Shopsysteme 2026: Anteile auf 63.136 populären .de-Domains

Kurz gesagt (Stand 05.11.2026):

• Systeme: Unter den 6.359 Domains mit erkennbarem Shopsystem liegt Shopify mit 22,0 % vorn, vor WooCommerce mit 17,3 % und Shopware 6 mit 17,1 %. Dahinter folgen JTL-Shop mit 10,7 % und Magento 2 mit 9,1 %.
• Shopware 5: 285 Shops laufen noch auf Shopware 5. Keine veröffentlichte Version läuft laut Hersteller mit einer neueren PHP-Version als 8.2, und für PHP 8.2 enden am 31.12.2026 die planmäßigen Sicherheitskorrekturen. Von den 54 Shopware-5-Shops, die ihre PHP-Version zeigen, laufen 50 auf PHP 8.2 oder älter.
• Weitere Altsysteme: 112 Domains, rund 99 verschiedene Shops, zeigen Magento 1, für das Adobe seit Juni 2020 keine Sicherheitspatches mehr liefert; mindestens 26 dieser Domains laufen auf OpenMage, einem gepflegten Nachfolger. Für Gambio 4 und 5.0 endet der Support laut Gambio ebenfalls am 31.12.2026.
• Grundmenge: Wir haben die Startseiten der 63.136 .de-Domains ausgewertet, die in der Tranco-Liste N2W5W stehen, einer Rangliste populärer Domains. 45.048 waren erreichbar, auf 6.359 lief ein erkennbares Shopsystem.
• Nachgeprüft: Alle 455 Treffer, die an nur einem Merkmal hingen, haben wir nachgeprüft. 23 waren falsch und sind herausgerechnet.

Was haben wir gemessen?

Am 4. und 5. November 2026 haben wir die Startseiten von .de-Domains einmal abgerufen und ausgewertet, welches Shopsystem sie zeigen. Grundmenge dieses Beitrags sind die 63.136 .de-Domains der Tranco-Liste N2W5W. Tranco ist eine Rangliste populärer Domains für die Forschung. Sie führt mehrere Quellen über 30 Tage zusammen; unsere Liste nutzt den Chrome User Experience Report (Seitenaufrufe in Chrome), Majestic (Verlinkungen) und Cisco Umbrella (DNS-Anfragen) für den Zeitraum vom 05.10. bis 03.11.2026.

Gezählt haben wir Domains, nicht Unternehmen. „Shopsystem erkannt“ heißt: Die Startseite zeigt die technischen Spuren eines Shopsystems. Ob der Betreiber dort Waren verkauft, Tickets anbietet oder Spenden sammelt, sagt das nicht. Wie wir gemessen und nachgeprüft haben, steht im Abschnitt „So haben wir gemessen“ weiter unten.

Die Zahlen gelten für diese 63.136 Domains, nicht für alle Shops in Deutschland. Viele kleine Shops stehen in keiner Rangliste populärer Domains.

Welche Shopsysteme laufen auf populären .de-Domains?

Anteil an den 6.359 Domains mit erkennbarem Shopsystem. Die Spanne ist das 95-%-Intervall, also die rein statistische Unschärfe bei dieser Zahl von Domains. Fehler der Erkennung (siehe unten) sind darin nicht enthalten und können größer sein.

Vier Dinge verschieben diese Tabelle, ohne dass wir sie herausrechnen können:

• WooCommerce ist zu niedrig. Bei 8 von 54 bekannten WooCommerce-Shops fand unser Verfahren keines seiner WooCommerce-Merkmale, oft weil ein Cache-Plugin die Dateien zusammenfasst. Mitgezählt ist WooCommerce dagegen überall, wo es läuft, auch auf Seiten von Museen oder Vereinen, die damit Tickets oder Spenden abwickeln.
• Bot-Schutz verschluckt Shops. 1.640 Domains antworteten mit „Zugriff verweigert“ (HTTP 403), 489 mit „zu viele Anfragen“ (HTTP 429). Sie fehlen in der Zählung, darunter 87 Domains, die sich in der Antwort als Shopify zu erkennen gaben. Die Zahl der Shopify-Domains liegt deshalb eher höher.
• Eigenentwicklungen und entkoppelte Shops fehlen. Wer seinen Shop selbst programmiert oder die Oberfläche getrennt vom Shopsystem baut, hinterlässt auf der Startseite oft keine erkennbare Spur. Große Händler fallen damit eher heraus.
• Mehrere Domains eines Betreibers zählen einzeln. Ein Konzern mit zehn Domains auf demselben System zählt zehnmal. Bei Magento 1 führen zum Beispiel 15 Domains auf nur zwei Shops; bei Shopware 5 fanden wir unter den prüfbaren Domains keine solchen Doppelungen.

Welche Shops laufen auf Versionen ohne reguläre Sicherheitsupdates?

Für die folgenden Systeme oder Versionen hat der Hersteller die Entwicklung beendet oder liefert keine regulären Sicherheitsupdates mehr. Gezählt sind nur Treffer, bei denen die Version aus den Spuren der Startseite hervorgeht.

Bei Gambio, OXID, PrestaShop und xt:Commerce 4 und 5 erkennen wir die Version nicht bei jedem Shop; diese Zahlen sind Untergrenzen. JTL-Shop 4 erkennen wir am Template „Evo“, das auch unter frühen Versionen von JTL-Shop 5 lief; dort sind es deshalb bis zu 8. Für Gambio 4 und 5.0 nennt Gambio als Supportende den 31.12.2026; diese Versionen können wir von den neueren Gambio-Versionen nicht trennen.

Shopware 5: Warum der 31. Dezember 2026 zählt

285 der 6.359 Domains mit erkennbarem Shopsystem laufen auf Shopware 5, das sind 4,5 %. Bei drei davon deutet das Template auf das ältere Emotion-Template hin, das Shopware 4 und die frühen Versionen von Shopware 5 nutzten.

Laut Systemanforderungen läuft Shopware 5.7 mit PHP 7.4 bis 8.2; auch die Paketangaben aller später veröffentlichten Versionen und der aktuelle SafeFive-Patch enden bei 8.2. Für PHP 8.2 liefert das PHP-Projekt ab dem 1. Januar 2027 planmäßig keine Sicherheitskorrekturen mehr (php.net). Die Einzelheiten und Quellen stehen in unserem Beitrag zum Support-Ende von Shopware 5.

54 der 285 Shopware-5-Shops senden ihre PHP-Version im Kopf der Serverantwort mit:

Die vier Shops mit PHP 8.3 melden alle die aktuelle Version 8.3.36. Für PHP 8.3 ist laut Hersteller keine veröffentlichte Version von Shopware 5 freigegeben. Der Entwicklungszweig von Shopware 5.7 auf GitHub lässt PHP 8.3 zu, ist aber nicht als Version erschienen. Ob diese Shops ihn nutzen, einen eigenen Patch oder ob ein vorgeschalteter Server die Kopfzeile setzt, sehen wir von außen nicht.

Was ab Januar möglich ist, zeigen unsere Beiträge zu PHP 8.2 und den Preisen der Hoster und zum Umstieg auf Shopware 6.

Welche PHP-Versionen zeigen die Shops?

706 der 6.359 Domains mit erkennbarem Shopsystem senden ihre PHP-Version im Kopf der Serverantwort mit, das sind 11,1 %. Davon laufen 43,3 % auf PHP 8.2 oder älter (95-%-Spanne 39,7 bis 47,0 %): 169 auf Versionen, für die das PHP-Projekt schon heute keine planmäßigen Sicherheitskorrekturen mehr liefert, und 137 auf PHP 8.2.

Diese Anteile gelten nur für die Shops, die ihre Version mitsenden. Wer das tut, pflegt seinen Server vermutlich auch sonst weniger sorgfältig; für alle Shops eines Systems wären die Anteile deshalb eher niedriger. Bei kleinen Zahlen wie 16 oder 19 Shops kann der Anteil zudem stark schwanken.

Wie lange alte Shops ungepflegt weiterlaufen, zeigen zwei Shops auf einer alten Version von modified eCommerce, eine davon mit Stand 2010: Im Seitentitel steht die PHP-Meldung „Deprecated: preg_replace(): The /e modifier is deprecated“. Diese Meldung erzeugen nur PHP 5.5 und 5.6, für die es seit 2016 und 2018 keine Sicherheitskorrekturen mehr gibt.

Was heißt das für Ihren Shop?

1. System und Version feststellen. Die Version steht im Adminbereich Ihres Shops; im Zweifel fragen Sie Ihren Dienstleister. Läuft der Shop auf einer der Versionen in der Tabelle oben, bekommt er vom Hersteller keine regulären Sicherheitsupdates mehr; die Einschränkungen stehen in der Tabelle.
2. PHP-Version prüfen. Läuft der Shop auf PHP 8.2 oder älter, fragen Sie Ihren Hoster, was er ab dem 1. Januar 2027 macht: umstellen, weiterlaufen lassen oder berechnen. Bei einem eigenen Server fragen Sie, wer die Sicherheitsupdates des Betriebssystems einspielt. Die Preise der großen Hoster stehen im Beitrag zu PHP 8.2.
3. Fristen eintragen. Am 31.12.2026 enden die planmäßigen Sicherheitskorrekturen für PHP 8.2 und laut Gambio der Support für Gambio 4 und 5.0. Bei Gambio hilft unser Beitrag zu Gambio und PHP-Versionen.
4. Restlaufzeit festlegen. Ob sich eine Überbrückung lohnt oder der Umstieg, hängt davon ab, wie lange der Shop noch laufen soll.

So haben wir gemessen

Liste. Abgerufen haben wir in einem Lauf die .de-Domains der Tranco-Standardliste vom 03.11.2026. Ausgewertet und hier veröffentlicht sind nur die 63.136 Domains, die auch in der Tranco-Liste N2W5W stehen; sie bildet die Rangliste ohne die Quellen Cloudflare Radar und Farsight. N2W5W wurde am 04.11.2026 erzeugt: Chrome User Experience Report, Majestic und Cisco Umbrella, je die ersten 1 Million Einträge über 30 Tage vom 05.10. bis 03.11.2026, zusammengeführt nach der Dowdall-Regel, nur registrierbare Domains. Aus den 2.537.610 Einträgen der vollständigen Liste stammen die 63.136 .de-Domains; alle 63.136 waren in unserem Lauf enthalten.

Abruf. Zwischen dem 04.11.2026, 22:52 Uhr, und dem 05.11.2026, 10:56 Uhr, haben wir für jede Domain zuerst die robots.txt gelesen und danach die Startseite einmal abgerufen, mit dem Programmnamen „ShopsystemStudie/1.0“. 4.840 Domains schließen solche Abrufe über ihre robots.txt aus; ihre Startseite haben wir nicht abgerufen. Fehlte die robots.txt, haben wir die Startseite abgerufen, ebenso, wenn sie wegen eines Server- oder Netzfehlers nicht lesbar war. Nicht lesbar war sie bei 825 der 45.048 erreichbaren Domains, darunter 45 mit erkennbarem Shopsystem. Wir haben keine Formulare ausgefüllt, keine Unterseiten geöffnet und keine Cookies zurückgeschickt. Gelesen haben wir höchstens rund 1 MB je Startseite. Domains mit DNS-Fehler oder Zeitüberschreitung haben wir am Ende des Laufs ein zweites Mal versucht.

Erkennung. Jedes Shopsystem hinterlässt typische Spuren: Pfade zu seinen Dateien, Namen seiner Cookies, eigene Kopfzeilen in der Serverantwort, eine Generator-Angabe im Quelltext. Jede Spur hat ein Gewicht; ein System gilt als erkannt, wenn die Spuren zusammen eine feste Schwelle erreichen.

Prüfung vorab. An 117 Shopware-5-Shops, deren System wir aus Dateiprüfungen und dem Common Crawl kannten, erkannte das Verfahren alle 117. Bei Shopware 6 (128 von 128), Magento 2 (67 von 68), Magento 1 (12 von 12) und WooCommerce (46 von 54) stammten die Referenzen überwiegend aus einer früheren Prüfung derselben Startseiten; dort zeigt der Test vor allem, dass das Verfahren stabil arbeitet. Wo Verfahren und Referenz sich nach dem ersten Testlauf widersprachen, haben wir die Startseite von Hand geprüft und 24 Referenzen korrigiert oder als unklar herausgenommen: Systemwechsel, falsche Referenz, gar kein Shop oder nicht entscheidbar. Auf 205 Seiten ohne Shop, darunter Behörden, Medien, Agenturen und Hoster, meldete das Verfahren keinen einzigen Shop.

Nachprüfung. Im echten Netz liegen die Fehler woanders als an Referenzshops. Deshalb haben wir am 05.11.2026 alle 455 Treffer, die an nur einem Merkmal hingen, erneut abgerufen; 449 antworteten, und diese haben wir einzeln geprüft, anhand von Seitentitel, Generator, Cookies und Weiterleitungsziel, bei Dateipfaden auch, ob sie auf der eigenen Domain liegen. 23 waren falsch: Cookies gleichen Namens bei einem anderen System, Klassennamen im Quelltext, die denen von Shopware gleichen, und Seiten, die nur auf Dateien oder Shops anderer verweisen, darunter gekaperte Altdomains mit Glücksspielwerbung. Diese 23 sind herausgerechnet. Bei 17 bleibt offen, ob das System auf der Domain selbst läuft; sie sind mitgezählt, ebenso die 6, die nicht antworteten. Von 75 zufällig gezogenen Treffern mit mehreren Merkmalen antworteten 72; wir haben alle 72 einzeln angesehen. 71 zeigen das System eindeutig. Eine Seite bindet nur einen Kaufknopf von Shopify ein; sie ist herausgerechnet.

Gespeichert haben wir je Domain Rang, Antwortstatus, erkanntes System, Version, PHP-Angabe und die gefundenen Merkmale, bei den nachgeprüften Treffern zusätzlich Angaben aus Serverantwort und Quelltext wie Seitentitel, Generator, Cookie-Namen, Serverkennung und Weiterleitungsziel. Alle Ergebnisse dieser Messung je Domain, auch die der Tests an Referenzshops, löschen wir spätestens am 03.12.2026; danach bleiben nur die Summen in diesem Beitrag.

Quelle der Rangliste: Tranco-Liste N2W5W (tranco-list.eu), Le Pochat et al., „Tranco: A Research-Oriented Top Sites Ranking Hardened Against Manipulation“, NDSS 2019. Eingangsdaten: Chrome User Experience Report (CC BY-SA 4.0), Majestic (CC BY 3.0), Cisco Umbrella.

Ihr Shop im kostenlosen Check

Sie wollen wissen, wo Ihr Shop steht, bevor Sie Geld ausgeben? So gehen wir vor:

1. Kostenloser Check. Sie erfahren, welche Fristen für Ihr System und Ihre PHP-Version gelten und welche Wege zu Ihrer geplanten Restlaufzeit passen. Dafür schicken Sie uns per E-Mail an moritz@pankrates.com Shopsystem, Version, PHP-Version und Hoster und sagen uns, wie lange der Shop noch laufen soll.
2. Sichtung zum Festpreis. Was Plugins, Theme und eigener Code an Arbeit machen, zeigt erst der Blick in den Shop. Diese Sichtung kostet einen Festpreis, den wir Ihnen nach dem Check nennen. Beauftragen Sie danach die Arbeit, rechnen wir ihn darauf an.
3. Festpreis für die Arbeit. Mit dem Ergebnis der Sichtung nennen wir Ihnen den Preis für die Überbrückung oder den Umstieg.

Der Check verpflichtet Sie zu nichts. Sie zahlen erst, wenn Sie ein Angebot annehmen.

Kostenlosen Check per E-Mail anfragen

Moritz Rottmann betreut mit Pankrates aus Schonungen bei Schweinfurt Websites und Onlineshops für Betriebe in ganz Deutschland. Messung vom 04. und 05.11.2026, Nachprüfung am 05.11.2026. Angaben der Hersteller stammen aus den verlinkten Quellen, abgerufen am 05.11.2026. Anteile und Spannen haben wir aus den gezählten Domains berechnet.

Häufige Fragen

Welches Shopsystem ist auf populären .de-Domains am häufigsten?

Shopify. Unter den 6.359 Domains mit erkennbarem Shopsystem in unserer Messung vom 04. und 05.11.2026 liefen 1.396 auf Shopify, das sind 22,0 %. Es folgen WooCommerce mit 17,3 %, Shopware 6 mit 17,1 %, JTL-Shop mit 10,7 % und Magento 2 mit 9,1 %. WooCommerce erfassen wir dabei eher zu niedrig. Grundmenge sind die 63.136 .de-Domains der Tranco-Liste N2W5W, einer Rangliste populärer Domains. Für alle Shops in Deutschland gelten die Anteile nicht, weil viele kleine Shops in keiner solchen Rangliste stehen.

Wie viele Shops laufen noch auf Shopware 5?

In unserer Messung 285 von 6.359 Domains mit erkennbarem Shopsystem, also 4,5 %. Zwei dieser 285 Treffer sind nicht eindeutig. Von den 54 Shopware-5-Shops, die ihre PHP-Version im Kopf der Serverantwort mitsenden, laufen 50 auf PHP 8.2 oder älter.

Warum ist der 31.12.2026 für Shopware-5-Shops wichtig?

Keine veröffentlichte Version von Shopware 5 läuft laut Hersteller mit einer neueren PHP-Version als 8.2. Für PHP 8.2 liefert das PHP-Projekt ab dem 1. Januar 2027 planmäßig keine Sicherheitskorrekturen mehr. Ein Shopware-5-Shop braucht ab dann Sicherheitskorrekturen für PHP von anderer Seite oder den Umstieg auf ein anderes System. Möglich ist zum Beispiel der kostenpflichtige Extended Support eines Hosters oder, auf einem eigenen Server, PHP 8.2 aus den Paketquellen von Debian 12, das laut Debian bis zum 30.06.2028 Sicherheitsunterstützung durch sein LTS-Team bekommt.

Wie haben Sie die Shopsysteme erkannt?

Wir haben die Startseite jeder Domain einmal abgerufen, sofern ihre robots.txt das nicht ausschloss, und nach technischen Spuren der Shopsysteme gesucht: Pfade zu Dateien, Namen von Cookies, Kopfzeilen der Serverantwort und Generator-Angaben. An 117 Shopware-5-Shops, deren System wir aus Dateiprüfungen und dem Common Crawl kannten, erkannte das Verfahren alle 117. Alle 455 Treffer, die an nur einem Merkmal hingen, haben wir danach nachgeprüft; 23 waren falsch und sind herausgerechnet.

Wie erkenne ich, welches Shopsystem eine Seite nutzt?

Am Quelltext der Startseite, den jeder Browser über „Seitenquelltext anzeigen“ zeigt. Typische Spuren sind Dateipfade: „/themes/Frontend/“ steht für Shopware 5, „/bundles/storefront/“ für Shopware 6, „cdn.shopify.com“ für Shopify, „/wp-content/plugins/woocommerce/“ für WooCommerce, „/static/…/frontend/“ für Magento 2, „/skin/frontend/“ für Magento 1 und „GXModules“ für Gambio. Bei WooCommerce fasst ein Cache-Plugin die Dateien oft zusammen, dann fehlt der Pfad. Eine einzelne Spur kann täuschen: In unserer Nachprüfung waren 23 von 455 Treffern, die an nur einem Merkmal hingen, falsch. Sicherer ist es, wenn zwei verschiedene Spuren auf dasselbe System zeigen.

Speichern Sie, welche Domain welches System nutzt?

Aus dieser Messung nur bis zur Auswertung. Gespeichert haben wir je Domain Rang, Antwortstatus, erkanntes System, Version, PHP-Angabe und die gefundenen Merkmale, bei den nachgeprüften Treffern zusätzlich Angaben aus Serverantwort und Quelltext wie Seitentitel, Generator, Cookie-Namen, Serverkennung und Weiterleitungsziel. Alle Ergebnisse dieser Messung je Domain, auch die der Tests an Referenzshops, löschen wir spätestens am 03.12.2026; danach bleiben nur die Summen, die in diesem Beitrag stehen.