Shopify-App-Sicherheit: Was der Selleasy-Vorfall für Händler bedeutet

Stand: 3. November 2026.

Wer einen Shopify-Shop betreibt, kann sein eigenes Konto sorgfältig absichern und trotzdem durch eine verbundene App verwundbar werden. Eine Installation schafft eine zusätzliche Vertrauensbeziehung: Ein anderes Unternehmen erhält bestimmte Zugriffe oder gestaltet einen Teil des Einkaufs mit. Wie dieses Unternehmen seine eigenen Systeme schützt, liegt außerhalb deines Admins.

Der Angriff auf die Upsell-App Selleasy im Oktober 2026 macht diese Abhängigkeit konkret. Für Händler ist daraus vor allem eine Betriebsfrage abzuleiten: Weißt du, welche Anbieter deinen Kaufpfad beeinflussen können, und wie du eine problematische Integration kontrolliert außer Betrieb nimmst?

Das Wichtigste in Kürze

• Ein abgesichertes Händlerkonto ersetzt keine Prüfung der angebundenen Dienstleister.
• Prüfe bei Apps sowohl Datenzugriffe als auch ihren Einfluss auf Storefront und Kaufablauf. Das sind unterschiedliche Fragen.
• Halte für wichtige Integrationen Zweck, Verantwortliche, Supportkontakt und einen Rückweg fest.
• Bei einer unerwarteten Zahlungsseite: keine Daten eingeben, den Ablauf dokumentieren und über bekannte Kontaktwege klären. Bei bestätigter Manipulation weitere Kunden schützen.

Was über den Selleasy-Vorfall bekannt ist

Laut Logbase führte ein Angriff auf ein älteres internes Supportwerkzeug am 13. Oktober 2026 zu externen Checkout-Weiterleitungen. Händlerkonten und -zugangsdaten seien nicht verwendet worden. Der am 28. Oktober aktualisierte Anbieterbericht bezeichnet den Vorfall als behoben, ohne Betroffenenzahl.

Daraus lässt sich weder ein Einbruch in die Shopify-Plattform noch eine unabhängig bestätigte Schadensbilanz ableiten.

Drei Fragen hinter jeder App-Installation

Ein Schloss am eigenen Büro hilft wenig dabei, die Arbeitsweise eines Dienstleisters zu beurteilen. Ähnlich ist es bei Apps: Ein starkes Passwort und Zwei-Faktor-Authentifizierung schützen deinen Zugang. Sie beantworten nicht, wer beim Anbieter Änderungen auslösen kann.

Für die Beurteilung einer App helfen drei getrennte Fragen:

Welche Daten darf sie verarbeiten? Shopify zeigt beim Installieren die angeforderten Zugriffe auf personenbezogene Daten und Shopdaten. Lies die aufgeklappten Details. Ein Funktionsname wie „Upsell“ erklärt noch nicht, warum jeder angefragte Zugriff erforderlich ist. Quelle: Shopify zur App-Installation.

Wo wirkt sie im Einkauf? Ein Bericht im Admin, ein eingeblendetes Element im Warenkorb und eine Funktion im Checkout haben verschiedene Aufgaben. Die technische Umsetzung entscheidet darüber, was eine Integration tatsächlich verändern kann. Eine App mit Datenzugriff kann deshalb nicht automatisch beliebigen Checkout-Code ausführen. Umgekehrt ist eine unauffällige Darstellung kein Beleg dafür, dass eine Integration wenig Einfluss hat.

Welche weiteren Systeme hängen daran? Für dich heißt die App vielleicht nur „Produktempfehlungen“. Beim Anbieter gehören dazu womöglich Backend, Veröffentlichungsprozess und Supportzugänge. Diese Verbindungskette musst du nicht selbst technisch auditieren können. Du solltest aber nachvollziehbare Antworten erhalten, wer sie prüft und wie du bei einem Vorfall informiert wirst.

Diese Unterscheidung verbessert auch die Auswahl: Die passende Shopify-App muss ihren Nutzen rechtfertigen und betrieblich beherrschbar bleiben.

Eine brauchbare Bestandsaufnahme passt auf eine Seite

Beginne mit den Apps, die Geld, Bestellungen, Kundendaten oder sichtbare Teile des Kaufpfads berühren. Arbeite anschließend den Rest durch. Die folgende Tabelle ist eine Vorlage für deine eigene Bewertung, keine Behauptung über die Rechte einer bestimmten App.

Die Beispielantworten beschreiben einen hypothetischen Shop. Bei einer Versand- oder Warenwirtschaftsanbindung kann derselbe Rückweg viel aufwendiger sein. Genau deshalb gehört die Frage vor die nächste Störung.

In Shopify findest du unter Einstellungen → Apps → betreffende App Informationen zu Berechtigungen, Aktivität und Erweiterungen. Für Drittanbieter-Apps zeigt Shopify auch Zugriffe der letzten 30 Tage und ungenutzte Berechtigungen. Shopify-eigene Apps sind von dieser Aktivitätserfassung derzeit ausgenommen. Quelle: Shopify zur App-Verwaltung.

Nutze diese Angaben als Gesprächsgrundlage. Ein ungenutztes Recht ist eine gute Rückfrage an den Anbieter; ein hoher Zugriffszähler allein beweist keinen Missbrauch. Eine regelmäßig synchronisierende App kann viele legitime Anfragen erzeugen. Und eine ruhige Übersicht ersetzt keine Untersuchung ihrer anderen Systeme.

Aus der Prüfung eine kleine Routine machen

Ein sinnvoller Anlass für eine erneute Prüfung ist jede neue App, eine geänderte Berechtigungsanfrage oder ein größerer Umbau am Shop. Zusätzlich lohnt sich ein fester Termin, etwa monatlich für den Kaufpfad und vierteljährlich für das gesamte App-Inventar. Diese Intervalle sind eine organisatorische Empfehlung; bei einem häufig veränderten Shop kann ein engerer Rhythmus nötig sein.

Gehe dabei deinen eigenen Shop aus Kundensicht durch: Produkt, Warenkorb, Checkout und die vorgesehenen Zahlungswege. Berücksichtige mindestens eine mobile Ansicht und einen frischen Browserzustand. Wenn Einwilligung oder Login den Ablauf verändern, dokumentiere auch diese Varianten. Nutze für einen vollständigen Test eine dafür vorgesehene Testumgebung oder einen bewusst geplanten Testkauf.

Halte Datum, geprüfte Variante und erwartete Übergänge fest. So lässt sich eine spätere Veränderung beurteilen, ohne sich auf die Erinnerung zu verlassen. Eine neue Domain ist zunächst eine Abweichung, die du erklären musst: Sie kann zu einem eingerichteten Zahlungsdienst gehören. Ein vertrautes Logo oder eine verschlüsselte Verbindung allein beantwortet diese Frage nicht.

Ein solcher Durchlauf ist eine Funktionskontrolle mit Sicherheitsnutzen. Er beweist nicht, dass jeder Besucher denselben Ablauf sieht oder dass die Systeme aller Anbieter sicher sind. Sein Wert liegt darin, auffällige Veränderungen früher und mit brauchbaren Details zu entdecken.

Was bei einer verdächtigen Weiterleitung zu tun ist

Eine Kundenmeldung wie „Beim Bezahlen wurde ich auf eine andere Seite geschickt“ verdient eine schnelle Prüfung. Die Reihenfolge sollte Kundenschutz und verwertbare Informationen zusammenbringen.

1. Den verdächtigen Ablauf nicht fortsetzen. Gib auf der unbekannten Seite weder Zahlungsdaten noch Shopify-Zugangsdaten ein. Bitte den meldenden Kunden ebenfalls, dort nicht weiterzumachen. Für die Klärung brauchst du keine Kartennummer und kein Passwort.

2. Den konkreten Hinweis sichern. Notiere Zeitpunkt samt Zeitzone, Ausgangsseite, Zieladresse, Gerät und die Schritte unmittelbar davor. Ein Screenshot kann helfen. Teile Informationen über einen geschützten Supportkanal und entferne unnötige Kundendaten; vollständige URLs können ebenfalls vertrauliche Parameter enthalten. Lass technische Protokolle durch die zuständige Person sichern, bevor routinemäßige Bereinigungen sie überschreiben.

3. Über bekannte Wege abgleichen. Öffne deinen Shopify-Admin und die bereits dokumentierten Kontakte zu Agentur, App-Anbieter und gegebenenfalls Zahlungsanbieter direkt. Verwende keine Telefonnummer oder Anmeldeseite aus dem verdächtigen Bildschirm. Prüft gemeinsam, ob die Weiterleitung zum eingerichteten Zahlungsablauf gehört und ob es aktuelle Vorfallhinweise gibt.

4. Einen bestätigten gefährlichen Kaufpfad unterbrechen. Kann die verantwortliche Integration sicher eingegrenzt und deaktiviert werden, hat das Vorrang. Ist das nicht möglich und werden Kunden weiter auf eine manipulierte Zahlungsseite geführt, muss der betroffene Verkaufsweg vorübergehend gestoppt werden. Die konkrete Maßnahme hängt vom Shop ab; hole Shopify-Support und die technische Betreuung hinzu. Das bloße Pausieren von Werbung verhindert keine direkten Besuche.

5. Wiederanlauf und Folgen getrennt prüfen. Dokumentiere, was geändert wurde, und prüfe anschließend den betroffenen Ablauf erneut. Geklärt werden müssen außerdem Zeitraum, möglicherweise betroffene Bestellungen und die Frage, ob Daten offengelegt wurden. Informiere Kunden anhand gesicherter Erkenntnisse. Falls Zahlungsdaten auf einer fremden Seite eingegeben wurden, sollten Betroffene ihren Zahlungsdienst beziehungsweise ihre Bank über deren bekannte Kanäle kontaktieren. Rechtliche Melde- und Informationspflichten gehören bei einem tatsächlichen Datenvorfall in eine gesonderte fachliche Prüfung.

Warum „App löschen“ noch kein Wiederanlaufplan ist

Shopify weist darauf hin, dass beim Deinstallieren Funktionen und abhängige Abläufe ausfallen können. Manche Apps hinterlassen Theme-Code; benötigte Daten sollten vorher gesichert und zusätzliche Entfernungsschritte mit dem Anbieter geklärt werden. Quelle: Shopify zur App-Deinstallation.

Daraus folgt für deinen Plan: Beschreibe sowohl das kurzfristige Unterbrechen einer problematischen Funktion als auch die vollständige Entfernung. Ein ausgeblendetes Element ist noch kein Nachweis, dass alle damit verbundenen Zugriffe beendet sind. Umgekehrt soll eine unvorbereitete Deinstallation nicht versehentlich die Abwicklung bereits bezahlter Bestellungen lahmlegen.

Bei einem laufenden Angriff darf eine perfekte Dokumentation den Kundenschutz nicht verzögern. Ein vorher festgelegter Rückweg hilft gerade dann: Du kannst handeln und weißt, welche Nacharbeiten folgen.

Welche Antworten du von einem Anbieter erwarten kannst

Am 20. Oktober rief Shopify App-Entwickler unter anderem dazu auf, Zugänge abzusichern, veraltete Zugriffe zu entfernen und ihre Systeme zu prüfen. Das unterstreicht, dass die Verantwortung auch beim Anbieter liegt. Quelle: Shopify, „Securing your app together“.

Frage deshalb konkret: Umfasst eure Sicherheitsprüfung auch interne Supportwerkzeuge? Wie begrenzt ihr Mitarbeiterzugriffe auf Shops? Wie erreicht uns eine dringende Sicherheitsmeldung? Wie lässt sich eure Integration vollständig entfernen? Eine nachvollziehbare Antwort ist hilfreicher als das pauschale Versprechen, Sicherheit habe höchste Priorität.

Shopify hat zudem am 15. Oktober einen Sicherheitscheck für App-Entwickler vorgestellt und empfiehlt ihn vor der Einreichung und bei jedem Release. Shopify betont selbst, dass ein sauberer Bericht keine Sicherheitsgarantie ist. Quelle: Ankündigung des AI-Toolkit-Sicherheitschecks. Ein Händler kann daraus eine Frage nach dem Prüfverfahren ableiten; ein neuer Scanner ersetzt nicht dessen Beurteilung.

Für deinen nächsten Arbeitsschritt reicht ein klarer Anfang: Öffne die App-Liste, nimm dir die Integration mit dem größten Einfluss auf den Kaufpfad vor und dokumentiere ihren Rückweg. Wenn du dabei nicht herausfindest, wer verantwortlich ist oder was beim Abschalten passiert, hast du bereits eine konkrete Lücke gefunden, die du schließen kannst.

Quellen und Einordnung

Geprüft am 3. November 2026. Die Angaben zum Angriff stammen vom betroffenen Anbieter; die Handlungsempfehlungen sind unsere redaktionelle Ableitung für den Shopbetrieb.

• Logbase: Security incident update, aktualisiert am 28. Oktober 2026
• Shopify Help Center: Apps installieren
• Shopify Help Center: Apps verwalten
• Shopify Help Center: Apps deinstallieren
• Shopify Developer Community: Securing your app together, 20. Oktober 2026
• Shopify Developer Blog: AI-Toolkit-Sicherheitscheck, 15. Oktober 2026