Amazon Kontosicherheit: Passkeys richtig nutzen 2026

Amazon Kontosicherheit 2026: Passkeys ab Juli, 2FA, Benutzerrechte, Phishing erkennen und Notfallplan bei Kontoübernahme. Praxisleitfaden für Seller.

Die Kurzfassung: Amazon führt ab Juli 2026 Passkeys in Seller Central ein — ein passwortloses Login über Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Passkeys sind phishing-resistent, weil kein Geheimnis übertragen wird, das ein Angreifer abfangen könnte, und werden im Lauf von 2026 für einen Teil der Konten verpflichtend. Für Seller heißt das: Umstellen, bevor die Pflicht kommt, und gleichzeitig die drei anderen Schwachstellen schließen — Zwei-Faktor-Authentifizierung für alle Zugänge, sauber vergebene Benutzerberechtigungen statt geteilter Logins und ein trainierter Blick für Phishing. Echte Amazon-Mails kommen ausschließlich von @amazon.de oder @amazon.com, und Amazon fragt nie per E-Mail, SMS oder Telefon nach Passwörtern oder Zahlungsdaten. Wer diese vier Punkte umsetzt und einen schriftlichen Notfallplan hat, reduziert das Risiko einer Kontoübernahme erheblich.

Warum Kontosicherheit 2026 zur Existenzfrage wird

Ein Amazon-Seller-Konto ist kein Login, sondern ein Unternehmenswert. Daran hängen Ihre Listings, Ihre Bewertungen, Ihre Verkaufshistorie und Ihre Auszahlungen. Wer den Zugang verliert, verliert im schlimmsten Fall alles gleichzeitig.

Kontoübernahmen laufen selten spektakulär ab. Typisch ist eine gefälschte Performance-Warnung per Mail, ein Login auf einer nachgebauten Seller-Central-Seite und wenige Stunden später geänderte Bankdaten. Der Umsatz läuft weiter, nur das Geld geht woanders hin.

Deshalb ist Sicherheit kein IT-Thema, sondern Teil der Geschäftsführung. Und sie ist deutlich billiger als die Wiederherstellung eines gesperrten oder kompromittierten Kontos.

Passkeys ab Juli 2026: Was sich in Seller Central ändert

Amazon führt ab Juli 2026 Passkeys in Seller Central ein. Statt eines Passworts melden Sie sich mit dem an, was Ihr Gerät bereits sicher verwahrt: Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Technisch entsteht dabei ein kryptografisches Schlüsselpaar. Der private Schlüssel verlässt Ihr Gerät nie, an Amazon geht nur der öffentliche Teil. Ein Angreifer kann also nichts abfangen, was ihm Zugang verschafft — genau das macht Passkeys phishing-resistent.

Der Unterschied zur klassischen Zwei-Faktor-Authentifizierung ist wichtig: Bei 2FA per SMS oder App geben Sie einen Code ein, den ein Angreifer auf einer gefälschten Seite mit abgreifen kann. Ein Passkey funktioniert nur auf der echten Amazon-Domain, weil die Prüfung an die Domain gebunden ist. Ein nachgebautes Login-Formular bekommt schlicht keine Antwort.

Passkeys werden im Lauf von 2026 für einen Teil der Konten verpflichtend. Warten Sie nicht auf die Umstellungsaufforderung. Richten Sie Passkeys auf mindestens zwei Geräten ein, damit ein verlorenes Handy nicht zum Zugangsverlust führt.

Zwei-Faktor-Authentifizierung richtig aufsetzen

Auch mit Passkeys bleibt 2FA relevant — als Absicherung für Wiederherstellungswege und für alle Zugänge rund um Amazon. Dazu gehören Ihr E-Mail-Postfach, Ihr Bankkonto und alle Tools mit API-Zugriff.

Bevorzugen Sie Authenticator-Apps oder Hardware-Schlüssel gegenüber SMS. SIM-Swapping, bei dem ein Angreifer Ihre Rufnummer auf eine eigene SIM portieren lässt, macht SMS-Codes angreifbar. Ein Authenticator-Code liegt dagegen nur auf Ihrem Gerät.

Die größte Schwachstelle ist fast immer das E-Mail-Konto, das an Seller Central hängt. Wer Ihr Postfach kontrolliert, kann Passwörter zurücksetzen und Sicherheitsbenachrichtigungen löschen, bevor Sie sie sehen. Sichern Sie dieses Postfach mit demselben Aufwand wie Seller Central selbst.

Benutzerberechtigungen: Der unterschätzte Risikofaktor

Geteilte Zugänge sind die häufigste vermeidbare Sicherheitslücke im Amazon-Geschäft. Ein Login, das Agentur, VA und zwei Mitarbeiter gemeinsam nutzen, macht jede Nachvollziehbarkeit unmöglich — und bei einem Vorfall wissen Sie nicht einmal, wo das Leck war.

Legen Sie für jede Person einen eigenen Benutzer an und vergeben Sie nur die Rechte, die für die Aufgabe nötig sind. Ein PPC-Dienstleister braucht keinen Zugriff auf Bankdaten. Ein Content-Mitarbeiter braucht keinen Zugriff auf die Auszahlungseinstellungen.

Besonders kritisch sind Rechte an Steuer- und Bankinformationen sowie an der globalen Kontoeinstellung. Diese sollten ausschließlich bei der Geschäftsführung liegen. Wie Sie das sauber strukturieren, zeigt der Leitfaden zu Benutzerberechtigungen in Seller Central.

Ein praktischer Nebeneffekt sauberer Rechtevergabe: Sie können operative Aufgaben abgeben, ohne kritische Zugriffe zu öffnen. Wer Gebote, Preise und Listings ohnehin über eine Plattform wie MarketplAIce steuert, braucht für die tägliche Optimierung gar keinen Vollzugriff auf Seller Central. Das reduziert die Zahl der Personen mit weitreichenden Rechten spürbar.

Führen Sie zusätzlich eine feste Routine ein: Einmal im Quartal alle Benutzer durchgehen und ausgeschiedene Personen sowie beendete Dienstleister entfernen. Alte Zugänge, an die niemand mehr denkt, sind ein Standard-Einfallstor.

14 Tage kostenlos testen — ohne Kreditkarte. Alle Tarife und Leistungen finden Sie auf der Preisseite.

Phishing erkennen: Die harten Prüfkriterien

Phishing-Mails im Amazon-Umfeld arbeiten fast immer mit Druck. Angebliche Kontosperrung, angebliche Richtlinienverstöße, angebliche Zahlungsprobleme — kombiniert mit einer knappen Frist.

Zwei Regeln reichen für die meisten Fälle. Erstens: Echte Amazon-Mails kommen ausschließlich von @amazon.de oder @amazon.com. Alles andere, auch scheinbar plausible Varianten wie amazon-seller-support-Domains, ist gefälscht.

Zweitens: Amazon fragt nie per E-Mail, SMS oder Telefon nach Passwörtern oder Zahlungsdaten. Jede Aufforderung dieser Art ist ein Betrugsversuch, unabhängig davon, wie professionell die Mail aussieht.

Ein zusätzlicher Schutz liegt in der Datenlage: Wenn Sie Ihre Kennzahlen ohnehin täglich in einer Plattform wie MarketplAIce sehen, erkennen Sie sofort, ob eine angebliche Warnmeldung zu Umsatz, Bestand oder Werbung überhaupt zu Ihrer realen Situation passt. Viele Phishing-Mails scheitern schon an dieser einfachen Plausibilitätsprüfung.

Die praktische Konsequenz ist einfach: Klicken Sie grundsätzlich keine Links in Mails, die Kontohandlungen verlangen. Öffnen Sie Seller Central stattdessen über ein eigenes Lesezeichen und prüfen Sie dort, ob die angebliche Meldung wirklich existiert. Echte Performance-Meldungen finden Sie immer im Kontozustand — wie Sie den lesen, erklärt der Beitrag zum Kontozustand und Account Health.

Auch Telefonanrufe gehören dazu. Angebliche Amazon-Mitarbeiter, die Sie zu einer Fernwartungssoftware oder zur Herausgabe eines Codes drängen, sind immer Betrug.

Amazon-Konto in 8 Schritten absichern

1. Passkeys auf mindestens zwei Geräten einrichten. Nutzen Sie die Passkey-Option in Seller Central, sobald sie für Ihr Konto verfügbar ist. Zwei Geräte verhindern, dass ein Handyverlust zum Zugangsverlust wird.

2. 2FA für alle verbundenen Konten aktivieren. Das betrifft Seller Central, das hinterlegte E-Mail-Postfach, Ihr Geschäftsbankkonto und alle Tools mit API-Zugriff. Verwenden Sie Authenticator-Apps statt SMS, wo möglich.

3. Einzelne Benutzer statt geteilter Logins anlegen. Jede Person bekommt einen eigenen Zugang mit Namen. Nur so ist im Ernstfall nachvollziehbar, welcher Zugang kompromittiert wurde.

4. Rechte auf das Nötigste reduzieren. Zugriff auf Bank-, Steuer- und Auszahlungsdaten bleibt ausschließlich bei der Geschäftsführung. Alle anderen erhalten ausschließlich die Bereiche, die sie für ihre konkrete Aufgabe brauchen.

5. Benachrichtigungen für sicherheitsrelevante Änderungen aktivieren. Lassen Sie sich über neue Benutzer, geänderte Bankdaten und neue Geräte informieren. Diese Meldungen sind Ihr Frühwarnsystem und dürfen nicht in einem Sammelordner verschwinden.

6. Ein Lesezeichen als einzigen Zugangsweg festlegen. Legen Sie Seller Central als Lesezeichen an und nutzen Sie ausschließlich diesen Weg. Damit entfällt das Risiko, über einen gefälschten Link auf einer Kopie zu landen.

7. Zugänge quartalsweise überprüfen. Gehen Sie alle Benutzer, API-Verbindungen und Drittanbieter-Tools durch und entfernen Sie alles, was nicht aktiv genutzt wird. Setzen Sie dafür einen festen Termin im Kalender.

8. Notfallplan schriftlich hinterlegen. Halten Sie fest, wer im Verdachtsfall was tut, welche Kontaktwege gelten und wo Nachweise wie Handelsregisterauszug und Rechnungen liegen. Ein Plan, den Sie erst im Ernstfall schreiben, kostet die entscheidenden Stunden.

Anzeichen einer Kontoübernahme frühzeitig erkennen

Die meisten Kontoübernahmen sind vor dem finanziellen Schaden erkennbar — wenn man weiß, worauf man achtet. Diese Signale sollten sofort eine Prüfung auslösen.

Geänderte Bankverbindung. Das ist das Hauptziel der meisten Angriffe. Prüfen Sie die hinterlegten Auszahlungsdaten in kurzen Abständen, besonders nach jeder Sicherheitsmeldung.

Neue Benutzer oder geänderte Rechte. Ein Benutzer, den Sie nicht angelegt haben, ist ein akuter Vorfall, kein Verwaltungsfehler. Gleiches gilt für plötzlich erweiterte Rechte bestehender Nutzer.

Unbekannte Listings oder geänderte Preise. Angreifer legen teils eigene Angebote an oder ändern Preise, um Auszahlungen zu erzeugen. Auffällige Preissprünge, die Sie nicht veranlasst haben, sind ein Warnsignal.

Fehlende Benachrichtigungen. Wenn plötzlich keine Standard-Mails von Amazon mehr ankommen, kann ein Angreifer Weiterleitungsregeln in Ihrem Postfach angelegt haben. Prüfen Sie in diesem Fall zuerst die Filterregeln Ihres Mailkontos.

Login-Meldungen aus unbekannten Regionen. Auch wenn der Login angeblich fehlgeschlagen ist: Häufung ist ein Hinweis, dass Ihre Zugangsdaten kursieren.

Notfallplan: Die ersten Stunden entscheiden

Wenn der Verdacht besteht, zählt Geschwindigkeit. Ändern Sie zuerst das Passwort des E-Mail-Kontos, nicht das von Seller Central — solange der Angreifer das Postfach kontrolliert, kann er jede Änderung rückgängig machen.

Danach folgt Seller Central: Passwort ändern, alle aktiven Sitzungen beenden, Passkey neu einrichten und sämtliche Benutzerzugänge prüfen. Entfernen Sie jeden Zugang, den Sie nicht eindeutig zuordnen können.

Prüfen Sie anschließend Bankdaten, Auszahlungseinstellungen und aktive Listings. Dokumentieren Sie jede Auffälligkeit mit Screenshot und Zeitstempel — diese Unterlagen brauchen Sie im Austausch mit dem Amazon-Support.

Kontaktieren Sie den Support ausschließlich über Seller Central, nie über Nummern oder Adressen aus einer verdächtigen Mail. Sollte das Konto bereits eingeschränkt sein, hilft der Leitfaden zur Reaktivierung eines gesperrten Kontos bei der weiteren Kommunikation.

Halten Sie parallel Ihr operatives Geschäft handlungsfähig. Wenn Preise und Gebote automatisiert über eine Plattform wie MarketplAIce laufen, bleibt die Steuerung nachvollziehbar dokumentiert, während Sie den Vorfall aufarbeiten — und Sie sehen sofort, welche Änderungen tatsächlich von Ihnen stammen.

Sicherheit als laufender Prozess statt einmaliger Aktion

Kontosicherheit ist kein Projekt mit Enddatum. Neue Mitarbeiter, neue Tools und neue Dienstleister erzeugen laufend neue Zugänge, und jeder davon ist ein potenzieller Angriffspunkt.

Etablieren Sie deshalb drei feste Routinen: monatliche Prüfung der Bank- und Auszahlungsdaten, quartalsweise Prüfung aller Benutzer und API-Verbindungen, jährliche Aktualisierung des Notfallplans. Das kostet zusammen wenige Stunden im Jahr.

Behandeln Sie außerdem jedes verbundene Tool als Teil Ihrer Angriffsfläche. Ein Tool mit Schreibrechten auf Preise und Gebote braucht dieselbe Sorgfalt wie Seller Central selbst — bei MarketplAIce etwa laufen Anbindung und Änderungen protokolliert, sodass jede automatisierte Anpassung nachvollziehbar bleibt.

Amazon verliert 2026 in Deutschland erstmals strukturell Marktanteile an wachsende Wettbewerber wie Kaufland. Wer mehrere Kanäle betreibt, vervielfacht damit auch die Zahl seiner Zugänge — und sollte die hier beschriebenen Regeln von Anfang an auf jeden Marktplatz anwenden.

Jetzt 14 Tage kostenlos testen — ohne Kreditkarte und ohne Risiko. Einen Überblick über Funktionen und Konditionen gibt die Preisseite.

FAQ

Ab wann sind Passkeys bei Amazon verpflichtend?

Amazon führt Passkeys ab Juli 2026 in Seller Central ein. Im Lauf von 2026 werden sie für einen Teil der Konten verpflichtend. Wann genau Ihr Konto betroffen ist, teilt Amazon direkt in Seller Central mit — richten Sie Passkeys deshalb vorab ein.

Was passiert, wenn ich mein Gerät mit dem Passkey verliere?

Deshalb sollten Sie Passkeys immer auf mindestens zwei Geräten hinterlegen. Zusätzlich bleibt Ihr regulärer Wiederherstellungsweg über Amazon bestehen, weshalb das hinterlegte E-Mail-Konto ebenfalls maximal abgesichert sein muss.

Ersetzen Passkeys die Zwei-Faktor-Authentifizierung vollständig?

Für den Login-Vorgang selbst bieten Passkeys bereits ein hohes Schutzniveau, weil sie an die echte Domain gebunden und damit phishing-resistent sind. 2FA bleibt trotzdem wichtig für Wiederherstellungswege und für alle anderen Konten rund um Ihr Amazon-Geschäft.

Woran erkenne ich eine gefälschte Amazon-Mail sicher?

Prüfen Sie die Absenderdomain: Echte Amazon-Mails kommen ausschließlich von @amazon.de oder @amazon.com. Zusätzlich gilt: Amazon fragt nie per E-Mail, SMS oder Telefon nach Passwörtern oder Zahlungsdaten. Im Zweifel loggen Sie sich über Ihr eigenes Lesezeichen ein und prüfen die Meldung dort.

Darf meine Agentur meinen Haupt-Login mitnutzen?

Nein. Legen Sie stattdessen einen eigenen Benutzer mit eingeschränkten Rechten an. Das schützt Ihre Bank- und Steuerdaten und macht im Ernstfall nachvollziehbar, über welchen Zugang ein Vorfall entstanden ist.

Was mache ich zuerst, wenn ich eine Kontoübernahme vermute?

Sichern Sie zuerst das hinterlegte E-Mail-Konto, da darüber alle Zurücksetzungen laufen. Danach ändern Sie das Seller-Central-Passwort, beenden alle Sitzungen und prüfen Benutzer, Bankdaten und Listings. Dokumentieren Sie alles mit Screenshots.

Wie oft sollte ich Benutzerzugänge überprüfen?

Einmal pro Quartal als feste Routine, zusätzlich immer sofort beim Ausscheiden eines Mitarbeiters oder Beenden einer Dienstleisterbeziehung. Vergessene Altzugänge sind eine der häufigsten Ursachen für unbefugten Zugriff.

Über den Autor

Jorginho Engelmeyer ist Gründer von MarketplAIce und Geschäftsführer der AMZ+ Consulting GmbH. Seit über acht Jahren arbeitet er im Amazon-Advertising und betreut Händler und Agenturen im DACH-Raum. Mit MarketplAIce entwickelt er eine prädiktive KI-Plattform, die Gebote fünf Tage im Voraus über 15 Dimensionen optimiert und Listing-Pflege sowie Repricing automatisiert. Mehr zur Expertise