Shopify fragt jetzt nach, bevor Kunden den Shop verlassen: Was hinter dem Hinweis steckt

Shopify zeigt neuerdings eine Zwischenseite, wenn ein Link oder ein Skript im Onlineshop Kunden auf eine fremde Website schickt. Die Seite fragt, ob man den Shop wirklich verlassen will, und nennt die Zieladresse. Kunden können weitergehen oder zurück in den Shop. Laut Changelog gilt das seit dem 20. Oktober 2026. In den Shops, die wir betreuen, war der Hinweis an diesem Tag aber noch nicht zu sehen. Er tauchte erst am 21. Oktober auf, am selben Tag, an dem auch das Entwicklerforum voll wurde.

Angekündigt war das nicht. Händler und App-Entwickler haben es gemerkt, als die ersten Kunden nachgefragt haben. Bei uns war es zuerst der Link zum Rücksendeportal eines Kundenshops: Wer eine Retoure anmelden wollte, landete erst einmal auf dieser Zwischenseite. Kurz darauf fiel uns auf, dass sogar der Link auf unsere eigene Website im Shop von SONS OF ELECTRICITY betroffen ist:

Was Shopify geändert hat

Der Eintrag im Shopify-Changelog vom 20. Oktober 2026 ist kurz. Bevor der Shop Kunden auf eine Website außerhalb des Shops schickt, müssen sie das bestätigen. Der Hinweis zeigt die Adresse des Ziels. Wer weitergeht, kommt auf die fremde Seite, alle anderen bleiben im Shop.

Den Grund nennt die Hilfeseite zur Bestätigung beim Verlassen des Shops: Kunden sollen vor gefälschten Checkouts und Phishing-Seiten geschützt werden. Ein eingeschleustes Skript, das Kunden auf eine nachgebaute Zahlungsseite umleitet, fällt damit auf, weil die fremde Adresse sichtbar wird. Shopify schreibt dazu ausdrücklich, dass der Hinweis nicht bedeutet, die Zielseite sei unsicher.

Der Hinweis selbst ist schlicht. Oben steht die Frage, ob man den Shop verlassen will, darunter die Domain des Ziels. Mit „Go to site“ geht es weiter, mit „Back to“ und dem Shopnamen zurück.

Übersetzt hat Shopify das nicht. Der Hinweis erscheint auch in deutschen Shops auf Englisch, mitten in einer sonst durchgehend deutschen Oberfläche. Shopify hat Übersetzungen für Checkout, Kundenkonten und Systemtexte seit Jahren im Griff. Bei einer Seite, die Vertrauen schaffen soll, hat man es offenbar nicht für nötig gehalten. Ein Kunde, der kein Englisch liest, sieht eine fremde Warnung, eine fremde Adresse und zwei Buttons, die er nicht versteht. Viel näher an eine Phishing-Seite kommt man kaum.

Wann der Hinweis nicht erscheint

Laut Hilfeseite bleibt der Hinweis in diesen Fällen aus:

• Domains und Subdomains des Shops, die im Admin auf der Seite „Domains“ eingetragen sind

• der Checkout des Shops

• Shopify-Seiten, die der Shop nutzt, etwa Kundenkonten und Shop Pay

• große soziale Netzwerke wie Facebook, Instagram, TikTok und YouTube

• die Vor- und Zurück-Buttons des Browsers

• Links auf E-Mail-Adressen und Telefonnummern

Beim ersten Punkt stolpern gerade viele. Dass dir eine Domain gehört, hilft nichts, solange sie nicht im Shop verbunden ist. Der Changelog sagt das ausdrücklich: Auch eigene Websites können den Hinweis auslösen.

Wen es trifft

Im Forum der Shopify-Entwickler kamen am 21. Oktober innerhalb weniger Stunden mehr als ein Dutzend Beschwerden zusammen. Zusammen mit dem, was wir in Kundenshops gesehen haben, sind das die typischen Fälle:

• Rücksendeportale. Viele Retouren-Apps laufen auf der Domain des Anbieters. Ein Anbieter schreibt im Forum, dass der Hinweis ohne Vorwarnung bei allen rund 700 Händlern erschienen ist, die sein Portal nutzen. Bei den Händlern laufen Tickets auf, weil sie einen Fehler vermuten.

• Länder- und Markenshops. Wer für jedes Land einen eigenen Shop auf einer Subdomain betreibt, etwa www und us, hat einen Länderwechsler im Header. Liegt die Subdomain bei einem anderen Shop, ist sie im aktuellen Shop nicht verbunden, und jeder Wechsel löst den Hinweis aus.

• Headless-Shops. Ein Entwickler berichtet von einem Next.js-Shop, in dem Klicks auf das Logo im Checkout und die Weiterleitung nach dem Kauf zurück zur Hauptdomain den Hinweis zeigen.

• Partner, Händler und Franchise-Seiten. Ein Link auf den Vertriebspartner oder die eigene Marken-Website ist für Shopify ein ganz normaler Link nach außen.

• Buchungstools, Terminkalender und Konfiguratoren auf fremden Domains. Shopify nennt Buchungstools im Changelog selbst als Beispiel.

Ärgerlich ist das vor allem an Stellen, an denen Kunden gar nicht das Gefühl haben, den Shop zu verlassen. Wer eine Retoure anmelden will und dann gefragt wird, ob er wirklich auf eine fremde Seite möchte, bricht im Zweifel ab und schreibt dem Kundenservice.

Vertrauenswürdige Domains: erst ein Datum, dann „bald“

Shopify will eine Liste vertrauenswürdiger Domains nachreichen, etwa für ein Buchungstool oder eine Partnerseite. Die Einstellung soll unter Onlineshop > Einstellungen liegen. Kunden kommen dann direkt auf diese Domains, ohne den Hinweis zu sehen. So weit die Ankündigung. Wie Shopify sie innerhalb eines Tages umgeschrieben hat, sagt einiges darüber, wie geplant dieser Rollout war.

Der Ablauf also: Shopify schaltet eine Zwischenseite in alle Onlineshops, ohne Händler oder App-Entwickler vorher zu informieren. Der Changelog verspricht eine Ausnahmeliste zum nächsten Tag. Als der Tag da ist, gibt es die Liste nicht, und statt das zu erklären, wird das Datum still durch „bald“ ersetzt. Die Hilfeseite widerspricht dem Changelog bis heute. Ein Entwickler schreibt im Forum, dass auch der Support keine Auskunft geben konnte, wann die Freigabe kommt.

Für Händler heißt das: Plane nicht mit einem Termin. Bis die Einstellung wirklich in deinem Admin auftaucht, helfen nur die eigenen verbundenen Domains. Und wenn Shopify das nächste Mal eine Änderung an Kundenwegen per Changelog ankündigt, lohnt es sich, den Eintrag ein paar Tage später noch einmal zu lesen.

Was du jetzt tun kannst

1. Selbst testen. Klick dich durch den Shop wie ein Kunde: Menüs, Footer, Länderwechsler, Retouren- und Kontaktseite, Produktseiten mit App-Blöcken, Bestellbestätigung. Notiere, wo der Hinweis erscheint und welche Domain er nennt.

2. Eigene Domains verbinden. Gehört dir die Zieldomain und ist sie für diesen Shop gedacht, verbinde sie im Admin unter Einstellungen > Domains. Dann ist sie ausgenommen. Das gilt nicht für Domains, die schon mit einem anderen Shop verbunden sind.

3. Vertrauenswürdige Domains eintragen, sobald die Einstellung erscheint. Gute Kandidaten sind das Rücksendeportal, das Buchungstool, die Länder-Shops und feste Partner. Trag nur Domains ein, die du kennst und die du kontrollierst oder deren Anbieter du vertraust.

4. App-Anbieter fragen. Läuft eine App auf einer fremden Domain, frag nach, ob sie auch unter einer Subdomain deines Shops laufen kann, etwa retoure.deinshop.de. Ist die Subdomain im Shop verbunden, greift die Ausnahme.

5. Unbekannte Ziele ernst nehmen. Nennt der Hinweis eine Domain, die du nicht kennst, ist das genau der Fall, für den Shopify ihn eingebaut hat. Prüf die zuletzt installierten oder aktualisierten Apps und den Theme-Code. Shopify rät, sich mit der Seite, dem Ziel und einem Screenshot an den Support zu wenden.

6. Kundenservice vorwarnen. Bis alles eingerichtet ist, werden Kunden fragen. Ein kurzer Textbaustein spart Zeit: Der Hinweis kommt von Shopify, das Ziel ist der richtige Dienst, du kannst weitergehen.

Unsere Einschätzung

Gegen den Schutz an sich haben wir nichts. Gefälschte Checkouts, die über eingeschleusten Code in Shops landen, gibt es wirklich, und eine sichtbare Zieladresse hilft Kunden, so etwas zu bemerken. Die Einführung dagegen war ein Lehrstück, wie man es nicht macht. App-Anbieter haben von der Änderung durch ihre Händler erfahren, die Händler durch ihre Kunden, und das einzige konkrete Versprechen hat Shopify nach einem Tag wieder kassiert. Dass der Hinweis dazu noch unübersetzt ausgeliefert wird, zeigt, wie wenig Zeit in die Einführung geflossen ist.

Sobald die Liste vertrauenswürdiger Domains überall funktioniert, sollte sich das meiste erledigt haben. Bis dahin lohnt sich ein Klick durch den eigenen Shop mehr als jeder Workaround. Wenn du bei Länder-Shops, Headless-Setups oder App-Domains Hilfe brauchst, melde dich bei uns.