Google Fonts, Maps und YouTube: So stoppen Sie den heimlichen Datenabfluss Ihrer Website

Eine Schriftart von Google, eine Karte für die Anfahrt, ein Video mit den eigenen Leistungen — schnell eingebaut und seit Jahren nicht mehr angefasst. Genau diese drei Bausteine sorgen auf vielen Websites kleiner Betriebe dafür, dass Daten an Google fließen, bevor Besucher überhaupt auf „Akzeptieren" klicken konnten. Wie Sie das in 15 Minuten selbst aufdecken, haben wir bereits gezeigt. Heute geht es um den zweiten Schritt: die Reparatur. Alle drei Dienste lassen sich so einbinden, dass nichts mehr ungefragt lädt — ohne dass Ihre Website schlechter aussieht oder Funktionen verliert.

Warum sind Google Fonts ein Abmahnrisiko?

Google Fonts ist ein Verzeichnis mit weit über tausend frei nutzbaren Schriftarten. Die meisten Baukästen, WordPress-Themes und Agenturen haben sie jahrelang auf dem bequemsten Weg eingebunden: Der Browser Ihrer Besucher lädt die Schriftdateien direkt von Google-Servern. Dabei wird zwangsläufig die IP-Adresse der Besucher an Google übermittelt — bei jedem einzelnen Seitenaufruf, ohne dass jemand gefragt wird.

Das Landgericht München I hat dazu bereits am 20. Januar 2022 ein vielbeachtetes Urteil gesprochen (Az. 3 O 17493/20): Ein Website-Betreiber wurde zur Unterlassung verurteilt und musste einem Besucher 100 Euro Schadensersatz zahlen. Die Begründung ist der eigentliche Kern: Es gibt kein berechtigtes Interesse an der Weitergabe der IP-Adresse, weil die Schriften genauso gut vom eigenen Server geladen werden können. Anders gesagt: Wer den bequemen Weg wählt, obwohl der saubere genauso gut funktioniert, steht rechtlich schlecht da.

Im Herbst 2022 folgte eine Abmahnwelle: Massenhaft verschickte Forderungsschreiben beriefen sich auf das Urteil und verlangten kleine Beträge. Die Welle ist längst abgeebbt — das Urteil ist rechtskräftig; einige Grundsatzfragen rund um solche Abmahnungen liegen seit August 2025 auf Vorlage des BGH beim EuGH (Az. VI ZR 258/24). An der praktischen Empfehlung ändert das nichts: Wer die Schriften bis heute von Google-Servern lädt, bietet unnötig Angriffsfläche.

So stellen Sie Ihre Schriften um

1. Prüfen: Öffnen Sie Ihre Website im Inkognito-Fenster, drücken Sie F12 und wechseln Sie in den Reiter „Netzwerk". Nach dem Neuladen filtern Sie nach „fonts". Tauchen dort fonts.googleapis.com oder fonts.gstatic.com auf, lädt Ihre Seite die Schriften von Google.
2. Herunterladen: Laden Sie die verwendeten Schriftarten als Dateien herunter (Format WOFF2) und legen Sie sie in Ihren eigenen Webspace.
3. Einbinden: Die Schriften werden per CSS (@font-face) von der eigenen Domain geladen. Optisch ändert sich nichts — die Verbindung zu Google entfällt komplett.
4. WordPress: Viele Themes haben inzwischen einen Schalter wie „Fonts lokal laden". Fehlt er, erledigen spezialisierte Plugins die komplette Umstellung weitgehend automatisch.

Google Maps: Karte erst nach Klick laden

Eine eingebettete Google-Maps-Karte lädt beim Seitenaufruf Skripte und Kartendaten von Google-Servern — dieselbe Problematik wie bei den Schriften, nur dass hier zusätzlich Cookies und Tracking dazukommen können. Eine Karte ohne Einwilligung einzubetten, ist deshalb heikel. Zwei saubere Wege haben sich bewährt:

• Zwei-Klick-Lösung: Besucher sehen zunächst nur einen Platzhalter mit Hinweis. Die echte Karte lädt erst, wenn jemand aktiv klickt und damit einwilligt. Gängige Consent-Tools bringen diese Funktion als „Content-Blocker" bereits mit.
• Ganz ohne Google: Adresse als Text, dazu ein statisches Kartenbild — zum Beispiel ein Ausschnitt aus OpenStreetMap mit Quellenvermerk — und darunter ein Link „Route in Google Maps planen". Der Link ist unkritisch: Daten fließen erst, wenn Besucher ihn selbst öffnen.

Für die meisten Praxen und Werkstätten reicht die zweite Variante völlig. Ihre Besucher wollen wissen, wo Sie sind und wie sie hinkommen — dafür braucht niemand eine scrollbare Mini-Karte im Seitenlayout.

YouTube: Das Vorschaubild genügt

Ein eingebettetes YouTube-Video baut schon beim Laden der Seite Verbindungen zu Google auf — noch bevor irgendjemand auf Play drückt. Der „erweiterte Datenschutzmodus" über youtube-nocookie.com reduziert zwar das Cookie-Setzen, verhindert die Verbindung zu Google-Servern aber nicht. Als alleinige Lösung reicht er deshalb nicht aus.

Sauber ist auch hier das Zwei-Klick-Prinzip: Auf Ihrer Seite liegt nur ein lokal gespeichertes Vorschaubild mit Play-Symbol. Der eigentliche Player lädt erst nach dem Klick. Das hat einen angenehmen Nebeneffekt: Der Player-Code gehört zu den schwersten Bausteinen einer Seite — wenn er erst bei Bedarf lädt, wird Ihre Website spürbar schneller. Wie sich das auf die Ladezeit auswirkt, können Sie mit den Core Web Vitals selbst messen.

Reicht nicht einfach das Cookie-Banner?

Das häufigste Missverständnis in unseren Gesprächen: „Wir haben doch ein Banner." Ein Banner hilft aber nur, wenn es die Dienste tatsächlich blockiert, bis die Einwilligung erteilt ist — und genau daran scheitern viele Installationen, wie wir in unserem Beitrag zu den häufigsten Cookie-Banner-Fehlern gezeigt haben. Das Banner wurde einmal eingerichtet, sah ordentlich aus, aber die Dienste laden munter weiter.

Bei Google Fonts ist die Sache noch einfacher: Die Schriften gehören gar nicht erst ins Banner. Lokal eingebunden brauchen sie keine Einwilligung — ein Punkt weniger, den Ihr Banner verwalten muss. Je weniger einwilligungspflichtige Dienste Ihre Website lädt, desto schlanker wird das Banner. Im besten Fall brauchen Sie gar keins.

Die Reihenfolge für einen freien Nachmittag

Wenn Sie alle drei Baustellen angehen wollen, empfehlen wir diese Reihenfolge: zuerst die Schriften, denn sie sind auf fast jeder Website betroffen und das Abmahnrisiko ist dort am besten dokumentiert. Danach YouTube, weil die Umstellung nebenbei die Ladezeit verbessert. Zuletzt Google Maps — oder Sie ersetzen die Karte gleich durch Adresse, Bild und Link.

Realistisch ist das zusammen in ein bis zwei Stunden erledigt, mit WordPress-Plugins oft schneller. Danach lädt Ihre Website keine Google-Dienste mehr hinter dem Rücken Ihrer Besucher — und Sie haben ein Thema dauerhaft vom Tisch, das andere Betreiber bei jeder Datenschutz-Diskussion aufs Neue einholt.