Der gelassene Guide gegen Bot-Traffic auf Shopify

Zuletzt geprüft im Juli 2026. Cloudflare und Shopify ändern ihre Dashboards und Richtlinien oft; wo dieser Guide eine Einstellung beschreibt, beschreiben wir, was sie tut, nicht wo der Button diesen Monat sitzt.

Ein Händler, mit dem wir arbeiten, schaute in seinen Traffic-Report und stellte fest: Rund 70% kamen aus China. Er verkauft dort nicht, versendet dort nicht und wirbt dort nicht. Bestellungen aus diesem Traffic: null. Ein anderer Händler zählte 250.000 Sessions in einem Monat und kam zu dem Schluss, dass rund 215.000 davon Bots waren.

Keiner der beiden Shops ist ein Ausnahmefall. Im Weihnachtsgeschäft 2024 machten Bots 57% des E-Commerce-Traffics aus; zum ersten Mal überwog automatisierter Traffic die menschlichen Shopper, so Radwares E-Commerce Bot Threat Report 2025. Diese Zahl zählt alle Bots, gute wie schlechte. Zählt man nur die schlechten, kommt Impervas Bad Bot Report 2025 für 2024 auf 33% bösartige Bots im Traffic von Retail-Sites, nach 26% im Jahr davor. Im Juni 2026 berichtete Cloudflares CEO, dass automatisierte Systeme die Menschen bei HTML-Requests im Cloudflare-Netzwerk überholt hatten: 57,5%.

Wenn dein Shop auf Shopify läuft, ist dieser Traffic nicht nur Rauschen im Chart. Er bläht jedes Tool auf, das du pro Session bezahlst. Er füllt deine Analytics mit Besuchen, die nie kaufen werden, und verzerrt damit leise jede Entscheidung, die du aus diesen Zahlen ableitest. Er füttert deine Ad-Pixel mit Müll-Signalen, sodass Meta und Google auf noch mehr Müll optimieren. Und Ende 2025 traf genau so eine Welle Tausende Shopify-Shops gleichzeitig und füllte die Shopify-Community-Foren mit Händlern, die von 50 bis 90% Bot-Traffic berichteten, aus Ländern, in die sie nie verkauft hatten.

Die Lösung ist real, und sie ist keine App. Sie besteht darin, einen kostenlosen Cloudflare-Account vor deinen Shop zu setzen und Traffic am Netzwerkrand zu filtern, bevor er Shopify überhaupt erreicht. Das Setup enthält einen wirklich nervenaufreibenden Schritt, den DNS-Umzug, und eine Handvoll Entscheidungen, die leicht schiefgehen, darunter eine, die dich unbemerkt für die KI-Assistenten unsichtbar macht, die gerade anfangen, echte, zahlende Shopper zu schicken.

Dieser Guide führt durch alles: wie du deinen Bot-Anteil misst, welche Bots du bewusst behalten solltest, welche Strategie zu deinem Shop passt, den DNS-Umzug mit Pre-Flight-Checkliste und Rollback-Plan, und wie du danach bestätigst, dass nichts kaputtgegangen ist. Nichts davon braucht einen Entwickler; falls du einen hast, ist das DNS-Kapitel der Teil für ihn.

Dein Dashboard lügt, und das kostet dich Geld

Zuerst: warum dir das einen Nachmittag wert sein sollte, denn „meine Sessions sind aufgebläht" untertreibt das Problem.

Tools, die nach Traffic abrechnen. Ein guter Teil des Shopify-App-Ökosystems rechnet nach Sessions oder Pageviews ab. Lucky Orange, eine beliebte App für Heatmaps und Session-Aufzeichnungen, kostet von 32 $ pro Monat für 3.500 Sessions bis 839 $ pro Monat für 300.000. OptiMonk rechnet nach Pageviews ab. Analytics-Tools wie Matomo zählen Hits. Diese Anbieter filtern bekannte Bots, aber die jüngsten Wellen nutzen Residential Proxies und menschenähnliches Surfverhalten, genau um diese Filter zu umgehen. Wenn 60% deiner Sessions Bots sind, zahlst du womöglich Tier-Preise für ein Publikum, das zu 60% aus niemandem besteht. In den Community-Threads zur Welle von 2025 berichteten Händler genau das: nutzungsbasierte Rechnungen, die auf Traffic klettern, der nie kaufen kann.

Vergiftete Ad-Signale. Deine Meta- und Google-Pixel lernen aus dem Traffic, den sie sehen. Bot-Sessions mit 100% Bounce und null Kaufabsicht bringen dem Algorithmus die falschen Lektionen bei, und wenn Bots auf deine bezahlten Anzeigen klicken, verbrennt das Budget direkt. In den Community-Threads zur Welle von 2025 war korrumpiertes Meta-Pixel-Learning der Schaden, den Händler am häufigsten nannten, noch vor den Analytics selbst.

Entscheidungen auf Basis von Fiktion. Conversion-Rate ist Bestellungen geteilt durch Sessions. Flute den Nenner, und deine Conversion-Rate stürzt ab, deine Geo-Reports zeigen auf Märkte, die es nicht gibt, und deine Kanal-Attribution driftet. Impervas Retail-Report nennt „analytics skewing" wörtlich als Standardaktivität böser Bots. Wenn du nach deinen Daten merchandist, abwertest, was liegen bleibt, hervorhebst, was läuft, ist das der stille Preis: Die Daten selbst gehen kaputt.

Last, die niemand gern bezahlt. Jede Bot-Pageview wird von echter Infrastruktur ausgeliefert. Auf Standard-Shopify-Plänen ist Bandbreite Shopifys Problem, aber jedes Tool in deinem Stack, das Nutzung misst, spürt sie, und für Headless-Shops schlägt die Bandbreiten-Zeile direkt und sofort zu.

Wie viel macht das für deinen Shop aus? Weiter unten in diesem Guide gibt es einen Rechner: Wähl aus, welche deiner Tools nach Traffic abrechnen, trag Sessions und Bot-Anteil ein und sieh die Jahressumme.

Finde heraus, wie schlimm es ist

Bevor du irgendetwas änderst: messen. Vielleicht liegt dein Bot-Anteil bei 8%, dann schließ diesen Tab und mach etwas Sinnvolleres. Die Händler, die diesen Guide brauchen, finden meist eher die Hälfte.

Im Shopify-Admin:

• Öffne den Report Sessions nach Standort und leg ihn neben Bestellungen nach Standort. Ein Land mit Tausenden Sessions und null Bestellungen ist die klassische Signatur. Shopifys eigene Anleitung zum Erkennen von Bot-Aktivität rät, auf Sessions aus bekannten Rechenzentrums-Standorten zu achten, und nennt Ashburn, Virginia und Los Angeles; Händler in der Community ergänzen Council Bluffs, Iowa, Heimat einer Google-Cloud-Region.
• Seit Oktober 2025 enthalten Shopify-Reports die Dimension „Human or bot session", nach der du filtern kannst (Shopify-Doku). Nutze sie, aber kenne ihre Grenzen: Sie deckt nur Daten ab dem 7. Oktober 2025 ab, sie ist bewusst konservativ (Shopify übersieht lieber Bots, als einen echten Kunden falsch zu labeln), und für Headless-Storefronts existiert sie nicht. Nimm ihre Zahl als Untergrenze, nicht als Gesamtsumme.
• Prüf deinen Suchbegriffe-Report auf Anfragen, die wie maschinengenerierte Zeichenketten aussehen, und deine Kundenliste auf Müll-Namen. Shopify nennt beides als Bot-Indizien.
• Schau auf Zeiträume von 30 bis 90 Tagen. Kurze Fenster schwanken zu stark, um etwas abzulesen.

In GA4: Google filtert bekannte Bots bereits automatisch; alles Verdächtige, das du noch siehst, hat diesen ersten Filter also schon passiert. Die Signatur, die übrig bleibt, ist zusammengesetzt: Engagement-Rate nahe null, plus Quelle Direct oder „(not set)", plus ein Land außerhalb deiner Märkte. Jedes Signal für sich ist schwach. Alle drei zusammen, in Masse, sind so gut wie sicher.

Ein struktureller Vorbehalt. Shopify Analytics, GA4 und deine Pixel sind alles JavaScript-Zähler im Browser des Besuchers. Ein Bot, der nie JavaScript ausführt, ist für alle drei unsichtbar und lädt trotzdem deine Seiten. Was auch immer deine Dashboards zeigen, der Netzwerkrand sieht mehr. Deine erste ehrliche Zählung bekommst du nach dem Cloudflare-Setup unten, aus dessen Traffic-Analytics, und es ist normal, dass diese Zahl ein Schock ist.

Schreib deine Zahlen auf: Sessions gesamt, vermuteter Bot-Anteil und welche Länder oder Muster dominieren. Die Strategiewahl unten hängt davon ab, und der Vorher-Nachher-Vergleich zeigt dir später, dass sich die Arbeit gelohnt hat.

Die Bots, die du behalten willst

Hier kommt der Teil, den jedes „Blockier die Bots"-Tutorial überspringt, und der Grund, warum du nicht einfach jede Verteidigung auf Maximum drehen solltest.

Manche Bots sind die Infrastruktur deiner Auffindbarkeit. Googlebot und Bingbot entscheiden, ob du in der Suche existierst. Metas Link-Preview-Crawler entscheidet, ob deine Produkte sauber angezeigt werden, wenn jemand sie teilt. Und eine neuere Klasse wird jedes Quartal wichtiger: die Crawler und Fetcher hinter KI-Assistenten.

Sie sind nicht alle gleich. KI-Bots kommen in drei Sorten, und wer sie verwechselt, verschwindet aus Versehen von der Bildfläche:

• Trainings-Crawler (OpenAIs GPTBot, Anthropics ClaudeBot, Metas meta-externalagent) sammeln Inhalte, um künftige Modelle zu trainieren. Sie zu blockieren ist eine legitime Geschäftsentscheidung ohne Effekt auf deine heutige Sichtbarkeit.
• Such-Indexer (OAI-SearchBot, Claude-SearchBot, PerplexityBot) bauen die Indizes, aus denen KI-Assistenten antworten. OpenAIs eigene Doku ist unmissverständlich: Sites, die OAI-SearchBot aussperren, „will not be shown in ChatGPT search answers", erscheinen also nicht in den Antworten der ChatGPT-Suche (OpenAI-Bot-Doku).
• Nutzerausgelöste Fetcher (ChatGPT-User, Claude-User, Perplexity-User) rufen eine Seite ab, weil ein Mensch gerade jetzt eine Frage gestellt hat. Blockier sie, und der Assistent kann deine Produktseite nicht lesen, genau in dem Moment, in dem ein Shopper fragt: „Fällt die Jacke normal aus, und ist sie auf Lager?"

Zählt dieser Traffic schon? Adobes Analyse von US-Retail-Sites fand im Weihnachtsgeschäft 2025 KI-vermittelten Traffic mit plus 693% gegenüber dem Vorjahr, und, noch interessanter: Diese Besucher konvertierten 31% besser als der Durchschnitt. Das ist eine Kehrtwende: Ein Jahr zuvor zeigte dieselbe Messung KI-Referrals, die schlechter konvertierten. Der Kanal ging in rund zwölf Monaten von Kuriosität zu Qualität. Absolut ist er noch klein, aber er ist der einzige Referral-Kanal, der in diesem Tempo wächst, und die Shopper, die er schickt, kommen vorverkauft an, von einem Assistenten, der deine Seiten gelesen hat.

Eine echte Asymmetrie gehört ehrlich abgewogen: Cloudflares Messungen zeigen, dass KI-Firmen weit mehr crawlen, als sie an Besuchern zurückschicken (im August 2025 crawlte Anthropic rund 50.000 Seiten pro vermitteltem Besuch, OpenAI unter 900, Perplexity etwa 118). Crawl-Last ist ein echter Kostenpunkt und dient überwiegend dem Training. Genau deshalb ist die richtige Haltung pro Bot, nicht alles oder nichts: Behalte die Such-Indexer und Fetcher, die Shopper bringen, entscheide bewusst über die Trainings-Crawler und blockiere die Hochstapler, die sich an nichts halten.

Noch ein Grund, das am Netzwerkrand zu regeln statt mit einer robots.txt: robots.txt ist eine höfliche Bitte, und Shopify selbst nennt Crawl-Regeln nur richtungsweisend, nicht bindend. Gut geführte Crawler halten sich daran; die Bots, die deinen Shop fluten, nicht (selbst die ehrlichen Betreiber streiten öffentlich darüber, wer was gecrawlt hat, siehe den Cloudflare-Perplexity-Disput von 2025). Präferenzen brauchen Durchsetzung, und Durchsetzung passiert am Netzwerkrand.

Die kompakte Allowlist, die Bots, die jede Konfiguration überleben sollten:

Was Shopify bereits übernimmt

Shopify schläft hier nicht, und es lohnt sich, genau zu wissen, was die Plattform tut, damit du auch weißt, was sie dir überlässt.

Jede Shopify-Storefront sitzt bereits hinter Shopifys eigener Edge-Infrastruktur (die selbst auf Cloudflare läuft), mit DDoS-Schutz auf Plattformebene, einer Web Application Firewall und standardmäßig Captchas auf Formularen (Shopify-Doku). Shopify-Plus-Händler können zusätzlich einen Checkout-Bot-Schutz scharfschalten, gebaut für Produkt-Drops: Er schützt den Checkout bei geplanten Events von bis zu 60 Minuten (Doku). Das ist Rüstung für den Drop-Tag, keine tägliche Traffic-Hygiene.

Was Händler nicht bekommen, ist Kontrolle über diesen Netzwerkrand. Es gibt keine Einstellung im Shopify-Admin, um einen IP-Bereich zu blockieren, ein Land mit einer Challenge zu belegen oder einen Scraper zu drosseln. Der „Human or bot session"-Filter vom Oktober 2025 räumt deine Reports auf, was wirklich nützlich ist, aber lies das Kleingedruckte dessen, was Filtern hier heißt: Die Bots kommen weiter, feuern weiter deine Pixel, zählen weiter in jeder App, die nach Sessions abrechnet, belegen weiter Infrastruktur. Der Report sieht besser aus, während der Zähler weiterläuft.

Diese Lücke ist der Grund, warum der App Store voller Country-Blocker- und Bot-Blocker-Apps ist, und warum sie enttäuschen. Eine App kann sich nicht vor Shopifys Netzwerkrand stellen; die Seite ist längst ausgeliefert, wenn eine App läuft. Also arbeiten diese Apps mit JavaScript in deinem Theme, das erkennt und dann versteckt oder umleitet. Daraus folgen zwei Dinge. Die Session ist schon gezählt, wenn das Skript feuert, deine Analytics und getakteten Apps sind also trotzdem verschmutzt. Und ein Bot, der kein JavaScript ausführt, führt auch das Blockier-Skript nie aus. Dasselbe gilt fürs Entfernen eines Landes in Shopify Markets: Das stoppt den Checkout aus einer Region, nicht das Browsen, nicht die Bots.

War dein gemessener Bot-Anteil klein, sind Shopifys Bordmittel plus der Analytics-Filter ein völlig vernünftiger Endpunkt. War er 30, 50, 70%, ist der einzige strukturelle Fix, Traffic zu filtern, bevor er Shopify erreicht. Das heißt: einen eigenen Netzwerkrand davorschalten, und damit sind wir bei Cloudflare.

Wähl deine Strategie, bevor du DNS anfasst

Das Cloudflare-Setup ist immer dasselbe; was sich unterscheidet, ist, welche Regeln du einschaltest, sobald der Traffic durch deine Zone fließt. Entscheide das jetzt, in Ruhe, statt um Mitternacht in einem Dashboard zu improvisieren.

Kurz zum Vokabular. Cloudflare-Regeln können eine Anfrage hart blockieren oder eine Managed Challenge ausspielen: eine schnelle automatische Prüfung, die die meisten Menschen bestehen, ohne sie zu bemerken (höchstens etwa alle 30 Minuten einmal), während die meisten Bots scheitern. Cloudflare selbst empfiehlt für die meisten Regeln die Challenge statt des Blocks, und dieser Guide auch: Sie verwandelt „hoffentlich hatte die Regel keine False Positives" in „ein seltener Mensch sieht ein Zwei-Sekunden-Interstitial".

Basisschutz gegen Bots

Cloudflares Free-Plan enthält Bot Fight Mode, einen einzelnen Schalter, der Traffic mit bekannten Simple-Bot-Mustern per Challenge prüft. Er ist grob: Er gilt für die ganze Domain, lässt sich nicht eingrenzen, kennt keine Ausnahmen und kann legitimen API- oder App-Traffic erwischen. Auf dem Pro-Plan für 20 bis 25 $ pro Monat wird daraus Super Bot Fight Mode, und der ist konfigurierbar: Du wählst die Aktion für eindeutig automatisierten Traffic, bekommst einen Schalter, der alle verifizierten guten Bots auf einen Schlag freigibt, und Bot-Analytics dazu. Falls die Budgetfrage lautet „lohnt sich Pro?", ist die Antwort für einen Shop mit echtem Bot-Problem meist ja, allein für den Verified-Bots-Schalter und die Sichtbarkeit. (Business und Enterprise ab 200 $ bieten feinere Kontrolle, inklusive Scoring jeder Anfrage; die meisten Händler, die das hier lesen, brauchen sie nicht.)

Passt für: jeden Shop, der dieses Setup macht. Das ist die Grundausstattung.
Risiken: auf Free die Grobheit, und du kannst keine Ausnahmen definieren: Kommt Bot Fight Mode einer Theme-App oder einem Custom-Storefront-Call in die Quere, bleibt dir nur Abschalten (und stattdessen mit WAF-Regeln filtern) oder das Upgrade auf Pro, wo es Ausnahmen gibt. Klick dich nach dem Aktivieren also wie ein Kunde durch deinen Shop und achte auf alles, was nicht mehr funktioniert.

Geo-Fence für ein Land, in das du nicht verkaufst

Hat deine Diagnose ein Land mit massenhaft Sessions und null Bestellungen gezeigt, erledigt das eine einzige WAF Custom Rule. Das Muster, direkt aus Cloudflares eigener Dokumentation, ist eine Regel auf das Land mit einer Ausnahme für verifizierte Crawler. Im Regel-Editor lautet der Ausdruck:

ip.src.country eq "CN" and not cf.client.bot

und die Aktion, separat im Aktions-Dropdown der Regel gewählt, ist Managed Challenge. (Ausdruck und Aktion sind zwei Felder; der Ausdruckseditor lehnt alles andere ab, was du hineinkopierst.) Die Klausel „not cf.client.bot" ist wichtig: Sie nimmt jeden Crawler auf Cloudflares Liste verifizierter guter Bots von der Challenge aus, damit du nicht versehentlich gegen Suchmaschinen kämpfst. Free-Pläne enthalten 5 Custom Rules; dafür reicht das locker.

Sei ehrlich zu dir, was die Nachteile angeht, bevor du statt der Challenge einen harten Block wählst. Geolokalisierung erkennt den Austrittspunkt des Netzwerks, nicht die Person: VPN-Nutzer, Reisende und Kunden im Ausland, die Geschenke nach Hause schicken, laufen in deine Regel, und genau deshalb schlägt die Challenge (die Menschen bestehen) den harten Block. Ein Land zu blockieren beendet außerdem deine Sichtbarkeit in dessen lokalen Suchmaschinen (blockierst du China, ist das Baidu). Und ein rechtlicher Hinweis für europäische Händler: Die EU-Geoblocking-Verordnung (2018/302) verbietet es, Shopper aus anderen EU- und EWR-Ländern auszusperren; Geo-Fencing ist also ein Werkzeug für Länder außerhalb dieser Zone, die du wirklich nicht bedienst.

Passt für: das Muster „70% aus einem Land, null Bestellungen".
Risiken: die Randfälle oben; abgemildert durch Challenge statt Block und die Ausnahme für verifizierte Bots.

Eine bewusste KI-Crawler-Policy

Stand Juli 2026 teilt Cloudflare KI-Bots in drei Verhaltensklassen ein, Search, Agent (nutzerausgelöstes Abrufen) und Training, und lässt dich pro Verhalten eine Policy setzen, oder pro einzelnem Crawler im AI-Crawl-Control-Panel, auf jedem Plan inklusive Free. Hier setzt du die Behalten-Liste von vorhin um: Erlaube die Kategorien Search und Agent, entscheide bewusst über Training, und lass Cloudflares Verified-Bot-System die ehrlichen Crawler von den Hochstaplern trennen, die User Agents fälschen.

Zwei Warnungen. Erstens: Prüf, was schon gesetzt ist. Cloudflare blockiert KI-Crawler standardmäßig für Zonen, die nach Mitte 2025 angelegt wurden; dein Shop könnte also bereits für die KI-Suche unsichtbar sein, ohne dass es je jemand entschieden hat. Zweitens: Am 15. September 2026 ändern sich die Defaults erneut (Search erlaubt, Training und Agent auf Seiten mit Werbung blockiert, für neue Zonen und Free-Kunden ohne eigene Wahl). Erb keinen Default, in keine Richtung. Setz es selbst.

Passt für: alle; das sind fünf Minuten in einem Panel.
Risiken: keine, wenn bewusst gesetzt. Das Risiko ist, es nicht zu setzen.

Nur die Reports filtern und es dabei belassen

Schalte Shopifys Bot-Filter ein, setz Annotationen in GA4, akzeptiere die Kosten. Null Risiko, null Setup, und die ehrliche Wahl, wenn dein Bot-Anteil klein ist oder du dieses Quartal keinen DNS-Umzug stemmen willst. Du kannst zu diesem Guide zurückkommen, wenn der Anteil wächst. Er wächst meistens.

Die meisten Shops mit echtem Problem wollen den Basisschutz plus die KI-Crawler-Policy, dazu den Geo-Fence, wenn die Geografie einseitig ist. Alle drei laufen auf demselben Setup unten.

Den DNS-Umzug ohne schlaflose Nächte

Alles oben passiert in einem Cloudflare-Account. Damit es für deinen Shop gilt, muss das DNS deiner Domain auf Cloudflare zeigen, sodass Traffic auf dem Weg zu Shopify durch Cloudflares Netzwerk läuft. Das ist der Schritt, den Händler fürchten, zu Recht: DNS ist das Adresssystem, das deinen Shop im Internet existieren lässt, und ja, eine verpatzte Änderung kann deine Seite offline nehmen. Die Angst schrumpft, wenn du drei Dinge weißt: Die Fehlermodi sind wenige und bekannt, jeder hat einen schnellen Ausweg, und nichts an dem Umzug ist endgültig.

Bevor irgendeine Checkliste kommt, nimm ein Stück Vokabular in die Hand, denn der ganze Umzug hängt daran: die kleine Wolke neben jedem DNS-Eintrag in Cloudflare, grau oder orange. Leg den Schalter selbst um:

Als Nächstes die ehrliche Offenlegung, die die meisten Guides vergraben oder weglassen.

Cloudflare unterstützt dieses Setup. Shopify nicht. Cloudflare dokumentiert die Konfiguration offiziell (sie heißt Orange-to-Orange oder O2O, weil deine Zone und Shopifys beide Cloudflare-Zonen sind), unterstützt sie seit Juni 2025 auf jedem Plan inklusive Free und erkennt sie automatisch: kein Ticket, kein Enterprise-Vertrag, egal was ältere Forenposts behaupten (Cloudflares Shopify-Guide). Shopifys Help Center dagegen sagt klipp und klar, dass Cloudflare-Proxy-Setups inklusive O2O nicht unterstützt werden, dass sie die Bereitstellung von Zertifikaten stören und die Genauigkeit von Shopifys eigener Bot-Erkennung senken können, und dass daraus entstehende Probleme außerhalb des Shopify-Supports liegen. In der Praxis heißt das: Es funktioniert, viele Shops fahren es, Cloudflare hat eigens Maschinerie dafür gebaut, und wenn du den Shopify-Support je wegen eines ganz anderen Domain-Problems kontaktierst, wird ihre erste Anweisung sein, den Proxy abzuschalten. Du solltest auch wissen, was du eintauschst: Shopifys eigene Bot-Abwehr sieht weniger von den ursprünglichen Merkmalen deines Traffics, wenn er durch einen weiteren Proxy ankommt; du ersetzt also einen Teil von Shopifys Bot-Schicht durch Cloudflares.

Wie schlimm kann es wirklich werden

Das Risiko ehrlich beziffert, für alle, die den DNS-Eingriff abnicken müssen:

• Der Prozess ist so gebaut, dass der Shop nie offline geht. Schritt eins ändert nur, wer DNS-Anfragen beantwortet, mit identischen Einträgen; der Traffic-Fluss ändert sich erst, wenn du später einen Schalter umlegst, und der lässt sich in Sekunden zurückdrehen. Es gibt keinen Moment, in dem die Seite konstruktionsbedingt „umgezogen" und unerreichbar wäre.
• Schlimmster realistischer Fall Nr. 1: ein vergessener Eintrag. E-Mail oder eine Verifizierung bricht ein paar Tage später, weil ein Eintrag den Umzug nicht mitgemacht hat. Prävention ist der Eintrag-für-Eintrag-Vergleich in der Checkliste unten; der Fix ist das Nachtragen des fehlenden Eintrags, Minuten, sobald es auffällt.
• Schlimmster realistischer Fall Nr. 2: ein Zertifikats- oder Proxy-Konflikt. Der Shopify-Admin zeigt „SSL pending", oder Besucher sehen einen Sicherheitsfehler oder eine Redirect-Schleife. Ausweg: Stell den Eintrag von „Proxied" zurück auf „DNS only", und der Zustand verschwindet, während du nachforschst. Die Störung dauert Minuten, wenn du hinschaust; genau deshalb sagt die Checkliste, das in einem ruhigen Fenster zu machen und sofort zu prüfen.
• Schlimmster verzögerter Fall: Die Zertifikatserneuerung scheitert Wochen später, weil „Always Use HTTPS" aktiviert war. Prävention ist eine einzige Anweisung unten; der Fix ist derselbe Schalter zurück.
• Der bleibende Preis ist organisatorisch, nicht technisch: Shopify behandelt dieses Setup als nicht unterstützt; erwarte also bei jedem künftigen Support-Ticket rund um die Domain „bitte deaktiviere deinen Cloudflare-Proxy" als ersten Triage-Schritt. Das ist eine dauerhafte Steuer auf deine Support-Gespräche, und so solltest du sie auch einpreisen.
• Zur Performance: Beide Zonen laufen auf Cloudflares Netzwerk, der zusätzliche Hop bleibt also innerhalb von Cloudflare, statt übers offene Internet zu gehen. Wenn dir Millisekunden wichtig sind, miss die Time to First Byte deiner Storefront vorher und nachher; das ist der ehrliche Test.

Liest sich dieser Tausch akzeptabel, und für einen Shop, der in Junk-Traffic ertrinkt, tut er das meistens, dann hier der Ablauf. Nimm dir einen ruhigen Abend, nicht die Nacht vor einer Kampagne.

Bevor du irgendetwas anfasst

1. Inventarisiere dein DNS. Logg dich dort ein, wo dein DNS aktuell liegt (oft dein Domain-Registrar). Mach von jedem Eintrag einen Export oder Screenshot: den A-Eintrag deiner nackten Domain, den www-CNAME, jede weitere Subdomain (shop, blog, Link-Tracking-CNAMEs, die deine E-Mail-Plattform wie Klaviyo angelegt hat, alles, was eine App hinzugefügt hat), und ganz wichtig deine E-Mail-Einträge (MX, plus die TXT-Einträge für SPF, DKIM, DMARC) sowie alle Verifizierungs-TXT-Einträge (Google Search Console, Meta-Domain-Verifizierung und so weiter). Vergessene E-Mail-Einträge sind die häufigste selbst zugefügte Wunde jeder DNS-Migration; Cloudflares Importer ist gut, aber Cloudflares eigene Doku warnt, dass er nicht garantiert alles findet.
2. Senke deine TTLs. Wenn dein aktueller DNS-Host es zulässt, stell die Time-to-live deiner Einträge ein bis zwei Tage vor dem Umzug auf 300 Sekunden herunter. TTL bestimmt, wie lange das Internet deine Einträge cacht; kurze TTLs heißen, jeder Fehler verflüchtigt sich in Minuten statt Stunden.
3. Kenn deine Logins. Registrar, aktueller DNS-Host, Shopify-Admin. Der Rollback-Weg läuft über den Registrar, also teste diesen Login jetzt.
4. Bestätige, dass deine Shopify-Einträge dem aktuellen Standard entsprechen. Stand Juli 2026 verbindet sich eine externe Domain mit Shopify über einen A-Eintrag auf 23.227.38.65 und einen www-CNAME auf shops.myshopify.com (Shopify-Doku). Weichen deine davon ab, versteh erst warum, bevor du migrierst.

Der Umzug selbst

5. Erstelle einen kostenlosen Cloudflare-Account und füg deine Domain hinzu. Cloudflare scannt und importiert deine bestehenden Einträge. Jetzt kommt die wichtigste Prüfung des gesamten Prozesses: Vergleiche die importierte Liste mit deinem Inventar aus Schritt 1, Eintrag für Eintrag, und ergänze alles Fehlende. Dieser Schritt verhindert die Geschichte „drei Tage später war meine E-Mail tot".
6. Lass vorerst jeden Eintrag auf „DNS only" (graue Wolke). Erst alles auf grau, damit der Umzug nichts daran ändert, wie Traffic fließt. Du machst das in zwei sicheren Schritten: erst das DNS umziehen, dann den Proxy einschalten.
7. Ändere deine Nameserver beim Registrar auf die zwei, die Cloudflare dir zuweist. Das ist der eigentliche Umzug. Die Propagation dauert offiziell bis zu 24 Stunden; in der Praxis ist sie oft nach Stunden durch, manche Registrare und Domain-Endungen sind langsamer. Dein Shop läuft währenddessen so oder so weiter, denn die Einträge selbst sind identisch, nur der Server, der sie beantwortet, hat gewechselt.
8. Warte, bis Cloudflare die Zone als Active markiert (du bekommst eine E-Mail), und prüf dann, dass dein Shop lädt, dein Admin funktioniert und eine Test-E-Mail ankommt. Funktional hat sich noch nichts geändert, und genau das ist der Punkt.

Den Filter einschalten

9. Stell den www-CNAME auf „Proxied" (orange Wolke), und nur den www-CNAME. Jeder andere Eintrag, E-Mail-Versand-CNAMEs, Blog- und App-Subdomains, alles davon, bleibt auf „DNS only", außer du weißt genau, warum du ihn durch den Proxy schicken willst; ein E-Mail-Tracking-Eintrag hinter dem Proxy ist der Klassiker, um Tage später etwas völlig anderes zu zerlegen. Weil das www-Ziel shops.myshopify.com ist, erkennt Cloudflare die Shopify-Beziehung automatisch und routet den Traffic Zone-zu-Zone; im Dashboard erscheint neben dem Eintrag ein Shopify-Logo. Deine WAF-Regeln, Bot-Einstellungen und Analytics gelten jetzt für den Storefront-Traffic.
10. Lass den A-Eintrag der nackten Domain auf grauer Wolke, und lass die nackte Domain auf www weiterleiten. Die Zone-zu-Zone-Übergabe greift bei CNAME-Einträgen, nicht bei A-Einträgen hinter dem Proxy; ein solcher A-Eintrag vor Shopify ist genau die nicht unterstützte Konfiguration, die Zertifikatsfehler produziert. Das saubere Muster: Apex ohne Proxy lassen und sicherstellen, dass www deine primäre Domain in Shopify ist (prüf Einstellungen, dann Domains; für die meisten Shops ist das der Default). Shopify leitet die nackte Domain auf die primäre Domain um; mit www als primär landen Apex-Besucher also ohnehin auf dem gefilterten www. Ist aktuell deine nackte Domain primär, stell vor diesem Schritt www auf primär, sonst sieht dein Filter immer nur den Redirect.
11. Aktiviere niemals „Always Use HTTPS" auf dieser Zone. Das ist die Falle, die Wochen später zuschnappt. Shopify erneuert dein TLS-Zertifikat über eine Validierungsdatei, die es per einfachem HTTP unter „/.well-known/acme-challenge/" ausliefert. Cloudflares pauschaler HTTPS-Redirect fängt diesen Pfad ab, die Validierung scheitert, und dein Zertifikat erneuert sich stillschweigend nicht (Cloudflares Shopify-Guide dokumentiert genau diesen Vorbehalt). Willst du einen HTTPS-Redirect am Netzwerkrand, erstell eine Redirect-Regel, die diesen Pfad ausnimmt, wie in Cloudflares Guide beschrieben. Stell den SSL/TLS-Verschlüsselungsmodus auf Full (strict), niemals auf Flexible; Flexible gegen Shopify erzeugt eine endlose Redirect-Schleife.
12. Wende jetzt die Strategie an, die du vorhin gewählt hast: Aktiviere Bot Fight Mode (oder auf Pro Super Bot Fight Mode mit freigegebenen verifizierten Bots), erstell die Geo-Regel, falls du dich dafür entschieden hast, und setz deine KI-Crawler-Policy in AI Crawl Control.

Beweis, dass es funktioniert hat

Geh diese Liste noch am selben Abend durch, und nach einem Tag noch einmal:

• Die Storefront lädt über HTTPS auf www und auf der nackten Domain, aus einem normalen Browser und vom Handy ohne WLAN.
• Gib eine echte Testbestellung durch den Checkout auf, inklusive Zahlung. Der Checkout ist der eine Flow, bei dem du dich nie auf Annahmen verlässt.
• Shopify-Admin, Einstellungen, Domains: Status grün, SSL aktiv, keine Proxy-Warnungen.
• Schick dir selbst eine E-Mail an deine eigene Domain, und schick eine hinaus.
• Bestätige, dass Google Search Console und alle anderen Domain-Verifizierungen (Meta, Pinterest) weiter verifiziert zeigen; ihre TXT-Einträge sind mit allem anderen umgezogen, und dieser Check beweist es.
• Beobachte in Cloudflare einen Tag lang die Security-Analytics: Du solltest sehen, dass Challenges ausgespielt werden, mit Lösungsquoten nahe null beim Junk-Traffic (Bots lösen keine Challenges; Menschen schon).
• Vergleiche deinen Shopify-Sessions-Report nach sieben Tagen Woche gegen Woche. Das ist dein Vorher-Nachher.

Wenn etwas kaputtgeht

Die Auswege, der schnellste zuerst:

• Filter zurücknehmen, DNS behalten: Stell den www-Eintrag zurück auf die graue Wolke. Wirkt in Sekunden bis Minuten, und der Traffic fließt wieder exakt so, wie bevor Cloudflare irgendetwas angefasst hat. Zertifikatsfehler, Redirect-Schleifen, Warnungen im Shopify-Admin über einen nicht unterstützten Proxy: Dieser eine Handgriff beseitigt die Ursache von allen, während du nachforschst. Genau darum zählt der Zwei-Schritte-Ansatz; der bedrohlich klingende volle Rollback ist fast nie der, den du brauchst.
• Voller Rollback: Nameserver zurückstellen beim Registrar auf den alten DNS-Host. Lass deine alte DNS-Zone dort mindestens ein paar Wochen unangetastet, genau damit das eine Fünf-Minuten-Operation bleibt. Mit den gesenkten TTLs aus der Pre-Flight-Liste geht die Propagation schnell.
• Zertifikat hängt im Shopify-Admin auf „SSL pending": Stell die Einträge auf graue Wolke und warte, bis Shopify die Bereitstellung abgeschlossen hat; aktiviere den Proxy danach wieder. Das ist der bekannte Fehlermodus von zu frühem Proxy-Einschalten oder falschen Einstellungen, und er löst sich jedes Mal auf dieselbe Weise.

Die Woche danach

Deine Charts werden gleich absichtlich die Form ändern, und es hilft zu wissen, was kommt, bevor dein Chef fragt.

• Die Sessions stürzen ab. Das ist der Fix, der wirkt. Jeder Trend-Chart, der Sessions zählt, bricht am Umstellungstag mit seiner Historie. Annotiere das Datum, in GA4 und wo immer dein Team Notizen führt, damit niemand in drei Monaten den Einbruch als Traffic-Problem liest. Der Satz fürs Montagsmeeting: Die Sessions sind gefallen, weil wir aufgehört haben, Roboter zu bedienen; jede dieser Sessions hat unsere getakteten App-Rechnungen aufgebläht und die Ad-Pixel mit Müll gefüttert.
• Die Conversion-Rate springt aus demselben Grund. Der Nenner ist ehrlich geworden. Widersteh dem Drang, das als Wachstum zu feiern; es sind dieselben Bestellungen über echten Sessions.
• Wisse, welche Zahl jetzt die Wahrheit ist. Cloudflares Analytics zählen alles, was am Netzwerkrand ankommt, auch das, was per Challenge aussortiert wird; Shopifys Reports zählen, was durchkam. Erwarte, dass Cloudflares Zahl deutlich größer ist, und lies die Lücke als die Arbeit deines Filters. Da Shopifys eigene Bot-Erkennung Traffic hinter dem Proxy weniger klar sieht (ihre Warnung, und eine berechtigte), ist Cloudflares Dashboard ab jetzt deine Quelle der Wahrheit für Traffic; Shopify bleibt die Wahrheit für Bestellungen und alles, was wichtiger ist als Traffic.
• Achte auf den seltenen echten Menschen, den eine Regel erwischt. Cloudflares Security-Events-Log zeigt für jede Anfrage, die eine Challenge bekam oder geblockt wurde, exakt welche Regel gegriffen hat. Meldet ein echter Kunde oder das Tool eines Partners, blockiert zu werden, such das Event und entschärfe entweder die Regel von Block auf Managed Challenge (die bestehen Menschen) oder leg eine Skip-Regel für die IP darüber. Du musst nie zwischen „die Regel bleibt" und „der Kunde bleibt" wählen.

Die Rechnung für Traffic, der nie kauft

Du weißt jetzt, wie du die Flut stoppst. Hier ist ein Rahmen dafür, was sie gekostet hat, damit der Nachmittag Setup eine Zahl bekommt.

Für einen Standard-Shopify-Shop sind die Kosten nicht die Bandbreite (die ist bei Shopify inklusive), sondern alles Getaktete rund um den Shop:

• Tools mit Session- und Pageview-Abrechnung. Zähl deine durch: Heatmaps, Personalisierung, Popups, Analytics, manche Review- und Support-Tools. Jedes hat eine Preisleiter, und Bot-Sessions klettern sie für dich hoch. Eine echte Leiter als Referenz: Lucky Oranges öffentliche Preise reichen von 32 bis 839 $ pro Monat, je nach Session-Volumen.
• Werbebudget und Pixel-Schaden. Bot-Klicks auf Anzeigen sind direkter Verlust; verschmutztes Pixel-Learning ist indirekt, aber es potenziert sich, denn der Algorithmus optimiert auf das, was konvertiert, und Bots bringen ihm bei, dass nichts konvertiert.
• Entscheidungen. Conversion-Rate, Marktpriorisierung, Kampagnen-Auswertungen, Merchandising-Signale: Alles davon verfällt mit dem Nenner. Diese Kosten sind nicht messbar, und genau deshalb sind sie die schlimmsten.
• Die Infrastruktur aller. Für Headless-Shops ist die Bandbreiten-Zeile real und sofort spürbar (Vercel etwa berechnet 0,15 $ pro GB über dem inkludierten Transfer). Als die Doku-Plattform Read the Docs 2024 KI-Crawler blockierte, fiel ihre Bandbreite um 75%, etwa 1.500 $ im Monat; kein Shop, aber ein sauberes Vorher-Nachher dafür, was das Bedienen von Bots den kostet, der es tut.

Trag deine eigenen Zahlen ein, aus deiner Diagnose von vorhin:

Warum schreibt eine Merchandising-Firma das hier?

Faire Frage. Depict baut KI-gestütztes Merchandising für Shopify-Shops: Visual Merchandising für Kategorieseiten. Bot-Traffic ist nicht unser Produkt, und dieser Guide verkauft nichts.

Wir haben ihn geschrieben, weil unsere Händler immer wieder gefragt haben, und weil wir dreifach mit im Spiel sind. Unser eigenes Pricing zählt Sessions wie Analytics-Tools, ohne Bots herauszurechnen; Bot-Fluten schieben unsere Kunden also Richtung Limits, für Traffic, der nie kauft (unsere Haltung: großzügige Limits, beobachtet, aber nicht automatisch durchgesetzt, und ehrliche Gespräche). Bot-Sessions verschmutzen außerdem die Verhaltensdaten, auf denen Merchandising läuft. Bots kaufen nicht, deine Verkaufszahlen überleben also; korrumpiert wird alles, was auf Views und Klicks basiert. Junk-Sessions blähen die scheinbare Beliebtheit der Seiten auf, die sie hämmern, sodass Produkte, die ein Merchandiser bewusst platziert hat, neben den Zufallstreffern der Bots wie Underperformer aussehen, und beliebtheitsbasierte Sortierung lernt leise aus Fiktion. Und Bot-Last verbrennt Rechenleistung, unsere und die jedes Anbieters, für niemanden.

Also: Sauberer Traffic macht deine Kosten vernünftiger und deine Daten ehrlich, und ehrliche Daten sind der Rohstoff guten Merchandisings. Wenn die Stunden, die du dem Kampf gegen Junk-Traffic abnimmst, Stunden sind, die du lieber ins Kuratieren der Kategorien steckst, die deine Geschichte tragen, ist genau das der Job von Depict.

Häufige Fragen

Die Fakten in diesem Guide wurden im Juli 2026 gegen Anbieter-Dokumentation und Primärquellen geprüft; die Quellen sind im Text verlinkt. Cloudflare und Shopify ändern sich hier schnell. Wenn dir etwas Veraltetes auffällt, sag uns Bescheid, wir korrigieren es.