrag hinaus offen	Im System fehlt ein Enddatum für den externen Zugang	Enddatum setzen und am Ende die Zugangsberechtigungen zurückfordern (ORP.2.A4)

Wann Sie Hilfe holen sollten

Holen Sie Unterstützung, wenn Ihr Shop auf einer Plattform läuft und Sie Rollen nicht selbst anlegen oder einsehen können; dann gehören Rechteübersicht und Prüfintervall in den Vertrag, den Hosting für den Onlineshop beschreibt. Holen Sie sie ebenso, wenn Zahlungsdaten durch eigene Systeme laufen, wenn mehrere Personen an Erstattungen und Buchhaltung arbeiten oder wenn nach einem Vorfall unklar ist, wer welchen Zugang hatte. Die technischen Schichten einer Shop-Absicherung führt Grundschutz-Checkliste für Shops weiter, die Verteilung der Aufgaben im Team Aufgaben und Rollen im Onlineshop.