Admin Passwort Erinnerung Backend Sicherheit | Passwörter regelmäßig erneuern

Über die Erweiterung

Angenommen, in deiner Shopware-Administration arbeiten sechs Leute. Wann hat jeder von ihnen zuletzt sein Passwort geändert? Hand aufs Herz: In den meisten Shops weiß das niemand. Das Passwort vom ersten Arbeitstag ist oft noch dasselbe wie heute.

Das Problem

Shopware kennt für Admin-Passwörter kein Ablaufdatum. Ein Passwort, das einmal gesetzt ist, bleibt gültig, bis jemand von sich aus daran denkt. Verlangt deine interne Sicherheitsrichtlinie, ein Großkunde oder ein Partner regelmäßige Passwortwechsel, bleiben dir Kalendereintrag, Rundmail und die Hoffnung, dass alle mitziehen. Nachprüfen kannst du es nicht.

Die Lösung

Admin Passwort Erinnerung gibt jedem Admin-Passwort eine Gültigkeit, standardmäßig 90 Tage. Rückt der Ablauf näher, sieht der Benutzer nach dem Login einen Hinweis und bekommt einmal am Tag eine E-Mail, bis er sein Passwort geändert hat. Mit Premium wird aus der Erinnerung eine Regel: Wer sein abgelaufenes Passwort nicht erneuert, kommt nicht mehr an die Administration heran.

Was du davon hast

Du musst niemandem mehr hinterherlaufen. Das Plugin erinnert jeden Benutzer selbst, im Backend und per E-Mail. Du stellst die Regel einmal ein und hast danach keine Arbeit mehr damit.

Niemand wird überrumpelt. Die Erinnerung startet standardmäßig 7 Tage vor Ablauf. Deine Leute ändern ihr Passwort, wenn es passt, und nicht mitten in der Bestellbearbeitung.

Du siehst, wer hinterherhinkt. Auf der Detailseite jedes Benutzers steht, wann das Passwort zuletzt geändert wurde. Ein Blick genügt, keine Tabelle, keine Nachfrage.

Deine Richtlinie wird verbindlich (Premium). Mit eingeschalteter Sperre arbeitet niemand mit abgelaufenem Passwort weiter. Das Profil und das Abmelden bleiben offen, alles andere wartet auf das neue Passwort.

Ein Wechsel ist wirklich ein Wechsel (Premium). Die Passwort-Historie sperrt die zuletzt genutzten Passwörter eines Benutzers, standardmäßig die letzten 5. Zwischen zwei bekannten Passwörtern hin und her pendeln klappt nicht mehr.

Technische Konten laufen weiter (Premium). Einen Notfallzugang oder ein Service-Konto nimmst du auf der Benutzer-Detailseite von der Sperre aus. Hinweis und E-Mail laufen für ihn trotzdem weiter.

So arbeitet das Plugin

In der Plugin-Konfiguration legst du fest, wie viele Tage ein Passwort gilt und wie viele Tage vor Ablauf die Erinnerung beginnt. Zwei Schalter bestimmen, ob der Hinweis nach dem Login erscheint und ob E-Mails verschickt werden.

Der Hinweis heißt „Passwort läuft bald ab" oder „Passwort abgelaufen". Der Button „Passwort ändern" führt direkt zur Seite „Dein Profil". Mit „Später erinnern" schließt der Benutzer den Hinweis bis zur nächsten Browsersitzung.

Einmal am Tag prüft das Plugin alle aktiven Benutzer und schickt jedem im Erinnerungszeitraum höchstens eine E-Mail. Die Vorlage „Admin-Passwort-Erinnerung" liegt auf Deutsch, Englisch und Niederländisch unter Einstellungen > E-Mail-Templates bereit. Betreff, Absender und Text passt du dort an wie jede andere Shopware-Mail.

Jede Passwortänderung zählt: im eigenen Profil, durch einen Administrator unter Einstellungen > Benutzer & Rechte oder über „Passwort vergessen". Danach beginnt die Gültigkeit von vorn.

Bei Benutzern, die es beim Aktivieren schon gibt, startet die Gültigkeit mit der Aktivierung. Niemand muss also am Tag der Installation sein Passwort ändern. Mit den Standardwerten kommt die erste Erinnerung nach 83 Tagen.

Typische Einsatzszenarien

Kleines Team im Tagesgeschäft. Ein paar Leute pflegen Artikel, bearbeiten Bestellungen und beantworten Kundenanfragen. Du willst einen 90-Tage-Rhythmus, ohne jedes Quartal eine Rundmail zu schreiben und nachzuhaken.

Fragebogen von außen. Ein B2B-Kunde, dein Versicherer oder ein Partner will wissen, wie du mit Admin-Passwörtern umgehst. Das Plugin unterstützt deine Passwort-Richtlinie, und mit Premium lässt die Administration abgelaufene Passwörter nicht mehr zu.

Externe Zugänge. Deine Agentur oder ein Freelancer hat einen eigenen Admin-Benutzer. Statt jahrelang unverändert zu bleiben, läuft auch dieses Passwort ab und wird erneuert.

Technische Fakten für deine IT

• Shopware 6.7, PHP 8.2 oder neuer.
• Wirkt ausschließlich in der Administration. Keine Storefront-Anteile, kein Einfluss auf die Ladezeiten im Shop.
• Zwei eigene Tabellen (Änderungszeitpunkt und Ausnahme je Benutzer, Passwort-Historie). Die Shopware-Originaltabellen bleiben unverändert.
• Gespeichert werden Zeitstempel, ein Ausnahme-Kennzeichen und mit Premium die Passwort-Hashes der letzten Passwörter. Kein Klartext.
• Das Plugin sendet keine Daten an externe Server. Alle Daten bleiben in deiner Shopware-Datenbank und betreffen nur deine Admin-Benutzer.
• Die E-Mails verschickt eine tägliche geplante Aufgabe über den in Shopware eingerichteten Mailversand. Geplante Aufgaben und Nachrichten-Warteschlange müssen laufen.
• Sperre (Premium): Die Admin-API antwortet für betroffene Benutzer mit 403. Anmeldung, Passwort-Wiederherstellung und Profilseite bleiben erreichbar, Integrationen mit eigenem Zugangsschlüssel sind nicht betroffen.
• Deinstallation: Behältst du beim Deinstallieren die Daten, bleibt alles erhalten. Sonst entfernt das Plugin beide Tabellen sowie die E-Mail-Vorlage samt Typ.

Ehrlich gesagt

Die Einstellungen gelten für den ganzen Shop, nicht je Verkaufskanal, weil Admin-Benutzer zu keinem Kanal gehören. Die Passwort-Historie kennt erst Passwörter, die nach dem Freischalten von Premium vergeben wurden. Und das Plugin prüft weder die Stärke eines Passworts noch ersetzt es eine Zwei-Faktor-Anmeldung. Wenn dir regelmäßige Passwortwechsel wichtig sind, probier es in deinem Shop aus.

Rechtlicher Hinweis

Wir übernehmen keine Haftung für rechtliche Vorgaben. Bitte prüfe die Nutzung in Abstimmung mit einem qualifizierten Rechtsbeistand.