Ein Bot-Checkout ist eine automatisierte Sitzung, die Produkte in den Warenkorb legt und den Checkout startet, ohne zu kaufen. Einer allein ist Rauschen. Hunderte am Tag sind ein Problem: Sie füllen deinen Adminbereich mit abgebrochenen Checkouts und falschen Kunden, schicken Wiederherstellungs-E-Mails an Adressen, die niemand liest, und füttern deine Werbeplattformen, wenn du Anzeigen schaltest, mit Ereignissen, die wie Käufer aussehen.

Wie es in deinem Shop aussieht

Händler beschreiben in der Shopify Community immer wieder dasselbe Muster: Schübe abgebrochener Checkouts, oft weit mehr, als der Shop an dem Tag echte Besucher hat; Kundenprofile mit wiederholten oder unsinnigen Namen; dasselbe günstige Produkt in jedem Warenkorb; Adressen, die sich wiederholen oder keinen Sinn ergeben. Manche Threads beschreiben auch Card Testing, bei dem Bots mit günstigen Käufen gestohlene Karten ausprobieren.

Warum ein Bot das tut, sieht man vom Shop aus meist nicht. Messen kannst du das Muster, und das Muster reicht, um zu handeln.

Was es einen Werbetreibenden kostet

Das Aufräumen ist der sichtbare Teil. Der versteckte sind deine Werbedaten. Ein Bot, der über eine Anzeige kommt, etwas in den Warenkorb legt und den Checkout startet, erzeugt dieselben AddToCart- und InitiateCheckout-Ereignisse wie ein Käufer. Kommen diese Ereignisse als Conversions bei Meta, Google Ads oder GA4 an, lernt die Gebotsstrategie der Plattformen daraus, und zwar, mehr von dem Traffic zu finden, der sie erzeugt hat.

Wiederherstellungs-E-Mails sind der zweite Kostenpunkt. E-Mails zu abgebrochenen Checkouts an falsche Adressen kommen zurück oder werden nicht gelesen, und manche Händler pausieren sie während eines Angriffs, um ihre Absenderreputation zu schützen.

Was Shopify abdeckt

  • Der Spamschutz setzt hCaptcha auf Formulare im Shop, etwa Kontakt, Newsletter, Login und Kontoerstellung, unter Onlineshop → Präferenzen. Er schützt diese Formulare. Ein Bot kann einen Warenkorb füllen, ohne eines davon zu berühren.
  • Der Bot-Schutz für den Checkout ist eine Shopify-Plus-Funktion: Der Shopify-Plus-Support schaltet ihn frei, danach planst du Schutzereignisse von bis zu 60 Minuten, in den Einstellungen unter Bot-Schutz (in der englischen Oberfläche „Settings → Bot protection“). Shopify beschreibt ihn als Mittel gegen Auto-Checkout-Bots, nicht als Betrugsprävention.
  • Kartenprüfungen deines Zahlungsanbieters wie CVV, Adressprüfung und 3-D Secure verhindern, dass Card-Testing-Käufe durchgehen.

Shopify hat außerdem einen allgemeinen Leitfaden zum Umgang mit Bots (auf Englisch). Du betreibst auch WooCommerce? Lies Card-Testing-Angriffe auf WooCommerce.

Quellen: Shopify-Hilfe, Präferenzen des Onlineshops (auf Englisch), Deinen Shop vor Verkäufen an Bots schützen und Pixel und Kundenereignisse.

Was AdProtektor ergänzt

  • Es bewertet jeden Besuch im Shop auf Bots, Wettbewerber und Klickfarmen.
  • Es verknüpft einen Checkout, der ohne Browserbesuch ankommt, mit dem Besucher, von dem er stammt, wo die Beweislage es erlaubt, und gibt ihm dessen Einstufung.
  • Es erfasst einen Checkout, der sich niemandem zuordnen lässt, aber Angriffsspuren trägt, etwa einen, der direkt über die Warenkorb-API gestartet wurde, oder einen Schub, der deine echten Sitzungen übersteigt, in deinem Dashboard als Bot-Traffic.
  • Mit ConversionOS und aktivem Betrugsschutz kann es Conversion-Ereignisse von gesperrten Besuchern oder Crawlern zurückhalten, statt sie an Meta, Google Ads und GA4 zu senden.
  • Es schließt die IP-Adressen gesperrter Besucher aus berechtigten verbundenen Google-Ads-Kampagnen aus und pflegt Meta-Ausschlusszielgruppen, wo eingerichtet und unterstützt.

Zurückhalten ist kein Zertifikat

Conversions von gesperrten Besuchern oder Crawlern werden nicht gesendet, deine Plattformen sehen also weniger davon. Das bescheinigt nicht, dass jedes andere Ereignis ein echter Kunde ist, und jede Plattform verarbeitet das, was sie empfängt, auf ihre eigene Weise.

So richtest du es heute ein

Die ConversionOS-App für Shopify wartet auf die Prüfung im Shopify App Store. Bis sie gelistet ist, richtest du drei Teile in deinem Dashboard ein:

  1. Das Shop-Skript im Header deines Themes, damit jeder Besuch im Shop bewertet wird.
  2. Das Snippet für das benutzerdefinierte Pixel im Shopify-Adminbereich unter Einstellungen → Kundenereignisse, das die Checkout-Ereignisse überträgt.
  3. Den signierten Bestell-Webhook, im selben ConversionOS-Bereich.

Einem markierten Besucher den Checkout direkt zu verweigern, gehört zum Checkout-Schutz der App und kommt deshalb mit der App. Mit der manuellen Einrichtung werden Bot-Checkouts als Betrug erfasst und mit ConversionOS von deinen Werbeplattformen ferngehalten. Die Shopify-Integrationsseite (auf Englisch) erklärt jeden Schritt.

Deine Werbeplattformen lernen aus dem, was du ihnen sendest. Sende ihnen Käufer.

Um zu sehen, was in deinem Shop ankommt, starte eine kostenlose Testphase und füge das Shop-Skript hinzu.