Eine Steuerberaterin in Augsburg findet ein Anwaltsschreiben im Posteingang. Ihre Website habe beim Besuch eines Mandanten dessen IP-Adresse an Google übertragen, beim Laden einer Schriftart. Sie wusste bis zu diesem Tag nicht einmal, dass ihre Website Schriften von fremden Servern bezieht. Eingebaut hatte das vor Jahren eine Design-Vorlage, automatisch und unsichtbar.
Was beim Laden einer Schrift passiert
Google Fonts ist ein Verzeichnis frei nutzbarer Schriften, und die bequemste Einbindung lädt sie direkt von Google-Servern. Bei jedem Seitenaufruf fragt der Browser des Besuchers dort an und übermittelt dabei zwangsläufig seine IP-Adresse. Der Besucher erfährt davon nichts, eine Einwilligung wird nicht eingeholt. Genau darin liegt das Problem, denn die IP-Adresse gilt datenschutzrechtlich in der Regel als personenbezogenes Datum.
Das Urteil aus München
Das Landgericht München I sah in dieser Weitergabe Anfang 2022 einen Verstoß gegen die DSGVO und sprach einem Betroffenen 100 Euro Schadenersatz zu. Das Urteil löste eine Abmahnwelle aus, in der massenhaft Schreiben an Websitebetreiber gingen, oft aus fragwürdiger Motivation. Viele dieser Forderungen waren überzogen, das rechtliche Kernproblem aber bleibt: Wer Schriften ohne Einwilligung von US-Servern laden lässt, bewegt sich auf unsicherem Terrain.
Lokal einbinden statt extern laden
Die Lösung ist unspektakulär: Die Schriftdateien werden einmal heruntergeladen und vom eigenen Server ausgeliefert, was die Lizenz der Google Fonts ausdrücklich erlaubt. Optisch ändert sich nichts, technisch entfällt die Anfrage an Google samt Datenübertragung. Nebenbei lädt die Seite oft schneller, weil ein fremder Server weniger im Spiel ist. Es gibt kaum einen Grund, es anders zu machen, außer dass die externe Variante in unzähligen Vorlagen als Standard steckt.
So prüfen Sie Ihre Website
Ob Ihre Website betroffen ist, zeigt der Browser: In der Netzwerkanalyse der Entwicklerwerkzeuge verraten Anfragen an fonts.googleapis.com oder fonts.gstatic.com die externe Einbindung. Besonders Baukästen, ältere Themes und Plugins laden Schriften ungefragt nach. Wer seine Website davon befreit, kommt dem Ideal einer Seite näher, die ganz ohne fremde Dienste und damit oft ohne Cookie-Banner auskommt. Die Schrift bleibt dieselbe, nur der Weg zu ihr wird kürzer.