Shopify Fake-Checkouts: Was du jetzt prüfen solltest – und was die PHP-Lücke damit zu tun hat

Aktualisiert am
Shopify Fake Checkouts
Stand: 22. Oktober 2026

Die Bestellungen kommen rein, der Shop läuft, und im Checkout scheint alles wie immer. Leider reicht das gerade nicht, um einen Sicherheitsvorfall auszuschließen: Bei Angriffen über Shopify-Apps wurden Besucher auf gefälschte Zahlungsseiten umgeleitet. Eine Bestellung konnte anschließend trotzdem im echten Shop abgeschlossen werden.

Parallel sorgen zwei kritische Sicherheitslücken in PHP für Fragen. Betrifft das Shopify? Muss der Shop abgeschaltet werden? Und welche Apps solltest du jetzt genauer anschauen?

Wir ordnen die Meldungen ein und zeigen dir, welche Prüfungen sinnvoll sind – vom ersten Blick auf deine installierten Apps bis zur technischen Untersuchung. 

                    

                      
                        
Diese Themen findest du im Folgenden:

                      
                      

                        
    
                          
                            
                          
                            
                              
                              
  1. Gefälschte Shopify-Checkouts: Wenn die Kasse nur echt aussieht
    2. 
                            
                          
                            
                              
                              
  2. Welche Shopify-Apps sind betroffen?
    3. 
                            
                          
                            
                              
                              
  3. Shopify-Checkout prüfen: Was du selbst tun kannst
    4. 
                            
                          
                            
                              
                              
  4. Wenn du genauer hinsehen lassen musst
    5. 
                            
                          
                            
                              
                              
  5. Verdächtige Weiterleitung entdeckt: Was jetzt?
    6. 
                            
                          
                            
                              
                              
  6. Und was ist mit den kritischen PHP-Sicherheitslücken?
    7. 
                            
                          
                            
                              
                              
  7. Du brauchst Unterstützung bei der Prüfung?
    8.

Gefälschte Shopify-Checkouts: Wenn die Kasse nur echt aussieht

Stell dir vor, jemand stellt in deinem Geschäft eine zweite Kasse auf. Sie sieht aus wie deine, trägt dein Logo und fragt ganz selbstverständlich nach der Kreditkarte. Erst danach wird die Kundschaft an deine tatsächliche Kasse weitergeschickt.

So ähnlich funktionieren die dokumentierten Checkout-Angriffe: Schadcode im Shop fängt den Klick auf „Zur Kasse“ ab und leitet Besucher auf eine externe Zahlungsseite um. Dort sollen sie ihre Karten- und persönlichen Daten eingeben. Anschließend kann der Weg zum echten Shopify-Checkout weitergehen.

Eine regulär eingegangene Bestellung ist deshalb kein Beleg dafür, dass der gesamte Bestellvorgang sicher war.

Der Shopify-Checkout selbst wurde bei diesen Angriffen nicht gehackt. Über manipulierte App-Konfigurationen gelangte JavaScript in die Storefront, also den sichtbaren Teil des Shops. Dort setzte die Weiterleitung an.

Der Sicherheitsforscher Roman Zipp hat einen solchen Angriff am 10. Oktober öffentlich dokumentiert. Zur technischen Analyse
So funktioniert ein Fake Checkout

Welche Shopify-Apps sind betroffen?

Für die Prüfung deines Shops sind insbesondere diese drei Apps relevant:

  • Hulk Product Options von HulkApps: dokumentierter Vorfall am 10. Oktober.

  • Upsell & Cross Sell – Selleasy von Logbase: bestätigter Vorfall am 13. Oktober.

  • Swym Wishlist Plus von Swym: bestätigter Vorfall am 14. Oktober; nach unserem technischen Prüfstand zusätzlich eine zweite Angriffswelle ab dem 18. Oktober.

Die Installation einer dieser Apps bedeutet noch nicht, dass dein Shop tatsächlich manipuliert wurde. Entscheidend sind die betroffene Installation, der Zeitraum und die Ergebnisse der Untersuchung.

Was haben die Anbieter bereits unternommen?

Für Hulk Product Options beschreibt die von Roman Zipp zusammengestellte Anbieterstellungnahme, dass unautorisierter Code entfernt und die vorübergehend deaktivierte Theme-Erweiterung anschließend wieder freigeschaltet wurde. Zur Zusammenstellung der Anbieterstellungnahmen.

Logbase berichtet, die Ursache des Selleasy-Vorfalls innerhalb weniger Stunden behoben und den Schadcode noch am selben Tag entfernt zu haben. Betroffene Händler wurden kontaktiert; die Untersuchung läuft weiter. Zur Selleasy-Sicherheitsmeldung

Swym meldete für den Vorfall vom 14. Oktober, dass die Gegenmaßnahmen an diesem Tag um 18:32 Uhr deutscher Sommerzeit vollständig ausgerollt waren. Diese Meldung bezieht sich auf den ersten Vorfall. Wegen der weiteren Angriffswelle ab dem 18. Oktober über den App-Zugriff empfehlen wir Swym-Nutzer:innen zusätzlich eine Untersuchung des Theme-Codes. Die Entfernung des ursprünglichen Skripts reicht als alleinige Entwarnung nicht aus. Zur Swym-Meldung zum ersten Vorfall

Solltest du diese Apps jetzt deinstallieren?

Unsere Empfehlung: Prüfe die aktuellen Herstellerinformationen und kläre, ob deine Installation betroffen war. Eine pauschale Deinstallation kann wichtige Shopfunktionen beeinträchtigen und beantwortet die Frage nach einem früheren Datenabfluss nicht. Bei einem aktiven Angriff muss die schädliche Einbindung allerdings umgehend gestoppt werden.

Auch eine vorübergehende Entfernung aus dem App Store reicht als Nachweis für einen Sicherheitsvorfall nicht aus. Deshalb verzichten wir hier auf eine Liste weiterer Apps, deren Beteiligung nicht bestätigt ist.

Shopify-Checkout prüfen: Was du selbst tun kannst

Für einen ersten Check brauchst du keine Entwicklertools. Beginne mit deinen Apps und dem Weg vom Warenkorb zur Kasse.

1. Installierte und zuletzt verwendete Apps prüfen

Öffne die App-Verwaltung im Shopify-Adminbereich. Nutzt du eine der drei genannten Apps – oder war sie im betroffenen Zeitraum installiert? Prüfe außerdem die E-Mails und Supportnachrichten der Anbieter. Wenn du keine eindeutige Information zu deinem Shop findest, frage gezielt nach:

  • War meine Installation betroffen?

  • In welchem Zeitraum konnte Schadcode ausgespielt werden?

  • Welche Informationen liegen zu meinem Shop vor?

  • Sind weitere Schritte erforderlich?

2. App-Einbettungen im Theme ansehen

Öffne dein aktives Theme im Theme-Editor und kontrolliere die App-Einbettungen. Welche sind aktiv? Kannst du jede davon zuordnen?

Halte unbekannte Einbindungen fest und lass sie prüfen. Änderungen an wichtigen Funktionen solltest du mit deinem technischen Team abstimmen.

Für Swym-Nutzer gehört zusätzlich eine Prüfung des Theme-Codes dazu. Die Kontrolle der App-Einstellungen und Einbettungen allein reicht hier nicht.

3. Den normalen Weg zur Kasse testen

Schließe zunächst alle privaten Browserfenster. Starte dann eine neue private Sitzung, öffne deinen Shop und lege ein Produkt in den Warenkorb.

Nutze für den Test den normalen „Zur Kasse“-Button. Express-Optionen wie Shop Pay oder PayPal können am hier beschriebenen Angriffspfad vorbeiführen. Ein unauffälliger Express-Checkout sagt deshalb nichts darüber aus, ob der normale Checkout-Einstieg manipuliert ist.

Prüfe die unterschiedlichen Wege, die dein Shop anbietet:

  • den Checkout-Button auf der Warenkorbseite,

  • den Checkout-Button im ausklappbaren Warenkorb, dem sogenannten Cart-Drawer,

  • den Bestellweg auf dem Smartphone.

Beginne jeden unabhängigen Test mit einer frischen privaten Sitzung. Beobachte beim Klick auf „Zur Kasse“ die Adresszeile. Auffällig sind unerwartete Weiterleitungen auf fremde Domains und zusätzliche Formulare, die bereits vor dem gewohnten Checkout Zahlungsdaten abfragen.

Gib auf verdächtigen Seiten keine echten Karten- oder persönlichen Daten ein.

Warum die neue Sitzung? Die von Roman Zipp untersuchte Variante speicherte im Browser, ob eine Weiterleitung bereits stattgefunden hatte. Beim nächsten Versuch konnte der Bestellweg deshalb unauffällig aussehen. Ein sauberer Test heute schließt außerdem einen früheren Angriff nicht aus. Details zum untersuchten Verhalten

Wenn du genauer hinsehen lassen musst

Bei verdächtigen Weiterleitungen oder einer bestätigten Betroffenheit deiner App-Installation sollte dein technisches Team übernehmen. Für diese Untersuchung empfehlen wir drei Ansatzpunkte:

Netzwerkverkehr aufzeichnen

In den Browser-Entwicklertools lässt sich nachvollziehen, welche Skripte geladen und welche Weiterleitungen ausgelöst werden. Die Aufzeichnung sollte vor dem ersten Shopaufruf beginnen und beim Seitenwechsel erhalten bleiben. In Chrome heißt die entsprechende Option „Preserve log“.

Untersucht werden sollten die normalen Checkout-Einstiege auf der Warenkorbseite und im Cart-Drawer sowie das Verhalten auf mobilen Geräten.

Theme und App-Konfigurationen gemeinsam prüfen

Dazu gehören externe Skripte, Custom-JavaScript- und Custom-HTML-Felder sowie unerwartete Theme-Änderungen. Berücksichtigt werden müssen auch Inhalte, die eine App erst beim Seitenaufruf nachlädt.

Bei Swym sollte das Team wegen der weiteren Angriffswelle ab dem 18. Oktober ausdrücklich nach verdächtigen Änderungen und zurückgebliebenem Schadcode im Theme suchen.

Eine Suche nach einzelnen Domain-Endungen oder bestimmten Einträgen im Browser-Speicher kann Hinweise liefern. Als alleiniger Sicherheitscheck ist sie aus unserer Sicht zu schmal.

Den betroffenen Zeitraum untersuchen

Herstellerinformationen, Kundenmeldungen und vorhandene technische Aufzeichnungen können helfen, einen früheren Vorfall einzugrenzen. Dazu gehören auch Berichte über zusätzliche Zahlungsseiten, doppelte Kartenabfragen oder verdächtige Abbuchungen nach einer Bestellung.

Ein aktueller Test allein beantwortet die Frage nach einer früheren Betroffenheit nicht. Frage den App-Anbieter deshalb nach verfügbaren Informationen zu deiner konkreten Installation.

Verdächtige Weiterleitung entdeckt: Was jetzt?

Bei einem konkreten Verdacht empfehlen wir dieses Vorgehen:

  1. Auffälligkeiten dokumentieren: Sichere die URL, den Zeitpunkt und Screenshots. Vorhandene technische Aufzeichnungen gehören ebenfalls dazu. Die Dokumentation sollte das Stoppen eines aktiven Angriffs nicht verzögern.

  2. Technische Unterstützung einschalten: Informiere dein zuständiges Team, den Shopify Support und den betroffenen App-Anbieter. Die schädliche Einbindung muss schnell eingegrenzt und unterbunden werden.

  3. Zugänge absichern: Ändere die Passwörter relevanter Shopify- und App-Konten von einem vertrauenswürdigen Gerät aus. Aktiviere die Zwei-Faktor-Authentifizierung, sofern verfügbar. Lass außerdem aktive Sitzungen, App-Berechtigungen und API-Zugänge überprüfen und verdächtige Zugriffe widerrufen.

  4. Umfang klären: Lass untersuchen, welche Seiten, Zeiträume und Besucher betroffen sein könnten. Ein Passwortwechsel allein entfernt keinen bereits eingebundenen Schadcode.

  5. Datenschutzverantwortliche einbeziehen: Wenn möglicherweise personenbezogene Daten abgeflossen sind, müssen die weiteren Schritte und mögliche Melde- und Informationspflichten zeitnah bewertet werden. Darauf weist auch Swym in seiner Vorfallsmeldung hin. Hinweise von Swym

Und was ist mit den kritischen PHP-Sicherheitslücken?

Zusätzlich zu den Checkout-Angriffen wurden am 21. Oktober zwei kritische PHP-Sicherheitslücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Sie können Angreifern ermöglichen, ohne Anmeldung Schadcode auf verwundbaren Servern auszuführen.

Das PHP-Team fordert zur sofortigen Aktualisierung auf. Korrigierte Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei vom Hoster oder Betriebssystemanbieter gepflegten Paketen können die Korrekturen auch als zurückübertragene Sicherheitsupdates bereitstehen. Zur offiziellen PHP-Sicherheitswarnung

Was musst du als Shopify-Händler tun?

Für deinen bei Shopify gehosteten Shop verwaltest du keine eigene PHP-Installation. Die PHP-Meldung ist deshalb kein Anlass, diesen Shop vorsorglich abzuschalten.

Prüfbedarf kann allerdings bei zusätzlichen Systemen bestehen, etwa:

  • einer WordPress-Website neben deinem Shop,

  • Magento-, Shopware- oder WooCommerce-Shops,

  • eigenen Schnittstellen oder einer Middleware,

  • externen Portalen und selbst betriebenen Servern.

Unsere Empfehlung: Lass deine IT oder deinen Hosting-Anbieter umgehend klären, wo PHP eingesetzt wird und ob die Sicherheitskorrekturen installiert sind. Öffentlich erreichbare Systeme sollten zuerst geprüft werden. Dieses Vorgehen empfiehlt auch die europäische Cybersicherheitsagentur ENISA. Zur ENISA-Warnung

Du brauchst Unterstützung bei der Prüfung?

Welche Apps greifen in deinen Store ein? Welche Skripte werden geladen? Und führt der Weg zur Kasse so, wie er soll?

Wenn dein Shop von uns betreut wird, geht dein Projektteam proaktiv auf dich zu und stimmt die weiteren Prüfungen mit dir ab.

Auch wenn du bisher nicht mit uns zusammenarbeitest: Wenn du diese Fragen für deinen Shop klären möchtest oder eine verdächtige Weiterleitung entdeckt hast, schreib uns an hello@eshop-guide.de. Wir unterstützen dich bei der technischen Prüfung und dabei, die nächsten Schritte festzulegen.

Hast du Lust, mehr mit Shopify zu erreichen?

Egal ob Migration, Optimierung oder langfristige Begleitung deines Shops – wir stehen dir zur Seite, dein Umsatz zu skalieren.

Einfach anfragen.

Heiße Themen aus der Shopify Welt

Weitere Beiträge