Google Fonts Abmahnung: Die Falle, die Ihre Website seit Jahren offen hält

Ihre Website sieht harmlos aus. Ein Logo, ein paar Texte, eine hübsche Schrift. Genau diese Schrift kann das Problem sein.

Lädt Ihre Seite die Schriftart bei jedem Aufruf von Google-Servern – und das tun bis heute erstaunlich viele –, schickt der Browser Ihrer Besucher dabei automatisch deren IP-Adresse in die USA. Ohne Einwilligung. Ohne dass irgendjemand etwas davon merkt. Das Landgericht München I hat 2022 entschieden: Das ist ein Datenschutzverstoß.

Danach rollte eine Abmahnwelle durchs Land. Und heute? Laden immer noch unzählige Websites ihre Schriften direkt von Google. Baukasten-Seiten, Agentur-Seiten, teuer bezahlte Seiten.

Dabei kostet die Lösung ungefähr eine Stunde Arbeit. Und ob Ihre Website betroffen ist, finden Sie in 30 Sekunden selbst heraus. Beides zeige ich Ihnen in diesem Artikel.

Was 2022 passiert ist – kurz und ohne Panik

Google Fonts ist ein kostenloser Schriftenkatalog von Google. Für Webdesigner bequem: zwei Zeilen Code einfügen, fertig ist die schöne Typografie. Der Haken steckt in der sogenannten dynamischen Einbindung. Dabei holt der Browser die Schrift bei jedem Seitenaufruf frisch von Google-Servern – und übermittelt dabei zwangsläufig die IP-Adresse des Besuchers an ein US-Unternehmen. Dass dabei IP-Adressen anfallen, räumt Google in den eigenen Datenschutz-FAQ zu Google Fonts selbst ein.

Das Landgericht München I bewertete genau das 2022 als Verstoß gegen die DSGVO und sprach einem Website-Besucher Schadensersatz zu. Die Begründung, stark verkürzt: Die IP-Adresse ist ein personenbezogenes Datum, und die Übertragung an Google war schlicht unnötig – dieselben Schriften lassen sich problemlos auf dem eigenen Server speichern.

Was folgte, war weniger Rechtspflege als Geschäftsmodell. Abmahnkanzleien und angebliche Betroffene verschickten massenhaft Serienbriefe mit Zahlungsaufforderungen. Gerichte haben den dreistesten Massenabmahnern inzwischen die Grenzen aufgezeigt. Am Kern ändert das aber nichts: Die dynamische Einbindung bleibt ein Datenschutzverstoß. Die Abmahnwelle war nur das Symptom. Die offene Datenleitung zu Google ist die Krankheit.

Der Selbsttest: 30 Sekunden, keine Vorkenntnisse

Dafür brauchen Sie keinen IT-Dienstleister. Sie brauchen Ihren Browser.

1. Öffnen Sie Ihre Website in Chrome, Edge oder Firefox.
2. Drücken Sie die Taste F12. Es öffnen sich die sogenannten Entwicklertools – das sieht technisch aus, beißt aber nicht.
3. Klicken Sie in dem neuen Fenster auf den Reiter »Netzwerk« (englisch: »Network«).
4. Laden Sie die Seite neu, zum Beispiel mit der Taste F5. Jetzt füllt sich eine Liste mit allem, was Ihre Website im Hintergrund lädt.
5. Tippen Sie oben in das Filterfeld: fonts.googleapis.com – und danach zur Sicherheit noch fonts.gstatic.com.

Taucht dort auch nur ein Eintrag auf, lädt Ihre Website bei jedem Besuch von Google-Servern. Bleibt die Liste leer, sind Ihre Schriften sauber eingebunden – prüfen Sie dann trotzdem die verwandten Baustellen weiter unten.

Die Lösung: Schriften gehören auf Ihren Server

»Lokal einbinden« heißt schlicht: Die Schriftdateien liegen nicht mehr bei Google, sondern auf demselben Server wie der Rest Ihrer Website. Die Lizenz erlaubt das ausdrücklich – Google Fonts sind freie Schriften, Sie dürfen sie herunterladen und selbst hosten.

Der Umbau in Kurzform: Schriftdateien herunterladen, auf den eigenen Server legen, im Stylesheet – der Gestaltungsdatei der Website – die Google-Adresse durch den eigenen Pfad ersetzen. Für eine typische Website ist das rund eine Stunde Arbeit. Kein Projekt. Ein Handgriff.

Und jetzt der Teil, den kaum jemand erwartet: Ihre Seite wird dadurch schneller. Jahrelang hieß es, die Google-Server seien ohnehin flotter, und die Schrift liege längst im Zwischenspeicher des Browsers, weil tausende andere Seiten sie auch nutzen. Dieses Argument ist tot. Moderne Browser trennen den Zwischenspeicher aus Datenschutzgründen pro Website – vom Besuch anderer Seiten profitiert niemand mehr. Übrig bleibt nur der Nachteil: Ihre Seite muss erst eine Verbindung zu fremden Servern aufbauen, bevor der Text erscheint. Fällt dieser Umweg weg, lädt die Seite messbar schneller. Weniger Fremdserver heißt hier beides zugleich: sauberer Datenschutz und kürzere Ladezeit.

Wenn ich Websites baue oder überarbeite, sind lokal eingebundene Schriften deshalb Standard und keine Zusatzoption. Ehrlich dazugesagt: Bei WordPress erledigen das oft schon gut gepflegte Plugins – wer sich das zutraut, kommt auch ohne mich ans Ziel.

Google Fonts kommen selten allein

Wer Schriften von Google lädt, lädt meistens noch mehr von fremden Servern. Prüfen Sie im selben Netzwerk-Fenster auch diese Kandidaten:

• Google Maps: Die eingebettete Karte überträgt Besucherdaten schon beim Laden der Seite, nicht erst beim Klick auf die Karte. Alternative: ein statisches Kartenbild mit Link oder eine Zwei-Klick-Lösung, die erst nach Zustimmung lädt.
• YouTube-Videos: Ein eingebettetes Video zieht Google-Skripte nach, bevor irgendjemand auf Play drückt. Auch hier hilft ein Vorschaubild, das das Video erst auf Klick nachlädt.
• US-CDNs: Viele Seiten laden Code-Bibliotheken oder Icon-Schriften von amerikanischen Verteilservern (CDN – ein Netz von Auslieferungsservern rund um den Globus). Gleiches Problem, gleiche Lösung: lokal einbinden.
• reCAPTCHA: Der »Ich bin kein Roboter«-Haken im Kontaktformular ist ebenfalls ein Google-Dienst und sammelt kräftig mit.

Das Muster dahinter ist immer dasselbe: Bequemlichkeit für den Entwickler, Datenabfluss beim Besucher. Warum Ihre Daten auf US-Servern grundsätzlich nichts verloren haben, führt an dieser Stelle zu weit – das können Sie im Vergleich Microsoft 365 gegen Nextcloud in Ruhe nachlesen. Bei der Website greift dieselbe Logik wie beim Cloud-Speicher.

Wann Sie das Ganze getrost liegen lassen dürfen

Ehrlichkeit gehört zum Geschäft, also drei Entwarnungen.

Erstens: Bleibt der Selbsttest leer, weil Ihre Seite Systemschriften oder lokal gespeicherte Schriften nutzt, ist an dieser Front nichts zu tun. Prüfen Sie nur nach jedem größeren Update oder Theme-Wechsel noch einmal – so etwas schleicht sich gern wieder ein.

Zweitens: Müssen Sie jetzt in Panik verfallen? Nein. Die große Abmahnwelle ist abgeebbt, niemand muss seine Website über Nacht vom Netz nehmen. Das ist eine Aufgabe für die nächste ruhige Woche, kein Notfall. Wer Ihnen per Massenmail das Gegenteil einredet, will Ihnen meist nur ein teures Prüfpaket verkaufen.

Drittens: Die Schriften sind nur ein Baustein. Eine Seite mit lokal eingebundenen Schriften, aber einer Datenschutzerklärung, die nicht zu dem passt, was tatsächlich lädt, bleibt angreifbar. Wer aufräumt, sollte einmal komplett aufräumen – bei einer normalen Firmenwebsite dauert auch das keine Wochen.

Mein Angebot: Ich schaue kostenlos drauf

Eine Stunde Arbeit trennt Ihre Schriften von der offenen Datenleitung nach Kalifornien – und Sie von der nächsten Serien-Abmahnung. Zeigt Ihr F12-Test einen Treffer bei fonts.googleapis.com, oder wollen Sie gar nicht erst selbst suchen: Buchen Sie ein kostenloses Erstgespräch. Ich prüfe Ihre Google Fonts mit Ihnen – und gleich, was sonst noch heimlich nach Google funkt: Karten, Videos, reCAPTCHA.