Onlineshop erstellen 2026: Vibe Coding verlockt, der Kern gehört trotzdem auf Shopify

„Brauche ich überhaupt noch eine Agentur, wenn die KI mir einen Shop in fünf Minuten baut?" Diese Frage liegt nahe, seit KI-Werkzeuge aus einem Satz einen erstaunlich schicken Shop-Entwurf bauen, und sie stellt sich jedem, der einen Onlineshop erstellen oder seinen alten modernisieren will. Die ehrliche Antwort: Für das Schaufenster vielleicht nicht. Für alles hinter dem Bezahlknopf braucht ihr dagegen etwas Solides, und das ist zuerst eine Plattform, nicht unbedingt eine Agentur.

Wir wollten es genau wissen. Am 1. Oktober 2026 haben wir einer KI einen einzigen Satz gegeben, so, wie ihn ein Inhaber nach Feierabend tippen würde. Nach rund viereinhalb Minuten stand ein Onlineshop für eine Kaffeerösterei in Köln, bei dessen Anblick wir kurz über unsere Stundensätze nachgedacht haben. Dann haben wir ihn uns genauer angesehen, und die Stundensätze durften bleiben.

Der Beitrag geht die Shop-Entscheidung in der Reihenfolge durch, in der ihr sie braucht: Experiment, Sicherheit, Pflichten, Kosten, Schwächen, Alternativen und ein vernünftiger Mittelweg. Der Testshop heißt „Rösterei am Rhein", Name und Inhalte sind erfunden, eine echte Rösterei ist nicht gemeint. Quellen nennen wir im Satz, Preise und Hilfeseiten haben wir am 1. Oktober 2026 abgerufen.

Kurz gesagt (Stand Oktober 2026)

Lasst eine KI höchstens die Ladenfront bauen und legt Kasse, Zahlung, Steuern und Bestellabwicklung auf eine Plattform wie Shopify. In unserem Experiment stand nach viereinhalb Minuten ein ansehnlicher Shop mit gehosteter Kasse, aber die Rechtstexte waren Platzhalter, der seit 19. Juni 2026 vorgeschriebene Widerrufsbutton fehlte, und für Rechnung, Lager und Retouren gab es nichts. Wer schon einen KI-Shop hat, sucht heute im Code nach „Vertrag widerrufen" und nach „fonts.googleapis.com". Findet ihr das Erste nicht und das Zweite schon, geht der Shop so nicht live.

Vibe Coding im E-Commerce: was sich 2026 verändert hat

Plant damit, dass der Entwurf eines Shops heute Minuten kostet, und steckt eure Zeit in alles, was danach kommt. Vibe Coding heißt, eine Anwendung in Alltagssprache zu beschreiben und eine KI den Code schreiben zu lassen, ohne ihn selbst zu lesen. Werkzeuge wie Lovable, Replit, v0 von Vercel oder Bolt machen daraus in kurzer Zeit etwas, das wie ein fertiger Shop aussieht, Bolt laut eigenem Blog vom 10. April 2025 sogar mit Stripe-Anbindung.

Auch Shopify setzt auf KI: Seit der Summer '25 Edition vom 21. Mai 2025 erzeugt ein KI-Shop-Builder laut Shopify drei Entwürfe aus einer Markenbeschreibung. Auf der Seite „Build with AI" nennt Shopify direkte Anbindungen an v0, Lovable, Replit und Manus, mit klarer Arbeitsteilung: Das KI-Werkzeug baut „design, layout, copy, and UI", Shopify betreibt „products, inventory, checkout, payments, taxes, shipping". Wann ein KI-Baukasten für eine normale Firmenseite reicht, steht in unserem Beitrag Website mit KI erstellen: Lovable, Framer, Agents und wann es reicht.

Pflegt eure Produktdaten so, dass eine KI sie verkaufen kann, denn Shopify reicht sie inzwischen an KI-Assistenten weiter. Über die Agentic Storefronts, vorgestellt im Dezember 2025, liefert Shopify Catalog laut Shopify Produkte an ChatGPT, Perplexity und Microsoft Copilot, der Händler bleibt dabei Verkäufer. Am 11. Januar 2026 kam mit Google das Universal Commerce Protocol dazu, als Kanäle nennt Shopify Google AI Mode, Gemini, Copilot, ChatGPT und die Shop-App. Laut Shopify-Hilfe sind die Agentic Storefronts für berechtigte Shops standardmäßig aktiv, schaut also in eurem Admin nach, ob das für euren Shop gilt, Details stehen in unserem Beitrag zu ChatGPT Shopping, Googles UCP und Agentic Commerce.

Erwartet vom Markt Wachstum, aber kein Wunder. Laut HDE Online-Monitor 2026 lag der Onlineumsatz in Deutschland 2025 bei 92,3 Milliarden Euro netto, ein Plus von 3,9 Prozent, der Onlineanteil am Einzelhandel bei 13,5 Prozent. Wenn ein Shop in Minuten steht, steht der eurer Konkurrenz eben auch in Minuten. Schreibt euch deshalb heute drei Dinge auf, in denen ihr euch wirklich unterscheidet, denn genau die gehören in die Ladenfront, der Rest in die Plattform.

Wer was verantwortet: ein vibe-codeter Shop allein gegen einen Shop auf Shopify. Kasse, Steuern und Betrieb wandern zur Plattform, die deutschen Rechtspflichten bleiben in beiden Fällen bei euch.

Unser Experiment: ein Onlineshop in viereinhalb Minuten

Gebt einer KI ruhig einmal euren Ein-Satz-Auftrag, aber prüft das Ergebnis so, wie wir es hier tun. Unser Auftrag lautete wörtlich: „Bau mir einen Onlineshop für meine kleine Kaffeerösterei in Köln mit 6 Kaffeesorten, Warenkorb und Bezahlung per Kreditkarte. Er soll modern aussehen und sofort online gehen können." Ausgeführt hat ihn ein KI-Agent, also eine KI, die selbstständig Dateien anlegt und Code schreibt, in unserem Fall Claude. Außer dem Zielordner bekam er keine Vorgaben und keine Browser-Werkzeuge.

Ja, das ist die KI, mit der wir selbst täglich arbeiten. Nach rund 4,5 Minuten lagen rund 36 KB Code im Ordner: Startseite, sechs Sorten in der Produktdatei data/products.json, ein im Browser gespeicherter Warenkorb, Versand für 4,90 € nach Deutschland und Österreich, ab 39 € frei, eine Dankeseite und Seiten für Impressum, Datenschutz, AGB, Widerruf und Versand. Bezahlt wird über eine gehostete Kasse von Stripe, also eine Zahlungsseite, die Stripe selbst ausliefert. Angesehen haben wir das Ergebnis auf einem lokalen Testserver und mit Puppeteer, einem Werkzeug, das einen Browser fernsteuert, online war der Shop nie.

Die Startseite unseres KI-Testshops „Rösterei am Rhein" am 1. Oktober 2026, gebaut aus einem einzigen Satz in rund viereinhalb Minuten. Name und Inhalte sind erfunden, die Rösterei gibt es nicht.

Macht es genauso: Startet einen KI-Shop zuerst nur lokal und klickt ihn einmal komplett durch, bevor irgendetwas online geht.

Onlineshop erstellen mit KI: was in viereinhalb Minuten richtig lief

Schaut euch zuerst die Preisangaben an, denn da hat die KI geliefert. Bei jeder Sorte steht der Grundpreis je Kilogramm, etwa „250 g · 47,60 €/kg", dazu „inkl. 7 % MwSt., zzgl. Versand", im Warenkorb „Gesamt inkl. MwSt.". Das sind die Bausteine, die die Preisangabenverordnung in § 4 für den Grundpreis und in § 6 für den Hinweis auf Umsatzsteuer und Versandkosten verlangt. Ob jedes Detail genügt, hat keine Kanzlei geprüft, aber die Bausteine sind da.

Der Warenkorb im KI-Testshop: der Grundpreis je Kilogramm bei jeder Sorte, hier „250 g · 47,60 €/kg" (1), darunter „Gesamt inkl. MwSt." und die Schaltfläche, die zur Kartenzahlung bei Stripe führt (2).

Übernehmt bei jeder selbst gebauten Kasse das Muster, das die KI hier gewählt hat: gehostete Zahlungsseite, Preise vom Server. Statt eines eigenen Kartenformulars hat der Agent die gehostete Stripe-Kasse angebunden, die Kartendaten berühren den eigenen Server also nicht. Die Preise holt die Schnittstelle api/checkout.js auf dem Server aus der Produktdatei und nicht aus dem Browser, wo jemand sie manipulieren könnte. Dazu kommen Prüfungen gegen einen leeren Warenkorb, unbekannte Sorten und Mengen über 20.

Einen Link zur abgeschafften OS-Plattform der EU hat die KI nicht eingebaut, und in den Platzhaltern vermerkte sie sogar, dass bei nach Kundenwunsch gemahlenem Kaffee § 312g BGB zu beachten ist. Vor allem aber hat der Agent am Ende selbst ehrlich aufgelistet, was vor dem Livegang fehlt. Lest diese Liste vollständig, bei uns war sie der nützlichste Teil der ganzen Antwort.

Was im KI-Shop fehlte: Rechtstexte, Widerrufsbutton und eine erfundene Geschichte

Behandelt jede Rechtsseite aus einem KI-Shop als leer, bis eine Fachquelle sie gefüllt hat. Widerrufsbelehrung, Muster-Widerrufsformular, AGB und Impressum bestanden bei uns aus gelb markierten Platzhaltern mit dem Hinweis „vor dem Livegang ersetzen". Das ist ehrlich, aber wer „sofort online" bestellt hat, klickt schnell auf Veröffentlichen. Für Belehrung und Formular gibt es gesetzliche Muster in Anlage 1 und 2 zum EGBGB, auf die Art. 246a § 1 verweist, ein korrekt ausgefülltes Muster gilt als ausreichend.

Die Widerrufsseite des KI-Testshops: statt einer Widerrufsbelehrung ein gelb markierter Platzhalter (1) mit dem Hinweis, ihn vor dem Livegang zu ersetzen.

Sucht im Code nach einem Widerrufsbutton, denn bei uns fehlte er vollständig. Seit 19. Juni 2026 verlangt § 356a BGB eine elektronische Widerrufsfunktion, beschriftet mit „Vertrag widerrufen" oder ähnlich eindeutig, und danach einen Bestätigungsschritt „Widerruf bestätigen". Grundlage ist die Richtlinie (EU) 2023/2673, umgesetzt im Bundesgesetzblatt 2026 I Nr. 28 vom 5. Februar 2026, die Kanzlei Noerr weist auf Bußgeld- und Abmahnrisiken hin. Im Code unseres KI-Shops kam weder das eine noch das andere vor.

Streicht jede Geschichte und jede Zahl, die ihr der KI nicht selbst gegeben habt. Auf der Über-uns-Seite stand: „Seit 2019 rösten wir in einem ehemaligen Fahrradladen in Ehrenfeld. Unser Trommelröster schafft 15 Kilo pro Charge …", dazu die Aussage, man zahle „deutlich über Weltmarktpreis", und Kennzahlen wie „2× Röstung pro Woche, 15 kg pro Charge, 6 Sorten im Sortiment". Nichts davon hatten wir vorgegeben. Bleiben solche Angaben stehen und stimmen nicht, sind sie irreführend.

Die Über-uns-Seite des KI-Testshops: eine frei erfundene Firmengeschichte über einen ehemaligen Fahrradladen in Ehrenfeld (1) und erfundene Kennzahlen wie zwei Röstungen pro Woche und 15 kg pro Charge (2).

Gefährlich ist das gerade, weil es so glaubwürdig klingt: Ein ehemaliger Fahrradladen in Ehrenfeld ist genau die Art Detail, die beim schnellen Lesen niemand hinterfragt. Lest jede Über-uns-Seite einer KI so, als hätte sie jemand am ersten Arbeitstag geschrieben, der euch noch nie gesehen hat.

Ladet Schriften vom eigenen Server, nicht von Google. Der KI-Shop band die Schriften Fraunces und Inter direkt von fonts.googleapis.com ein, damit geht beim Seitenaufruf die IP-Adresse jedes Besuchers an Google. Abhilfe: Schriftdateien herunterladen und selbst ausliefern. Schreibt das gleich in euren Auftrag, von selbst hat die KI es bei uns nicht getan.

Nach dem Klick auf „Bezahlen": was ein vibe-codeter Shop nicht kann

Fragt bei jedem Shop-Entwurf zuerst, was nach der Zahlung passiert. In unserem KI-Shop endete die Reise im Dashboard von Stripe: Dort seht ihr, dass jemand bezahlt hat, und das war es. Es gab keinen Lagerbestand, keine eigene Bestellbestätigung, keine Rechnung, kein Versandetikett, keine Retouren und keinen Export für die Buchhaltung. Bei drei Bestellungen in der Woche geht das per Hand, bei dreißig am Tag wird daraus ein zweiter Beruf.

Prüft die Beschriftung des letzten Bestellknopfs selbst, auch wenn er auf der Seite des Zahlungsdienstes liegt. Nach § 312j Abs. 3 BGB muss die Schaltfläche „mit nichts anderem als den Wörtern ‚zahlungspflichtig bestellen' oder einer entsprechenden eindeutigen Formulierung" beschriftet sein, sonst kommt laut Abs. 4 kein Vertrag zustande. In unserem Shop liegt dieser Knopf auf der Stripe-Seite, der Agent hat die Einstellung submit_type auf „pay" gesetzt. Ob die daraus entstehende Beschriftung genügt, haben wir nicht geprüft, das ist ein Prüfpunkt und kein Befund.

Rechnet den Betrieb mit ein, denn der liegt beim KI-Shop komplett bei euch. Hosting bei Vercel, das Stripe-Konto, Updates, Sicherheit und jede Rechtsänderung gehören dem Inhaber. Der Agent hat die Seite nach eigener Angabe nie im Browser angesehen, bis zu unserem Test hatte also nicht einmal ihr Erbauer sie gesehen. Klickt einen KI-Shop deshalb einmal komplett durch, von der Startseite bis zur Dankeseite, bevor ihr irgendwem den Link schickt.

Die Bilanz unseres Experiments: was die KI in viereinhalb Minuten richtig gemacht hat und was vor einem Livegang fehlt oder riskant ist.

Vibe Coding und Sicherheit: was die Zahlen über KI-Code sagen

Lasst KI-Code nie ohne Sicherheitsprüfung live gehen, auch wenn alles funktioniert. Laut Veracode-Bericht vom 30. Juli 2025 fielen 45 Prozent der Code-Proben aus über 100 Sprachmodellen durch die Sicherheitstests und brachten Schwachstellen aus der OWASP Top 10 mit, der bekannten Liste häufiger Web-Sicherheitslücken. Gegen Cross-Site-Scripting, also eingeschleusten Schadcode in Webseiten, scheiterten 86 Prozent der relevanten Proben, bei JavaScript, der Sprache unseres Testshops, lag die Fehlerquote bei 43 Prozent.

Ein Jahr später ist es kaum besser. Laut Veracode-Bericht vom 28. Juli 2026 bestehen KI-Modelle im Schnitt 56 Prozent der Sicherheitsaufgaben, nach 55 Prozent im Vorbericht, das beste Modell, GPT-5.5, kam auf 68 Prozent. Auf Code spezialisierte Modelle schnitten mit 51 Prozent nicht besser ab als allgemeine mit 52 Prozent. Gegen SQL-Injection bestehen 83 Prozent, gegen Cross-Site-Scripting nur 15 und gegen Log-Injection 12 Prozent.

Wie oft KI-Code laut Veracode 2026 die Sicherheitsprüfung besteht: bei SQL-Injection meist, beim Schutz vor Cross-Site-Scripting und Log-Injection nur selten.

Prüft bei jeder KI-App mit Datenbank zuerst, wer welche Tabellen lesen darf. Laut Semafor vom 29. Mai 2025 ließen 170 von 1.645 Apps, die Lovable auf der eigenen Seite zeigte, jeden die Daten ihrer Nutzer lesen, von Namen und E-Mail-Adressen bis zu Finanzdaten und API-Schlüsseln. Die Lücke läuft als CVE-2025-48757, und laut der Offenlegung von Matt Palmer, einem der beiden Entdecker, lagen auch Tabellen zu Transaktionen und Abos offen, samt der Möglichkeit, den Zahlungsstatus zu ändern.

Laut The Next Web vom 21. April 2026 legte später ein Fehler in Lovables Schnittstelle Profile, Quellcode und Datenbankzugänge offen, bestehende Projekte blieben 48 Tage ungepatcht. In Deutschland fand eine Recherche der „Zeit" mit Christopher Helm laut t3n vom 29. April 2026 unter 670 deutschsprachigen Seiten auf Supabase, einer bei KI-Baukästen beliebten Datenbank, fast jede zweite mit offenen Sicherheitslücken. Und laut UpGuard vom 25. September 2026 hatten 16.326 Supabase-Datenbanken öffentlich lesbare Tabellen, gefunden bei rund 300.000 untersuchten Domains, mit E-Commerce und Gastronomie als Branchen mit dem höchsten Risiko.

Fairerweise: Unser Testshop hatte gar keine Datenbank, die Sorten standen in einer Datei. Das ändert sich, sobald Kundenkonten, Newsletter oder Bestellverlauf dazukommen. Fragt die KI dann ausdrücklich, ob irgendeine Tabelle ohne Anmeldung lesbar ist, und lasst die Antwort von jemandem prüfen, der Zugriffsregeln versteht, bei Supabase heißen sie Row-Level-Security.

Zahlung und PCI DSS: warum ihr die Kasse nicht selbst baut

Nehmt eine gehostete Kasse und haltet die Zahlungsseite frei von eigenen Skripten. PCI DSS ist der Sicherheitsstandard der Kartenbranche, und wer Kartendaten selbst verarbeitet, muss laut Stripe-Sicherheitsleitfaden unter Umständen „mehr als 300 Sicherheitskontrollen gemäß PCI DSS" erfüllen. Gehostete Lösungen wie Stripe Checkout schicken die Daten direkt an Stripe und verringern diese Pflichten. Genau so hatte unsere KI es gebaut, ihre beste Entscheidung im ganzen Projekt.

Laut der Prüfgesellschaft Schellman vom 30. Januar 2026 gilt der kurze Selbstauskunftsbogen SAQ A, wenn Zahlungsseite oder Zahlungsfelder komplett vom zertifizierten Anbieter kommen, per iFrame oder Weiterleitung. Liefert der Händler die Zahlungsseite ganz oder teilweise selbst aus, etwa mit eigenem JavaScript, landet er bei SAQ A-EP, auch wenn die Kartendaten direkt an den Zahlungsdienst gehen. Das sind einige Dutzend gegenüber deutlich über hundert Anforderungen.

Führt eine Liste aller Skripte, die auf eurer Zahlungsseite laufen. Seit 31. März 2025 sind laut Barr Advisory die Anforderungen 6.4.3 und 11.6.1 verpflichtend: ein Inventar mit Freigabe, Integritätsprüfung und Begründung für jedes Skript der Zahlungsseite und eine Erkennung von Änderungen an Skripten und HTTP-Headern. Laut einer FAQ des PCI-Gremiums vom 28. Februar 2025 bestätigen Händler für SAQ A seit 1. April 2025 außerdem, dass ihre Seite nicht anfällig für Skript-Angriffe ist. Bittet eine KI nie um „ein eigenes Kartenformular im Design meines Shops", denn nach unserer Einordnung kann ein vibe-codeter Checkout mit eigenem Kartenformular oder Tracking-Skripten so von SAQ A in SAQ A-EP rutschen, also in die Prüfung mit deutlich mehr Pflichten.

Die Pflichten, die kein Prompt erledigt

Geht vor dem Livegang die Pflichtliste Punkt für Punkt durch, egal ob eine KI, eine Agentur oder ihr selbst den Shop gebaut habt. Die Punkte stammen aus den Gesetzestexten auf gesetze-im-internet.de sowie von IHK, Händlerbund und Bundesfinanzministerium, Stand 1. Oktober 2026, Button-Lösung und Widerrufsbutton kennt ihr schon. Das ist eine Einordnung und keine Rechtsberatung.

Zeigt Preise vollständig, mit Grundpreis, Steuer und Versand. Die Preisangabenverordnung verlangt in § 3 den hervorgehobenen Gesamtpreis, in § 4 den Grundpreis bei Waren nach Gewicht, Volumen, Länge oder Fläche und in § 6 den Hinweis auf die Umsatzsteuer und darauf, ob Liefer- und Versandkosten anfallen. Das hat unsere KI erstaunlich gut erledigt. Prüft trotzdem jede Variante, denn der Grundpreis stimmt nur, wenn auch das Gewicht in der Produktdatei stimmt.

Aktualisiert das Impressum und nehmt einen alten OS-Link raus. Das Impressum richtet sich heute nach § 5 des Digitale-Dienste-Gesetzes, das das Telemediengesetz abgelöst hat, ein altes „§ 5 TMG" ist ein schneller Fix. Die EU-Plattform zur Online-Streitbeilegung wurde mit der Verordnung (EU) 2024/3228 am 20. Juli 2025 eingestellt, die Pflicht zum Link endete. Laut IHK Osnabrück kann ein verbliebener Link als irreführend gewertet werden.

Prüft, ob das Barrierefreiheitsstärkungsgesetz für euch gilt, bevor ihr Geld dafür ausgebt oder es ignoriert. Das BFSG gilt seit 28. Juni 2025, nach § 3 Abs. 3 aber nicht für Kleinstunternehmen, die Dienstleistungen anbieten, also nach § 2 Nr. 17 für Betriebe mit weniger als zehn Beschäftigten und höchstens 2 Millionen Euro Jahresumsatz oder Jahresbilanzsumme. Laut Händlerbund und IHK Berlin gilt der Onlineshop als solche Dienstleistung, die Ausnahme greift aber nicht für BFSG-relevante Produkte, die ihr verkauft. Was umzusetzen ist, steht in unserem Beitrag Barrierefreie Website: was Unternehmen 2026 umsetzen müssen.

Tragt euch ins Verpackungsregister LUCID ein, bevor das erste Paket rausgeht. Wer verpackte Ware gewerblich in Deutschland verkauft, muss sich laut Zentraler Stelle Verpackungsregister einmalig in LUCID registrieren, die Pflicht ist nicht übertragbar, sonst droht ein Vertriebsverbot. Kein Shopsystem und keine KI füllt dieses Formular für euch aus. Für Kaffee in der Tüte heißt das: erst Registrierung, dann Shop.

Plant die E-Rechnung für Geschäftskunden jetzt ein, nicht erst 2027. Laut FAQ des Bundesfinanzministeriums, Stand 23. März 2026, müsst ihr E-Rechnungen seit 1. Januar 2025 empfangen können, ein E-Mail-Postfach genügt. Ausstellen müsst ihr sie bei Geschäften mit anderen Unternehmen ab 2027, wenn euer Vorjahresumsatz über 800.000 Euro lag, ab 2028 grundsätzlich alle, in Formaten nach EN 16931 wie XRechnung oder ZUGFeRD ab Version 2.0.1. Verkäufe an Privatkunden und Kleinbetragsrechnungen bis 250 Euro sind ausgenommen.

Fragt bei jedem Cookie und jedem Skript, ob es ohne Einwilligung laufen darf. Nach § 25 TDDDG ist Speichern und Auslesen auf dem Endgerät nur mit Einwilligung erlaubt, außer es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich, etwa für den Warenkorb. Der Warenkorb unseres KI-Shops fällt nach unserer Lesart darunter, Analyse- und Werbeskripte nicht. Legt vor dem Livegang fest, welche Werkzeuge erst nach Klick im Einwilligungsbanner laden.

Die Pflichten, die seit 2025 für Onlineshops dazugekommen sind oder bald kommen, mit dem, was ihr jeweils konkret tun müsst.

Warum der Kern trotzdem auf Shopify gehört

Gebt die Teile ab, die eure Marke nicht von anderen unterscheiden: Kasse, Zahlung, Hosting und Lastspitzen. Laut Shopify ist die Plattform nach PCI DSS Level 1 zertifiziert, standardmäßig für jeden Shop. In jedem Tarif sind laut Preisseite unbegrenztes Hosting, eine eigene Domain, SSL und der KI-Assistent Sidekick enthalten. Die Kasse samt Sicherheitspflege kommt damit von Shopify und nicht aus eurem Code.

Laut Shopifys Pressemitteilung vom 2. Dezember 2025 setzten Händler am Black-Friday-Wochenende weltweit 14,6 Milliarden Dollar um, in der Spitze 5,1 Millionen Dollar pro Minute. Euer Kaffee-Adventskalender wird diese Zahlen eher nicht gefährden, ein selbst gehosteter KI-Shop muss aber schon den Ansturm nach einem Newsletter allein überstehen.

Nutzt, was im Tarif schon drin ist, bevor ihr eine App sucht. Shopify Payments nimmt in Deutschland laut Hilfe Visa, Mastercard, Maestro, American Express und UnionPay an, Apple Pay, Google Pay und Shop Pay laufen automatisch, Klarna aktiviert ihr von Hand, PayPal bindet ihr separat an. Seit 2. April 2026 gibt es B2B in Basic, Grow und Advanced ohne Aufpreis, mit Firmenprofilen, bis zu drei Katalogen, Mengenrabatten und Zahlungszielen. Für eine Rösterei, die nebenbei Cafés beliefert, ist das genau der Teil, den ein Ein-Satz-Shop nie gebaut hätte.

Shopify selbst schreibt im Enterprise-Blog vom 29. Mai 2026, Werkzeuge wie Claude Code oder Cursor bauten funktionierende Ladenfronten in Tagen, Zahlung, PCI, Betrugserkennung, Steuern und Lastspitzen blieben aber Aufgaben über Jahre. Das ist eine Herstellerquelle mit eigenem Interesse, die Faustregel daraus teilen wir trotzdem: kaufen, was die Marke nicht unterscheidet, bauen, was sie unterscheidet. Dass Lovable, v0 und Replit Kasse und Zahlung inzwischen an Shopify weiterreichen können, lesen wir als Zeichen, dass auch ihre Anbieter den Betrieb der Kasse lieber einer Plattform überlassen. Schreibt euch deshalb zwei Listen, was euren Shop besonders macht und was einfach funktionieren muss, und gebt die zweite an die Plattform.

Shopify Kosten 2026: Tarife, Gebühren und die deutschen Extras

Rechnet mit Tarif, Zahlungsgebühr und den Apps für Rechtstexte und Rechnungen, nicht nur mit dem Tarif. Laut Preisseite am 1. Oktober 2026, bei jährlicher Zahlung, kostet Basic 27 € im Monat, Grow 79 €, Advanced 289 € und Plus ab 2.100 €. Bei monatlicher Zahlung sind es 36, 105 und 384 €, ob netto, weist die Seite nicht ausdrücklich aus, wir rechnen mit netto. Zum Testen gibt es drei Tage gratis, danach drei Monate für 1 € im Monat, genug, um Bestellung, Rechnung und Retoure einmal komplett durchzuspielen.

Die Shopify-Preisseite am 1. Oktober 2026: Basic für 27 € im Monat bei jährlicher Zahlung (1) und beim Tarif Plus der Hinweis „Vollständig anpassbarer Checkout" (2), den es nur dort gibt.

Kalkuliert die Gebühren pro Bestellung, denn sie wachsen mit jedem Verkauf. Shopify Payments kostet online laut Preisseite 2,1 % in Basic, 1,8 % in Grow, 1,6 % in Advanced und 1,3 % in Plus, jeweils plus 0,30 €. Nutzt ihr einen anderen Zahlungsanbieter, berechnet Shopify zusätzlich zu dessen Gebühr 2 % in Basic, 1 % in Grow, 0,6 % in Advanced und 0,2 % in Plus. Bei einer Bestellung über 30 € in Basic sind das mit Shopify Payments 0,93 €, mit fremdem Anbieter kommen 0,60 € auf dessen eigene Gebühr obendrauf.

Plant die deutschen Extras gleich mit ein. Rechtstexte gibt es als App, etwa das Shopify-AGB-Paket der IT-Recht Kanzlei für 9,90 US-Dollar im Monat oder die Rechtstexte des Händlerbunds ab 9,90 € netto im Monat bei 12 Monaten Mindestlaufzeit. Für Rechnungen kostet zum Beispiel die App Rechnungsprinter Pro je nach Rechnungszahl 10,99 bis 49,99 US-Dollar im Monat. Ein kleiner Shop im Basic-Tarif landet mit den Händlerbund-Rechtstexten und der kleinsten Stufe von Rechnungsprinter Pro so bei 27 € plus 9,90 € plus 10,99 US-Dollar im Monat, bevor die erste Bestellung Gebühren kostet.

Noch zwei Posten von der Preisseite: Basic hat keine zusätzlichen Mitarbeiterkonten, Grow bis zu 5, Advanced bis zu 15, und das Kassensystem POS Pro für den Laden kostet 79 € pro Monat und Standort. Habt ihr einen Laden und zwei Leute im Versand, rechnet also gleich mit Grow.

Shopify-Tarife, Zahlungsgebühren und die typischen deutschen Zusatzkosten für Rechtstexte und Rechnungen, laut den Preisseiten vom 1. Oktober 2026.

Shopify Erfahrungen: die Schwächen, die ihr vorher kennen solltet

Aktiviert Shopify Payments, wo immer es geht, sonst zahlt ihr bei jeder Bestellung doppelt. Die Zusatzgebühr von 0,2 bis 2 % bei fremden Zahlungsanbietern ist die bekannteste Schwäche, und sie trifft kleine Shops im Basic-Tarif mit den vollen 2 %. Prüft deshalb die Abrechnung nach dem ersten Monat Zeile für Zeile, gerade bei Zahlungen über PayPal.

Nehmt die Kasse, wie Shopify sie liefert, wenn ihr nicht Plus bezahlen wollt. Laut Shopify-Hilfe sind Apps für Informations-, Versand- und Zahlungsseite der Kasse „available only to Shopify Plus", darunter lassen sich nur Danke- und Bestellstatusseite anpassen. Für die meisten kleinen Shops halten wir den Standard ohnehin für die bessere Wahl, eine Kasse muss vor allem funktionieren.

Rechnet die deutschen Lücken ein, die ihr per App schließt. GoBD-gerechte Rechnungen, E-Rechnungen in ZUGFeRD oder XRechnung, DATEV-Export und Rechtstexte laufen bei deutschen Händlern über Apps wie InvoPass, sevdesk, Lexware Office oder easybill. Managed Markets, bei dem ein Partner als Verkäufer auftritt und Zölle regelt, ist laut Shopify für deutsche Händler nicht verfügbar. Und Themes in Shopifys Vorlagensprache Liquid sowie App-Abos ziehen bei einem Wechsel nicht mit um, das ist eine echte Bindung.

Lest den Datenverarbeitungsvertrag, bevor euer Datenschutzbeauftragter danach fragt. Laut Shopifys Vertrag, aktualisiert am 7. Juli 2026, verarbeitet Shopify International Limited in Irland die Daten aus dem EWR, übermittelt wird an Shopify Inc. in Kanada auf Grundlage des Angemessenheitsbeschlusses für Kanada, die Plattform läuft laut Geschäftsbericht weitgehend auf Google Cloud. Wer ausdrücklich einen europäischen Anbieter will, ist bei Shopify falsch. Alle anderen legen den Vertrag vor dem Livegang ihrem Datenschutzbeauftragten vor.

Shopify oder WooCommerce oder Shopware: wann was passt

Wählt das System danach, wer es in drei Jahren betreibt, nicht nach Marktanteil. Weltweit liegt laut W3Techs im Oktober 2026 WooCommerce mit 47,7 % der Shopsysteme vorn, Shopify folgt mit 32,1 %. Bei den 1.000 umsatzstärksten deutschen Shops führt laut EHI und ecommerceDB für 2025 Shopware mit 11,5 % vor Adobe Commerce mit 10,8 %, Shopify ist Dritter und hat seit 2023 um 4,5 Prozentpunkte zugelegt, 40 % sind Eigenbauten. Marktanteile sagen, was verbreitet ist, nicht, was zu eurem Team passt.

Nehmt WooCommerce, wenn ihr WordPress schon betreibt und jemand die Pflege übernimmt. Die Software ist kostenlos und quelloffen, Hosting kostet laut woocommerce.com 25 bis 350 US-Dollar im Monat, einzelne Erweiterungen 29 bis 299 US-Dollar im Jahr, beides US-Angaben. Updates, Sicherheit, Zahlungs-Plugins und Lastspitzen liegen dann wieder bei euch, nur eben im WordPress-Ökosystem statt im KI-Code. Ohne technische Hilfe ist das nach unserer Erfahrung die anstrengendere Wahl.

Schaut euch Shopware an, wenn Umsatz und Anforderungen deutlich über einem kleinen Shop liegen. Die Community Edition ist laut Shopware-Preisseite kostenlos und wird selbst gehostet, die Pakete beginnen bei Rise ab 600 € netto im Monat, Evolve ab 2.400 €, Beyond auf Anfrage, abhängig vom Umsatz über den Shop „sowie anderen Individualfaktoren". Für einen Shop, der bei Shopify mit 27 € starten könnte, ist das eine andere Liga.

Für kleine und mittlere Händler, die einen neuen Shop erstellen oder einen alten modernisieren wollen, empfehlen wir deshalb meist Shopify, weil dort am wenigsten Betrieb bei euch bleibt. Wer gut mit WooCommerce lebt, muss nicht wechseln. Schreibt oben auf ein Blatt „Wer kümmert sich um Updates, Kasse und Sicherheit?" und tragt echte Namen ein.

Der kluge Mittelweg: KI-Ladenfront auf Shopify

Wollt ihr ein Design, das kein Theme hergibt, verbindet die KI-Ladenfront mit Shopify, statt eine eigene Kasse bauen zu lassen. Seit 20. Oktober 2025 baut Lovable laut eigenem Blog die Ladenfront, und Shopify übernimmt „checkout, payments, subscriptions, taxes". Laut Lovable-Dokumentation, abgerufen am 1. Oktober 2026, geht das mit neuen und bestehenden Shopify-Shops. Entwicklungsshops sind kostenlos, nach der Übernahme gibt es 120 Tage kostenlosen Test, danach braucht ihr einen bezahlten Tarif, und Shops, die niemand übernimmt, verfallen nach 30 Tagen.

Wisst vorher, was ihr bei dieser Bauweise aufgebt. Laut dem Vergleichsportal Ecommerce-Platforms.com, aktualisiert am 18. Februar 2026, funktionieren die meisten Shopify-Apps für Liquid-Themes mit einer Lovable-Ladenfront nicht, nur die Person, die den Shop verbunden hat, hat Schreibrechte, und ihr bindet euch an das Werkzeug. Nach unserer Einordnung fällt auch der gewohnte Theme-Editor weg, in dem ihr selbst Texte und Bilder tauscht, weil die Ladenfront dann im Code des KI-Werkzeugs liegt. Verbindet den Shop deshalb mit einem Konto, das dem Unternehmen gehört, nicht dem Freelancer und nicht dem Neffen.

Setzt Vibe Coding da ein, wo es glänzt: Prototyp, Ladenfront und Hilfswerkzeuge. Practical Ecommerce nannte Vibe Coding am 2. September 2025 das neue Excel des E-Commerce: gut für Hilfswerkzeuge, nicht für den Kernshop. Probiert eure nächste Idee, etwa einen Rechner für Abo-Mengen oder eine interne Packliste, ruhig erst als KI-Prototyp aus, bevor ihr Geld in die Umsetzung steckt.

Fazit: was heute, was diese Woche, was später

Heute entscheidet ihr, was die KI bauen darf und was auf die Plattform gehört, und prüft einen vorhandenen KI-Shop auf Widerrufsbutton, Platzhalter und Google Fonts. Sucht im Code nach „Vertrag widerrufen", nach markierten Platzhaltern und nach fonts.googleapis.com. Streicht jede erfundene Zahl auf der Über-uns-Seite und nehmt einen alten OS-Link raus.

Die Reihenfolge für euren Shop: heute prüfen und entscheiden, diese Woche durchrechnen und registrieren, später die E-Rechnung umstellen.

Diese Woche legt ihr bei Shopify einen Testshop an, rechnet Tarif, Shopify Payments und die Apps für Rechtstexte und Rechnungen mit eurem echten Warenkorb durch und klärt LUCID und das Einwilligungsbanner. Wer schon auf WooCommerce oder Shopware sitzt, schreibt stattdessen auf, wer Updates, Kasse und Sicherheit verantwortet.

Später, je nach Vorjahresumsatz bis 2027 oder 2028, stellt ihr B2B-Rechnungen auf E-Rechnung um und prüft jede neue Rechtspflicht selbst, statt auf die KI zu vertrauen. Wer lieber einen Onlineshop erstellen lassen will, findet ganz unten unser Angebot.

Was sich geändert hat und was das für euch heißt

31. März 2025: Die PCI-DSS-Anforderungen 6.4.3 und 11.6.1 zu Skripten auf Zahlungsseiten sind verpflichtend. Für euch heißt das: Jedes Skript auf der Kasse braucht eine Begründung, eine gehostete Kasse erspart euch den größten Teil davon.

20. Oktober 2025: Lovable verbindet KI-Ladenfronten mit Shopify. Für euch heißt das: Individuelles KI-Design und geprüfte Kasse schließen sich nicht mehr aus, kosten aber die meisten Apps für Liquid-Themes.

2. April 2026: Shopify bietet B2B in Basic, Grow und Advanced ohne Aufpreis. Für euch heißt das: Wer nebenbei Geschäftskunden beliefert, braucht dafür kein Plus mehr.

19. Juni 2026: Der Widerrufsbutton nach § 356a BGB ist Pflicht. Für euch heißt das: Jeder Shop braucht „Vertrag widerrufen" plus Bestätigungsschritt, in unserem KI-Shop fehlte beides.

28. Juli 2026: Veracode misst 56 Prozent Bestehensquote bei KI-Code. Für euch heißt das: Neuere Modelle schreiben nicht automatisch sichereren Code, eine Prüfung bleibt Pflicht.

25. September 2026: UpGuard findet 16.326 Supabase-Datenbanken mit öffentlich lesbaren Tabellen. Für euch heißt das: Kundendaten gehören nicht in eine ungeprüfte KI-Datenbank.

1. Oktober 2026: Stand dieses Beitrags und Tag unseres Experiments. Für euch heißt das: Ein KI-Shop aus einem Satz ist schick, aber nicht startklar.

Sollen wir euren Shopify-Shop planen oder euren KI-Shop vor dem Livegang prüfen?

Wir planen und bauen Onlineshops auf Shopify und prüfen auch einen Shop, den eine KI für euch gebaut hat, bevor er live geht. Konkret heißt das: Theme und Gestaltung, deutsche Rechtsgrundlagen über einen Rechtstexte-Dienst, Zahlarten, Rechnungen und Buchhaltung, Geschwindigkeit, Barrierefreiheit und eine Übergabe, nach der ihr den Shop selbst pflegen könnt. Wie das im Einzelnen aussieht, steht auf unserer Seite Onlineshop erstellen lassen mit Shopify. Rechtsberatung machen wir nicht, die Rechtstexte kommen von einem spezialisierten Dienst.

Eine kurze Nachricht über unser Kontaktformular genügt, ein Link zu eurem Shop oder ein Satz zu eurer Idee reicht als Einstieg. Wir antworten innerhalb von 24 Stunden, persönlich und ohne Vertriebsgespräch.