Schriften, Karten und Widgets: fremde Dienste auf Ihrer Website

Was die Einbindungen gemeinsam haben

Schriften, Karten, Chat-Fenster und Buchungs-Widgets sind unterschiedliche Dinge, technisch funktionieren sie aber gleich: Der Browser des Besuchers bekommt die Anweisung, etwas von einem fremden Server zu holen, und führt sie aus. Dabei baut er eine eigene Verbindung zu diesem Server auf.

Bei dieser Verbindung erfährt der fremde Server zwangsläufig:

• die IP-Adresse des Besuchers,
• die Adresse der Seite, von der die Anfrage ausgeht,
• Browsertyp, Betriebssystem und Spracheinstellung,
• bei einigen Diensten zusätzlich Kennungen, die schon im Gerät gespeichert sind.

Der Besucher merkt davon nichts und kann es nicht verhindern, denn es passiert, bevor er etwas anklicken kann.

Dazu kommen zwei Punkte, die für den Betrieb zählen. Jede Verbindung zu einem fremden Server muss erst aufgebaut werden; je nach Einbindung wartet der Browser auf die Antwort, bevor er die Seite fertig aufbaut. Und wenn die Einbindung ein Skript ist, läuft fremder Programmcode mit denselben Rechten wie Ihr eigener auf Ihrer Seite. Ändert der Anbieter sein Skript, ändert sich Ihre Website mit, ohne dass Sie davon erfahren.

Schriften von fremden Servern und wie sie auf den eigenen Server kommen

Ein Schriftdienst ist bequem, weil eine Zeile im Quelltext genügt. Dafür fragt der Browser jedes Besuchers bei jedem Seitenaufruf beim Server des Anbieters an.

Website-Baukästen und fertige Vorlagen können Schriften auf diese Weise einbinden, ohne dass es jemandem auffällt. Nötig ist das nicht. Eine Schriftdatei lässt sich auf dem eigenen Server ablegen; damit fällt eine Verbindung zu einem fremden Server weg.

So kommt die Schrift auf den eigenen Server: Schriftdateien herunterladen, auf dem eigenen Server ablegen und in der Stildatei einbinden. Zwei Punkte sind dabei zu beachten: Die Lizenz der Schrift muss erlauben, die Datei selbst auszuliefern, und die Einbindung muss ein Update der Vorlage überstehen.

Diese Website liefert ihre beiden Schriften, Geist und Geist Mono, selbst aus.

Eingebettete Karten und der Link „Route starten“ als Ersatz

Eine eingebettete Karte, etwa von Google Maps auf der Seite „Anfahrt“, lädt beim Aufruf Kartenausschnitte, Skripte und Stilangaben vom Kartenanbieter. Manche Anbieter legen zusätzlich Kennungen im Gerät ab.

Wer Sie besuchen will, muss wissen, wo Sie sind, wie er hinkommt und wo er parkt. Dafür genügen:

• die vollständige Adresse als Text, damit sie sich kopieren lässt,
• ein Link „Route starten“, der die Adresse in der Kartenanwendung auf dem Handy öffnet,
• auf Wunsch eine Lageskizze als Bild vom eigenen Server,
• ein kurzer Hinweis zu Parkplätzen, Bus und Bahn.

Wer auf „Route starten“ tippt, wechselt bewusst zum Kartendienst und kommt genauso ans Ziel. Für alle anderen Besucher entsteht keine Verbindung. Ob es hinter dem Haus Parkplätze gibt, zeigt keine Karte, das muss im Text stehen.

Chat-Widgets

Ein eingebundener Chat lädt beim Seitenaufruf ein Skript des Anbieters und hält je nach Anbieter eine Verbindung offen, solange die Seite geöffnet ist. Damit erfährt der Anbieter von jedem Seitenaufruf, auch von Besuchern, die nie chatten wollten.

Ein Chat lässt sich auch so einbauen, dass er erst lädt, wenn ein Besucher auf den Chat-Knopf tippt; bis dahin ist der Knopf ein Bild vom eigenen Server. Noch weniger fremde Verbindungen entstehen, wenn der Chatbot selbst auf Ihrem Server oder in Ihrer eigenen Automation läuft und die Website nur an Ihren eigenen Endpunkt schickt.

Buchungs- und Bestell-Widgets: Einbettung oder Link

Ein Buchungs- oder Bestellfenster eines Anbieters lässt sich auf zwei Arten einbinden. Eingebettet erscheint es direkt auf Ihrer Seite und lädt dafür beim Aufruf Skripte und Inhalte vom Server des Anbieters. Als Link ist es ein Knopf wie „Termin buchen“ oder „Jetzt bestellen“, der die Seite des Anbieters öffnet; die Verbindung entsteht erst beim Antippen.

Das eingebettete Fenster hält den Besucher auf Ihrer Seite, macht sie aber von einem fremden Server abhängig: Antwortet dieser langsam, wartet der Besucher. Der Link schickt den Besucher zum Anbieter, dafür lädt Ihre Seite ohne fremde Verbindung.

Bewertungs-Widgets. Sie zeigen Sterne und Rezensionen aus Google oder einem Bewertungsportal direkt auf der Seite und bauen dafür beim Aufruf eine Verbindung zum Betreiber auf. Ohne Verbindung geht es mit einzelnen Bewertungen als Text, mit Quelle und einem Link auf das Profil. Zu prüfen ist, ob die Nutzungsbedingungen der Plattform erlauben, Bewertungen so zu übernehmen.

Analyse, Feeds und Videos

Analyse-Skripte zählen Besucher und Klicks. Viele laden ein Skript von einem fremden Server, und manche legen Kennungen im Gerät ab, um denselben Browser wiederzuerkennen. Es gibt auch Reichweitenmessung, die auf dem eigenen Server läuft, ohne Kennung im Gerät und ohne Profile einzelner Besucher. Welche Variante auf Ihrer Seite läuft, zeigt die Prüfung im Abschnitt „Selbst nachprüfen“.

Social-Media-Feeds zeigen die letzten Beiträge direkt auf der Website. Dafür lädt der Browser Bilder, je nach Einbindung auch ein Skript, von den Servern der Plattform oder eines Feed-Anbieters. Ohne Verbindung geht es mit einem Link auf Ihr Profil und einigen Bildern, die Sie selbst auf Ihrer Website ablegen. Diese Website verlinkt Instagram nur; eine Verbindung entsteht erst, wenn jemand auf den Link tippt.

Eingebettete Videos, etwa von YouTube, bauen schon beim Laden der Seite eine Verbindung zur Plattform auf, auch wenn niemand auf Wiedergabe tippt. Der erweiterte Datenschutzmodus von YouTube setzt bestimmte Kennungen erst beim Abspielen; die Verbindung und damit die Übertragung der IP-Adresse bleiben. Ohne Verbindung beim Aufruf geht es mit einem Vorschaubild vom eigenen Server und einem Abspielknopf darüber, oder mit einer Videodatei auf dem eigenen Server.

Klick-zum-Laden richtig gemacht, und wann ein Link genügt

Wo eine Einbindung auf der Seite gebraucht wird, etwa ein Video oder ein Buchungsfenster, ist Klick-zum-Laden der übliche Weg: Der fremde Inhalt lädt erst, wenn der Besucher ihn antippt. Drei Punkte entscheiden darüber, ob das seinen Zweck erfüllt:

• Nichts vorab laden. Auch kein Vorschaubild vom fremden Server, sonst ist die Verbindung trotzdem da. Das Vorschaubild muss vom eigenen Server kommen.
• Verständlich erklären. Ein Satz, der sagt, was beim Antippen passiert und wer die Daten bekommt, in normaler Schriftgröße.
• Nicht dauerhaft merken. Wird die Entscheidung des Besuchers gespeichert, ist das wieder eine Speicherung im Gerät, mit den Anforderungen, die dafür gelten.

Für Karte, Bestellsystem und soziale Netzwerke genügt oft ein Link. So haben wir es bei Orick’s in Dornbirn und Rankweil gebaut: Beim Aufruf entsteht keine Verbindung zu Google, Instagram oder dem Bestellsystem. Unsere Messung vom 11.10.2026 zeigt auf oricks.at null Verbindungen zu fremden Domains und null Cookies. Den ganzen Aufbau beschreibt die Fallstudie Orick’s.

Selbst nachprüfen in wenigen Minuten

1. Die eigene Website am Computer in einem privaten Browserfenster öffnen.
2. In Chrome, Edge oder Firefox mit der Taste F12 die Entwicklerwerkzeuge öffnen, zur Netzwerkansicht wechseln und die Seite neu laden.
3. Die Liste der Anfragen nach Domains durchsehen, die nicht Ihre eigene sind. Jede davon ist eine Verbindung zu einem fremden Server.
4. Dasselbe auf den Seiten Kontakt, Anfahrt und Buchung wiederholen.
5. In der Speicheransicht prüfen, welche Cookies und Einträge dabei entstanden sind.

Einige Adressen zeigen den Dienst schon im Namen: fonts.googleapis.com und fonts.gstatic.com gehören zu Google Fonts, maps.googleapis.com zu Google Maps, cdninstagram.com zu Instagram. Im kostenlosen Sicherheits-Check machen wir diese Prüfung für Sie und nennen jeden Dienst, den wir finden, im Befund. In der Sicherheits-Automation prüft der Ablauf jeden Tag, ob eine neue fremde Verbindung dazugekommen ist, etwa nach einem Update der Vorlage.

Was rechtlich daraus folgt, klärt Ihre Rechtsberatung

Ob eine Einbindung auf Ihrer Website zulässig ist und unter welchen Bedingungen, ist eine rechtliche Frage. Dieser Beitrag beantwortet sie nicht. Für die Bewertung braucht Ihre Anwältin, Ihr Anwalt oder Ihre Datenschutzberatung den technischen Befund: welche Dienste beim Aufruf laden und welche Daten dabei an wen gehen. Unten stehen Fundstellen zum Nachlesen, darunter das Urteil des Europäischen Gerichtshofs zu IP-Adressen (C-582/14, Breyer).