Shopify-Apps entfernt nach Checkout-Hijack: Was du jetzt tun solltest

Seit dem 14. Oktober 2026 hat Shopify Hunderte Apps aus dem App Store entfernt, darunter Namen, die in sehr vielen Shops laufen: Upsell-Apps, Wunschlisten, Produktoptionen, Suche und Filter, Cookie-Banner. Auslöser war ein sogenannter Checkout-Hijack: Über einige Apps wurde Schadcode eingeschleust, der Kundinnen und Kunden kurz vor dem Bezahlen auf eine gefälschte Checkout-Seite umgeleitet hat, um Kartendaten abzugreifen. Hier findest du, was belegt ist, welche Apps entfernt wurden, wie du prüfst, ob dein Shop betroffen ist, und welche Alternativen wir empfehlen.

Was beim Shopify Checkout-Hijack passiert ist

War Shopify gehackt? Nein. Die Angreifer haben nicht Shopify gehackt, sondern einzelne App-Anbieter. Über deren Systeme wurde die Konfiguration der Apps verändert, sodass die App in den Shops zusätzlichen Code geladen hat. Dieser Code hat den Klick auf den Checkout-Button abgefangen und stattdessen eine täuschend echte Bezahlseite auf einer fremden Domain geöffnet, eine klassische Phishing-Seite für Kartendaten.

• Selleasy (Upsell & Cross Sell) von Logbase: Der Hersteller bestätigt in seinem Vorfallbericht ein eingeschleustes Skript am 13. Oktober, das auf eine Phishing-Seite umleitete.
• Wishlist Plus von Swym: Laut Stellungnahme von Swym wurde die App-Konfiguration am 14. Oktober für knapp zwei Stunden unbefugt geändert. Auf ausgewählten Seiten einer begrenzten Zahl von Shops lud dadurch ein Skript, das Checkout-Klicks umleitete.
• Hulk Product Options: Hier gibt es keine eigene Stellungnahme auf der Website des Herstellers. Fachpresse und Sicherheitsforscher berichten aber übereinstimmend von Schadcode, der über die Einstellungen der App für eigenes JavaScript ausgeliefert wurde.

Wichtig für die Einordnung: Der Code der Apps im Theme war jeweils sauber. Er hat aber Einstellungen vom Server des Herstellers nachgeladen, und genau dort steckte der Schadcode. Shopify hat betroffene App-Erweiterungen zentral abgeschaltet und am 20. Oktober in einem Beitrag an alle App-Entwickler strengere Regeln für App-Code im Shop angekündigt. Einzelne Entfernungen hat Shopify bisher nicht begründet.

Liste: Welche Shopify-Apps entfernt wurden

Das unabhängige App-Archiv heyapps.dev zählt am 21. Oktober über 400 entfernte Apps, die meisten davon am 15. und am 20. Oktober. Das ist keine offizielle Shopify-Liste, und nicht jede Entfernung hat mit dem Angriff zu tun. Am 15. Oktober ist zum Beispiel auch eine App von Shopify selbst verschwunden, und am Tag darauf lief eine Frist für eine alte API-Version ab, nach der Shopify veraltete Apps grundsätzlich aus dem Store nimmt. Einige Apps sind inzwischen wieder gelistet, etwa Langwill für Übersetzungen.

Die bekanntesten Namen im Überblick:

Ob eine App in deinem Shop betroffen ist, siehst du am schnellsten auf ihrer Seite im App Store. Steht dort „Diese App ist derzeit nicht im Shopify App Store verfügbar“ (englisch: „This app is not currently available on the Shopify App Store“), ist sie entfernt.

Checkliste: Ist dein Shop betroffen?

Eine entfernte App wird nicht automatisch aus deinem Shop gelöscht. Sie nimmt nur keine neuen Installationen mehr an. Deshalb lohnt sich jetzt eine halbe Stunde:

1. Apps abgleichen: Geh im Admin auf Apps und prüf jede installierte App im App Store. Notier dir alle, die entfernt sind.
2. Herstellerhinweise lesen: Viele Anbieter haben per Mail oder auf ihrer Statusseite informiert. Bei bestätigten Fällen folgst du deren Anleitung.
3. Checkout testen wie ein Kunde: Privates Browserfenster öffnen, Produkt in den Warenkorb, auf deinen echten Checkout-Button klicken und die Adresszeile lesen. Dort muss deine eigene Domain oder Shopify stehen, keine fremde Adresse. Das private Fenster ist wichtig, weil der Schadcode laut Analysen nur einmal pro Sitzung zugeschlagen hat.
4. Eigenes JavaScript in App-Einstellungen prüfen: Viele Apps haben ein Feld für eigenen Code. Steht dort etwas, das dein Team nicht kennt, sofort entfernen und den Hersteller informieren.
5. Nicht genutzte Apps deinstallieren: Danach im Theme-Editor unter App-Einbettungen und im Code nach Resten schauen. Shopify weist selbst darauf hin, dass manche Apps Code im Theme zurücklassen.
6. Zugänge absichern: Zwei-Faktor-Anmeldung für alle Mitarbeiterkonten und nur so viele App-Berechtigungen wie nötig.

Wenn du den Verdacht hast, dass Kundinnen und Kunden betroffen sein könnten, kläre mit deiner Datenschutzberatung, ob du den Vorfall melden oder deine Kunden informieren musst.

Alternativen für die entfernten Shopify-Apps

Eine entfernte App ist ein guter Anlass, die Frage zu stellen, ob du sie überhaupt brauchst. Meine Empfehlungen aus unseren Projekten:

• Alternative zu Color Swatch King (Farbfelder für Varianten): Würde ich nativ im Theme bauen. Swatch-Apps ziehen meist Ladezeit aus dem Shop und bremsen dich aus, dabei lassen sich Farbfelder mit Metafeldern sauber im Theme abbilden.
• Alternative zu Upsell & Cross Sell (Selleasy): Ebenfalls nativ. Produktempfehlungen kann Shopify mit der kostenlosen App Search & Discovery selbst steuern, der Rest ist ein sauber gebauter Block im Theme. Frag uns gern, wie das in deinem Shop aussehen würde.
• Alternative zu Consentmo (Cookie-Banner): Wir empfehlen immer Pandectes (Affiliate-Link).
• Alternative zu Boost AI Search & Filter: Für die Suche unsere eigene App Easy & Fast AI Search, für die Filter Shopifys eigene App Search & Discovery.
• Alternative zu Aftersell (Upsells nach dem Kauf): Wir bauen gerade eine eigene App für Angebote nach dem Kauf, sie ist fast fertig. Infos dazu kommen bald.
• Alternative zu Upcart (Warenkorb als Seitenleiste): Eine Cart-Drawer-App würde ich nur ungern empfehlen. Fällt deren System aus, geht bei dir im Warenkorb nichts mehr. Ein Warenkorb als Seitenleiste gehört ins Theme, viele aktuelle Themes bringen ihn schon mit.
• Bonus, KI-Übersetzung: Unser Shrymp Translator übersetzt deinen Shop mit KI, auch mit deinem eigenen KI-API-Key.
• Bonus, Widerrufsbutton und EU-Gewährleistungslabel: Wenn du ohnehin aufräumst: Beides ist 2026 Pflicht geworden. Unsere App EU Widerruf Button deckt beides ab, Hintergründe zum Label findest du in unserem Artikel zum EU-Gewährleistungslabel.

Alle unsere Apps findest du gesammelt in unserem Store im Shopify App Store.

Transparenz: Easy & Fast AI Search, Shrymp Translator und EU Widerruf Button sind unsere eigenen Apps. Der Link zu Pandectes ist ein Affiliate-Link; wenn du darüber buchst, bekommen wir eine Provision, für dich ändert sich am Preis nichts.

Die eigentliche Lehre: weniger Apps, weniger Risiko

Keiner der betroffenen Shops hat etwas falsch gemacht. Sie haben beliebte Apps mit Tausenden guten Bewertungen genutzt. Genau das zeigt das Problem: Jede App, die Code in deinen Shop lädt, ist eine Abhängigkeit von einem fremden Server, den du nicht kontrollierst. Sie kostet Ladezeit, und wenn beim Anbieter etwas schiefgeht, trifft es deinen Checkout.

Shopify zieht die Regeln ohnehin an. Seit dem 1. Oktober 2026 können Apps keine neuen Script Tags mehr anlegen, ab dem 1. März 2027 lädt Shopify sie gar nicht mehr in den Shop. Ein guter Zeitpunkt also, deine App-Liste durchzugehen: Was nutzt du wirklich, was kann das Theme selbst, und wo lohnt sich eine kleine eigene Lösung? Wie ein aufgeräumtes Theme aussieht, zeigt unser Artikel zu Produkttyp-Templates und Metafeldern.