--- title: "Shopify-App-Hacks: Ist dein Shop betroffen? | shoplab" description: "Nach den Shopify-App-Hacks: Prüfe deinen Shop mit unserer kostenlosen Checkliste, erkenne auffällige Weiterleitungen und kläre die Zugriffe deiner Apps." url: https://shoplab.cc/shopify-app-sicherheit --- Shopify-App-Sicherheit # Shopify-App-Hacks: Ist dein Shop betroffen? Bei den jüngst gemeldeten Angriffen über Shopify-Apps wurden Käufer zu gefälschten Checkouts weitergeleitet. Mit dieser kostenlosen Anleitung prüfst du deinen Checkout auf auffällige Weiterleitungen und verschaffst dir einen Überblick über deine Apps. [Zur kostenlosen Checkliste](#app-security-checklist)[App-Sicherheit besprechen](https://app.reclaim.ai/m/shoplab/shopify-app-security-advisory?tz=Europe%2FBerlin) Ohne Anmeldung. Du gibst keine Kundendaten ein und schließt keine Bestellung ab. ## So prüfst du deinen Checkout 1. Produkt öffnen01 2. In den Warenkorb legen02 3. Checkout-Adresse prüfen03 Klicke auf den Checkout-Button, den deine Kunden tatsächlich nutzen. Eine direkt aufgerufene Checkout-Adresse überspringt den Schritt, an dem eine Weiterleitung ausgelöst werden kann. Dein kostenloser Selbstcheck ## Sechs Schritte für deinen Shop Öffne deinen Shop am Desktop und halte deine App-Liste bereit. Halte Auffälligkeiten intern fest, damit dein Team sie nachvollziehen kann. 1. 01 ### Öffne deinen Shop in einem privaten Fenster. Schließe zuerst alle privaten Fenster und öffne ein neues. Tippe deine bekannte Shop-Adresse selbst ein und melde dich nicht als Kunde an. So testest du ohne die Cookies deiner vorherigen Besuche. Vor einer schädlichen Seite schützt dich ein privates Fenster nicht. 2. 02 ### Gehe vom Produkt bis zum Checkout. Lege ein verfügbares Produkt in den Warenkorb und nutze den normalen Checkout-Button. Stoppe, sobald du die Zielseite und ihre Adresse prüfen kannst. Gib keine persönlichen Daten oder Zahlungsdaten ein und löse keine Bestellung aus. 3. 03 ### Prüfe die Adresse im Browser. Passt die tatsächlich geöffnete Domain zu deinem erwarteten Checkout? Bei einer unbekannten Zielseite: abbrechen und die Domain prüfen lassen. Wenn dir nichts Ungewöhnliches auffällt, teste weitere Wege zur Kasse, etwa den Warenkorb im Seitenfenster. Schließe dafür jeweils alle privaten Fenster und öffne ein neues. 4. 04 ### Schreibe alle installierten Apps auf. Öffne die App-Verwaltung in Shopify. Notiere für jede App Anbieter und Zweck. Eine App kann weiterhin installiert sein, obwohl sie im App Store nicht mehr angeboten wird. Eine solche Entfernung belegt für sich allein keinen Angriff. 5. 05 ### Prüfe Zugriffe und Zuständigkeit. Halte fest, welche Daten oder Shop-Bereiche eine App erreichen darf und wer in deinem Team sie verantwortet. Lass dir unklare Berechtigungen erklären. Besonders relevant sind Apps, die im Kaufweg laufen oder Inhalte deines Shops verändern können. 6. 06 ### Entferne ungenutzte Apps mit einem Plan. Kläre zuerst, ob Bestellungen, andere Apps oder interne Abläufe davon abhängen. Sichere nötige Daten und entferne die App nach den Anbieterhinweisen. Prüfe danach den Kaufweg erneut und lass mögliche zurückgebliebene Einbindungen kontrollieren. ## So ordnest du das Ergebnis ein * Mehrere Weiterleitungen oder ein Domainwechsel sind ein Anlass, genauer hinzusehen. Sie beweisen allein keinen Angriff. Entscheidend ist, ob das Ziel zu deinem eingerichteten Kaufweg gehört. * Weiterleitungen zu Shopify oder Shop Pay können legitim sein. Ein bekannter Name im Seitentext ersetzt die Prüfung der tatsächlichen Browser-Adresse nicht. * HTTPS und das Schloss im Browser sagen dir, dass die Verbindung verschlüsselt ist. Auch eine Phishing-Seite kann HTTPS verwenden. Ein unauffälliger Durchlauf ist eine Momentaufnahme. Er beweist weder, dass alle Apps sicher sind, noch dass sich mobile Geräte, andere Produkte oder spätere Besuche genauso verhalten. ### Du landest auf einer unbekannten Seite? Brich den Test ab. Halte Zeitpunkt, beobachtete Domain und einen Screenshot ohne personenbezogene Daten intern fest. Informiere dein technisches Team, Shopify und den betroffenen App-Anbieter, soweit bekannt. Lass die verdächtige Einbindung gezielt prüfen und eindämmen, bevor du weiter testest. Mit Shoplab genauer hinsehen ## Wer darf was in deinem Shop? Wir erfassen deine Apps, prüfen ihre Zugriffe und zeigen dir, welche Risiken du zuerst angehen solltest. Du bekommst eine App-Liste mit Verantwortlichen und einen Maßnahmenplan für deinen Shop. [Termin zur App-Sicherheit buchen](https://app.reclaim.ai/m/shoplab/shopify-app-security-advisory?tz=Europe%2FBerlin) Im Gespräch klären wir den passenden Umfang für deinen Shop. Eine vollständige Sicherheitsgarantie kann auch eine Bewertung nicht geben. * 01 ### App-Inventar mit Verantwortlichen Welche Apps und Einbindungen nutzt du, welchem Zweck dienen sie und wer kümmert sich um sie? * 02 ### Zugriffe und Kaufweg Welche Daten können Apps erreichen? Wo greifen sie in Warenkorb, Checkout oder Bestellverarbeitung ein? * 03 ### Anbieter und offene Fragen Welche Sicherheitsinformationen liegen vor, und was muss der Anbieter zu einem Vorfall oder seinen Schutzmaßnahmen beantworten? * 04 ### Priorisierter Maßnahmenplan Was solltest du zuerst prüfen, einschränken oder entfernen? Welche Abhängigkeiten und anschließenden Tests sind dabei zu beachten? ## Was ist bei den App-Angriffen passiert? Unser ausführlicher Artikel erklärt die gemeldeten Vorfälle, wie Checkout-Weiterleitungen funktionieren und was die Entfernung einer App aus dem App Store tatsächlich aussagt. [Hintergründe und Quellen lesen](https://shoplab.cc/shopify-news/shopify-app-hacks-checkout-phishing-2026)