Amazon SP-API Anbindung im Detail

Produktübersicht

ABBLENPORT ist eine Middleware-Software, die auf einem verwalteten Windows-PC oder Windows-Server in der Händlerumgebung installiert wird. Sie stellt die Verbindung zwischen Amazon Seller Central (via SP-API / LWA) und dem ERP-System Amicron Faktura her.

Die öffentliche Website unter port.abblen.de dient der Produktinformation. Amazon-Bestell-, Käufer- und Versanddaten werden in der lokalen Händlerumgebung verarbeitet und nicht auf diesem Webserver gespeichert. Wir haben auch im Support keinen Zugriff auf diese Daten.

Architektur & Deployment

Lokale Installation: ABBLENPORT läuft auf einem verwalteten Windows-PC oder Windows-Server in der Händlerumgebung. Vor dem produktiven Einsatz sind Softwarestand, Zugriffsschutz, Verschlüsselung, Protokollierung, Sicherungen und Löschabläufe für diese Installation einzurichten und zu prüfen.

Lokaler Betrieb: Jeder Händler betreibt seine eigene ABBLENPORT-Instanz auf seinem Windows-PC oder Windows-Server. Wir betreiben keine zentrale Datenbank für seine Amazon-Bestell- und Käuferdaten und haben keinen Zugriff auf diese Daten in seiner Installation.

Kommunikation: Die Middleware verbindet sich über HTTPS mit Amazon SP-API und LWA. Verbindungen zwischen Middleware, Clients und Amicron sind in der Händlerumgebung gesondert abzusichern; sie werden durch den Amazon-HTTPS-Zugang nicht automatisch mitgeschützt.

LWA / SP-API Credentials: Als geheim markierte Werte in der lokalen Einstellungsverwaltung werden mit AES-256-GCM verschlüsselt. Der zugehörige Hauptschlüssel wird unter Windows mit DPAPI an das Benutzerprofil gebunden. Zugriffsschutz, Schlüsselwiederherstellung und Rotation müssen zum Betriebskonto passen und vor Produktivbetrieb geprüft werden. Wir haben keinen Zugriff auf die Amazon-Bestell- und Käuferdaten der Händler.

Autorisierung / Freigabe: Live-Zugriff auf Amazon-Daten erfolgt ausschließlich nach Amazon-SP-API-Freigabe, gültiger Händlerautorisierung und technischer Einrichtung. Restricted Amazon-PII wird nur über die von Amazon vorgesehenen Autorisierungsmechanismen und nur im Rahmen der freigegebenen Rollen verarbeitet.

Bestehende Produktangebote abgleichen

Zuordnung bestehender Amazon-SKUs und Seller-SKUs zu den Artikeln in Amicron als Grundlage für Preis- und Bestandsänderungen. ABBLENPORT erstellt keine neuen Listings, löscht keine Angebote und verwaltet keine A+ Inhalte.

Preise synchronisieren

Automatischer Abgleich der Verkaufspreise bestehender Amazon-Angebote aus Amicron. Preisänderungen werden ausschließlich für zugeordnete Seller-SKUs und im Rahmen der vom Händler freigegebenen Konten übertragen.

Lagerbestand synchronisieren

Echtzeitnahe Übertragung von verfügbaren Mengen (Available Quantity) aus Amicron zu Amazon. Berücksichtigung von Reservierungen, Lieferrückständen und Multi-Lager-Szenarien.

MFN/FBM-Bestellungen & FBA-Rechnungsdaten importieren

Automatischer Import selbstversendeter Amazon-Bestellungen (MFN/FBM) einschließlich der für Rechnung und Versand benötigten Daten. Bei FBA werden Bestell-, Käufer- und Steuerdaten ausschließlich für Beleg-, Rechnungs- und Steuerverarbeitung in Amicron übernommen; die physische Erfüllung verbleibt bei Amazon.

MFN/FBM-Käufer-, Liefer- & Versanddaten übernehmen

Für selbstversendete MFN/FBM-Bestellungen: Übernahme von Empfängername, Lieferadresse (Straße, PLZ, Ort, Land, Bundesland), Telefonnummer (falls von Amazon bereitgestellt), E-Mail (gekürzt/anonymisiert), Versandart und Lieferhinweisen für die Auftragsverarbeitung in Amicron.

MwSt./Steuerdaten für korrekte Rechnungen

Übernahme der von Amazon bereitgestellten Steuer-/MwSt.-Informationen pro Bestellposition. Für Deutschland werden insbesondere 7 % / 19 % / steuerfrei unterstützt; auf weiteren Marktplätzen wird der jeweils übermittelte Steuersatz verarbeitet. Dies ermöglicht die korrekte Aufteilung der Versandkosten und Rechnungserstellung in Amicron.

Übergabe an Amicron Faktura/ERP

Auftragsanlage in Amicron als Verkaufsbeleg (Auftrag/Lieferschein/Rechnung) mit vollständigen Positionen, Preisen, Steuern, Versandkosten, Kundendaten und Verknüpfung zur Amazon-Bestellnummer (Amazon Order ID / Amazon Order Item ID).

MFN/FBM-Tracking & Versandstatus zurückmelden

Für selbstversendete MFN/FBM-Bestellungen liefert Amicron die Sendungsnummer an ABBLENPORT zurück. Die Middleware übermittelt die Versandbestätigung mit den in Amicron hinterlegten Versandangaben an Amazon über die SP-API.

Empfängerdaten

• Vorname, Nachname (Empfängername)
• Firmenname (falls angegeben)

Lieferadresse

• Straße, Hausnummer, Adresszusatz
• Postleitzahl, Ort, Bundesland
• Ländercode (ISO 3166-1 alpha-2)

Kontaktdaten

• Telefonnummer (nur falls von Amazon in der Bestellung übermittelt)
• E-Mail-Adresse (Amazon-verschlüsselt/anonymisiert, z. B. abc123@marketplace.amazon.de)

Bestellpositionen

• ASIN / SKU / EAN / ISBN
• Titel, Menge, Einzelpreis, Währung
• Steuersatz pro Position (in Deutschland insbesondere 7 % / 19 % / steuerfrei; sonst marktplatzspezifisch)
• Versandkostenanteil pro Position
• Rabatte, Gutscheine, Promotionen

Versand & Tracking

• Versandart / Shipping Service Level (z. B. Standard, Premium, Express)
• Versanddienstleister (Carrier Code, z. B. DHL, DPD, Hermes, UPS)
• Trackingnummer (Shipment Tracking Number)
• Versanddatum / Übergabe an Carrier

Identifikatoren

• Amazon Order ID (z. B. 402-1234567-1234567)
• Amazon Order Item ID(s)
• Eigene Amicron-Belegnummer (Verknüpfung)

Schutzfunktionen der Software

Als geheim markierte Werte in der ABBLENPORT-Einstellungsverwaltung werden mit AES-256-GCM verschlüsselt. Der Hauptschlüssel ist mit Windows-DPAPI an das Benutzerprofil gebunden. Die Verbindung zu Amazon SP-API und LWA erfolgt über HTTPS. Im Windows-Client ist die Speicherung des Anmeldekennworts im Credential Manager optional.

Verschlüsselung und Schlüsselverwaltung

Voraussetzung für den produktiven Betrieb sind verschlüsselte Daten- und Sicherungsdatenträger mit mindestens AES-128, etwa BitLocker, sowie restriktive Dateirechte. Berechtigungen, Wiederherstellung, getrennte Schlüsselverwahrung, mindestens jährliche Schlüsselrotation und unverzüglicher Widerruf bei Kompromittierung müssen dokumentiert und geprüft sein. Für LWA-Client-Secrets gilt spätestens alle 180 Tage ein kontrollierter Wechsel.

Konten, Netzwerk und Geräte

Die Händlerumgebung benötigt persönliche Konten, minimale Rechte, MFA und mindestens quartalsweise Rechteprüfungen; entfallene Zugriffe sind binnen 24 Stunden zu entfernen. Passwörter benötigen mindestens 12 Zeichen mit Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen ohne Namensbestandteile, Historie 10, Mindestalter 1 Tag, Höchstalter 365 Tage und Sperre nach höchstens 10 Fehlversuchen. Firewall, Netzwerksegmentierung, Angriffserkennung, aktueller Virenschutz und Sicherheitsupdates sind einzurichten. Datenbanken dürfen nicht öffentlich erreichbar sein. Client-/ERP-Verbindungen, Geräte und Datenübertragungen müssen gegen unbefugten Zugriff und Datenabfluss geschützt und überwacht werden.

Sicherungen und Datenlöschung

Verschlüsselte Sicherungen, ein geografisch getrennter Aufbewahrungsort sowie dokumentierte Wiederherstellungsziele und -abläufe sind vor Produktivbetrieb einzurichten und mindestens vierteljährlich zu prüfen. Das Löschkonzept muss die Grenze von 30 Tagen nach Zustellung für operative Käuferdaten auch in ERP, Exporten und Offlinekopien einhalten. Eine pauschale Backup-Aufbewahrung ersetzt diese datenbezogene Prüfung nicht. Nach einem Restore dürfen abgelaufene Daten nicht erneut genutzt werden.

Protokollierung und Vorfälle

Die Installation benötigt geschützte Sicherheitsprotokolle für relevante Anwendungs- und Systemzugriffe, mindestens zwölf Monate Aufbewahrung, automatische Auswertung und mindestens alle 14 Tage eine dokumentierte menschliche Prüfung. Alarmwege und Verantwortlichkeiten sind vor Inbetriebnahme zu testen. Ein Vorfallplan muss Eindämmung, Wiederherstellung und die Meldung Amazon-bezogener Sicherheitsvorfälle innerhalb von 24 Stunden regeln.

Softwareentwicklung und Freigabe

Wir verantworten die Sicherheit der von uns ausgelieferten Software. Vor einer Produktivfreigabe sind getrennte Tests mit synthetischen Daten, Code- und Abhängigkeitsprüfungen, die Bewertung von Befunden, erforderliche Korrekturen und Wiederholungstests zu dokumentieren. Vor Produktivbetrieb und bei Updates ist auch die vollständige Übernahme vorhandener Zugangsdaten in die verschlüsselte Speicherung zu prüfen. Sicherheitskorrekturen sind kontrolliert bereitzustellen. Der lokale Betrieb entbindet uns nicht von diesen Entwicklerpflichten.

Prüfung der Betriebsumgebung

Für Systeme mit Amazon-PII werden Schwachstellenscans mindestens alle 30 Tage und nach wesentlichen Änderungen sowie Penetrationstests mindestens alle 365 Tage durchgeführt. Code wird vor jeder Veröffentlichung auf Schwachstellen geprüft. Befunde benötigen Verantwortliche, Fristen, Korrekturen und überprüfbare Abschlussnachweise im Maßnahmenregister; kritische Befunde sind binnen 7 Tagen, hohe binnen 30 Tagen zu beheben. Ein sicherer Softwarestand allein ersetzt weder die Einrichtung noch die regelmäßige Prüfung der angeschlossenen Systeme.

Zuständigkeit und Produktivstart

Wir stellen Software und Einrichtungshinweise bereit; der Händler betreibt seine lokale Windows- und Amicron-Umgebung. Wir haben auch im Support keinen Zugriff auf seine Amazon-Bestell- und Käuferdaten. Produktiver Amazon-Zugriff setzt die erforderliche Amazon-Freigabe, gültige Händlerautorisierung und die nachgewiesene Umsetzung der Sicherheits- und Löschanforderungen voraus. Sicherheitskontakt: Flavius Gieszer, ABBLEN.DE GmbH, office@abblen.de, +49 (0)6261 9397280.