Entfernte Shopify-Apps und gekaperte Checkouts: Was Händler jetzt tun sollten

Wenn du einen Shopify-Shop betreibst, waren die letzten zwei Wochen verwirrend. Apps, auf die du dich verlässt, sind aus dem App Store verschwunden, manche wurden in Shops abgeschaltet, und die Erklärungen verteilen sich auf Forenbeiträge, Hinweise der Anbieter und LinkedIn-Posts. Viele Händler wissen immer noch nicht, ob ihr Shop betroffen war, ob eine App, die sie nutzen, die nächste ist, oder was sie tun sollen.

Dieser Beitrag fasst zusammen, was tatsächlich bestätigt ist, was du heute in deinem eigenen Shop prüfen kannst und wie du eine App ersetzt, ohne in dasselbe Problem zu laufen.

Was passiert ist

Ab etwa dem 10. Oktober 2026 klickten einige Kunden in Shopify-Shops auf den Checkout und landeten auf einer gefälschten Bezahlseite statt auf der echten. Die Seite sah aus wie der Checkout von Shopify, sammelte Karten- und Rechnungsdaten und schickte den Kunden dann zum echten Checkout weiter, sodass nichts auffiel.

Der Code dahinter lief über Drittanbieter-Apps, die in diesen Shops schon installiert waren. In dem Fall, den Roman Zipp ausführlich dokumentiert hat, kam die Weiterleitung aus eigenem JavaScript, das über die Shop-Erweiterung einer App ausgeliefert wurde, und schickte Kunden auf zum Verwechseln ähnliche Domains. Das Skript nutzte den Sitzungsspeicher, um nur einmal pro Kunde auszulösen, sodass ein zweiter Checkout-Versuch völlig normal aussah. Das ist ein großer Teil des Grundes, warum Händler es kaum nachstellen konnten.

Mehrere Anbieter haben inzwischen eigene Berichte veröffentlicht. Selleasy berichtete von eingeschleusten Skripten und Phishing-Weiterleitungen nach außen. HulkApps sagte, eine Schwachstelle habe unbefugte Einstellungen in seine Erweiterung Product Options gebracht. Swym beschrieb eine unbefugte Änderung der Einstellungen, die in einem Teil der Shops ein Skript lud. Orichi meldete einen früheren Vorfall im September mit schädlichem JavaScript im eigenen Code einer Kampagne. Setka führt eine laufende Liste, die von Anbietern bestätigte Fälle von bloßen Vorwürfen trennt.

Warum so viele Apps entfernt wurden

Shopify hat in dieser Zeit eine Reihe von Apps aus dem App Store genommen, und ein öffentlicher Tracker zählte über hundert Entfernungen, mit einem großen Schwung am 15. Oktober. In sozialen Medien liest du auch höhere Zahlen.

Sei mit diesen Zahlen vorsichtig. Eine Entfernung beweist nicht, dass eine App kompromittiert war. Manche Entfernungen passen zu den Sicherheitsvorfällen, manche scheinen Prüfungen von Richtlinien oder Vorgaben zu sein, und am 16. Oktober lief außerdem eine ältere Version der Shopify-API aus, was andere erklären könnte. Zum Zeitpunkt dieses Beitrags hat Shopify keine Erklärung veröffentlicht, die alle Entfernungen einem einzigen Vorfall zuordnet, und die eigentliche Ursache der Checkout-Kaperung ist weiter nicht bestätigt.

„Meine App wurde entfernt“ und „Mein Shop wurde gehackt“ sind also zwei verschiedene Fragen. Du musst beide beantworten.

Prüfe heute deinen Shop

Wenn du eine betroffene App installiert hast oder kürzlich hattest, geh diese Liste durch:

• Teste den Checkout in einem frischen privaten Fenster, einmal pro Kaufweg (Produktseite, Warenkorb, jeder Upsell- oder Bundle-Ablauf). Weil die Kaperung nur einmal pro Sitzung auslöste, reicht ein sauberer Test nicht. Schau beim Bezahlschritt in die Adressleiste: Dort sollte die Domain deines Shops oder der Checkout von Shopify stehen, nie eine unbekannte Domain.
• Prüfe den Zeitraum, in dem der Anbieter betroffen war. Die meisten Hinweise der Anbieter nennen Daten und Uhrzeiten. Vergleiche sie damit, wann die App in deinem Shop aktiv war. Dass die App installiert war, beweist nicht, dass du getroffen wurdest, und eine nicht genannte App beweist nicht, dass du sicher warst.
• Geh nicht davon aus, dass Deinstallieren alles bereinigt hat. Eine App-Einbettung abzuschalten oder die App zu deinstallieren garantiert nicht, dass eingeschleuster Code oder übrig gebliebene Theme-Schnipsel weg sind. Durchsuche dein Theme nach Code, den die App hinzugefügt hat, und entferne, was du nicht mehr brauchst.
• Wenn du eine Weiterleitung siehst, handle sofort. Schränke den Zugang zu deinem Onlineshop ein, kontaktiere den Shopify-Support und den App-Entwickler und bewahre die Meldung des Kunden auf (bitte ihn nie, Kartendaten zu schicken). Denk daran: Abgeschlossene Bestellungen zeigen nicht alle, die Kartendaten in ein gefälschtes Formular eingegeben und dann aufgegeben haben.
• Stell dem Entwickler direkte Fragen. Was hat sich geändert, was war offengelegt, welche Shops und Zeiträume waren betroffen, und welche Belege bestätigen die Behebung?

Eine Ersatz-App wählen, ohne das Problem zu wiederholen

Viele Händler müssen jetzt schnell eine App ersetzen. Manche löschen sie einfach und kommen ohne aus, andere bauen sich selbst schnell einen Ersatz, und viele vergleichen Alternativen unter Zeitdruck. Egal welchen Weg du gehst: Dieser Vorfall ist ein guter Grund, die übliche Checkliste aus Funktionen, Support und Preis um ein paar Fragen zu ergänzen:

• Wie viel Code bringt sie in deinen Shop? Jede App, die JavaScript vor deinen Kunden lädt, ist ein Weg in deinen Checkout. Eine App, die ihre Arbeit im Shopify-Admin oder über Shopify Functions erledigt, hinterlässt viel weniger Spuren als eine, die auf jeder Seite Skripte einschleust.
• Kann sie eigenen Code ausführen, den du nicht geschrieben hast? Felder wie „eigenes JS“ sind praktisch, aber genau sie wurden hier missbraucht. Wenn du sie nicht brauchst, nimm lieber Apps ohne diese Möglichkeit, oder sorg zumindest dafür, dass nur vertrauenswürdige Mitarbeiter sie bearbeiten können.
• Wo liegen deine Daten? Apps, die ihre Einstellungen und Inhalte in Shopify speichern, also in Metafeldern und Metaobjekten, sind leichter zu prüfen und leichter wieder loszuwerden.
• Kannst du sie sauber entfernen? Frag, was nach der Deinstallation zurückbleibt. Apps, die Theme-Dateien direkt bearbeiten, hinterlassen oft noch lange Code, wenn sie schon weg sind.
• Wie ist der Anbieter mit diesem Monat umgegangen? Ein klarer, zeitnaher Hinweis auf den Vorfall mit Daten und Details ist ein gutes Zeichen. Schweigen ist es nicht.
• Ist der Preis ehrlich? Ein erzwungener Wechsel ist ein guter Moment, Apps loszuwerden, deren Preise dich für Wachstum bestrafen.

Weniger Apps sind oft das beste Ergebnis. Wenn eine entfernte App etwas gemacht hat, das du kaum genutzt hast, ist das vielleicht der Anstoß, sie deinstalliert zu lassen.

Behalte den Code im Blick, den dein Shop lädt

Das Tückische an diesem Angriff war, dass er in Code steckte, den Händler bereits freigegeben hatten. Im Shopify-Admin sah nichts anders aus, und für den Kunden wirkte es nur einen Moment lang falsch. Die meisten Shops wissen nicht, welche Skripte ihr Shop lädt, und konnten deshalb nicht erkennen, wann sich etwas geändert hat.

Genau für diese Lücke ist die Skript-Überwachung im Shop von Skyfense gebaut. Sie besucht deinen Shopify-Shop jede Stunde wie ein Kunde, hält die externen Skripte fest, die jede Seite lädt, und meldet einen Befund mit den Codeänderungen, wenn sich eines davon ändert. Geänderter Code wird auf Begriffe aus Zahlungsfeldern, Verschleierung und Muster zum Abziehen von Daten geprüft, und kritische Befunde gehen an deine Warn-E-Mail oder deinen Webhook. Sie ist in der Beta, sie prüft nicht den gehosteten Checkout von Shopify und entfernt keinen Code für dich, und sie vergleicht mit den Skripten, die sie zuerst in deinem Shop sieht. Der beste Zeitpunkt zum Start ist also vor dem nächsten Vorfall, nicht danach.

Apps werden weiter kommen und gehen. Was du steuern kannst: wie viel Code du in deinen Shop lässt und ob du merkst, wenn er sich ändert.