Google Fonts lokal einbinden: Warum das kein Detail ist

Es ist eine Zeile im Seitenkopf, die kaum jemand bewusst eingebaut hat – sie kommt mit dem Theme. Und sie bewirkt, dass bei jedem Seitenaufruf eine Verbindung zu Googles Servern aufgebaut wird, bevor der Besucher irgendetwas anklicken konnte.

Was technisch passiert

Bei der dynamischen Einbindung verweist die Website auf eine Stylesheet-Adresse bei Google. Der Browser des Besuchers ruft diese Adresse ab, um die Schriftdateien zu holen. Bei diesem Abruf übermittelt der Browser zwangsläufig die IP-Adresse des Besuchers – anders funktioniert eine HTTP-Anfrage nicht.

Das ist der ganze Sachverhalt. Kein Tracking im engeren Sinn, kein Cookie, keine Absicht. Nur eine Datenübertragung, die der Besucher nicht veranlasst und über die er nicht informiert wurde.

Die rechtliche Einordnung

IP-Adressen gelten als personenbezogene Daten. Die Übertragung braucht damit eine Rechtsgrundlage. Nach der Darstellung des Wissenschaftlichen Dienstes des Bundestages kommt ein berechtigtes Interesse hier nicht in Betracht, weil das dynamische Nachladen für den Betrieb der Website nicht erforderlich ist – die Schriften lassen sich genauso gut selbst ausliefern.

Das Landgericht München I hat mit Urteil vom 20. Januar 2022 entschieden, dass betroffenen Besuchern Ansprüche auf Unterlassung und Schadensersatz zustehen. Bemerkenswert an der Begründung ist die weite Auslegung des Schadensbegriffs: Erfasst sei auch der immaterielle Schaden, weil die Übertragung wiederholt stattfindet und mit einem Kontrollverlust über personenbezogene Daten verbunden ist, die an Google und letztlich in die USA gelangen.

Das ist eine Entscheidung eines Landgerichts, keine höchstrichterliche Klärung, und die Rechtslage entwickelt sich weiter. Für die praktische Entscheidung ist das aber gleichgültig: Der Aufwand, es richtig zu machen, liegt bei einer halben Stunde.

Das ist keine Rechtsberatung. Wer eine belastbare Bewertung für den eigenen Fall braucht, sollte sie fachlich einholen.

Prüfen, ob es dich betrifft

1. Die eigene Website aufrufen, Entwicklerwerkzeuge öffnen, Reiter „Netzwerk“, neu laden.
2. Nach Anfragen an fonts.googleapis.com und fonts.gstatic.com filtern.
3. Steht dort eine Anfrage, wird dynamisch geladen.

Dasselbe für Unterseiten wiederholen. Es kommt vor, dass die Startseite saniert ist und ein einzelnes Plugin auf einer Formularseite die Schrift weiterhin nachlädt.

Die Lösung

1. Schriftdateien herunterladen, im benötigten Format und nur in den Schnitten, die tatsächlich verwendet werden.
2. Auf dem eigenen Server ablegen und über eine eigene CSS-Regel einbinden.
3. Die externen Verweise entfernen – im Theme, in den Theme-Einstellungen und in allen Plugins.
4. Gegenprüfen wie oben beschrieben.

Der Nebeneffekt ist angenehm: Eine Verbindung zu einem fremden Server weniger bedeutet eine DNS-Auflösung und einen Verbindungsaufbau weniger. Bei mobilen Verbindungen ist das messbar – siehe Core Web Vitals und WordPress-Performance.

Zwei Hinweise zur Umsetzung in WordPress: Viele Themes bringen eine Einstellung zum lokalen Laden mit; ein Blick in die Theme-Optionen lohnt vor jeder manuellen Arbeit. Und die Prüfung muss nach jedem Theme- oder Plugin-Update wiederholt werden, weil ein Update den externen Verweis zurückbringen kann.

Dieselbe Frage bei anderen Einbindungen

Das Muster ist immer dasselbe: Alles, was beim Seitenaufbau automatisch von einem fremden Server geladen wird, überträgt Daten, bevor eine Entscheidung möglich war. Was ohne Einwilligung überhaupt gesetzt oder ausgelesen werden darf, regelt § 25 TDDDG – die praktische Einordnung dazu steht in Webanalyse und DSGVO und, für Werbezwecke, in Retargeting.

Der Unterschied zwischen Schriften und Karten ist wichtig: Schriften lassen sich lokal ausliefern und das Problem verschwindet vollständig. Eine eingebettete Karte lässt sich nicht selbst hosten – dort bleibt nur, sie erst nach einem bewussten Klick zu laden.

Zwei praktische Anschlüsse: Welche Einstellungen der Hoster dafür bereitstellt, gehört zur Auswahl des Hostings – und die Gegenprüfung nach einem Theme- oder Plugin-Update gehört auf die Liste, die in der Staging-Umgebung abgearbeitet wird, bevor eine Änderung live geht.