Shopify-Checkout-Hijacking: So überprüfen Sie Ihren Shop in 10 Minuten

Shopify-Checkout-Hijacking: So überprüfen Sie Ihren Shop in 10 Minuten

Im Oktober 2026 kaperten Angreifer mehrere beliebte Shopify-Apps und nutzten sie, um Käufer, die auf „Checkout" klickten, auf gefälschte Zahlungsseiten umzuleiten. Die gefälschte Seite sammelte die Kartendaten und leitete den Käufer anschließend zum echten Checkout des Shops weiter, sodass die Bestellung abgeschlossen wurde und niemand etwas bemerkte.

Dieser Leitfaden erklärt, was beim Shopify-Checkout-Hijacking passiert ist, und führt Sie durch eine Prüfung, die jeder Shop-Betreiber in etwa 10 Minuten durchführen kann. Außerdem erfahren Sie, was zu tun ist, wenn Sie eine Weiterleitung entdecken, und welche Shopify-Apps Ihnen helfen können.

Scannen Sie Ihren Shop mit dem PCrisk Website Scanner

Inhaltsverzeichnis:

• Einleitung
• Was beim Shopify-Checkout-Hijacking passiert ist
• Wie der gefälschte Checkout funktionierte
• Schritt 1: Testen Sie Ihren Checkout in einem privaten Fenster (3 Minuten)
• Schritt 2: Überprüfen Sie Ihre installierten Apps (2 Minuten)
• Schritt 3: Prüfen Sie, welche App-Einbettungen aktiviert sind (1 Minute)
• Schritt 4: Sehen Sie sich die Felder für benutzerdefinierten Code an (1 Minute)
• Schritt 5: Durchsuchen Sie Ihren Theme-Code (1 Minute)
• Schritt 6: Sichern Sie Passwörter und Zugänge ab (1 Minute)
• Schritt 7: Scannen Sie Ihren Shop von außen (1 Minute)
• Shopify-Sicherheits-Apps, die helfen können
• Überwachung Ihres Shops mit PCrisk Trust Badge
• Fazit
• Häufig gestellte Fragen (FAQs)

Was beim Shopify-Checkout-Hijacking passiert ist

Am 10. Oktober 2026 klickte der Entwickler Roman Zipp in einem Shopify-Shop auf „Checkout“ und wurde auf eine Zahlungsseite einer unbekannten Domain weitergeleitet. Er führte dies auf die App Hulk Product Options zurück und dokumentierte den Angriff. Innerhalb weniger Tage bestätigten zwei weitere App-Entwickler ähnliche Vorfälle.

Händler haben in öffentlichen Kommentaren weitere Apps genannt, deren Entwickler jedoch keinen Zusammenhang bestätigt haben, weshalb wir sie hier nicht auflisten.

Wurde Shopify selbst gehackt? Es gibt keine öffentlichen Belege dafür. Der Angriff lief auf den Shopseiten und leitete Käufer weiter, bevor der Shopify-Checkout geladen wurde. Shopify hat den Code aus allen betroffenen Shops entfernt und, wie ein Sprecher gegenüber iTnews erklärte, greift Shopify ein, wenn eine App seine Standards nicht erfüllt.

Was Shopify ändert. Am 20. Oktober forderte Shopify alle App-Entwickler auf, noch in derselben Woche eine Reihe von Sicherheitsmaßnahmen umzusetzen, etwa die Aktivierung der zweistufigen Authentifizierung für alle ihre Konten und die Umstellung auf kurzlebige Zugriffstoken. Zudem kündigte das Unternehmen an, die Möglichkeiten von Apps in Storefronts einzuschränken, App-Schlüssel nur noch von den eigenen Servern des Entwicklers aus funktionieren zu lassen und die Sicherheitsanforderungen im App Store zu verschärfen.

[Zurück zum Inhaltsverzeichnis]

Wie der gefälschte Checkout funktionierte

Jede App fügt der Storefront über eine App-Einbettung ein Skript hinzu. Das Skript selbst war sauber, lud aber die Einstellungen der App vom Server des Entwicklers, und Angreifer hatten zusätzliches JavaScript in diese Einstellungen eingeschleust. Dieser Code wartete auf einen Klick auf „Checkout“, öffnete eine täuschend ähnliche Zahlungsseite auf einer Domain mit der Endung .top und leitete den Käufer, nachdem dieser seine Kartendaten eingegeben hatte, zum echten Checkout weiter.

Drei Dinge machten den Angriff schwer zu erkennen:

• Er wurde nur einmal pro Browsersitzung ausgelöst, sodass ein zweiter Test unauffällig wirken konnte.
• Die Theme-Dateien änderten sich in der Regel nicht, weil der Code vom Server des App-Entwicklers stammte.
• Bestellungen sahen normal aus, weil der Käufer trotzdem im echten Checkout bezahlte.

Zu den gemeldeten Domains gehören biliing[.]top, checkout-confirm[.]top, order-confirm[.]top, account-confirm[.]top, billing-confirm[.]top, checkout-guard[.]top und checkout-secure[.]top. Besuchen Sie diese nicht.

[Zurück zum Inhaltsverzeichnis]

Schritt 1: Testen Sie Ihren Checkout in einem privaten Fenster (3 Minuten)

Dies ist die wichtigste Prüfung, denn sie ist die einzige, die zeigt, was ein Käufer sieht. Sie müssen dafür nichts bezahlen.

1. Öffnen Sie ein neues privates Fenster. Schließen Sie alle eventuell geöffneten privaten Fenster und öffnen Sie dann ein neues (Inkognito in Chrome, Privates Fenster in Safari oder Privater Modus in Firefox).

2. Legen Sie ein Produkt in den Warenkorb und klicken Sie auf die normale Checkout-Schaltfläche. Verwenden Sie die reguläre Checkout-Schaltfläche, nicht Shop Pay, PayPal oder eine andere Express-Checkout-Schaltfläche.

3. Lesen Sie die Adressleiste, bevor Sie etwas eingeben. Ein echter Shopify-Checkout öffnet sich auf Ihrer eigenen Domain oder auf your-store.myshopify.com und zeigt den Namen Ihres Shops an.

4. Wiederholen Sie den Test von jeder Checkout-Schaltfläche aus. Testen Sie erneut in einem neuen privaten Fenster über die Warenkorb-Seitenleiste, die Warenkorbseite und jede  „Jetzt kaufen“-Schaltfläche und anschließend einmal auf Ihrem Smartphone.

Shop Pay kann sich auf shop.app öffnen, und PayPal oder die Sicherheitsprüfung einer Bank können eigene Seiten öffnen, was normal ist. Das Warnsignal ist eine unbekannte Domain, insbesondere eine mit der Endung .top, die direkt nach dem Klick auf „Checkout“ nach Kartendaten fragt.

[Zurück zum Inhaltsverzeichnis]

Schritt 2: Überprüfen Sie Ihre installierten Apps (2 Minuten)

1. Öffnen Sie Ihre App-Liste. Gehen Sie in Ihrem Shopify-Adminbereich zu  „Einstellungen“ und dann zu  „Apps“.

2. Suchen Sie nach den oben genannten Apps und nach allem, was Sie nicht kennen. Wenn Sie eine der betroffenen Apps verwenden (Hulk Product Options, Selleasy (Upsell & Cross Sell), Swym Wishlist Plus), folgen Sie der neuesten Mitteilung des Entwicklers.

3. Prüfen Sie, worauf jede App zugreifen kann. Klicken Sie auf die drei Punkte neben einer App und wählen Sie „Details anzeigen“. Der Bereich „Aktivität und Berechtigungen“ zeigt, was die App anzeigen oder bearbeiten kann. Eine App mit  „Bearbeitungszugriff auf Ihren Onlineshop“ kann Ihr Theme verändern.

4. Deinstallieren Sie, was Sie nicht mehr verwenden. Jede App, die Sie entfernen, ist Code, den niemand gegen Sie wenden kann.

5. Fragen Sie die Entwickler Ihrer Storefront-Apps, was sie unternommen haben. Schreiben Sie eine kurze E-Mail und fragen Sie, ob sie die Sicherheitsmaßnahmen von Shopify vom 20. Oktober umgesetzt haben. Shopify macht Entwickler dafür verantwortlich, von einem Sicherheitsproblem betroffene Händler zu benachrichtigen, lesen Sie also auch deren E-Mails.

Sie können Ihren Shop außerdem von außen mit Koala Inspector überprüfen, einer Chrome-Erweiterung, die anzeigt, welches Theme und welche Apps ein Shopify-Shop verwendet. Öffnen Sie Ihre Storefront mit aktivierter Erweiterung und vergleichen Sie deren Liste mit Ihren installierten Apps: Eine App, die Sie nicht kennen oder von der Sie dachten, Sie hätten sie entfernt, sollten Sie sich genauer ansehen.

[Zurück zum Inhaltsverzeichnis]

Schritt 3: Prüfen Sie, welche App-Einbettungen aktiviert sind (1 Minute)

Über App-Einbettungen fügen Apps jeder Seite Ihres Shops Skripte hinzu, und genau diesen Weg nutzte dieser Angriff.

1. Öffnen Sie den Theme-Editor. Gehen Sie zu  „Onlineshop“, dann zu  „Themes“ und klicken Sie neben Ihrem Live-Theme auf  „Theme bearbeiten“ .

2. Öffnen Sie das Feld „App-Einbettungen“. Klicken Sie in der linken Seitenleiste auf das Symbol „App-Einbettungen“, um alle Apps zu sehen, die Code in Ihrer Storefront ausführen können.

3. Deaktivieren Sie, was Sie nicht benötigen. Schalten Sie Einbettungen von Apps aus, die Sie nicht mehr verwenden, nicht kennen oder die in einer Sicherheitsmitteilung genannt werden, und klicken Sie dann auf „Speichern“.

[Zurück zum Inhaltsverzeichnis]

Schritt 4: Sehen Sie sich die Felder für benutzerdefinierten Code an (1 Minute)

Der schädliche Code befand sich in App-Einstellungen, die benutzerdefiniertes JavaScript oder HTML akzeptieren. Öffnen Sie jede App, die etwas in Ihrer Storefront anzeigt, etwa Produktoptionen, Upsells, Wunschlisten oder Pop-ups, und suchen Sie nach Feldern mit Bezeichnungen wie benutzerdefinierter Code, benutzerdefiniertes JavaScript oder benutzerdefiniertes HTML. Wenn ein Feld Code enthält, den niemand aus Ihrem Team hinzugefügt hat, erstellen Sie einen Screenshot und kontaktieren Sie den App-Entwickler.

[Zurück zum Inhaltsverzeichnis]

Schritt 5: Durchsuchen Sie Ihren Theme-Code (1 Minute)

Beim zweiten Vorfall bei Swym wurden Skripte in Theme-Dateien eingefügt, und Swym bittet Händler, ihre Themes nach einer bestimmten Kennung zu durchsuchen.

1. Öffnen Sie den Code-Editor. Gehen Sie zu „Onlineshop“, dann zu „Themes“, klicken Sie auf die drei Punkte neben Ihrem Live-Theme und wählen Sie „Code bearbeiten“.

2. Durchsuchen Sie alle Dateien. Klicken Sie in der linken Seitenleiste auf das Suchsymbol, suchen Sie nach checkout-guard sowie nach jeder der oben aufgeführten Domains und geben Sie diese dabei ohne die eckigen Klammern ein.

Keine Treffer sind eine gute Nachricht, doch dies betrifft nur Ihr Theme. Code, den eine App von ihrem eigenen Server lädt, erscheint hier nie, weshalb die Schritte 1-4 so wichtig sind.

[Zurück zum Inhaltsverzeichnis]

Schritt 6: Sichern Sie Passwörter und Zugänge ab (1 Minute)

1. Aktivieren Sie die zweistufige Authentifizierung. Öffnen Sie Ihr Profil im Shopify-Adminbereich, gehen Sie zu „Sicherheit“ und aktivieren Sie sie. Machen Sie sie anschließend für jedes Mitarbeiterkonto verpflichtend (Anleitung von Shopify).

2. Überprüfen Sie Mitarbeiter und Mitarbeiterkonten von Partnern. Gehen Sie zu „Einstellungen“ und dann zu „Benutzer“. Entfernen Sie alle, die keinen Zugriff mehr benötigen, und prüfen Sie das Benutzeraktivitätsprotokoll auf der Seite „Sicherheit“.

3. Ändern Sie die Passwörter für Ihre App-Dashboards. Viele Apps haben einen eigenen Website-Login. Ändern Sie diese Passwörter ebenso wie Ihr Shopify-Passwort.

[Zurück zum Inhaltsverzeichnis]

Schritt 7: Scannen Sie Ihren Shop von außen (1 Minute)

Prüfen Sie abschließend, wie Ihr Shop für die Sicherheitsdienste aussieht, auf die sich Browser und E-Mail-Anbieter verlassen. Wenn Ihre Domain wegen Malware oder Phishing markiert wurde, sollten Sie das vor Ihren Kunden erfahren.

1. Öffnen Sie den PCrisk Website Scanner. Rufen Sie scanner.pcrisk.com auf. Der Scan ist kostenlos und erfordert kein Benutzerkonto.

2. Geben Sie die Adresse Ihres Shops ein und klicken Sie auf „Website prüfen“.

3. Lesen Sie den Bericht. Er zeigt, ob mehr als 90 Sicherheits-Engines und 10 Bedrohungsdatenbanken Ihre Domain markieren, was ein Scan der Dateien Ihrer Startseite ergeben hat, sowie einen Vertrauenswert von 0 bis 100.

Ein externer Scan klickt nicht auf Ihre Checkout-Schaltfläche. Er ergänzt daher den Test im privaten Fenster aus Schritt 1, ersetzt ihn aber nicht.

Wenn Ihr Checkout weiterleitet

1. Sichern Sie Beweise. Erstellen Sie einen Screenshot, auf dem die Adressleiste zu sehen ist, und notieren Sie die Uhrzeit sowie die Schaltfläche, auf die Sie geklickt haben.

2. Verhindern Sie, dass neue Käufer die gefälschte Seite erreichen. Gehen Sie zu „Onlineshop“, dann zu „Präferenzen“ und aktivieren Sie unter „Shop-Zugriff“ den „Privaten Modus“ (Anleitung von Shopify).

3. Deaktivieren Sie die verdächtige App. Schalten Sie ihre App-Einbettung aus oder deinstallieren Sie sie und testen Sie dann erneut in einem neuen privaten Fenster.

4. Kontaktieren Sie den App-Entwickler, Shopify und Ihren Zahlungsanbieter. Wenden Sie sich über das Shopify Help Center an Shopify und fragen Sie den Entwickler nach den genauen Zeiten, zu denen der Code in Ihrem Shop ausgeführt wurde.

5. Melden Sie die gefälschte Domain bei Google Safe Browsing, ändern Sie Ihre Passwörter wie in Schritt 6 beschrieben und fragen Sie einen Rechtsberater, ob Sie betroffene Kunden benachrichtigen müssen.

[Zurück zum Inhaltsverzeichnis]

Shopify-Sicherheits-Apps, die helfen können

Keine App im Shopify App Store erkennt einen Angriff wie diesen zuverlässig, daher bleibt der Test im privaten Fenster Ihre wichtigste Prüfung. Apps können Ihnen dennoch helfen, Manipulationen zu bemerken, nachzuvollziehen, wer was geändert hat, und Ihr Theme zurückzusetzen. Wir haben diese Einträge am 21. Oktober 2026 geprüft.

Backups erkennen nichts, ermöglichen es Ihnen aber, ein sauberes Theme in wenigen Minuten wiederherzustellen. Theme-Scanner und Änderungsprotokolle sehen nur Theme-Dateien und hätten daher den Großteil dieses Angriffs übersehen. CartShark ist die einzige App im App Store, die wir gefunden haben, die Skripte in den Browsern echter Käufer überwacht. Sie ist jedoch neu bei Shopify, testen Sie sie also während des Testzeitraums. Bewertungen und Preise ändern sich, prüfen Sie daher jeden Eintrag vor der Installation.

[Zurück zum Inhaltsverzeichnis]

Überwachung Ihres Shops mit PCrisk Trust Badge

PCrisk Trust Badge prüft Ihren Shop kontinuierlich alle 24 Stunden von außen, so wie Sicherheitsdienste und Käufer ihn sehen.

• Was geprüft wird: Der Dienst gleicht Ihren Shop mit mehr als 90 Sicherheits-Engines und 10 Bedrohungsdatenbanken ab und scannt die Dateien, die Ihre Seiten laden. Alles wird in Ihrem Shopify-Adminbereich in einem Vertrauenswert zusammengefasst.
• Wie oft: Der kostenlose Tarif scannt einmal im Monat und benachrichtigt Sie per E-Mail, wenn Ihr Shop markiert wird. Premium scannt für $19/Monat mit einem 14-tägigen Testzeitraum täglich.
• Was Käufer sehen: Premium fügt ein Siegel hinzu, das beim Anklicken den aktuellen, datierten Scanbericht öffnet und sich selbst ausblendet, falls ein Scan einmal fehlschlägt.

Nach einem solchen Schreck achten Käufer genauer darauf, wo sie ihre Kartendaten eingeben. Ein Siegel, das durch einen unabhängigen, datierten Bericht gestützt wird, gibt ihnen etwas, das sie selbst überprüfen können.

[Zurück zum Inhaltsverzeichnis]

Fazit

Das Shopify-Checkout-Hijacking vom Oktober 2026 hat den Checkout von Shopify nicht geknackt. Es hat vertrauenswürdige Apps gegen die Shops gewendet, die sie installiert hatten. Unsere Empfehlung an Onlineshop-Betreiber lautet: Verwenden Sie weniger Apps, lassen Sie Felder für benutzerdefinierten Code leer, nutzen Sie die zweistufige Authentifizierung und testen Sie Ihren Checkout in einem privaten Fenster - heute, nach jeder neuen App oder jedem Update und danach einmal im Monat.

Holen Sie sich das PCrisk Trust Badge für Shopify

[Zurück zum Inhaltsverzeichnis]

Häufig gestellte Fragen (FAQs)

Wurde Shopify im Oktober 2026 gehackt?

Es gibt keine öffentlichen Belege dafür, dass Shopify selbst gehackt wurde. Angreifer veränderten die Einstellungen von Drittanbieter-Apps, die auf der Shopify-Plattform verfügbar sind, und dieser App-Code leitete Käufer weiter, bevor der Shopify-Checkout geladen wurde.

Welche Shopify-Apps waren vom Checkout-Hijacking betroffen?

Mit Stand vom 21. Oktober 2026 haben die Entwickler von Hulk Product Options, Selleasy und Swym Wishlist Plus Vorfälle bestätigt. Weitere Apps wurden von Händlern genannt, aber nicht bestätigt.

Mein Checkout-Test sah normal aus. Ist mein Shop sicher?

Es bedeutet, dass bei diesem Test nichts gefunden wurde. Wiederholen Sie ihn in neuen privaten Fenstern, über die Warenkorb-Seitenleiste und auf einem Smartphone, und fragen Sie Ihre App-Entwickler, ob Ihr Shop zu einem früheren Zeitpunkt betroffen war.

Muss ich Hulk Product Options, Selleasy oder Swym Wishlist Plus deinstallieren?

Folgen Sie der jeweils neuesten Mitteilung des Entwicklers. Wenn Sie die App nicht benötigen, ist die Deinstallation der einfachste Weg, das Risiko zu beseitigen.

Was sollten Kunden tun, die ihre Kartendaten in einem gefälschten Checkout eingegeben haben?

Sie sollten sofort ihren Kartenaussteller anrufen, die Karte sperren und ersetzen lassen und ihre Abrechnungen auf unbekannte Zahlungen überprüfen.

Was unternimmt Shopify, um eine Wiederholung zu verhindern?

Shopify forderte alle App-Entwickler auf, in der Woche des 20. Oktober 2026 Sicherheitsmaßnahmen umzusetzen, und kündigte an, die Möglichkeiten von App-Code in Storefronts einzuschränken, die Nutzung von App-Schlüsseln zu begrenzen und die Sicherheitsanforderungen im App Store zu verschärfen. Zeitpläne sollen folgen.

Woran erkenne ich, ob mein Shopify-Konto gehackt wurde?

Zu den Warnzeichen gehören Anmeldewarnungen, die Sie nicht zuordnen können, Mitarbeiter oder Partner, die Sie nicht hinzugefügt haben, ein geändertes Auszahlungskonto sowie Theme-Änderungen, die niemand aus Ihrem Team vorgenommen hat. Aktivieren Sie die zweistufige Authentifizierung, ändern Sie Ihr Passwort und kontaktieren Sie den Shopify-Support, wenn Ihnen eines dieser Anzeichen auffällt.

[Zum Seitenanfang]