Das Wichtigste in Kürze
- Shopify erzwingt HTTPS für den kompletten Shop inklusive Checkout — die PII-Warnung ist in den allermeisten Fällen ein Fehlalarm der scannenden App.
- Trotzdem prüfen: Enthält das
action-Attribut eines Formulars oder eine eingebundene Ressource nochhttp://, ist der Alarm berechtigt. - „Powered by Shopify" entfernen Sie über Theme-Standardinhalte bearbeiten — nicht über eine pauschale CSS-Regel, sonst verschwindet Ihr eigenes Copyright mit.
- Bleibt der Hinweis danach stehen, muss
{{ powered_by_link }}aus derfooter.liquidraus. Beides ist von Shopify ausdrücklich erlaubt.
Im E-Commerce sind es oft die vermeintlich kleinen technischen Hürden, die das Vertrauen Ihrer Kunden am stärksten beschädigen — und damit die Conversion-Rate. Als Shop-Betreiber verlassen Sie sich auf Shopify, um ein sicheres Einkaufserlebnis zu garantieren. Umso alarmierender wirkt es, wenn eine Drittanbieter-App plötzlich meldet: „Forms collecting PII without SSL/Encryption".
Dann ist schnelles, vor allem aber besonnenes Handeln gefragt. Und während im Backend die Datensicherheit zählt, entscheidet im Frontend die Markenwahrnehmung: Ein professioneller Auftritt verträgt keine Standard-Platzhalter wie den „Powered by Shopify"-Schriftzug im Footer. Beide Themen sehen wir in unserer Shopify-Shopentwicklung regelmäßig — hier sind die geprüften Lösungswege für beide.
Was hinter der PII-Warnung steckt
Wenn eine installierte App — meist ein SEO-Crawler oder ein automatisierter Security-Scanner — bemängelt, dass Formulare personenbezogene Daten (Personally Identifiable Information, kurz PII) ohne SSL-Verschlüsselung erfassen, schrillen zu Recht die Alarmglocken. Der Schutz von Kundendaten hat im Rahmen der DSGVO höchste Priorität, und ein Formular, das Namen oder E-Mail-Adressen unverschlüsselt überträgt, wäre ein ernstes Problem.
Ein Blick auf die Architektur von Shopify beruhigt allerdings: Die Plattform stellt für jeden Shop ein TLS-Zertifikat bereit und erzwingt HTTPS für den gesamten Onlineshop — inklusive aller Seitenaufrufe und des Checkouts. Zahlungsdaten werden ohnehin nie im Theme verarbeitet, sondern ausschließlich im gehosteten Checkout. Wie kommt es also zu der Meldung?
In der Praxis gibt es genau zwei Ursachen. Erstens: Durch manuelle Code-Anpassungen, unsaubere Theme-Updates oder die Integration externer Formulare — etwa für Newsletter über ein E-Mail-Marketing-Tool — sind veraltete http://-Verweise im Quellcode geblieben. Zweitens, und das ist der weitaus häufigere Fall: ein False Positive. Der Scanner interpretiert die asynchrone Verarbeitung von Shopify-Formularen oder die Nutzung relativer Pfade falsch und schlägt unberechtigt Alarm.
Warum relative Pfade den Scanner verwirren
Shopify-Formulare senden ihre Daten in der Regel an einen relativen Pfad wie /contact#contact_form. Da dort kein Protokoll steht, kann ein simpler Scanner nicht erkennen, dass der Browser automatisch HTTPS verwendet — und meldet vorsichtshalber „kein SSL". Technisch ist die Übertragung längst verschlüsselt.
Diagnose: den Fehler im Quellcode aufspüren
Statt die Meldung zu glauben oder zu ignorieren, schauen wir in den Quellcode. Das ist kein Hexenwerk, erfordert aber eine strukturierte Reihenfolge:
- Öffnen Sie die betroffene Seite in Chrome, klicken Sie mit der rechten Maustaste auf das Eingabefeld und wählen Sie „Untersuchen".
- Suchen Sie im HTML das übergeordnete
<form>-Tag, das die Datenübermittlung steuert. - Prüfen Sie das
action-Attribut: Steht dorthttp://statthttps://oder eines relativen Pfades, haben Sie die Fehlerquelle gefunden. - Wechseln Sie in den Reiter „Console", laden Sie die Seite neu und achten Sie auf Warnungen zu „Mixed Content" — sie weisen auf unsicher eingebundene Ressourcen hin.
- Ergänzend: Der Reiter „Security" zeigt auf einen Blick, ob die Verbindung und alle Unterressourcen als sicher gelten.
Finden Sie tatsächlich einen HTTP-Link, korrigieren Sie ihn im Shopify-Admin unter Onlineshop → Themes → Code bearbeiten. Die üblichen Verdächtigen sind newsletter.liquid, footer.liquid oder ein per App eingefügter Snippet-Block. Bleibt die Prüfung ohne Befund, sind Ihre Kundendaten geschützt — dann kontaktieren Sie den Support der warnenden App und weisen auf den False Positive im Zusammenhang mit der erzwungenen HTTPS-Architektur hin.
Vorsicht bei extern gehosteten Formularen
Ein echter Fall bleibt: Formulare von Drittanbietern, die auf eine fremde Domain posten. Prüfen Sie dort nicht nur das Protokoll, sondern auch, ob ein Auftragsverarbeitungsvertrag vorliegt und der Dienst in Ihrer Datenschutzerklärung genannt ist. Sauber aufgesetztes Tracking und saubere Datenflüsse gehören zusammen — mehr dazu unter Datenaufbereitung und Tracking.
„Powered by Shopify": warum der Schriftzug stört
Während im Backend die Technik stimmen muss, entscheidet im Frontend die Wahrnehmung. Ein Element taucht in Beratungsgesprächen zur Conversion-Optimierung immer wieder auf: der unscheinbare Hinweis „Powered by Shopify" im Footer.
Für Händler, die viel Zeit und Kapital in eine eigenständige Marke investiert haben, ist er ein Dorn im Auge. Er signalisiert dem kritischen Käufer, dass hier ein Standard-Baukasten läuft. Shopify ist eine hervorragende Plattform — aber dieses Bekenntnis im Sichtfeld des Kunden bringt Ihrer Marke keinen Mehrwert. Es lenkt ab und schwächt die wahrgenommene Exklusivität Ihrer Produkte.
Die CSS-Falle im Footer
Viele Händler greifen instinktiv zu CSS und blenden die Klasse aus, die den Text umschließt. In modernen Themes wie Dawn ist dieser Bereich jedoch tückisch: Der Shopify-Hinweis teilt sich häufig die Klasse .copyright__content mit Ihrem eigenen Copyright — also Jahreszahl und Firmenname.
Eine pauschale Regel entfernt damit beides:
/* Falsch — löscht auch Ihren eigenen Shop-Namen */
.copyright__content { display: none !important; }
Wenn es unbedingt CSS sein muss, sprechen Sie ausschließlich den Link zu Shopify an:
/* Präzise — trifft nur den externen Shopify-Link */
.copyright__content a[href*="shopify"] { display: none !important; }
Die saubere Systemlösung
CSS bleibt ein kosmetisches Pflaster: Der Text steht weiterhin im HTML und wird lediglich unsichtbar gemacht. Der native Weg führt über die Textverwaltung des Themes:
- Im Shopify-Admin zu Onlineshop → Themes wechseln.
- Beim aktiven Theme auf … klicken und „Theme-Standardinhalte bearbeiten" wählen (früher „Sprachen bearbeiten").
- Im Filterfeld
poweredeingeben — es erscheinen die Felder Powered by Shopify und Powered by Shopify HTML. - In das Feld ein einzelnes Leerzeichen eintragen (nicht nur leeren, sonst greift der Standardwert). Das zweite Feld betrifft die Passwortseite und wird bei passwortgeschützten Shops mitbearbeitet.
- Speichern und den Footer im Frontend prüfen.
Wenn der Hinweis trotzdem bleibt
Manche Themes rendern den Link fest im Template. Dann öffnen Sie Code bearbeiten → Sections → footer.liquid und entfernen den Tag {{ powered_by_link }}. Shopify beschreibt diesen Weg selbst als offizielle Alternative — er ist erlaubt und hat keine Nachteile für Support oder SEO.
Wichtig: Direkte Theme-Änderungen können ein Theme-Update überschreiben. Legen Sie vorher eine Kopie des Themes an und dokumentieren Sie die Anpassung.
Theme-Standardinhalte
- Update-sicher, kein Eingriff in den Code
- Saubere HTML-Struktur ohne verstecktes Fragment
- Keine Konflikte mit anderen CSS-Regeln oder App-Injektionen
- Eigenes Copyright mit dynamischer Jahreszahl bleibt erhalten
CSS-Ausblendung
- Text bleibt im Quelltext vorhanden
- Kann von Screenreadern weiterhin erfasst werden
- Bei ungenauem Selektor verschwindet das eigene Copyright
- Zusätzliche Regel, die bei jedem Theme-Wechsel mitgepflegt werden muss
Den Shop ganzheitlich absichern
Beide Fälle stehen für dieselbe Haltung: Bei Warnungen wie „Forms collecting PII without SSL/Encryption" nicht in Panik verfallen, sondern den Quellcode analysieren und Fehlalarme systematisch ausschließen. Und beim Branding keine Kompromisse eingehen, weil jedes Detail auf die wahrgenommene Professionalität einzahlt.
Wenn Sie an dieser Stelle nicht selbst schrauben möchten: Wir übernehmen die technische Prüfung im Rahmen unserer Sofortmaßnahmen, kümmern uns in der technischen Suchmaschinenoptimierung um Indexierung, Ladezeit und saubere Auszeichnung — und sorgen mit einer strukturierten Google Ads Betreuung dafür, dass der Traffic auf einem Shop landet, der technisch und optisch überzeugt.
- Formulare und eingebundene Ressourcen auf HTTPS geprüft
- Mixed-Content-Warnungen in der Console bereinigt
- Footer frei von Plattform-Branding, eigenes Copyright intakt
- Änderungen update-sicher und dokumentiert