Shopify-Zugriffe wachsen oft schrittweise. Eine neue Rolle kommt hinzu, ein Projekt endet, der alte Zugang bleibt. Access Reviews holen diese Entwicklung regelmäßig ein: Jede Zuweisung wird bestätigt, begrenzt oder entfernt.
Die Prüfung sollte nicht bei einzelnen Rollennamen stehen bleiben. In Shopify kann ein Benutzer mehrere Rollen erhalten. Deren Berechtigungen wirken zusammen.
Den effektiven Zugriff prüfen
Für jede Person zählt der gesamte erreichbare Umfang:
- zugewiesene Rollen und Gruppen,
- Organisations- und Shop-Zugriffe,
- freigegebene Apps,
- sensible Berechtigungen,
- Inhaber- oder Administratorstatus.
Eine unkritisch wirkende Rolle kann zusammen mit einer zweiten Rolle weitreichende Rechte ergeben. Deshalb wird immer die Person mit ihrem kumulierten Zugriff geprüft – nicht jede Rolle isoliert.
Besondere Aufmerksamkeit verdienen Berechtigungen für Benutzerverwaltung, Kundendaten, Exporte, Rückerstattungen, Zahlungen, Abrechnung und App-Installation.
Review vorbereiten
Die Prüfliste sollte interne Mitarbeiter, Administratoren, Inhaber, Agenturen und weitere externe Zugänge enthalten. Pro Identität reichen wenige Felder:
- Person und organisatorischer Verantwortlicher,
- Zweck des Zugriffs,
- Rollen und Gruppen,
- betroffene Shops und Apps,
- letzte bekannte Nutzung,
- bisherige Genehmigung,
- Review-Entscheidung und Frist.
Die fachliche Führungskraft bestätigt, ob der Zugriff noch für die Aufgabe gebraucht wird. IT oder Shopify-Administration prüft, ob die technische Zuweisung dieser Entscheidung entspricht.
In fünf Schritten entscheiden
- Identität prüfen: Arbeitet die Person noch für das Unternehmen oder den beauftragten Dienstleister?
- Aufgabe abgleichen: Ist der dokumentierte Zweck weiterhin aktuell?
- Umfang bewerten: Werden alle Rollen, Shops und Apps tatsächlich benötigt?
- Sensible Rechte hinterfragen: Lassen sich privilegierte oder exportfähige Zugriffe reduzieren?
- Entscheidung umsetzen: Zugriff bestätigen, begrenzen oder entziehen und die Änderung anschließend kontrollieren.
Unklare Antworten sind keine Bestätigung. Sie erhalten eine kurze Klärungsfrist und führen danach zum Entzug, sofern kein verantwortlicher Genehmiger den Bedarf belegt.
Entscheidung und Nachweis festhalten
Ein Review ist erst abgeschlossen, wenn die Entscheidung in Shopify umgesetzt und erneut geprüft wurde. Für den Nachweis genügen:
- Entscheidung: bestätigen, begrenzen oder entziehen,
- Name des Prüfers und des Genehmigers,
- Datum und Begründung,
- Referenz auf Ticket oder Änderungsnachweis,
- nächster Review-Termin.
Shopify protokolliert Änderungen an Benutzern und Rollen im Benutzeraktivitätsprotokoll. Für einzelne Benutzer sind außerdem die fünf letzten Anmeldesitzungen mit Datum, IP-Adresse und technischen Angaben sichtbar. Diese Daten unterstützen die Prüfung, ersetzen aber keinen vollständigen Nutzungsnachweis.
Einen passenden Rhythmus wählen
Reviews sollten sofort bei Aufgabenwechsel und Austritt stattfinden. Für regelmäßige Kontrollen sind monatliche Reviews privilegierter Zugänge und quartalsweise Reviews der übrigen Benutzer ein praktikabler Ausgangspunkt. Das sind risikobasierte Empfehlungen, keine von Shopify vorgeschriebenen Intervalle.
Zusätzliche Reviews sind nach Umstrukturierungen, Agenturwechseln, neuen Shops oder größeren Änderungen an Rollen und Gruppen sinnvoll. So bleibt die Prüfung nah an den Ereignissen, die Zugriffsrechte tatsächlich verändern.
Fazit
Ein Shopify Access Review muss keine große Kampagne sein. Eine vollständige Benutzerliste, klare Verantwortliche und drei mögliche Entscheidungen reichen: bestätigen, begrenzen oder entziehen. Entscheidend ist, den gesamten effektiven Zugriff zu prüfen und jede Änderung nachzuverfolgen.
Passende Shopify-Insights
Quellen
- Shopify Help Center: RollenRollenkategorien und kumulative Wirkung mehrerer Rollen; abgerufen am 23.07.2026
- Shopify Help Center: Rollen verwaltenZuweisung, Entfernung sowie Begrenzung auf Shops und Apps; abgerufen am 23.07.2026
- Shopify Help Center: Vertrauliche BerechtigungenSensible Daten und Verteilung kritischer Verwaltungsaufgaben; abgerufen am 23.07.2026
- Shopify Help Center: Benutzeraktivität und Login-HistorieÄnderungsprotokoll und letzte Anmeldesitzungen; abgerufen am 23.07.2026