Google Fonts lokal einbinden — und warum das Pflicht ist
Veröffentlicht am · Datenschutz (DSGVO)
Am 20. Januar 2022 sprach das Landgericht München I einem Website-Besucher 100 Euro Schadenersatz zu, weil die besuchte Seite Google Fonts direkt von Google-Servern nachlud und dabei seine IP-Adresse dorthin übertrug (Az. 3 O 17493/20). Das Urteil ist eine erstinstanzliche Entscheidung — praktische Wirkung hatte es trotzdem, und die technische Lehre daraus gilt unabhängig davon.
Worum es in dem Verfahren ging
Der Kläger hatte eine Website aufgerufen, die Schriftarten über die Google-Fonts-API einband. Solche eingebetteten Ressourcen lädt der Browser beim Aufbau der Seite selbstständig nach — und übermittelt dabei zwangsläufig die IP-Adresse des Besuchers an den fremden Server. Das geschieht vor jeder Einwilligung und ohne dass der Besucher es bemerkt.
Das Gericht sah darin einen Eingriff in das allgemeine Persönlichkeitsrecht und sprach neben einem Unterlassungsanspruch einen immateriellen Schadenersatz von 100 Euro zu. Entscheidend war die Feststellung, dass die Einbindung ohne weiteres vermeidbar gewesen wäre: Die Schriften lassen sich lokal ausliefern, ein berechtigtes Interesse an der Übermittlung bestand deshalb nicht.
Die Abmahnwelle danach
Nach dem Urteil verschickten einzelne Kanzleien und Verbände massenhaft Schreiben, in denen sie unter Verweis auf die Entscheidung Zahlungen von Website-Betreibern forderten. Betroffen waren häufig kleine Unternehmen und Vereine. Ein Teil dieser Schreiben wurde von Gerichten und Aufsichtsbehörden als rechtsmissbräuchlich eingestuft, insbesondere wenn die Seiten offenkundig automatisiert aufgerufen worden waren, um Ansprüche erst zu erzeugen.
Für die Praxis ändert das wenig. Ob eine einzelne Forderung berechtigt ist, muss im Einzelfall geprüft werden — die zugrunde liegende technische Frage lässt sich dagegen in einer halben Stunde ein für alle Mal ausräumen.
Die Lösung: Schriften selbst ausliefern
Statt die Schrift von einem fremden Server nachzuladen, legen Sie die
Schriftdateien in Ihr eigenes Projekt und binden sie per
@font-face ein. So gehen Sie vor:
- Laden Sie die benötigten Schnitte herunter. Google Fonts stehen unter freien Lizenzen, das Herunterladen und Selbst-Ausliefern ist ausdrücklich erlaubt. Achten Sie auf die Lizenzdatei und behalten Sie sie bei.
- Beschränken Sie sich auf die Schnitte, die Sie wirklich nutzen — jeder zusätzliche Schnitt kostet Ladezeit.
- Verwenden Sie das Format WOFF2; alle aktuellen Browser unterstützen es.
- Legen Sie die Dateien in Ihr Projektverzeichnis und deklarieren Sie
sie im Stylesheet mit
@font-face, einemsrc-Verweis auf den eigenen Pfad undfont-display: swap. - Entfernen Sie anschließend jede verbliebene Verbindung: den
Stylesheet-Aufruf zu
fonts.googleapis.comund diepreconnect-Angaben zufonts.gstatic.com.
Der letzte Punkt wird oft übersehen. In vielen Baukästen und Themes steckt der Aufruf nicht im eigenen Stylesheet, sondern im Theme, in einem Plugin, in einem Seitenbaukasten oder in einer eingebetteten Bibliothek. Ein Blick in den Netzwerkverlauf der Entwicklerwerkzeuge zeigt, welche fremden Hosts beim Aufruf der Startseite tatsächlich kontaktiert werden.
Dasselbe Muster, andere Dienste
Die Frage lautet nie „Ist es Google Fonts?", sondern „Wird beim bloßen Aufruf der Seite eine Verbindung zu einem fremden Server hergestellt?" Diese Verbindung überträgt immer die IP-Adresse, oft auch die aufgerufene Adresse als Referrer und mitunter Cookies. Typische Kandidaten:
- Skript-Bibliotheken von Content Delivery Networks;
- Icon-Schriften und Symbolsätze;
- eingebettete Karten;
- Videoeinbettungen;
- Analyse- und Werbedienste — hier kommt zusätzlich die Einwilligungspflicht nach § 25 TDDDG ins Spiel.
Für Bibliotheken und Symbolsätze gilt dieselbe Antwort wie für Schriften: herunterladen und selbst ausliefern. Bei Karten und Videos, die sich nicht sinnvoll lokal betreiben lassen, hilft eine vorgeschaltete Einwilligung — der Inhalt wird erst nach einem bewussten Klick nachgeladen.
Der Nebeneffekt: Es wird schneller
Selbst ausgelieferte Schriften sind in der Regel schneller als der Weg über einen fremden Host. Der Browser spart die DNS-Auflösung, den Verbindungsaufbau und den TLS-Handshake zu einer weiteren Gegenstelle. Der früher gern genannte Vorteil eines gemeinsamen Caches über Websites hinweg existiert nicht mehr: Moderne Browser trennen ihre Zwischenspeicher nach Website, gerade um genau diese Art von Nachverfolgung zu unterbinden.
Nachprüfen statt vermuten
Ob Ihre Seite noch fremde Server anspricht, sehen Sie am zuverlässigsten im Netzwerkverlauf des Browsers — im privaten Fenster, ohne Erweiterungen, und nicht nur auf der Startseite, sondern auch auf Unterseiten mit Karten oder Videos. Genau das prüfen wir im Kriterium „Externe Ressourcen" automatisch bei jedem Durchlauf und listen jeden gefundenen Host mit Fundstelle auf.
Kein Rechtsrat. Das genannte Urteil ist eine erstinstanzliche Einzelfallentscheidung; die rechtliche Bewertung einzelner Einbindungen kann abweichen. Dieser Beitrag ersetzt keine anwaltliche Prüfung — insbesondere dann nicht, wenn Sie bereits ein Anspruchsschreiben erhalten haben.