Weitere Admin-Benutzer anlegen und über Rollen genau festlegen, was sie im Backend dürfen.
Backend-Benutzer und ihre Rechte verwalten Sie unter System > Permissions in zwei zusammenhängenden Bereichen:
User Roles
Eine Rolle definiert, WELCHE Bereiche des Backends zugänglich sind — unter Role Resources wählen Sie per Baumstruktur genau die Menüpunkte aus, die für diese Rolle sichtbar sein sollen (z. B. eine Rolle "Support" nur mit Zugriff auf Bestellungen und Kunden, ohne Zugriff auf Systemeinstellungen oder Zahlungsdaten). Zusätzlich lässt sich unter Role Resources > Advanced beschränken, auf welche Websites/Stores sich die Rolle bezieht.
All Users
Hier legen Sie die eigentlichen Benutzerkonten an (Add New User) und weisen jedem eine der zuvor definierten Rollen zu. Ein neuer Benutzer benötigt mindestens Benutzername, E-Mail, Passwort sowie Ihr eigenes aktuelles Passwort zur Bestätigung.
Grundregel: Vergeben Sie nie mehr Rechte als für die jeweilige Aufgabe nötig — ein Mitarbeiter, der nur Bestellungen bearbeitet, braucht keinen Zugriff auf Systemkonfiguration oder Zahlungseinstellungen. Das begrenzt den möglichen Schaden bei einem kompromittierten Konto erheblich.
Zwei-Faktor-Authentifizierung (2FA)
Seit Magento 2.4 ist das Modul für die Zwei-Faktor-Authentifizierung standardmäßig aktiv und verlangt beim ersten Login jedes Admin-Benutzers die Einrichtung eines zweiten Faktors, üblicherweise per Authenticator-App (z. B. Google Authenticator). Konfiguriert wird das unter Stores > Configuration > Security > 2FA, wo sich einzelne Anbieter aktivieren oder deaktivieren lassen. Praxis-Tipp: In produktiven Umgebungen sollte 2FA grundsätzlich nicht deaktiviert werden, auch wenn das während der Entwicklung verlockend ist — es ist eine der wirksamsten Maßnahmen gegen kompromittierte Admin-Zugänge.
Konto-Sperre nach Fehlversuchen
Unter Stores > Configuration > Advanced > Admin > Security legen Sie mit dem Feld Maximum Login Failures to Lockout Account fest, nach wie vielen falschen Passworteingaben ein Benutzerkonto automatisch gesperrt wird, und mit Lockout Time (minutes), wie lange die Sperre andauert. Ist ein Konto gesperrt, erscheint auf der Bearbeitungsseite des Benutzers unter System > Permissions > All Users ein Hinweis sowie ein Unlock-Button, mit dem ein anderer Administrator die Sperre vorzeitig aufheben kann.
Sitzungsdauer und Passwort-Ablauf
Ebenfalls unter Stores > Configuration > Advanced > Admin > Security steuert Admin Session Lifetime (seconds), nach welcher Inaktivität ein Backend-Benutzer automatisch ausgeloggt wird, und Password Lifetime (days) erzwingt nach Ablauf der angegebenen Tage eine Passwortänderung beim nächsten Login. Für Konten mit weitreichenden Rechten (z. B. Administratoren-Rolle) empfiehlt es sich, diese Werte deutlich strenger zu setzen als für reine Redakteurs- oder Support-Zugänge.
Eigenes Profil verwalten
Jeder eingeloggte Backend-Benutzer kann unabhängig von seiner Rolle über System > My Account die eigenen Stammdaten pflegen — Benutzername, E-Mail, Passwort sowie die bevorzugte Oberflächensprache (Interface Locale). Änderungen erfordern auch hier zur Bestätigung das aktuelle eigene Passwort. Statt ein nicht mehr benötigtes Konto zu löschen, kann es unter All Users über das Feld This account is einfach auf Inactive gesetzt werden — die Historie (z. B. "zuletzt geändert von") bleibt dadurch nachvollziehbar erhalten.