Das Einbinden von Schriften über einen fremden Server ist der häufigste einzelne Datenschutzmangel auf deutschen Websites, und der mit dem einfachsten Fix. Er dauert etwa eine Stunde, verbessert gleichzeitig die Ladezeit und macht in vielen Fällen den Einwilligungsbanner unnötig.
Das Problem
Wird eine Schrift über einen Verweis auf einen fremden Server geladen, baut der Browser des Besuchers eine Verbindung zu diesem Server auf. Dabei wird die IP-Adresse übertragen, zusammen mit weiteren technischen Angaben.
Diese Übertragung findet beim Seitenaufruf statt, also bevor der Besucher irgendetwas entscheiden konnte. Ein Landgericht hat 2022 darin einen Verstoß gesehen und einen Schadensersatzanspruch zugesprochen. In der Folge kam es zu einer Welle von Abmahnschreiben, deren rechtliche Grundlage teils fraglich war.
Unabhängig davon, wie man die einzelne Entscheidung bewertet: Die Übertragung findet statt, sie ist nicht notwendig, und sie lässt sich mit überschaubarem Aufwand vermeiden.
Betroffen ist mehr als Schriften
Dasselbe Muster gilt für alle Ressourcen von fremden Servern, die beim Seitenaufruf geladen werden:
- Webfonts von Schriftdiensten
- Icon-Schriften
- JavaScript-Bibliotheken von Verteilernetzwerken
- Kartendarstellungen, die beim Aufruf laden
- Eingebettete Videos ohne Klickschranke
- Bewertungs- und Chat-Widgets
- Zählpixel
Die Reihenfolge nach Häufigkeit beginnt mit den Schriften, weil sie in nahezu jedem Theme vorkommen und niemand daran denkt.
Der Fix
1. Feststellen, welche Schriften und Schnitte tatsächlich verwendet werden. Häufig lädt ein Theme sechs Schnitte, während drei genutzt werden. Prüfbar in den Netzwerkangaben der Browser-Entwicklerwerkzeuge.
2. Die Schriftdateien herunterladen, im modernen Format WOFF2. Für die gängigen freien Schriften gibt es Hilfsdienste, die ein Paket mit Dateien und passenden Stilangaben erzeugen.
3. Dateien im eigenen Projekt ablegen, üblicherweise in einem Verzeichnis für Schriften.
4. Stilangaben einbinden, mit einer Deklaration je Schnitt, dem lokalen Dateipfad und einer Anzeigeeinstellung, die den Text sofort mit der Ersatzschrift darstellt.
5. Den alten Verweis entfernen. Der wichtigste Schritt und der, der am häufigsten vergessen wird: Bleibt der Verweis stehen, wird weiterhin geladen, und der Aufwand war umsonst.
6. Prüfen. In den Netzwerkangaben nach Aufrufen an fremde Hosts suchen. Es darf keiner mehr auftauchen.
Bei WordPress kommt hinzu, dass Theme und einzelne Plugins jeweils eigene Verweise setzen können. Alle müssen gefunden werden. Nach jedem Theme-Update lohnt eine erneute Prüfung, weil ein Update den Verweis wieder einfügen kann.
Was dabei zu beachten ist
Lizenz prüfen und dokumentieren. Die gängigen freien Schriften erlauben das Selbst-Ausliefern ausdrücklich. Der Lizenztext und das Datum gehören in die eigene Dokumentation.
Nur die benötigten Schnitte. Jeder Schnitt ist eine Datei. Regular, Semibold und gegebenenfalls Italic genügen für die meisten Projekte.
Zeichensatz begrenzen. Für deutschsprachige Seiten genügt der lateinische Zeichensatz. Vollständige Schriftdateien mit allen Sprachen sind ein Vielfaches größer.
Ersatzschrift abstimmen. Bis die Schrift geladen ist, zeigt der Browser eine Ersatzschrift. Haben beide sehr unterschiedliche Maße, springt das Layout beim Wechsel, was den CLS-Wert verschlechtert. Siehe Webfonts optimieren.
Vorladen für die wichtigste Datei. Ein Vorlade-Hinweis für den Schnitt, der im ersten Bildschirm gebraucht wird, verkürzt die Wartezeit.
Die Nebenwirkungen, alle positiv
Schneller. Der Verbindungsaufbau zu einem fremden Server entfällt. Zusammen mit der Begrenzung auf benötigte Schnitte sind mehrere hundert Millisekunden realistisch.
Weniger einwilligungspflichtige Dienste. Wenn Schriften der einzige Fremddienst waren und sonst keine nicht notwendigen Cookies gesetzt werden, entfällt der Einwilligungsbanner. Siehe Cookie-Banner.
Kürzere Datenschutzerklärung. Ein Abschnitt weniger, und einer, der ohnehin unangenehm zu formulieren war.
Unabhängigkeit. Die Seite funktioniert auch dann vollständig, wenn ein fremder Dienst ausfällt oder seine Bedingungen ändert.
Wenn ein Fremddienst bleiben muss
Dann gehört er in die Datenschutzerklärung mit Anbieter, Sitz, übertragenen Daten und Rechtsgrundlage, und bei Einwilligungspflicht hinter eine Einwilligung. Der Weg über eine Klickschranke, bei der etwa eine Karte erst nach einem Klick geladen wird, ist dabei die praktikabelste Lösung: Er erhält die Funktion und verlagert die Datenübertragung auf eine bewusste Handlung des Besuchers.