Admin Passwort Erinnerung Backend Sicherheit | Passwörter regelmäßig erneuern

Auf einen Blick

• Deine Leute erneuern Passwörter rechtzeitig, ohne dass du nachhaken musst
• Hinweis nach dem Login und tägliche E-Mail, bevor das Passwort abläuft
• Du siehst je Benutzer, wann das Passwort zuletzt geändert wurde
• Premium: Abgelaufene Passwörter sperren die Administration bis zur Änderung
• Premium: Keine Rückkehr zu alten Passwörtern, Ausnahmen für Service-Konten

Angenommen, in deiner Shopware-Administration arbeiten sechs Leute. Wann hat jeder von ihnen zuletzt sein Passwort geändert? Hand aufs Herz: In den meisten Shops weiß das niemand. Das Passwort vom ersten Arbeitstag ist oft noch dasselbe wie heute.

Das Problem

Shopware kennt für Admin-Passwörter kein Ablaufdatum. Ein Passwort, das einmal gesetzt ist, bleibt gültig, bis jemand von sich aus daran denkt. Verlangt deine interne Sicherheitsrichtlinie, ein Großkunde oder ein Partner regelmäßige Passwortwechsel, bleiben dir Kalendereintrag, Rundmail und die Hoffnung, dass alle mitziehen. Nachprüfen kannst du es nicht.

Die Lösung

Admin Passwort Erinnerung gibt jedem Admin-Passwort eine Gültigkeit, standardmäßig 90 Tage. Rückt der Ablauf näher, sieht der Benutzer nach dem Login einen Hinweis und bekommt einmal am Tag eine E-Mail, bis er sein Passwort geändert hat. Mit Premium wird aus der Erinnerung eine Regel: Wer sein abgelaufenes Passwort nicht erneuert, kommt nicht mehr an die Administration heran.

Was du davon hast

Du musst niemandem mehr hinterherlaufen. Das Plugin erinnert jeden Benutzer selbst, im Backend und per E-Mail. Du stellst die Regel einmal ein und hast danach keine Arbeit mehr damit.

Niemand wird überrumpelt. Die Erinnerung startet standardmäßig 7 Tage vor Ablauf. Deine Leute ändern ihr Passwort, wenn es passt, und nicht mitten in der Bestellbearbeitung.

Du siehst, wer hinterherhinkt. Auf der Detailseite jedes Benutzers steht, wann das Passwort zuletzt geändert wurde. Ein Blick genügt, keine Tabelle, keine Nachfrage.

Deine Richtlinie wird verbindlich (Premium). Mit eingeschalteter Sperre arbeitet niemand mit abgelaufenem Passwort weiter. Das Profil und das Abmelden bleiben offen, alles andere wartet auf das neue Passwort.

Ein Wechsel ist wirklich ein Wechsel (Premium). Die Passwort-Historie sperrt die zuletzt genutzten Passwörter eines Benutzers, standardmäßig die letzten 5. Zwischen zwei bekannten Passwörtern hin und her pendeln klappt nicht mehr.

Technische Konten laufen weiter (Premium). Einen Notfallzugang oder ein Service-Konto nimmst du auf der Benutzer-Detailseite von der Sperre aus. Hinweis und E-Mail laufen für ihn trotzdem weiter.

So arbeitet das Plugin

In der Plugin-Konfiguration legst du fest, wie viele Tage ein Passwort gilt und wie viele Tage vor Ablauf die Erinnerung beginnt. Zwei Schalter bestimmen, ob der Hinweis nach dem Login erscheint und ob E-Mails verschickt werden.

Der Hinweis heißt „Passwort läuft bald ab” oder „Passwort abgelaufen”. Der Button „Passwort ändern” führt direkt zur Seite „Dein Profil”. Mit „Später erinnern” schließt der Benutzer den Hinweis bis zur nächsten Browsersitzung.

Einmal am Tag prüft das Plugin alle aktiven Benutzer und schickt jedem im Erinnerungszeitraum höchstens eine E-Mail. Die Vorlage „Admin-Passwort-Erinnerung” liegt auf Deutsch, Englisch und Niederländisch unter Einstellungen > E-Mail-Templates bereit. Betreff, Absender und Text passt du dort an wie jede andere Shopware-Mail.

Jede Passwortänderung zählt: im eigenen Profil, durch einen Administrator unter Einstellungen > Benutzer & Rechte oder über „Passwort vergessen”. Danach beginnt die Gültigkeit von vorn.

Bei Benutzern, die es beim Aktivieren schon gibt, startet die Gültigkeit mit der Aktivierung. Niemand muss also am Tag der Installation sein Passwort ändern. Mit den Standardwerten kommt die erste Erinnerung nach 83 Tagen.

Typische Einsatzszenarien

Kleines Team im Tagesgeschäft. Ein paar Leute pflegen Artikel, bearbeiten Bestellungen und beantworten Kundenanfragen. Du willst einen 90-Tage-Rhythmus, ohne jedes Quartal eine Rundmail zu schreiben und nachzuhaken.

Fragebogen von außen. Ein B2B-Kunde, dein Versicherer oder ein Partner will wissen, wie du mit Admin-Passwörtern umgehst. Das Plugin unterstützt deine Passwort-Richtlinie, und mit Premium lässt die Administration abgelaufene Passwörter nicht mehr zu.

Externe Zugänge. Deine Agentur oder ein Freelancer hat einen eigenen Admin-Benutzer. Statt jahrelang unverändert zu bleiben, läuft auch dieses Passwort ab und wird erneuert.

Technische Fakten für deine IT

• Shopware 6.7, PHP 8.2 oder neuer.
• Wirkt ausschließlich in der Administration. Keine Storefront-Anteile, kein Einfluss auf die Ladezeiten im Shop.
• Zwei eigene Tabellen (Änderungszeitpunkt und Ausnahme je Benutzer, Passwort-Historie). Die Shopware-Originaltabellen bleiben unverändert.
• Gespeichert werden Zeitstempel, ein Ausnahme-Kennzeichen und mit Premium die Passwort-Hashes der letzten Passwörter. Kein Klartext.
• Das Plugin sendet keine Daten an externe Server. Alle Daten bleiben in deiner Shopware-Datenbank und betreffen nur deine Admin-Benutzer.
• Die E-Mails verschickt eine tägliche geplante Aufgabe über den in Shopware eingerichteten Mailversand. Geplante Aufgaben und Nachrichten-Warteschlange müssen laufen.
• Sperre (Premium): Die Admin-API antwortet für betroffene Benutzer mit 403. Anmeldung, Passwort-Wiederherstellung und Profilseite bleiben erreichbar, Integrationen mit eigenem Zugangsschlüssel sind nicht betroffen.
• Deinstallation: Behältst du beim Deinstallieren die Daten, bleibt alles erhalten. Sonst entfernt das Plugin beide Tabellen sowie die E-Mail-Vorlage samt Typ.

Ehrlich gesagt

Die Einstellungen gelten für den ganzen Shop, nicht je Verkaufskanal, weil Admin-Benutzer zu keinem Kanal gehören. Die Passwort-Historie kennt erst Passwörter, die nach dem Freischalten von Premium vergeben wurden. Und das Plugin prüft weder die Stärke eines Passworts noch ersetzt es eine Zwei-Faktor-Anmeldung. Wenn dir regelmäßige Passwortwechsel wichtig sind, probier es in deinem Shop aus.

Häufige Fragen

Müssen nach der Installation alle sofort ihr Passwort ändern?

Nein. Für alle bestehenden Benutzer beginnt die Gültigkeit mit der Aktivierung des Plugins. Mit den Standardwerten (90 Tage Gültigkeit, Erinnerung 7 Tage vorher) kommt die erste Erinnerung also nach 83 Tagen.

Betrifft das Plugin meine Shop-Kunden oder mein Theme?

Nein. Es wirkt ausschließlich für Benutzer der Shopware-Administration. Kundenkonten, Storefront und Theme bleiben unberührt.

Kann ein Benutzer mit abgelaufenem Passwort weiterarbeiten?

Ohne Premium ja. Der Hinweis erscheint dann bei jeder neuen Browsersitzung, und die E-Mail kommt täglich. Mit Premium und eingeschalteter Option „Passwortänderung bei Ablauf erzwingen (Premium)” ist die Administration bis zur Änderung gesperrt.

Kann ich mich mit der Sperre selbst aussperren?

Nein. Die Seite „Dein Profil” bleibt immer offen, dort vergibst du das neue Passwort. Sobald es gespeichert ist, kannst du das Profil verlassen und normal weiterarbeiten. Hast du dein bisheriges Passwort vergessen, hilft „Passwort vergessen” auf der Anmeldeseite.

Wie oft kommt die Erinnerungs-E-Mail?

Höchstens einmal am Tag pro Benutzer. Sie startet mit dem Erinnerungszeitraum und läuft, bis das Passwort geändert ist. Deaktivierte Benutzer bekommen keine E-Mail.

Kann ich je Verkaufskanal unterschiedliche Regeln festlegen?

Nein. Admin-Benutzer gehören zu keinem Verkaufskanal, deshalb gelten die Einstellungen shopweit. Speichere sie in der Konfiguration unter „Alle Verkaufskanäle”, Werte bei einzelnen Kanälen haben keine Wirkung.

In welcher Sprache kommt die E-Mail an?

Jeder Admin erhält die E-Mail in seiner Administrationssprache. Die Vorlage ist auf Deutsch, Englisch und Niederländisch vorbereitet; fehlt eine Sprache, nutzt das Plugin die Standardsprache deines Shops.

Prüft das Plugin auch, ob ein Passwort stark genug ist?

Nein. Dafür ist es nicht gebaut. Es kümmert sich um Ablauf, Erinnerung und mit Premium um Sperre und Wiederverwendung, nicht um Länge oder Zeichenregeln.

Werden Passwörter gespeichert oder an Dritte übertragen?

Es gehen keine Daten an externe Server. Gespeichert werden Zeitstempel und mit Premium die Passwort-Hashes der letzten Passwörter, nie der Klartext. Alles bleibt in deiner Shopware-Datenbank.

Was passiert bei der Deinstallation mit meinen Daten?

Behältst du beim Deinstallieren die Daten, bleibt alles erhalten. Sonst entfernt das Plugin die gespeicherten Änderungsdaten, die Passwort-Historie und die E-Mail-Vorlage. Deine Admin-Benutzer selbst bleiben unverändert.