Um einem Marketplace-Kunden richtig zu antworten, braucht ein Support-Tool Zugriff: auf die Bestellungen und Nachrichten des Marketplace, auf Ihre Versandplattform, auf Ihr Postfach, vielleicht auf Ihre Rechnungsstellung. Hinter jedem dieser Zugriffe steht ein API-Key oder ein Konto-Login, und jeder davon kann viel. Ein Mirakl-API-Key ist nicht auf Lesen beschränkt. Er kann Bestellungen annehmen, versenden und erstatten. Der Key einer Versandplattform kann Labels erstellen, die Ihnen berechnet werden.

Die Frage ist also nicht, ob ein Helpdesk die Arbeit erledigen kann. Die Frage ist, ob man ihm die Schlüssel anvertrauen kann, die diese Arbeit erst möglich machen. Das sind die zehn Fragen, die wir jedem Tool stellen würden, auch unserem eigenen, und die Antworten, die wir für das Minimum halten.

1. Wo liegen die Keys, und wie?

Die einzig akzeptable Antwort: verschlüsselt gespeichert, mit einem Schlüssel, den die Anwendung getrennt von der Datenbank hält, sodass eine Kopie der Datenbank allein wertlos ist. Fragen Sie, ob sich dieser Schlüssel ohne Ausfallzeit rotieren lässt und ob das schon einmal geschehen ist.

Ein Tool, das Ihren API-Key im Klartext in einer Konfigurationsspalte ablegt, ist ein Datenleck, das nur noch auf ein durchgesickertes Backup wartet.

2. Kann ich den Key je wieder sehen?

Nein. Einmal eingegebene Zugangsdaten sollten nie wieder angezeigt werden, weder in der Oberfläche noch in einer API-Antwort. Das Tool darf Ihnen sagen, dass ein Key vorhanden ist, wann er gesetzt wurde und ob er funktioniert. Zeigt Ihnen ein Produkt Ihren Mirakl-Key in den Einstellungen wieder an, ist er so gespeichert, dass er sich auch jemand anderem anzeigen lässt.

3. Was, wenn mein Mandant und der eines anderen Kunden in derselben Datenbank liegen?

Das tun sie vermutlich, so funktioniert SaaS. Die Frage ist, ob die Trennung getestet ist. Jeder Endpunkt, der einen Fall, eine Verbindung, eine Einstellung oder einen Export berührt, muss ablehnen, wenn der Aufrufer kein Mitglied dieses Arbeitsbereichs ist (am besten mit einem 404 statt einem 403, damit er nicht bestätigt, dass es das Objekt gibt). Fragen Sie, ob es dafür je Endpunkt einen automatisierten Test gibt und ob ein neuer Endpunkt ohne einen solchen Test ausgeliefert werden kann.

4. Wo wird gehostet, und wer kommt heran?

Für europäische Händler, die Nachrichten europäischer Kunden verarbeiten, gehören die Daten in die EU, und der Anbieter sollte genau sagen können, wo sie liegen und was dort läuft. Fragen Sie, ob die Datenbank überhaupt aus dem Internet erreichbar ist (sie sollte es nicht sein) und ob der administrative Zugang per Schlüssel und mit Protokollierung erfolgt oder per Passwort.

5. Was verlässt das System, und an wen?

Übersetzung, Zusammenfassungen, Entwürfe: Alles, was mit KI-Unterstützung läuft, schickt Kundentext an einen Modellanbieter. Fragen Sie, an welche Anbieter, ob sie Prompts aufbewahren und ob Sie die Funktion abschalten und alles im eigenen Haus behalten können. Fragen Sie dasselbe für den E-Mail-Versand, die Fehlerüberwachung und die Nutzungsanalyse. Die ehrliche Antwort ist eine Liste, nicht „Datenschutz ist uns wichtig“.

6. Wer hat was getan?

Jede Aktion von Gewicht (eine Erstattung, eine geänderte Einstellung, ein neues Mitglied, ein Export, ein gelöschter Arbeitsbereich) gehört in ein Audit-Log, mit Akteur, Zeitpunkt und Ziel. Nicht als Compliance-Theater, sondern für den Tag, an dem der Betreiber fragt, wer Bestellung 4471 erstattet hat und warum.

7. Bekomme ich meine Daten heraus, und kann ich sie verschwinden lassen?

Export in einem maschinenlesbaren Format, auf Abruf, ohne Support-Ticket. Eine Löschung, die wirklich löscht: Eine Karenzfrist ist vertretbar, ein dauerhaftes „Soft Delete“, das alles für immer aufbewahrt, ist es nicht. Beides gehört ins Produkt, nicht in eine E-Mail an den Anbieter.

8. Was fällt aus, wenn das Tool ausfällt, und wie würde es jemand merken?

Support-Tools stehen zwischen Ihnen und einer 24-Stunden-Frist. Bleibt die Synchronisierung stehen, stapeln sich die Nachrichten still auf dem Marketplace, während der Posteingang ruhig aussieht. Fragen Sie, ob es einen Health-Check gibt, der laut Alarm schlägt, wenn der Hintergrundprozess steht, wenn eine Verbindung immer wieder scheitert oder wenn ausgehende E-Mails hängen bleiben, und wer ihn im Blick hat.

9. Backups, und wurde je eines wiederhergestellt?

Nächtliche Backups sind selbstverständlich. Die Frage, die eine echte Antwort von einer Präsentationsfolie trennt, lautet: Wann haben Sie zuletzt eines wiederhergestellt, und wie lange hat es gedauert? Ein Backup, das nie wiederhergestellt wurde, ist eine Hoffnung.

10. Welchen Zugriff braucht das Tool mindestens?

Ein gutes Tool verlangt den Key mit den geringsten Rechten, die für die Aufgabe reichen, und sagt Ihnen, was es damit tut. Nur lesend, wo Lesen genügt (der Key einer Versandplattform, der nur für das Tracking dient, sollte keine Labels erstellen müssen). Wo Schreibzugriff unvermeidlich ist, wie bei Mirakl-Erstattungen, sollte das Tool für jeden Schreibvorgang, der Geld bewegt, die Bestätigung eines Menschen verlangen, den Stand unmittelbar vor der Aktion noch einmal prüfen und das Ergebnis protokollieren. „Wir nutzen ihn nur für …“ ist eine Behauptung. Ein Bestätigungsschritt und ein Protokoll sind Belege.

Zwei Dinge, die Sie selbst tun sollten

Geben Sie jedem Tool seinen eigenen Key. Auf Marketplaces können Sie mehrere API-Keys oder mehrere API-Nutzer anlegen. Einer je Tool bedeutet: Einer lässt sich widerrufen, ohne die anderen lahmzulegen, und die Protokolle des Marketplace zeigen Ihnen, welches Tool was getan hat.

Rotieren Sie, wenn jemand geht. Hat ein ausscheidender Kollege je einen Key gesehen, tauschen Sie ihn aus. Mit Tools, die Keys ordentlich speichern, dauert das zwei Minuten: neuen Key einfügen, testen, fertig.

Die unbequeme Zusammenfassung

Ein Helpdesk mit Ihren Marketplace-Keys kann jede Ihrer Bestellungen erstatten. Die meisten Anbieter werden diese Macht nie anrühren, aber „nie“ ist ein Versprechen, und die Fragen oben sind Kontrollen. Wählen Sie den Anbieter, der alle zehn beantworten kann, ohne etwas nachschlagen zu müssen. Das ist der Anbieter, der sich mit dem Tag befasst hat, an dem etwas schiefgeht.

Unsere eigenen Antworten veröffentlichen wir auf der Sicherheitsseite. Nehmen Sie uns beim Wort.