Ein Break-Glass-Account ist der Rückweg in den Shopify-Admin, wenn SAML, der Identity Provider oder eine Zugriffsrichtlinie ausfällt. Er wird nicht für den Alltag gebraucht. Seine einzige Aufgabe ist, in einer Störung die Kontrolle über die Shopify-Organisation zurückzugewinnen.
Shopify empfiehlt, diesen Zugang vor der SAML-Einrichtung anzulegen. Wer ihn erst nach einem Ausfall vorbereitet, kommt möglicherweise nicht mehr an die nötigen Sicherheitseinstellungen.
Den Break Glass Account einrichten
Der Account sollte von der regulären SAML-Kette unabhängig sein. Dafür sind sechs Punkte wichtig:
- Andere E-Mail-Domain verwenden. Die Adresse darf nicht zu der Domain gehören, für die SAML erzwungen wird.
- Konto aktiv halten. Der Benutzer muss Mitglied der Shopify-Organisation sein und darf nicht nur als unbestätigte Einladung existieren.
- Ausreichende Rechte vergeben. Das Konto muss Organisationsinhaber oder Organisationsadministrator sein, damit es die SAML-Einstellung im Notfall ändern kann.
- Starke Anmeldung aktivieren. Mindestens Zwei-Faktor-Authentifizierung, besser ein Passkey oder ein hardwarebasierter Sicherheitsschlüssel.
- Zugang kontrolliert verwahren. Anmeldedaten, Wiederherstellungscodes und Hardware gehören in einen freigegebenen Notfallprozess mit wenigen berechtigten Personen.
- Nutzung überwachen. Jede Anmeldung sollte einen Alarm auslösen und anschließend geprüft werden.
Bei Microsoft Entra kann eine unabhängige Cloud-Domain wie unternehmen.onmicrosoft.com geeignet sein. Sie hilft jedoch nur, wenn auch Anmeldung, MFA und Wiederherstellung nicht von derselben fehlerhaften Richtlinie abhängen.
Shopify fordert ein Backup-Konto. Zwei getrennte Notfallkonten und ein Test mindestens alle 90 Tage sind weitergehende Empfehlungen von Microsoft für privilegierte Identitätszugänge. Sie lassen sich sinnvoll auf Shopify Plus übertragen, sind aber keine Shopify-Produktvorgabe.
Den Zugriff vor dem SAML-Rollout testen
Ein angelegtes Konto ist noch kein belastbarer Notfallzugang. Der Test ist erst bestanden, wenn eine autorisierte Person:
- sich ohne den regulären SSO-Pfad anmelden kann,
- die richtige Shopify-Organisation erreicht,
- unter Einstellungen > Benutzer > Sicherheit die SAML-Konfiguration öffnen kann,
- die SAML-Authentifizierung bei Bedarf deaktivieren könnte,
- und den Vorgang im internen Notfallprotokoll dokumentiert.
Das tatsächliche Abschalten von SAML sollte nur in einem abgestimmten Testfenster erfolgen. Für den regelmäßigen Funktionstest genügt es meist, Anmeldung, Berechtigungen, Alarmierung und Erreichbarkeit der Einstellung nachzuweisen.
Im Notfall kontrolliert vorgehen
Der Break-Glass-Account ist kein schneller Ersatz für den normalen Admin-Zugang. Seine Nutzung folgt einem kurzen, vorher festgelegten Ablauf:
- Störung bestätigen und Verantwortliche informieren.
- Notfallnutzung mit Zeitpunkt und Anlass eröffnen.
- Mit dem unabhängigen Konto direkt bei Shopify anmelden.
- SAML unter Einstellungen > Benutzer > Sicherheit vorübergehend auf Aus stellen, wenn die Störung anders nicht behoben werden kann.
- Identity Provider oder SAML-Konfiguration reparieren und mit einer kleinen Pilotgruppe testen.
- SAML wieder aktivieren und die Notfallnutzung beenden.
- Logs, Änderungen und Ursache nachträglich prüfen.
Wenn ein begrenzter Pilot möglich ist, kann Bestimmte Benutzer vor der erneuten domainweiten Erzwingung als Zwischenstufe dienen. Die genaue Aktivierung von Shopify SAML SSO sollte deshalb ebenfalls dokumentiert sein.
Typische Fehler vermeiden
Häufig hängt das Notfallkonto unbemerkt an derselben Ausfallursache wie der normale Zugang. Das passiert etwa, wenn es die gleiche E-Mail-Domain, die gleiche Conditional-Access-Regel oder den gleichen verlorenen Sicherheitsschlüssel nutzt.
Weitere Schwachstellen sind zu geringe Shopify-Rechte, nicht erreichbare Wiederherstellungsadressen und ein Konto, das seit seiner Einrichtung nie getestet wurde. Auch Routinearbeiten mit dem Break-Glass-Account sind problematisch: Sie erzeugen unnötige privilegierte Aktivität und erschweren die Alarmierung.
Fazit
Ein guter Shopify-Notfallzugang ist unabhängig, stark geschützt und praktisch getestet. Er bleibt im Alltag ungenutzt, ist im Ernstfall aber sofort erreichbar und darf genau die eine kritische Aktion ausführen: den regulären SAML-Zugang wiederherstellen.
Passende Shopify-Insights
Quellen
- Shopify Help Center: SAML-AuthentifizierungBackup-Konto, Berechtigungen und SAML-Einstellungen; abgerufen am 23.07.2026
- Microsoft Learn: Manage emergency access admin accountsÜbertragbare Empfehlungen zu Redundanz, Alarmierung und regelmäßigen Tests; abgerufen am 23.07.2026