Shopify-Apps prüfen: Die neue Sicherheitsübersicht im Admin zeigt Zugriffe, sensible Daten und fehlende Schutzmaßnahmen – was du bis 20. November kontrollierst

01 / Was neu ist

Was die neue App-Übersicht im Shopify-Admin zeigt.

Viele Shops sammeln über die Jahre Apps an: ein Bewertungs-Widget aus dem ersten Jahr, ein Upsell-Tool aus einem Test, eine Feed-App für einen Marktplatz, den es längst nicht mehr gibt. Jede dieser Shopify-Apps hat Zugriff auf Teile deines Shops, oft auch auf Kundendaten und Bestellungen. Genau diesen Überblick liefert Shopify jetzt an einer Stelle.

Laut Changelog vom 5. November 2026 zeigt die App-Liste unter Einstellungen › Apps jetzt die letzte Aktivität jeder App und hebt Sicherheitsthemen hervor, die deine Aufmerksamkeit brauchen [1]. Klickst du auf den Namen einer App, landest du auf ihrer Infoseite. Dort findest du laut Shopify-Hilfe unter anderem:

• Aktivität und Berechtigungen: welche Bereiche deines Shops die App ansehen oder bearbeiten darf und wann sie dort zuletzt aktiv war. Berechtigungen, die sie in den letzten 30 Tagen nicht genutzt hat, stehen unter „Ungenutzter Zugriff“ [5]. In manchen Shops heißt der Abschnitt „Zugriff und Berechtigungen“ und markiert stattdessen, ob die App sensible Daten wie Kunden- oder Finanzdaten sehen kann [5].
• Sicherheit: ob das Entwicklungsteam ablaufende Zugriffstoken und erzwungene IP-Einschränkungen eingerichtet hat [5].
• Datenschutz: welche personenbezogenen Daten die App lesen kann, gruppiert etwa nach Kunden und Mitarbeitenden, plus Link zur Datenschutzerklärung des Entwicklers [5].
• Erweiterungen, Functions und Pixel: wo die App im Shop eingebunden ist, etwa im Onlineshop, im Checkout oder am POS [5][8].

Apps, die Shopify selbst entwickelt hat, haben keinen Sicherheitsabschnitt und keine Aktivitätsanzeige [5]. Die Übersicht betrifft also vor allem Apps von Drittanbietern.

02 / Statusanzeigen

Was „Konfiguriert“, „Fehlt“ und „Unbekannt“ bedeuten.

Der Abschnitt „Sicherheit“ prüft zwei Dinge [5]:

• Ablaufende Zugriffstoken: Der Schlüssel, mit dem die App auf deinen Shop zugreift, läuft ab und muss regelmäßig erneuert werden. Ein gestohlenes Token ist dann nur kurz nutzbar.
• Erzwungene IP-Einschränkungen: Anfragen der App an die Admin API funktionieren nur von Servern, die der Entwickler freigegeben hat. Wer an ein Token kommt, kann es von einem fremden Server aus nicht verwenden.

Jede Prüfung hat einen von drei Status [5]. Konfiguriert heißt, der Entwickler hat die Maßnahme eingerichtet; statt des Worts steht manchmal die Einstellung selbst, etwa „Läuft stündlich ab“. Fehlt heißt, die Maßnahme ist nicht eingerichtet. Unbekannt heißt entweder, dass die Information nicht geladen werden konnte, oder dass die Maßnahme eingerichtet, für deinen Shop aber nicht aktiv ist. Fehlende Prüfungen stehen oben, Prüfungen, die für eine App nicht relevant sind, werden gar nicht angezeigt.

Wichtig für die Einordnung: Shopify schreibt ausdrücklich, dass die Prüfungen keine Gesamtbewertung sind und nicht garantieren, dass eine App sicher oder unsicher ist [5]. Ein „Fehlt“ ist also kein Beleg für ein Datenleck. Bis zum 20. November haben Entwickler ohnehin noch Zeit für die IP-Allowlist [3] – ein „Fehlt“ in dieser Woche ist darum eher ein Anlass zum Nachfragen als zum Löschen (Einschätzung).

Sehen kann die Prüfungen übrigens nur, wer die Berechtigung „Apps und Kanäle verwalten und installieren“ hat [5].

03 / Die Fristen

Was ab dem 20. November und bis April 2027 passiert.

Am 27. Oktober hatte Shopify die IP-Allowlist nur empfohlen, am 5. November wurde sie zur Pflicht – mit Verweis auf die umsatzstärksten Wochen des Jahres [2]. Betroffen sind alle öffentlichen Apps, also Apps aus dem App Store. Nicht betroffen sind Custom Apps, die Händler selbst im Dev Dashboard oder im Admin angelegt haben [3]. Dasselbe gilt für die Pflicht zu ablaufenden Tokens [4].

Shopify nennt für Apps ohne Umstellung diesen Zeitplan (Uhrzeit jeweils 23:59 Uhr US-Ostküstenzeit) [2][3][4]:

• 12. November 2026: Bulk-Operationen (große Massenabfragen und -änderungen) von öffentlichen Apps ohne IP-Allowlist werden blockiert.
• 20. November 2026: Apps ohne IP-Allowlist werden aus dem App Store genommen, sind nicht mehr neu installierbar und werden unter Einstellungen › Apps markiert.
• 1. Januar 2027: Dasselbe für Apps, die noch nicht ablaufende Offline-Tokens nutzen.
• 15. Januar 2027: Händler sehen eine Warnung im Admin.
• 1. April 2027: Admin-API-Anfragen solcher Apps schlagen fehl. Bis dahin laufen bestehende Installationen weiter.

Für dich heißt das: Black Friday am 27. November ist durch die Frist nicht gefährdet, bestehende Apps arbeiten weiter. Eine Ausnahme kann es geben, wenn eine App große Datenmengen per Bulk-Operation abgleicht, etwa für Feeds oder Lagerbestände – hier lohnt die Nachfrage vor dem 12. November (Einschätzung). Und: Eine markierte App, die du jetzt deinstallierst, kannst du ab dem 20. November vermutlich nicht wieder installieren, weil neue Installationen gesperrt sind (Einschätzung auf Basis von [3]).

04 / App-Inventur

So prüfst du deine Apps in 15 Minuten.

Öffne Einstellungen › Apps und geh die Liste einmal von oben nach unten durch. Für jede App beantwortest du drei Fragen.

1. Nutzt du die App noch?

Die letzte Aktivität in der Liste ist der schnellste Hinweis. Steht in der Berechtigungstabelle „Keine in den letzten 30 Tagen“, hat die App in diesem Bereich keine Anfragen gestellt – oder die Daten konnten nicht geladen werden [5]. Eine App, die seit Monaten nichts tut und die niemand im Team vermisst, ist ein Kandidat zum Entfernen.

2. Braucht sie wirklich Kundendaten?

Sieh im Abschnitt „Datenschutz“ nach, welche Daten die App lesen kann. Eine App mit Zugriff auf „letzte Bestellungen“ sieht laut Shopify nur die Bestellungen der vergangenen 60 Tage, eine mit Zugriff auf „alle Bestellungen“ dagegen alle früheren und künftigen [7]. Passt der Zugriff nicht zur Aufgabe – ein Popup-Tool, das Bestellungen bearbeiten darf –, frag nach. Für dein Verzeichnis der Verarbeitungstätigkeiten ist die Liste ohnehin nützlich (Einschätzung).

3. Was steht unter „Sicherheit“?

Notiere dir alle Apps mit „Fehlt“ oder „Unbekannt“. Shopify nennt drei Optionen: App behalten und später erneut prüfen, Entwickler kontaktieren oder deinstallieren – bei geschäftskritischen Apps erst mit Übergangsplan [5]. Fehlen bei einer App die ablaufenden Tokens, blendet Shopify direkt einen Hinweis zum Kontakt ein [5].

Für die Nachfrage beim Entwickler reicht eine kurze Nachricht, zum Beispiel:

Hallo, in den Sicherheitsangaben eurer App in unserem Shopify-Admin steht bei „Erzwungene IP-Einschränkungen“ der Status „Fehlt“. Wann richtet ihr die IP-Allowlist ein, die Shopify bis 20. November verlangt? Nutzt die App Bulk-Operationen, die ab 12. November blockiert würden? Müssen wir danach etwas tun, etwa die App neu autorisieren? Danke und viele Grüße

05 / Aufräumen

Wie du Apps sauber deinstallierst und Rechte vergibst.

Deinstalliert wird unter Einstellungen › Apps über das Menü neben der App › Deinstallieren; optional gibst du einen Grund an [6]. Vorher lohnen sich ein paar Handgriffe, die Shopify selbst empfiehlt [6]:

• Theme-Code: Manche Apps schreiben Code ins Theme, der beim Deinstallieren nicht automatisch verschwindet. Prüfe im App-Store-Eintrag oder beim Entwickler, ob zusätzliche Schritte nötig sind. Mach vorher eine Theme-Kopie (Einschätzung).
• Daten sichern: Was die App gespeichert hat, ist nach dem Entfernen oft weg. Bewertungen, Treuepunkte oder Abo-Listen vorher exportieren.
• Externe Abos kündigen: Rechnet die App außerhalb von Shopify ab, beendet die Deinstallation diese Zahlung nicht.
• Abhängigkeiten: Automationen und Integrationen, die an der App hängen, laufen danach nicht mehr.

Nach der Deinstallation schickt Shopify dem Entwickler nach 48 Stunden die Aufforderung, die gesammelten Kundendaten zu löschen; ob das passiert ist, musst du beim Entwickler erfragen [7]. App-Blöcke und App-Embeds im Theme-Editor solltest du danach kontrollieren [8]. Reste von alten Script-Tags und Pixeln findest du mit den Schritten aus meinem Beitrag zu Shopify Script-Tags; warum fremder Code im Shop ein Risiko ist, steht in Drittanbieter-Skripte absichern.

Zum Schluss die Mitarbeiterrechte: Apps installieren und löschen kann nur, wer „Apps und Kanäle verwalten und installieren“ hat; kostenpflichtige Apps und solche mit Testphase brauchen zusätzlich „App-Gebühren genehmigen“ [9]. Wer nur Zugriff auf einzelne, angehakte Apps bekommt, kann gar keine Apps installieren oder löschen [9]. Für Aushilfen und Agenturen ist das meist die richtige Einstellung (Einschätzung).

FAQ

Häufige Fragen zur Sicherheit von Shopify-Apps.

Muss ich selbst eine IP-Allowlist einrichten?

Nein. Die Allowlist richtet der App-Entwickler im Dev Dashboard ein [3]. Du siehst nur den Status und kannst nachfragen.

Gilt die Pflicht auch für unsere eigene Custom App?

Nein. Shopify nimmt Custom Apps und von Händlern selbst angelegte Apps ausdrücklich aus, sowohl bei der IP-Allowlist als auch bei den ablaufenden Tokens [3][4]. Sinnvoll sein kann die Allowlist trotzdem – das klärst du mit deiner Agentur (Einschätzung). Alte, im Admin angelegte Custom Apps verwaltest du weiter unter Einstellungen › Apps, neue seit 1. Januar 2026 nur im Dev Dashboard [5].

Hört eine markierte App am 20. November auf zu funktionieren?

Nein. Bestehende Installationen laufen laut Shopify bis zum 1. April 2027 weiter; nur Bulk-Operationen werden schon ab 12. November blockiert [2][3].

Mehr zur Technik hinter deinem Shop findest du im Leitfaden zu Shopify-SEO; wer WhatsApp-Automationen nutzt, findet die Einrichtung in WhatsApp-Marketing mit Shopify.

Quellen

Quellen

1. Shopify Changelog: „Review app access and security information in Shopify admin“, 5. November 2026 – changelog.shopify.com · abgerufen 07.11.2026.
2. Shopify Developer Changelog: „App security updates: IP allowlist is now required“, 5. November 2026 – shopify.dev · abgerufen 07.11.2026.
3. Shopify Developer Changelog: „IP allowlists are now required for public apps“, 5. November 2026 – shopify.dev · abgerufen 07.11.2026.
4. Shopify Developer Changelog: „Security update: Offline token dates, new security features“, 27. Oktober 2026 – shopify.dev · abgerufen 07.11.2026.
5. Shopify Hilfe-Center: „Apps verwalten“ (Abschnitte Aktivität und Berechtigungen, Sicherheitsprüfungen, Datenschutz) – help.shopify.com · abgerufen 07.11.2026.
6. Shopify Help Center: „Uninstalling apps“ – help.shopify.com · abgerufen 07.11.2026.
7. Shopify Help Center: „Finding and choosing apps“, Abschnitt „Personally identifiable information that apps can access“ – help.shopify.com · abgerufen 07.11.2026.
8. Shopify Help Center: „App extensions and functions“ – help.shopify.com · abgerufen 07.11.2026.
9. Shopify Help Center: „Store permissions“ (Abschnitt App permissions) – help.shopify.com · abgerufen 07.11.2026.

Alle Quellen am 7. November 2026 abgerufen. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.