Was Ihre Website nachlädt, ohne dass jemand zugestimmt hat

Von allen Maßnahmen, über die in diesem Zusammenhang gesprochen wird, ist diese die günstigste: kein Datenumzug, keine Schulung, kein Widerstand aus der Belegschaft. Ein Nachmittag Arbeit, und ein Teil Ihrer Abhängigkeiten ist weg.

Der Befund lässt sich außerdem vorzeigen, statt behauptet zu werden. Das ist in dieser Debatte selten.

Der Test

Öffnen Sie Ihre Website im Browser. Entwicklerwerkzeuge aufrufen, Reiter „Netzwerk", Seite neu laden, nach Domain sortieren.

Alles, was dort steht und nicht Ihre eigene Domain ist, ist eine Verbindung, die der Browser Ihrer Besucher aufbaut, bevor irgendjemand irgendetwas angeklickt hat. Übertragen wird dabei mindestens die IP-Adresse, meist auch die aufgerufene Seite und die Browserkennung.

Die Funde ähneln sich von Haus zu Haus: Schriften von einem Schriftendienst, ein Zählpixel, die Karte im Kontaktbereich, der Spamschutz im Formular, ein eingebettetes Video, das lädt, bevor jemand auf Abspielen drückt, und zwei bis drei Programmbibliotheken von fremden Auslieferungsnetzen.

Die Rechtslage, nüchtern

Das Landgericht München I hat im Januar 2022 einem Websitebesucher 100 Euro Schadensersatz zugesprochen, weil eine Schriftart dynamisch von einem amerikanischen Anbieter nachgeladen wurde. Das Urteil hat anschließend eine Abmahnwelle ausgelöst, die ihrerseits als rechtsmissbräuchlich bewertet wurde, und es ist die Entscheidung eines einzelnen Landgerichts, keine gefestigte Rechtsprechung.

Wer daraus eine Panik ableitet, argumentiert unsauber. Wer daraus ableitet, dass die Frage erledigt sei, ebenfalls: Der zugrunde liegende Punkt — eine Übermittlung personenbezogener Daten braucht eine Rechtsgrundlage — steht unabhängig von diesem Urteil, und bei einer Übermittlung in Drittländer kommt die Frage nach dem Schutzniveau hinzu, die Schrems II aufgeworfen hat.

Der praktische Punkt ist ohnehin ein anderer: Sie können die Verbindung mit zwei Dateien loswerden. Die juristische Bewertung wird dann irrelevant, weil der Sachverhalt entfällt.

Was an die Stelle tritt

Schriften liefern Sie selbst aus. Zwei Dateien im Webverzeichnis, ein Verweis im Stylesheet, fertig. Als Nebeneffekt lädt die Seite schneller, weil eine Verbindung zu einem fremden Server entfällt.

Statistik ersetzen Sie durch ein Werkzeug, das ohne personenbezogene Daten auskommt — Plausible, Pirsch oder Matomo im Eigenbetrieb. Sie verlieren die Verknüpfung mit Werbekonten und die feine Nutzerverfolgung. Sie gewinnen Zahlen, die nicht von einer Zustimmungsquote abhängen, denn ein Werkzeug ohne Einwilligungsbedarf misst alle Besuche und nicht nur die der Zustimmenden.

Karten ersetzen Sie durch OpenStreetMap-Kacheln, etwa über MapTiler — oder, wenn niemand hineinzoomen muss, durch ein Bild mit Link. Die zweite Variante ist häufiger ausreichend, als man denkt.

Spamschutz durch ein Verfahren ohne Drittlandsbezug, etwa Friendly Captcha, oder durch ein unsichtbares Honeypot-Feld, das für die meisten Formulare völlig genügt.

Videos laden Sie erst nach einem Klick nach, oder Sie legen sie auf eine eigene Instanz.

Programmbibliotheken liefern Sie mit aus, statt sie von einem fremden Auslieferungsnetz zu holen. Das ist ohnehin die sicherere Variante: Was Sie selbst ausliefern, kann unterwegs niemand austauschen.

Was der Test nicht abdeckt

Er zeigt, was der Browser Ihrer Besucher tut. Er zeigt nicht, wo Ihre Seite gehostet wird, wer die DNS-Auflösung betreibt, welches Auslieferungsnetz davorliegt und wer Ihre Zertifikate ausstellt. Diese vier Punkte sind die nächste Ebene, und dort gelten die Fragen aus dem US CLOUD Act genauso.

Nehmen Sie den Netzwerk-Test trotzdem zuerst. Er dauert zehn Minuten, das Ergebnis ist sichtbar, und in Häusern, in denen die Grundsatzdiskussion seit Monaten stockt, verschiebt ein sichtbares Ergebnis mehr als das beste Argument.

Der Aufwand

Für eine übliche Firmenwebsite: ein halber Tag, wenn jemand Zugriff auf das Redaktionssystem hat. Für einen Onlineshop mit gewachsener Erweiterungslandschaft: zwei bis drei Tage, weil jede Erweiterung einzeln geprüft werden muss.

Danach wiederholen Sie den Test einmal im Quartal. Fremde Verbindungen kommen nämlich zurück — mit dem nächsten Marketingwerkzeug, dem nächsten eingebetteten Formular, der nächsten Erweiterung, die jemand in guter Absicht installiert.