Sie haben eine Schrift lokal eingebunden. Monate später lädt die Website trotzdem wieder eine Schrift von einem fremden Server. Nicht dieselbe, sondern eine aus dem neuen Slider. Das alte Ticket ist korrekt erledigt. Das neue Problem steht nur noch in keinem Ticket.

Externe Ressourcen sind eine typische Folge gewachsener Websites. Ein Plugin bringt eine Bibliothek mit, eine Karte benötigt weitere Dateien, ein Video startet Verbindungen zu mehreren Hosts. Manche Einbindungen sind beabsichtigt, andere überraschen selbst das Webteam. Wer seinen Datenschutz technisch überprüfen will, sollte deshalb beim tatsächlichen Laden der Seite beginnen.

Was sind externe Ressourcen?

Eine Website besteht nicht nur aus der HTML-Datei ihrer Startseite. Der Browser lädt zusätzlich Bilder, Schriften, Stylesheets, Skripte und eingebettete Inhalte. Kommen sie von anderen Hosts, sprechen wir hier von externen Ressourcen. „Extern“ beschreibt dabei zunächst die technische Verbindung – nicht automatisch einen Tracker oder einen Rechtsverstoß.

Ein Content Delivery Network kann Dateien ausliefern. Ein Kartendienst stellt eine Karte bereit. Ein Analysewerkzeug erfasst möglicherweise Nutzungsverhalten. Selbst ähnlich aussehende Adressen können zu unterschiedlichen Zwecken gehören. Eine bloße Domainliste ist deshalb ein Ausgangspunkt für die Klärung, aber keine fertige Datenschutzbewertung.

Für jede relevante Verbindung sollten Sie wissen: Was wird geladen, wodurch wird sie ausgelöst, welche Daten werden übertragen und wer ist dafür verantwortlich? Falls sich schon die erste Frage nicht beantworten lässt, lohnt sich die Rückfrage beim Plugin-Hersteller oder der Agentur.

Nicht jede Datenübertragung braucht einen Cookie

Bei einer direkten Anfrage des Browsers erhält der angesprochene Server technisch Verbindungsdaten, darunter regelmäßig die IP-Adresse. Ob zusätzlich Cookies gesetzt werden, ist eine andere Frage. Eine Website kann deshalb ohne auffällige Cookies trotzdem externe Verbindungen aufbauen.

Rechtlich sind mehrere Ebenen zu unterscheiden: Für das Speichern oder Auslesen nicht unbedingt erforderlicher Informationen am Endgerät kann eine vorherige Einwilligung nötig sein. Daneben muss eine Verarbeitung personenbezogener Daten nach der DSGVO gerechtfertigt sein. Die österreichische Datenschutzbehörde erläutert die Cookie-Anforderungen in ihren FAQ zu Datenschutz und Cookies. „Es wird kein Cookie gesetzt“ ist daher keine allgemeine Datenschutzfreigabe.

Umgekehrt wäre „jeder externe Host ist unzulässig“ zu pauschal. Zweck, Notwendigkeit, konkrete Verarbeitung, Verträge und mögliche Drittlandtransfers gehören zur rechtlichen Prüfung. Ein technischer Scanner kennt diese Zusammenhänge nicht vollständig.

Was das Google-Fonts-Urteil zeigt – und was nicht

Das LG München I befasste sich am 20. Januar 2022 mit der dynamischen Einbindung von Google Fonts und der damit verbundenen Übermittlung einer IP-Adresse. Im konkreten Fall verneinte es die geltend gemachte Rechtfertigung; eine lokale Nutzung der Schriften wäre möglich gewesen. Das Urteil 3 O 17493/20 zeigt, warum scheinbar kleine Gestaltungselemente datenschutzrechtlich relevant werden können.

Es ersetzt aber keine Einzelfallprüfung sämtlicher externer Dienste. Aus diesem Urteil lässt sich nicht schlicht ableiten, dass jede Verbindung zu irgendeinem CDN identisch zu behandeln ist. Für die technische Arbeit bleibt eine sehr konkrete Lehre: Wenn Sie eine lokal eingebundene Schrift erwarten, prüfen Sie, ob der Browser tatsächlich nur diese lokale Fassung verwendet.

Auch ein altes Plugin, eine zweite Sprachversion oder ein separat gebautes Formular kann noch eine andere Einbindung enthalten. Eine saubere Startseite allein beantwortet diese Frage nicht.

Der Banner ist nur die sichtbare Oberfläche

Ein hübscher Consent-Banner verrät nicht, ob ein Skript bereits geladen wurde. Umgekehrt beweist ein Skriptname im Quelltext nicht, dass eine Verbindung stattgefunden hat. Für einen technischen Befund ist es wichtig, zwischen eingebautem Code, versuchter Anfrage und tatsächlich erfolgter Kommunikation zu unterscheiden.

Prüfen Sie die Seite mit einem frischen Browserprofil und betrachten Sie unterschiedliche Zustände: noch keine Entscheidung, Ablehnung und passende Zustimmung. Beachten Sie auch verzögertes Laden sowie Inhalte, die erst durch Scrollen oder einen Klick erscheinen. Ein kurzer Einzelaufruf deckt nicht automatisch alle Zustände ab.

Wenn eine Anfrage vom Browser durch eine Schutzregel blockiert wird, ist das ebenfalls anders zu beschreiben als eine erfolgreiche Datenübermittlung. Die Aussage muss zur Beobachtung passen. Genau an diesen Unterschieden entscheidet sich, ob ein Prüfbericht die Arbeit erleichtert oder neue Missverständnisse schafft.

Externe Dateien über den eigenen Server einbinden

Nicht jede externe Ressource muss direkt vom Browser Ihrer Besucher abgerufen werden. Ein serverseitiger Proxy kann beispielsweise eine Schriftdatei beim Anbieter laden, zwischenspeichern und über Ihre eigene Website ausliefern. Der Browser fragt dann nur Ihren Server an; beim externen Anbieter kommt die Anfrage vom Proxy an. Für geeignete Ressourcen lässt sich so vermeiden, dass personenbezogene Besucherdaten an den Anbieter gelangen. Entscheidend ist die Konfiguration: Besucher-IP, Cookies, Referrer und personenbezogene URL-Parameter dürfen nicht weitergereicht werden. Dass ein Proxy die ursprüngliche IP-Adresse durchaus mitsenden kann, erläutert die MDN-Dokumentation zu Proxy-Servern. Außerdem dürfen nachgeladene Dateien oder Skripte nicht doch wieder direkte Verbindungen zum Anbieter öffnen. Lassen Sie deshalb sowohl das Verhalten im Browser als auch die Serverkonfiguration prüfen – serverseitige Weitergaben sind im Browser allein nicht sichtbar.

So wird aus einer Hostliste ein Arbeitsplan

Beginnen Sie mit den unerwarteten Verbindungen. Ordnen Sie jede davon einem Baustein zu: Theme, Plugin, eingebetteter Inhalt, Tag-Manager oder eigener Code. Fragen Sie dann nach dem tatsächlichen Zweck. „Ist schon immer da“ ist eine Erklärung für die Historie, nicht für die Notwendigkeit.

• Nicht mehr benötigt: Einbindung und verbliebene Referenzen entfernen.
• Lokal sinnvoll nutzbar: Lokale Bereitstellung prüfen, einschließlich Lizenz und Aktualisierung.
• Vorherige Einwilligung erforderlich: Laden zuverlässig daran koppeln und die unterschiedlichen Zustände testen.
• Rechtliche Einordnung offen: Zweck und technische Beobachtung an die zuständige Datenschutzberatung übergeben.

Lokal zu hosten bedeutet dabei nicht automatisch, dass der gesamte Dienst datenschutzkonform ist. Es kann eine bestimmte externe Anfrage vermeiden. Andere Verarbeitungen bleiben gegebenenfalls bestehen und müssen weiterhin betrachtet werden.

Nach dem Aufräumen kommt die nächste Änderung

Speichern Sie nicht nur „erledigt“, sondern auch, was geprüft wurde. Welche Seiten wurden besucht? Welcher Zustand lag vor? Welche Verbindung sollte verschwunden sein? So lässt sich nach einem Update gezielt vergleichen, statt die ganze Recherche neu aufzurollen.

Diese Routine ist oft hilfreicher als die Frage, ob die Agentur irgendwann alles ordentlich gemacht hat. Eine korrekte Übergabe und eine spätere Änderung können gleichzeitig wahr sein. Wie Sie Prüfungen in die laufende Pflege einbauen, zeigt unser Beitrag zum regelmäßigen Website-Check.