Leitfaden

Shopify-Shop absichern: was Sie als Händler selbst tun müssen

Von Lucas Weber, CyberSec42 · Stand 28.10.2026

Shopify sichert die Plattform ab: Server, Hosting, Verschlüsselung und den Bezahlvorgang an der Kasse. Für alles, was Sie selbst in Ihrem Shop einrichten, sind Sie verantwortlich: wer Zugang hat und mit welchen Rechten, wie die Anmeldung geschützt ist, welche Apps Daten Ihrer Kunden lesen dürfen, welcher fremde Code im Theme läuft und ob Sie auf gefälschte „Shopify“-Mails hereinfallen. Dieser Leitfaden zeigt in einfachen Schritten, was Sie als Inhaber eines kleinen Shops selbst prüfen und einstellen können, und endet mit einer Checkliste.

Dieser Artikel ist bewusst auf Shopify zugeschnitten. Den allgemeinen 15-Minuten-Check für jede Website, egal ob WordPress, Wix oder Shopify, finden Sie in unserem Leitfaden Website-Sicherheit für kleine Unternehmen. Hier geht es um die Einstellungen und Gewohnheiten, die nur in einem Shopify-Shop eine Rolle spielen.

Wer ist wofür zuständig?

Bei Shopify mieten Sie einen fertigen Shop. Den technischen Unterbau betreibt Shopify, Sie müssen keinen Server warten und keine Shop-Software aktualisieren. Man spricht von geteilter Verantwortung: Ein Teil liegt bei Shopify, ein Teil immer bei Ihnen.

Daraus folgt eine einfache Regel: Bei Shopify bricht selten jemand „in den Server“ ein. Angreifer übernehmen stattdessen ein Konto, weil ein Passwort abgefischt wurde, oder sie nutzen eine App oder ein Skript, dem Sie selbst Zugriff gegeben haben. Genau dort setzen die folgenden Schritte an.

1. Mitarbeiterkonten und Rechte

In kleinen Betrieben ist es verbreitet, dass alle mit dem Konto des Inhabers arbeiten. Shopify rät ausdrücklich davon ab: Die Zugangsdaten des Inhabers sollen mit niemandem geteilt werden, auch nicht mit Mitarbeitenden. Stattdessen bekommt jede Person ein eigenes Konto.

• Eigene Konten anlegen. Unter Einstellungen, Benutzer laden Sie jede Person ein. Nur so sehen Sie später, wer was geändert hat, und nur so können Sie einen einzelnen Zugang wieder entziehen.
• Rechte nach Bedarf vergeben. Shopify arbeitet mit Rollen, die festlegen, was jemand sehen und tun darf, etwa Produkte pflegen oder Bestellungen bearbeiten. Wer nur Produkte einstellt, braucht keinen Zugriff auf Auszahlungen, Kundendaten oder Apps. Hat jemand mehrere Rollen, gelten die Rechte aller Rollen zusammen. Prüfen Sie deshalb das Gesamtbild.
• Partnerzugänge kontrollieren. Agenturen und Entwickler arbeiten über sogenannte Mitarbeiterkonten für Partner (Collaborator Accounts). Sie können nur eine Anfrage stellen, wenn Sie ihnen den vierstelligen Anfragecode aus Einstellungen, Benutzer, Sicherheit geben. Erzeugen Sie einen neuen Code, wird der alte ungültig. Vor dem Annehmen sehen Sie, welche Rechte angefragt werden, und können sie einschränken.
• Zugänge entfernen, die niemand mehr braucht. Shopify empfiehlt, ungenutzte Logins zu deaktivieren. Ein Konto lässt sich sperren (und später wieder freischalten) oder dauerhaft entfernen. Partnerzugänge ohne Anmeldung in 90 Tagen verlieren den Zugriff laut Shopify automatisch.
• Verlorene Geräte abmelden. Geht ein Handy oder Laptop verloren, können Sie auf der Seite des Benutzers die Anmeldung dieses Geräts widerrufen.

Ein guter Rhythmus für kleine Shops: Einmal im Quartal die Benutzerliste öffnen und bei jedem Eintrag fragen, ob die Person heute noch Zugang braucht und ob die Rechte noch passen.

2. Anmeldung mit zweitem Faktor schützen

Ein Passwort allein reicht nicht, weil es abgefischt, erraten oder aus einem fremden Datenleck übernommen werden kann. Mit einem zweiten Faktor braucht ein Angreifer zusätzlich etwas, das nur Sie haben, etwa Ihr Handy.

• Zwei-Schritt-Anmeldung einschalten. Shopify unterstützt dafür unter anderem eine Authenticator-App auf dem Handy, die Einmal-Codes erzeugt, und einen Sicherheitsschlüssel zum Einstecken. Wer Shopify Payments nutzt, muss die Zwei-Schritt-Anmeldung aktivieren, sonst können laut Shopify Auszahlungen zurückgehalten werden.
• Passkeys nutzen. Ein Passkey ersetzt das Passwort durch die Entsperrung Ihres Geräts, also Fingerabdruck, Gesichtserkennung oder PIN. Shopify schreibt, dass Passkeys helfen, Phishing und gestohlene Passwörter zu vermeiden. Legen Sie einen zweiten Passkey auf einem anderen Gerät als Reserve an.
• Wiederherstellungscodes sicher aufbewahren. Bei der Einrichtung bietet Shopify Codes zum Herunterladen an, mit denen Sie sich anmelden, wenn das Handy weg ist. Bewahren Sie sie getrennt vom Handy auf, zum Beispiel ausgedruckt oder in einem Passwort-Manager.
• Jede Person richtet es selbst ein. Der Inhaber kann die Zwei-Schritt-Anmeldung nicht für andere Mitarbeitende einschalten. Bitten Sie deshalb alle ausdrücklich darum und fragen Sie nach. Nur im Tarif Shopify Plus lässt sich eine sichere Anmeldeart für alle Benutzer vorschreiben.
• Ein eigenes Passwort pro Dienst. Shopify empfiehlt, jedes Passwort nur einmal zu verwenden und einen Passwort-Manager zu nutzen. Taucht Ihr Passwort in einem öffentlichen Datenleck auf, sperrt Shopify das Konto, bis Sie es zurückgesetzt haben.

3. Apps: das größte Risiko im Shop

Apps machen Shopify flexibel, und genau deshalb sind sie der wichtigste Punkt in diesem Leitfaden. Die meisten Apps stammen laut Shopify nicht von Shopify selbst, sondern von anderen Entwicklern. Eine App, die Bestellungen oder Kundendaten lesen darf, hat diesen Zugriff, solange sie installiert ist. Wird der Entwickler selbst angegriffen oder ist die App schlecht gebaut, betrifft das Ihren Shop.

• Vor der Installation die Rechte lesen. Der Installationsbildschirm zeigt, welche persönlichen Daten die App sehen darf, etwa Kunden, und welche Shop-Daten sie sehen und ändern darf, etwa Produkte, Bestellungen und Rabatte. Shopify rät, diese Angaben sorgfältig zu prüfen. Fragen Sie sich: Passt das zur Aufgabe? Eine App für Produktbewertungen braucht keinen Zugriff auf Rabattcodes.
• Datenschutzerklärung des Entwicklers ansehen. Sie ist im Installationsbildschirm verlinkt. Darin steht, was der Entwickler mit den Daten Ihrer Kunden macht und wo er sie verarbeitet.
• Nur aus dem App Store installieren. Apps aus dem Shopify App Store haben ein Prüf- und Freigabeverfahren durchlaufen. Installationslinks außerhalb des App Stores haben das laut Shopify nicht.
• Installierte Apps regelmäßig ausmisten. Was Sie nicht mehr nutzen, deinstallieren Sie unter Einstellungen, Apps. Jede entfernte App ist ein Zugriff weniger auf Ihre Daten. Die Rechte einer installierten App können Sie jederzeit auf ihrer Infoseite nachlesen.
• Nach dem Deinstallieren das Theme prüfen. Shopify weist darauf hin, dass manche Apps Code in Ihr Theme einfügen, der beim Deinstallieren nicht automatisch entfernt wird. Fragen Sie beim Entwickler nach den Schritten zum Entfernen, oder lassen Sie es von Ihrer Agentur erledigen. Exportieren Sie vorher Daten, die Sie noch brauchen.
• Externe Abos separat kündigen. Wer über die App hinaus ein Konto beim Anbieter hat, kündigt dieses getrennt. Das Deinstallieren beendet laut Shopify keine externen Zahlungen, und der Anbieter behält unter Umständen Daten.

4. Theme-Code und eingebundene Skripte

Viele Shops binden fremden Code ein: Tracking- und Werbe-Pixel, Chat-Fenster, Bewertungs-Widgets oder Anpassungen, die eine Agentur direkt ins Theme geschrieben hat. Jedes dieser Skripte läuft im Browser Ihrer Kunden und kann sehen, was dort passiert. Ein unsauberes oder später manipuliertes Skript ist deshalb ein echtes Risiko, auch wenn Shopify selbst sicher ist.

• Wissen, was eingebunden ist. Führen Sie eine kurze Liste: welches Skript, von welchem Anbieter, wofür, wer es eingebaut hat. Was niemand mehr erklären kann, gehört entfernt.
• Vor jeder Code-Änderung das Theme duplizieren. Shopify empfiehlt eine Kopie als Sicherung. Die Versionsgeschichte im Code-Editor stellt nur einzelne Dateien wieder her, reicht nicht beliebig weit zurück und kann gelöschte Dateien nicht zurückholen.
• Pixel über die vorgesehene Funktion einbinden. Shopify bietet unter Kundenereignisse eigene Pixel an, die in einer abgeschotteten Umgebung (Sandbox) laufen und damit kontrollierter sind als Code direkt im Theme. Shopify stellt dabei klar, dass Sie selbst für Rechtmäßigkeit, Einwilligung und die Sicherheit des Codes verantwortlich sind.
• Änderungen am Code nur mit Kenntnis. Shopify rät, nur dann Code zu bearbeiten, wenn Sie HTML, CSS und die Theme-Sprache Liquid verstehen, und sonst einen Shopify-Partner zu beauftragen. Wer Code ins Theme schreibt, sollte ein eigenes Mitarbeiterkonto haben und nicht Ihres.

5. Kasse und Zahlungsdaten

Den Bezahlvorgang an der Shopify-Kasse übernimmt Shopify. Kartendaten Ihrer Kunden müssen Sie deshalb weder speichern noch selbst verarbeiten. Shopify gibt an, nach PCI DSS Level 1 zertifiziert zu sein, und veröffentlicht dazu jährlich eine Bestätigung (Attestation of Compliance), die Sie in der Hilfe nach dem Anmelden abrufen können.

Ihre Aufgabe ist, diesen geschützten Weg nicht zu umgehen:

• Keine Kartendaten außerhalb der Kasse. Nehmen Sie Kartennummern nie per E-Mail, Telefonnotiz, Kontaktformular oder Tabelle entgegen. Was nicht bei Ihnen liegt, kann bei Ihnen nicht gestohlen werden.
• Zahlungs- und Auszahlungskonten schützen. Prüfen Sie, wer in Ihrem Shop Rechte für Zahlungen, Auszahlungen und Bankverbindung hat. Nach einem Vorfall empfiehlt Shopify ausdrücklich, Payments, Balance und weitere Finanzbereiche auf unbekannte Vorgänge zu prüfen.
• Kasse und Bestellbestätigungen im Blick behalten. Ein Angreifer mit Zugang ändert gern die Kontaktangaben, Benachrichtigungen oder Rabatte. Schauen Sie diese Einstellungen gelegentlich an, nicht nur das Design.

6. E-Mail, Domain und gefälschte „Shopify“-Mails

Wer Ihr E-Mail-Postfach übernimmt, kann sich über „Passwort vergessen“ in fast jedes Ihrer Konten setzen, auch in Ihren Shop. Deshalb rät Shopify, nach einem Vorfall zuerst das E-Mail-Passwort zu ändern und erst danach das Shopify-Passwort. Schützen Sie das Postfach mit einem eigenen Passwort und einem zweiten Faktor, ebenso das Konto bei Ihrem Domain-Anbieter, falls die Domain nicht bei Shopify liegt.

Gefälschte Mails im Namen von Shopify sind ein bekannter Weg, an Händler-Zugänge zu kommen. Shopify nennt dazu klare Merkmale:

• Absender prüfen. Echte Mails von Shopify kommen laut Shopify von @shopify.com, @email.shopify.com oder @em.shopify.com. Eine Mail von einem Gmail-, Yahoo- oder Hotmail-Konto, die sich als Shopify ausgibt, ist verdächtig.
• Keine sensiblen Daten per Mail. Shopify fragt nach eigener Aussage nie per E-Mail nach Passwörtern, Ausweis-, Kreditkarten- oder Bankdaten. Dokumente fordert der Support nur über eine sichere Upload-Seite auf einer Adresse unter shopify.com an.
• Druck ist ein Warnsignal. Ein typisches Beispiel aus der Shopify-Hilfe: Sie sollen innerhalb von 24 Stunden Benutzername und Passwort schicken, sonst verlieren Sie den Shop für immer. Solche Fristen sollen Sie zum schnellen Klicken bringen.
• Nachgemachte Adressen erkennen. Achten Sie auf den Teil direkt vor der Endung. Eine Adresse wie example-apparel.com-aquatic.net gehört nicht zu example-apparel.com, sondern zu com-aquatic.net.
• Lieber selbst einloggen. Statt auf einen Link in einer Mail zu klicken, rufen Sie Ihren Shop-Admin direkt im Browser auf. Steht dort nichts, war die Mail falsch.
• Verdächtige Mails melden. Leiten Sie sie an phishing@shopify.com weiter. Dasselbe gilt sinngemäß für Anrufe und SMS, die sich als Shopify ausgeben.

Ein kleiner Hinweis, damit echte Warnungen ankommen: Shopify empfiehlt, Filter zu entfernen, die Shopify-Mails in Spam oder Papierkorb verschieben. Sonst verpassen Sie etwa die Meldung über eine Anmeldung von einem neuen Gerät.

7. Kundendaten und DSGVO, kurz eingeordnet

In Ihrem Shop liegen Namen, Adressen, Bestellungen und oft Telefonnummern. Für diese Daten sind Sie gegenüber Ihren Kunden verantwortlich, auch wenn sie technisch bei Shopify und bei Ihren Apps liegen. Shopify weist in der Hilfe selbst darauf hin, dass Händler für ihre eigene Rechtskonformität zuständig sind.

• Zugriff begrenzen. Nur wer Kundendaten für seine Arbeit braucht, bekommt die Rechte dafür. Das gilt für Mitarbeitende und für Apps.
• Exporte sparsam. Jede heruntergeladene Kundenliste ist eine Kopie außerhalb des geschützten Shops. Löschen Sie Exporte, wenn sie ihren Zweck erfüllt haben.
• Anfragen von Kunden. Möchte ein Kunde wissen, welche Daten Sie haben, oder seine Daten löschen lassen, bietet Shopify dafür im Kundenprofil die Funktionen „Kundendaten anfordern“ und „Personenbezogene Daten löschen“. Andere Firmen, an die Sie Daten weitergegeben haben, etwa App-Anbieter, müssen Sie selbst informieren.
• Datenpanne. Gelangen Kundendaten in falsche Hände, kann eine Meldepflicht an die Datenschutzaufsicht innerhalb von 72 Stunden bestehen (Art. 33 DSGVO). Wie Sie das einschätzen, steht in unserem Ratgeber „Website gehackt – was tun?“.

Dieser Abschnitt ist eine kurze Orientierung und keine Rechtsberatung. Für Ihre konkrete Situation fragen Sie Ihre Datenschutzberatung oder eine Anwältin bzw. einen Anwalt.

8. Was tun bei Verdacht?

Typische Warnzeichen in einem Shopify-Shop sind eine Mail über eine Anmeldung, die Sie nicht kennen, unbekannte Mitarbeiter- oder Partnerkonten, neue Apps, die niemand installiert hat, geänderte Bankverbindung oder Kontaktdaten, unerwartete Rabattcodes und auffällige Entwurfsbestellungen. Dann gilt laut Shopify:

• Sofort den Shopify-Support kontaktieren.
• Passwörter ändern, zuerst E-Mail, dann Shopify, von einem Gerät, dem Sie vertrauen.
• Zwei-Schritt-Anmeldung neu einrichten und alte Geräte entfernen, falls der Angreifer sie umgangen hat.
• Mitarbeiter- und Partnerrechte, Aktivitätsprotokoll, Apps, Domains, Kasse, Benachrichtigungen und Rabatte durchgehen.
• Zahlungen und Bestellungen prüfen, verdächtige Bestellungen mit dem Kunden klären und gegebenenfalls stornieren.

Die allgemeine Reihenfolge, von der Beweissicherung bis zur Frage nach Meldepflichten, beschreibt unser Ratgeber „Website gehackt – was tun?“. Legen Sie schon heute fest, wer im Ernstfall entscheidet und wo die Wiederherstellungscodes liegen.

Die Checkliste

Selbst machen oder prüfen lassen?

Fast alles auf dieser Liste schaffen Sie als Inhaber selbst, ohne Programmierkenntnisse, an einem Nachmittag. Schwieriger wird es dort, wo Sie nicht mehr sehen, was passiert: bei vielen Apps mit weitreichenden Rechten, bei Code, den eine frühere Agentur ins Theme geschrieben hat, bei eigenen Skripten auf Produkt- und Bestellseiten oder bei Anbindungen an Warenwirtschaft und Versand.

Für diese Fälle bieten wir einen Shop-Sicherheitscheck an. Wir gehen Konten, Rechte, Apps und eingebundenen Code Ihres Shops im schriftlich vereinbarten Umfang durch und prüfen, was Ihr Shop nach außen ausliefert. Ist mehr nötig, etwa bei eigenen Erweiterungen oder angebundenen Systemen, folgt ein Penetrationstest mit nachvollziehbaren Nachweisen je Befund. Den Umfang stimmen wir auf Ihren Shop ab, das Angebot erstellen wir individuell.

Häufige Fragen

Weiterlesen

• Content Security Policy und Security-Header
• Website-Sicherheit für kleine Unternehmen: der 15-Minuten-Check
• Website gehackt – was tun? Die ersten Schritte für kleine Unternehmen
• Schwachstellenanalyse: was sie ist und wann Sie eine brauchen
• Leistung: Penetrationstest mit verifizierten Befunden

Quellen

• Shopify Help Center: Account security best practices
• Shopify Help Center: Two-step authentication
• Shopify Help Center: Passkeys
• Shopify Help Center: Managing users
• Shopify Help Center: Collaborator accounts
• Shopify Help Center: Installing and setting up apps
• Shopify Help Center: Uninstalling apps
• Shopify Help Center: Editing theme code
• Shopify Help Center: Custom pixels
• Shopify Help Center: Phishing, vishing and smishing
• Shopify Help Center: Enabling secure connections
• Shopify Help Center: Compliance reports
• Shopify: PCI compliance
• Shopify Help Center: Processing customer data requests
• EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Art. 33