Bewerten Sie den Sicherheitsstatus einer Shopify-App zusammen mit ihren tatsächlichen Zugriffen und ihrem Geschäftszweck, bevor Sie eine wichtige Integration ändern. Configured bestätigt eine eingerichtete Maßnahme, Missing eine fehlende. Unknown verlangt zunächst Klärung. Halten Sie danach fest, wer den Weiterbetrieb verantwortet, beim Appanbieter nachfragt oder einen geordneten Wechsel vorbereitet. Die Anzeige allein ersetzt diese Betriebsentscheidung nicht.
Was zeigt Shopify jetzt zu Apps?
Ein Shopify-App-Zugriff ist die Berechtigung einer installierten Anwendung, bestimmte Shopdaten zu lesen oder zu verändern.
Stand: 09.11.2026: Shopify hat am 05.11.2026 zusätzliche Angaben zu Appzugriffen und Sicherheitsmaßnahmen im Admin angekündigt. Dazu gehören Aktivität, Berechtigungen und Hinweise auf sensible Daten. Die Darstellung kann sich zwischen Shops unterscheiden.
Unter den englischen Bezeichnungen Expiring access tokens und Enforced IP restrictions stehen zwei Schutzmechanismen: Ablaufende Zugriffstoken, also technische Zugriffsnachweise, begrenzen die Nutzungsdauer eines gestohlenen Tokens. IP-Beschränkungen erlauben Anfragen an die Admin-API, Shopifys Verwaltungsschnittstelle, nur von Servern, die der Entwickler genehmigt hat. Sie betreffen den Appzugriff, nicht das Netzwerk Ihrer Kunden. Die Sicherheitsanzeigen beschreiben einzelne Maßnahmen und liefern keine gesamte Sicherheitsbewertung.
Wie prüfen Sie eine App?
Prüfen Sie zuerst die betroffene installierte App im Shopify-Admin. Eine zusätzliche Sicherheits-App brauchen Sie für diese Ansicht nicht.
Schritt 1: App und Geschäftszweck erfassen
Öffnen Sie Settings > Apps und klicken Sie auf den Appnamen. Beginnen Sie beispielsweise mit einer App, von der ein wichtiger Geschäftsprozess abhängt. Notieren Sie Zweck und zuständigen Fachbereich: Wofür wird die Anwendung gebraucht, und welcher Ablauf würde ohne sie ausfallen? Damit erhält die technische Anzeige einen betrieblichen Zusammenhang.
Schritt 2: Zugriffe und Sicherheitsstatus vergleichen
Sehen Sie unter Activity and permissions beziehungsweise Access and permissions nach, welche Datenbereiche die App lesen oder ändern darf und wann sie dort aktiv war. Die Shopify-Hilfe zur Appverwaltung beschreibt beide Ansichtsvarianten. Im Bereich Security bedeutet Configured eingerichtet, Missing nicht eingerichtet. Unknown bedeutet, dass Informationen nicht geladen werden konnten oder eine eingerichtete Maßnahme für Ihren Shop nicht aktiv ist.
None last 30 days kann ausbleibende Anfragen im jeweiligen Datenbereich während der letzten 30 Tage oder nicht ladbare Aktivitätsinformationen bedeuten. Prüfen Sie deshalb auch saisonale Aufgaben, bevor Sie aus der Anzeige auf fehlenden Bedarf schließen.
Schritt 3: Maßnahme und Zuständigkeit festlegen
Fragen Sie bei Missing den Entwickler, wann er die konkret benannte Maßnahme einrichtet und ob Sie dafür etwas tun müssen. Klären Sie bei Unknown zunächst Ursache und Anwendbarkeit. Vereinbaren Sie vor Änderungen einen Test des betroffenen Shopprozesses. Der OWASP Developer Guide zu Zugriffskontrollen empfiehlt Tests beziehungsweise dokumentierte manuelle Prüfungen von Zugriffskriterien. Unser betrieblicher Zusatz: Benennen Sie auch, wer den Ablauf nach der Änderung abnimmt. Unterstützung bei Änderungen bietet unsere Shopify-Entwicklung und technische Umsetzung.
Welcher Status verlangt welche Reaktion?
Diese Entscheidungshilfe verbindet die Shopify-Anzeigen mit Geschäftszweck und Zuständigkeit. Sie ist eine Arbeitshilfe für Ihr Team, keine zusätzliche Shopify-Funktion.
| Anzeige | Zusätzlich klären | Nächste Handlung | Verantwortlich |
|---|---|---|---|
| Configured | Passen Zweck und Rechteumfang? | Betrieb begründet fortführen und dokumentieren | Shopverantwortlicher |
| Missing | Wird die App benötigt, welche Maßnahme fehlt? | Umsetzungsplan und nötige Händleraktion anfragen | Appanbieter und interner Verantwortlicher |
| Unknown oder keine Information | Sind Informationen ladbar, trifft der Check zu? | Ursache klären, bei Fortbestand Anbieter fragen | Zuständiges Shopteam |
| None last 30 days | Sind Aktivitätsdaten ladbar, besteht saisonaler Bedarf? | Entfernung oder Weiterbetrieb begründen | Fachbereich und technische Betreuung |
Nutzen Sie für die Übergabe dieses ausfüllbare Schema: Appname; Geschäftszweck; betroffener Datenbereich; Originalstatus; Prüfdatum; zuständig; nächste Handlung; Termin zur erneuten Bewertung. Tragen Sie weder Kundendaten noch Zugangsschlüssel ein. Den Termin legen Sie passend zur offenen Frage und zum Geschäftsprozess fest.
Wann ist ein anderer Weg sinnvoll?
Eine benötigte App können Sie bewusst weiterbetreiben und erneut prüfen. Eine fehlende Maßnahme klären Sie mit dem Entwickler. Eine ungenutzte App lässt sich nach Prüfung ihrer Abhängigkeiten entfernen. Bei wichtigen Integrationen planen Sie zuerst Ersatz und Übergang.
Der Maßstab für Rechte bleibt der tatsächliche Bedarf: Der BSI-Leitfaden für sichere Webanwendungen von 2013 fordert unter AO4 die minimalen, für die Funktion erforderlichen Rechte. Lassen Sie einen übergroßen Rechteumfang mit dem Anbieter klären. Sind Ersatzanforderungen oder Zuständigkeiten unklar, hilft eine E-Commerce-Beratung zu Ihren Shopanforderungen bei der Planung.
Häufige Fragen
Bedeutet Missing, dass meine App gehackt wurde?
Missing beschreibt eine nicht eingerichtete Sicherheitsmaßnahme. Daraus folgt kein Nachweis eines Angriffs oder Datenabflusses. Fragen Sie den Appanbieter gezielt nach der angezeigten Maßnahme und seinem Umsetzungsplan.
Warum steht bei einer App Unknown?
Shopify nennt zwei Ursachen: Die Informationen konnten nicht geladen werden, oder der Entwickler hat die Maßnahme eingerichtet, sie ist jedoch für Ihren Shop nicht aktiv. Klären Sie diesen Unterschied, bevor Sie weitere Schritte festlegen.
Ist eine App mit Configured sicher?
Configured bestätigt die Einrichtung der jeweiligen Maßnahme. Prüfen Sie weiterhin, ob Geschäftszweck und Rechteumfang zusammenpassen. Die Anzeige garantiert weder eine sichere noch eine unsichere App.
Warum fehlt bei Shopify-Apps der Bereich Security?
Von Shopify entwickelte Apps besitzen laut Hilfe keinen Security-Abschnitt. Bei anderen Apps erscheint No security information is available for this app yet, wenn keine Checks geladen werden können oder keiner zutrifft. Nicht zutreffende Einzelchecks werden ausgeblendet.
Kann ich eine wichtige App sofort entfernen?
Planen Sie zuerst die Auswirkungen und den Übergang. Klären Sie, welche Abläufe von der App abhängen und wie diese anschließend funktionieren sollen. Shopify empfiehlt diese Planung ausdrücklich für geschäftskritische Apps.
Wie aufwendig ist die Prüfung?
Sie benötigen Zugang zur entsprechenden Adminansicht und einen Ansprechpartner für den Geschäftsprozess. Der Aufwand hängt von Appzahl, Rechteumfang und Integration ab. Rückfragen an den Entwickler oder ein notwendiger Ersatz können zusätzliche Abstimmung erfordern.
Quellen
- Shopify: Review app access and security information in Shopify admin, changelog.shopify.com
- Shopify: Managing apps, help.shopify.com
- BSI: Leitfaden zur Entwicklung sicherer Webanwendungen, bsi.bund.de
- OWASP: Enforce Access Controls, devguide.owasp.org
Alle Quellen abgerufen am 9. November 2026.
Marvin de Vries ist Geschäftsführer von ADence und der E-Commerce Agentur Hamburg. Seit 2011 entwickelt und betreut er mit seinem Team Onlineshops auf WooCommerce, Shopware und Magento, vom Aufbau bis zum sicheren Betrieb. Marvin de Vries auf LinkedIn
Shopify-Integrationen klären?
Im kostenlosen Erstgespräch klären wir Ihre Anforderungen an die Shopify-Integrationen und die nächsten sinnvollen Schritte für Ihren Shop.