Social Rocket
Mehrere Shopify-Shops wurden im Oktober 2026 Ziel einer Checkout-Umleitung: Kunden landeten beim Bezahlen auf fremden, nachgebauten Zahlungsseiten. Der deutsche Entwickler Roman Zipp dokumentierte die Vorfälle, nachdem ihm am 10. Oktober beim Kauf einer Tastatur eine verdächtige Weiterleitung auffiel. Betroffen waren Integrationen aus dem Shopify-App-Ökosystem – also genau die Zusatzfunktionen, auf die viele Händler für Produktoptionen, Upselling und Kundenbindung setzen.
Für DTC-Marken ist das ein Problem am empfindlichsten Punkt der Customer Journey: Sie investieren in Reichweite über Instagram, TikTok oder Google, doch der gefährliche Moment kann erst unmittelbar vor der Bezahlung eintreten.
Wie der Angriff die Shop-Kasse umging
Der von Zipp beobachtete Ablauf war simpel: Beim Wechsel vom Warenkorb zur Kasse wurde im Browser ein fremdes Skript ausgeführt. Dieses konnte Käufer auf eine täuschend echte Checkout-Seite außerhalb des eigentlichen Shops umleiten und Zahlungsdaten abfragen.
Bei Hulk Product Options bestätigte der Anbieter laut dokumentierter Stellungnahme, dass am 10. Oktober unzulässige Konfigurationen in der Theme-Erweiterung hinterlegt worden waren. Shopify setzte die Erweiterung vorübergehend außer Betrieb. Nach Entfernung des Codes wurde sie wiederhergestellt.
Ein weiterer bestätigter Vorfall betraf Selleasy: Upsell & Cross Sell. Betreiber Logbase beschreibt auf seiner offiziellen Incident-Seite einen gezielten Angriff vom 13. Oktober. Der Angreifer missbrauchte ein älteres internes Support-Werkzeug, um ein Skript in Shop-Konfigurationen einzuschleusen. Um 12:22 Uhr UTC waren die Umleitungen laut Logbase gestoppt, bis 15:58 Uhr die betroffenen Stores bereinigt.
Die Anbieter haben reagiert – Shopify ändert die Weiterleitungsregeln
Logbase ließ die Anwendung vom 16. bis 20. Oktober extern überprüfen. Nach Shopifys Review wurde Selleasy am 27. Oktober wieder im App Store gelistet. Der Betreiber hat das ausgenutzte interne Werkzeug abgeschaltet und zusätzliche Zugangskontrollen eingeführt.
Shopify selbst veröffentlichte am 20. Oktober einen neuen Schutz gegen unerwartete Weiterleitungen. Seit dem Update vom 23. Oktober werden nach Shopifys Angaben bekannte schädliche Ziele blockiert und für verdächtige externe Websites Bestätigungen angezeigt. Gewöhnliche externe Links werden weiterhin ohne Zwischenbildschirm geöffnet.
Damit adressiert Shopify den Weg von einem legitimen Store zu einem riskanten externen Ziel. Das eigentliche Learning liegt allerdings in der Kontrolle der Drittanbieter-Integrationen.
Warum Social-Commerce-Teams betroffen sind
Ein erfolgreicher Werbeklick ist für einen Onlineshop erst der Anfang. Produktseiten, Widgets, Warenkorb und Checkout bilden zusammen den Conversion-Prozess. Wenn ein eingebundenes App-Skript diesen Prozess manipuliert, landen Kampagnenbudgets im schlimmsten Fall vor einer betrügerischen Bezahlseite.
Das betrifft besonders Marken, die Creator-Lives und TikTok-Shop-Kampagnen mit eigenen Landingpages und externen Shops kombinieren. Auch die deutsche Studie zu Vertrauen und Kontrolle beim KI-Shopping verdeutlicht, wie zentral ein verlässlicher Kaufprozess für neue Shopping-Erlebnisse wird.
Shop-Betreiber können drei Dinge sofort prüfen:
- App-Inventar: Welche Erweiterungen dürfen Skripte, Theme-Blöcke oder Warenkorb-Funktionen verändern? Werden die Berechtigungen noch benötigt?
- Kaufweg: Funktioniert der Checkout in einem frischen Browserprofil auf Desktop und Smartphone? Bleiben Käufer auf der erwarteten Domain?
- Reaktion und Monitoring: Gibt es Warnmeldungen, verdächtige Weiterleitungen oder Support-Anfragen zu unbekannten Zahlungsseiten? Sind die Sicherheitsmitteilungen installierter Apps geprüft?
Wer seine Werbebudgets nach Conversion und tatsächlichen Bestellungen aussteuert, sollte die technische Integrität des Checkouts genauso ernst nehmen wie Attribution und Ladezeit.
Die dokumentierten Vorfälle zeigen ein Risiko im App-Ökosystem, nicht einen generellen Ausfall von Shopify. Ob bei den Angriffen tatsächlich KI eingesetzt wurde, wie im Ausgangsbericht vermutet, ist öffentlich nicht gesichert. Entscheidend für Händler ist der konkrete Angriffspfad – und dass Anbieter und Plattform inzwischen Gegenmaßnahmen umgesetzt haben.
Quellen: Roman Zipp, technische Erstuntersuchung vom 10.10.2026 mit Updates; Roman Zipp, Anbieterstellungnahmen; Selleasy/Logbase, Abschlussbericht vom 28.10.2026; Shopify Changelog, 20./23.10.2026; Adweek, Berichtsanlass vom 03.11.2026.
Symbolbild: rupixen / Unsplash.