SMS-OTP-Login für Shopify Customer Accounts: Leitfaden für eigenen Identity Provider und einwilligungskonforme Registrierung

Damit sich Kunden bei Shopify mit Telefonnummer und SMS-Code anmelden können, binden Sie in Shopify Plus einen eigenen Identity Provider (IdP) über OpenID Connect an. Der Standard-Login von Shopify schickt einen Einmalcode an die E-Mail-Adresse des Kunden. Login per Telefon, Registrierungsformular, Einwilligungen und der Abgleich mit dem ERP laufen in Ihrem eigenen Login-Dienst; Shopify erhält von diesem Dienst ein signiertes Identitätsdokument (ID-Token) und erkennt den Kunden an der E-Mail und der dauerhaften Kennung darin.

Bei Nodus Works haben wir dieses Setup für eine Einzelhandelsmarke gebaut, die zu Shopify Plus gewechselt ist, ein Filialnetz betreibt und ein Treueprogramm hat, und es im Plus-Shop durchgängig in Betrieb genommen. Die Kunden der Marke werden an der Kasse seit Jahren über ihre Telefonnummer erkannt; ein reiner E-Mail-Login hätte einen großen Teil von ihnen ausgesperrt.

Den Wechsel von Legacy Customer Accounts zum neuen System selbst, also den Wegfall von Passwörtern und Liquid-Kontovorlagen, beschreiben wir in unserem Leitfaden zur Migration der Shopify Legacy Customer Accounts. Die folgenden Schritte setzen auf einem Shop auf, der diese Migration abgeschlossen hat: den E-Mail-Code-Login durch Telefon und SMS-Code ersetzen und Registrierung sowie Einwilligungen im eigenen Formular erfassen.

Worin unterscheidet sich der Shopify-Standard-Login von einem eigenen Identity Provider?

Beim Standard-Login prüft Shopify die Identität selbst: Der Kunde gibt seine E-Mail ein, tippt den erhaltenen Code ein und die Sitzung startet. Mit einem eigenen Identity Provider bleibt Shopify der Türsteher, überlässt die Identitätsprüfung aber Ihnen. Shopify leitet den Kunden zu Ihrem Login-Dienst weiter, Ihr Dienst prüft die Person und gibt Shopify ein signiertes Dokument zurück. Shopify prüft die Signatur und lässt den darin genannten Kunden herein.

Laut Shopify-Dokumentation zur Customer Authentication findet Shopify den Kunden über die Claims email und sub im Token, legt ihn bei Bedarf an und öffnet die Sitzung. Dieselbe Sitzung gilt auch im Checkout.

Unterschätzen Sie die letzte Zeile nicht. Fällt der Login-Dienst aus, können Kunden weder ihr Konto öffnen noch sich im Checkout anmelden; Monitoring, Schlüsselverwaltung und die Kontrolle der SMS-Kosten gehören deshalb zum Projekt.

Was brauchen Sie, bevor Sie einen eigenen Identity Provider anbinden?

Vor der Einrichtung sollten fünf Dinge bereitstehen:

• Ein Shopify-Plus-Plan. Einen eigenen Identity Provider können nur Plus-Shops anbinden. Diese und ähnliche Plus-Möglichkeiten haben wir auf unserer Seite zu Shopify-Plus-Lösungen zusammengefasst.
• Neue Customer Accounts. Nutzt der Shop noch Legacy-Konten, steht zuerst die Migration an.
• Ein OpenID-Connect-konformer Login-Dienst. Er muss den Authorization Code Flow unterstützen. Sie können eine Identitätsplattform nutzen, für die Shopify Anleitungen bereitstellt (Auth0, Okta, Microsoft Entra ID, Amazon Cognito), oder einen eigenen Dienst schreiben. Wir haben einen eigenen geschrieben, weil die Telefonnummer mit dem ERP-Kundendatensatz abgeglichen werden musste und das Registrierungsformular türkischen Rechtstexten folgen sollte.
• SMS-Versand. Ein SMS-Anbieter oder ein ERP- bzw. CRM-Dienst, der den Code verschickt.
• Eine Subdomain für den Login-Dienst. Zum Beispiel login.ihrshop.de. Warum sie vom ersten Tag an nötig ist, steht weiter unten im Abschnitt zum Shopify-Admin.

Online-Store-2.0-Themes und Headless-Shops

Die Login-Seite läuft im Login-Dienst, außerhalb des Themes. In einem Online-Store-2.0-Theme (Dawn, Horizon oder ein eigenes Theme) ist für den Login daher keine Theme-Änderung nötig: Solange die Links „Anmelden“ und „Konto“ des Themes auf die neuen Customer Accounts zeigen, leitet Shopify den Kunden zu Ihrem Dienst weiter. Die alten Vorlagen customers/login.liquid spielen in diesem Ablauf keine Rolle. Ein Headless-Shop nutzt denselben Identity Provider über die Customer Account API; damit der Kunde beim Wechsel in den Checkout angemeldet bleibt, wird zusätzlich die Checkout-Authentifizierung eingerichtet.

Wie entsteht die Shopify-Identität eines Kunden, der sich per Telefon anmeldet?

Die wichtigste Entscheidung in diesem Projekt betrifft das Identitätsdesign, nicht den Code. Shopify ordnet jeden Kunden über die E-Mail zu. Damit ein Login per Telefon beim richtigen Shopify-Konto landet, haben wir drei Regeln festgelegt.

sub ist die dauerhafte Kundenkennung. Der Wert sub im Token ist der eigentliche Schlüssel des Kontos. Steht dort eine Telefonnummer oder E-Mail, hält Shopify den Kunden nach einem Nummern- oder Adresswechsel für eine neue Person. Der richtige Wert ist die unveränderliche Kundennummer aus ERP oder CRM.

Jeder Kunde hat eine E-Mail im Token. Kunden ohne echte E-Mail werden im Registrierungsformular danach gefragt. Ist das Formular deaktiviert oder der Kundendatensatz gerade nicht erreichbar, wird eine aus der Telefonnummer abgeleitete Adresse verwendet, die keine Post annimmt (zum Beispiel 905550000000@phone.ihrshop.de). Da die Telefonnummer per SMS-Code bestätigt wurde, gilt diese Adresse als verifiziert. Bestell-E-Mails erreichen sie nicht; sie ist ein Sicherheitsnetz für den Übergang, keine Dauerlösung.

Bestehende Kunden werden gefunden, nicht neu angelegt. Nach der Codeprüfung sucht der Dienst den Kunden zuerst über die vom ERP gelieferte Shopify-Kundenkennung, dann über die E-Mail, dann über die Telefonnummer. Die E-Mail des gefundenen Kunden wird ins Token geschrieben. So öffnet Shopify das bestehende Konto mit Bestellhistorie, statt ein neues anzulegen.

So sieht das ID-Token eines Logins in unserem Testshop aus (Kennungen anonymisiert):

{
  "iss": "https://login.ihrshop.de",
  "aud": "<von Shopify verwendete Client-ID>",
  "sub": "erp:1000482917",
  "email": "ayse.yilmaz@example.com",
  "email_verified": true,
  "phone_number": "+905550000000",
  "given_name": "Ayşe",
  "family_name": "Yılmaz",
  "nonce": "<von Shopify gesendeter Wert>",
  "iat": 1793799284,
  "exp": 1793802884
}

iss zeigt, wer das Token signiert hat, aud, für wen. Zwischen iat und exp liegt eine Stunde; danach ist das Token ungültig.

Der Claim Import von Shopify schreibt einige Felder aus dem Token selbst in den Kundendatensatz. Wer weiß, was wo landet, weiß auch, welche Daten einen eigenen Weg brauchen:

Wie läuft der SMS-OTP-Login Schritt für Schritt ab?

1. Der Kunde tippt im Shop oder im Checkout auf „Anmelden“.
2. Shopify leitet den Kunden zum Login-Dienst weiter und hängt Rücksprungadresse und Sicherheitswerte an (state, nonce und PKCE).
3. Der Kunde gibt seine Telefonnummer ein, der Dienst schickt einen Einmalcode per SMS.
4. Der Kunde gibt den Code ein. Stimmt er, gleicht der Dienst den Kunden in ERP und Shopify ab; ist der Datensatz unvollständig, öffnet sich auf derselben Seite das Registrierungsformular.
5. Der Dienst schreibt Segment, Punkte und Einwilligungen in den Shopify-Kundendatensatz.
6. Der Dienst schickt den Kunden mit einem einmaligen Autorisierungscode zu Shopify zurück.
7. Im Hintergrund tauscht Shopify diesen Code gegen ein ID-Token und prüft die Signatur mit dem öffentlichen Schlüssel, den der Dienst veröffentlicht.
8. Shopify findet den Kunden über die E-Mail im Token und öffnet die Sitzung.

Damit ein Entwicklungsteam den Dienst an Shopify anbinden kann, braucht er Folgendes. Jeden Punkt haben wir mit unserem eigenen Dienst gegen Shopify getestet:

• Ein OIDC-Discovery-Dokument (/.well-known/openid-configuration) und einen JWKS-Endpunkt mit den öffentlichen Schlüsseln
• Authorization Code Flow mit PKCE (S256) und mit RS256 signierte ID-Tokens
• Authentifizierung am Token-Endpunkt per client_secret_basic und client_secret_post
• Refresh-Tokens über den Scope offline_access
• Einen Logout-Endpunkt für von Shopify ausgelöste Abmeldungen (RP-initiated Logout)
• Einmalige Autorisierungscodes: Eine zweite Token-Anfrage mit demselben Code wird abgelehnt

Wie schützen Sie den SMS-Code vor Missbrauch?

Die Login-Seite ist öffentlich, der SMS-Versand ist also ein angreifbarer Kostenposten. Automatisierte Code-Anfragen an Tausende Nummern (SMS Pumping) kosten Geld und schaden Ihrer Absenderreputation bei den Netzbetreibern. Diese Grenzen haben wir gesetzt:

• Höchstens ein Code pro Nummer alle 60 Sekunden und höchstens fünf pro Stunde.
• Höchstens 20 Code-Anfragen pro Stunde von derselben IP-Adresse.
• Ein Code gilt 180 Sekunden, bei falscher Eingabe werden die verbleibenden Versuche angezeigt, danach ist ein neuer Code nötig.
• Wird die Login-Sitzung nicht innerhalb von 10 Minuten abgeschlossen, beginnt der Kunde von vorn.
• Auf einem einzelnen Server können die Zähler im Speicher liegen; bei mehreren Servern brauchen sie einen gemeinsamen Speicher wie Redis.

Zwei kleine Einstellungen machen für die Bedienung einen großen Unterschied. Mit autocomplete="one-time-code" und Zifferntastatur im Codefeld schlagen iOS und Android den eingehenden SMS-Code direkt über der Tastatur vor, der Kunde muss ihn nicht abtippen. Das Telefonfeld nutzt den Typ tel mit einem lokalen Nummernmuster als Platzhalter. Die Login-Seite ist für Suchmaschinen gesperrt (noindex).

Wie bauen Sie ein Registrierungsformular, das KVKK und Einwilligungsregeln erfüllt?

Der Shop in diesem Projekt ist in der Türkei tätig. Dort regelt das KVKK (das türkische Datenschutzgesetz, im Aufbau der DSGVO ähnlich) personenbezogene Daten und das E-Commerce-Gesetz (ETK) kommerzielle SMS und E-Mails. Gibt es nach der Telefonbestätigung keinen nutzbaren Shopify-Datensatz, oder fehlen Name oder echte E-Mail, wird der Kunde nicht zu Shopify zurückgeschickt, sondern auf derselben Seite öffnet sich das Registrierungsformular. Ein Passwort wird nicht abgefragt, die bestätigte Telefonnummer wird nur angezeigt. Ohne abgeschicktes Formular startet keine Sitzung.

Die Grundsätze, nach denen wir das Formular gebaut haben:

• Information und Einwilligung sind getrennt. Der Datenschutzhinweis informiert und wird als Link angeboten; er ist nie an ein Kontrollkästchen gekoppelt. Eine Zustimmung wird nur für die Mitgliedschaftsbedingungen und die freiwillige Marketing-Einwilligung verlangt.
• Der Nachweis wird gespeichert. Der Zeitpunkt der Zustimmung zu den Bedingungen steht im Kundendatensatz. Bei erteilter Marketing-Einwilligung setzt Shopify die E-Mail- und SMS-Marketing-Einwilligung als Single Opt-in mit Datum; dieselbe Einwilligung geht an das ERP.
• Nicht abgefragte Einwilligungen werden nie angenommen. Einwilligungen, die nicht im Formular stehen (Telefonkontakt, Übermittlung ins Ausland), gehen als abgelehnt an das ERP. Bestandskunden, die sich anmelden, ohne das Formular je gesehen zu haben, haben ebenfalls keine Marketing-Einwilligung. Vorangekreuzte Kästchen gelten auch nach der DSGVO nicht als Einwilligung.
• Nicht mehr Daten als nötig. Das Geburtsdatum ist freiwillig. In Server-Logs wird die Telefonnummer maskiert (555*****00). SMS-Codes werden nicht dauerhaft gespeichert und nach Ablauf gelöscht. Schlüssel und Secrets liegen in den Servereinstellungen, nie im Code.
• Die Übernahme fremder Konten wird verhindert. Ist die eingegebene E-Mail bereits einem anderen Kunden zugeordnet, kommt das Formular mit dem Hinweis „Diese E-Mail-Adresse ist bei einem anderen Konto registriert“ zurück. Sonst könnte jemand mit einer fremden E-Mail in ein fremdes Konto gelangen.
• Der Hosting-Standort gehört in den Datenschutzhinweis. Der Login-Dienst verarbeitet Telefonnummern. Wo er gehostet wird und welcher SMS-Anbieter genutzt wird, gehört zusammen mit der Bewertung der Auslandsübermittlung in den Datenschutzhinweis. Die Meldung von Marketing-Einwilligungen an İYS, das zentrale türkische Einwilligungsregister, wird an Ihren bestehenden Einwilligungsprozess angebunden.

Wichtig: Dieser Abschnitt ist eine technische Einschätzung, keine Rechtsberatung. Formulieren Sie Datenschutzhinweis, Mitgliedschaftsbedingungen und den Einwilligungstext gemeinsam mit Ihrer Rechtsberatung. Die allgemeinen KVKK-Pflichten von Shopify-Shops behandeln wir in unserem Leitfaden zur Shopify-KVKK-Integration.

Wie gelangen Segment, Treuepunkte und ERP-Daten beim Login zu Shopify?

Der Claim Import überträgt Name, Telefon, Adresse und Tags, aber keine Metafelder. Kampagnensegmente und Treuepunkte der Marke werden aus Kunden-Metafeldern gelesen, also mussten diese Daten beim Login separat geschrieben werden. Nach der Codeprüfung und bevor der Kunde zu Shopify zurückgeschickt wird, schreibt der Dienst Segment und Punkte aus dem ERP über die Shopify Admin API in den Kundendatensatz. Wenn die Sitzung startet, sind die Felder bereits gefüllt und segmentbasierte Rabatte greifen ab der ersten Seite.

Das Segment als Kunden-Tag über den Claim Import zu übergeben, ist ebenfalls möglich. Wir haben uns für die Admin API entschieden, weil die Kampagnenlogik Metafelder liest und Tags auch von anderen Prozessen geschrieben werden.

Die wichtigste Regel in diesem Schritt: Der Login darf nicht vom ERP abhängen. Liefern ERP oder Shopify einen Fehler oder ein Timeout, läuft der Login weiter und im Kundendatensatz bleiben die zuletzt bekannten Werte. Für die Segmentabfrage haben wir ein Timeout von einer Sekunde gesetzt; eine langsame ERP-Antwort hält den Kunden nie auf.

Punkte lassen sich auch im Checkout einlösen. Vor der Zahlung sendet eine Checkout UI Extension eine gesicherte Anfrage an den Login-Dienst und der Kontostand wird erneut aus dem ERP gelesen, damit in derselben Minute in einer Filiale eingelöste Punkte online nicht ein zweites Mal genutzt werden. Die Anfrage ist mit dem Session-Token signiert, das Shopify der Extension mitgibt, und das ERP wird pro Kunde höchstens alle 20 Sekunden abgefragt. Wie Sie den Punktestand auf der Kontoseite anzeigen, steht in unserem Leitfaden zur Customer Account UI Extension; das Treueprogramm selbst behandelt unser Leitfaden zum Shopify-Kundenbindungsprogramm. Ist das ERP ein System wie Nebim, finden Sie den Kunden- und Bestellablauf auf unserer Seite zur Shopify-Nebim-Integration.

Wie binden Sie den Identity Provider im Shopify-Admin an?

Ist der Login-Dienst bereit, erfolgt die Anbindung im Shopify-Admin in fünf Schritten (Schritte im Shopify Help Center):

1. Unter Settings > Customer accounts > Authentication > Identity provider wählen Sie Connect.
2. Ins Feld Discovery URL kommt die Adresse des Dienstes mit dem Zusatz /.well-known/openid-configuration.
3. In Client ID und Client Secret tragen Sie die Werte des Dienstes ein. Die Scopes enthalten openid und email; unter den zusätzlichen Scopes ergänzen Sie offline_access.
4. Die Callback- und Logout-URLs, die Shopify auf diesem Bildschirm anzeigt, kommen in die Liste der erlaubten Rücksprungadressen des Login-Dienstes.
5. Danach Save, Test connection und Activate in dieser Reihenfolge.

Wichtig: Sobald der Provider aktiv ist und sich der erste Kunde angemeldet hat, sind Discovery URL, Client ID und Secret gesperrt. Ändert sich die Adresse des Dienstes, lässt sich der alte Eintrag nicht bearbeiten; daneben wird ein neuer Provider angelegt. Veröffentlichen Sie den Dienst deshalb von Anfang an auf seiner dauerhaften Subdomain (login.ihrshop.de) und aktivieren Sie ihn nie mit einer vorläufigen Serveradresse.

Testen Sie vor der Aktivierung jedes dieser Szenarien in einem Testshop:

• Login im Shop und im Checkout, danach Logout
• Login eines Bestandskunden per Telefon: kein neues Konto, Bestellhistorie sichtbar
• Login mit einer Nummer ohne Datensatz und anschließende Registrierung
• Falscher Code, abgelaufener Code, wiederholte Code-Anfragen
• Registrierungsversuch mit der E-Mail eines anderen Kunden
• Login bei ausgefallenem ERP: Die Sitzung startet, die zuletzt bekannten Punkte werden angezeigt

Fünf Probleme aus der Praxis und ihre Lösung

Ein zweites Konto für denselben Kunden

Problem Ein Bestandskunde meldet sich per Telefon an und landet in einem leeren Konto ohne Bestellhistorie.

Ursache Steht die aus der Telefonnummer abgeleitete Adresse im Token, erkennt Shopify das alte, mit echter E-Mail registrierte Konto nicht und legt einen neuen Kunden an.

Lösung Bevor das Token geschrieben wird, sucht der Dienst den Kunden nacheinander über Shopify-Kennung, E-Mail und Telefon und schreibt die E-Mail des gefundenen Kunden ins Token.

Anmeldeversuche mit fremder E-Mail

Problem Die im Registrierungsformular eingegebene E-Mail könnte zur Tür in das Konto eines anderen Kunden werden.

Ursache Shopify findet den Kunden über die E-Mail im Token; eine ungeprüfte E-Mail öffnet also eine fremde Sitzung.

Lösung Gehört die E-Mail im Formular einem anderen Kunden, wird nichts gespeichert und der Kunde um eine andere Adresse gebeten.

Login hängt, wenn das ERP langsam wird

Problem Antwortet das ERP langsam mit Segment oder Punkten, wartet der Kunde auf dem Code-Bildschirm.

Ursache Wartet der Login auf das ERP, wird jede Verzögerung im ERP zu einem Login-Fehler.

Lösung ERP-Aufrufe laufen mit kurzem Timeout; bei Fehler oder Verzögerung wird der Login abgeschlossen, die zuletzt bekannten Werte bleiben und der Vorfall wird protokolliert.

Eine Login-Seite, die nicht zum Shop passt

Problem Eine schlichte Login-Seite auf einer eigenen Domain wirkt fremd und kostet Vertrauen.

Ursache Der Login-Dienst ist nicht Teil des Themes und bringt Header, Footer und Styles des Shops nicht von selbst mit.

Lösung Der Dienst liest Header, Footer und Stylesheet alle 10 Minuten von der Live-Seite, entfernt Skripte und setzt sie in die Login-Seite ein. Ist der Shop nicht erreichbar, öffnet sich ein schlichtes Formular und der Login funktioniert trotzdem.

Gesperrte Verbindung beim Domainwechsel

Problem Ein mit der Adresse des Testservers aktivierter Provider lässt sich beim Umzug auf die dauerhafte Domain nicht bearbeiten.

Ursache Nach dem ersten Kunden-Login sperrt Shopify Discovery URL, Client ID und Secret.

Lösung Für die neue Adresse wird ein zweiter Provider angelegt und der Wechsel geplant. In neuen Projekten veröffentlichen wir den Dienst von Anfang an auf der dauerhaften Subdomain.

Häufig gestellte Fragen

Ist für den SMS-Login bei Shopify Shopify Plus nötig? Ja. Einen eigenen Identity Provider können nur Shopify-Plus-Shops anbinden. Andere Pläne nutzen den E-Mail-Code-Login von Shopify.

Muss ich den Code meines Online-Store-2.0-Themes ändern? Für die Login-Seite nicht. Der Login läuft im Identity Provider außerhalb des Themes; der Konto-Link des Themes muss nur auf die neuen Customer Accounts zeigen. Nutzt das Theme noch Legacy-Liquid-Kontovorlagen, steht zuerst die Migration an.

Was passiert, wenn der Kunde keine E-Mail hat? Das Registrierungsformular fragt nach einer echten E-Mail. Ist das Formular deaktiviert, wird eine aus der Telefonnummer abgeleitete Adresse ohne Postempfang verwendet; sie ist nur ein vorübergehendes Sicherheitsnetz, weil sie keine Bestell-E-Mails empfängt.

Bekommen Bestandskunden beim Login per Telefon ein neues Konto? Bei richtiger Einrichtung nicht. Der Login-Dienst sucht den Kunden über Shopify-Kennung, E-Mail und Telefon und schreibt die E-Mail des gefundenen Kunden ins Token; Shopify öffnet das bestehende Konto mit Bestellhistorie.

Sollte ich statt Multipass einen Identity Provider nutzen? Bei neuen Projekten ja. Shopify empfiehlt für neue Integrationen einen Identity Provider eines Drittanbieters; Multipass steht neuen Shops nicht mehr zur Verfügung und unterstützt keinen Claim Import.

Was sollte der Login-Dienst für KVKK und DSGVO festhalten? Den Zeitpunkt der Zustimmung zu den Bedingungen sowie Status und Datum der Marketing-Einwilligung. Telefonnummern werden in Logs maskiert, SMS-Codes nach Ablauf gelöscht, und der Hosting-Standort des Dienstes steht im Datenschutzhinweis.

Funktioniert der SMS-Login auch im Checkout? Ja. Auch der Login im Checkout wird zum selben Identity Provider geleitet, und die Sitzung gilt gemeinsam für Shop, Kontoseite und Checkout.

Wo fangen Sie am besten an?

Ein Projekt für den Login per Telefon verbindet drei Aufgaben: einen OpenID-Connect-konformen Login-Dienst, einen Registrierungsablauf, der KVKK- und Einwilligungsregeln erfüllt, und eine Datenbrücke zwischen ERP und Shopify, die beim Login läuft. Jede lässt sich für sich bauen. Wird die Entscheidung zur Kundenidentität (sub, E-Mail und die Regel gegen doppelte Konten) aber nicht von Anfang an richtig getroffen, ist die spätere Korrektur der teuerste Teil.

Wir setzen dieses Setup im Rahmen unserer Shopify-Integrationslösungen und individuellen App-Entwicklung um. Erzählen Sie uns von Ihrem Kundenstamm und Ihrem ERP, dann erarbeiten wir gemeinsam, wie der Login per Telefon in Ihrem Shop aussehen sollte: Kontakt zu Nodus Works.