Google Fonts lokal einbinden: der DSGVO-Check 2026

Du übernimmst die Betreuung von dreißig Kundenseiten aus einer aufgelösten Agentur. Alte WordPress-Installationen, gewachsene Themes, viele Baustellen. Bevor du irgendwas anfasst, öffnest du bei einer Seite die Entwicklertools und schaust in den Netzwerk-Reiter. Und da ist er wieder, dieser Eintrag, der eigentlich längst Geschichte sein sollte: eine Anfrage an fonts.gstatic.com. Die Seite lädt ihre Schriften direkt von Googles Servern – und damit wandert bei jedem Besuch die IP-Adresse des Nutzers unaufgefordert in die USA.

Viele halten das Thema Google Fonts für erledigt. Die große Abmahnwelle sei doch vorbei, heißt es. Das stimmt und ist trotzdem gefährlich verkürzt. Der Datenschutzverstoß selbst ist nämlich keineswegs verschwunden – nur die dubiosen Massenabmahner sind es.

Google Fonts lokal einbinden: warum das Thema nicht erledigt ist

Der Ursprung ist bekannt: Das Landgericht München I entschied am 20. Januar 2022 (Az. 3 O 17493/20), dass die dynamische Einbindung von Google Fonts ohne Einwilligung gegen die DSGVO verstößt. Die Begründung: Beim Laden der Schrift wird die IP-Adresse des Besuchers – ein personenbezogenes Datum – an Google in die USA übertragen, ohne dass dafür eine Rechtsgrundlage vorliegt. Das Gericht sprach dem Kläger 100 Euro Schadensersatz nach Art. 82 DSGVO zu, wie unter anderem datenschutz-notizen.de dokumentiert.

Daraufhin passierte, was in Deutschland leider oft passiert: Findige Akteure witterten ein Geschäft. Sie verschickten massenhaft, oft automatisiert erzeugte Schreiben mit Forderungen von rund 170 Euro pro Seite. Diese Welle kippte allerdings ins Kriminelle. Die Berliner Staatsanwaltschaft ermittelte, im Dezember 2022 kam es zu Durchsuchungen wegen des Verdachts auf versuchten Abmahnbetrug und versuchte Erpressung in Tausenden Fällen. Und das Landgericht München I stufte am 30. März 2023 (Az. 4 O 13063/22) softwaregestützte Massenforderungen als rechtsmissbräuchlich ein, wie LLP Law aufarbeitet.

Der Mythos "das ist doch vorbei"

Aus dem Ende der Massenabmahnungen ziehen viele den falschen Schluss, das Problem sei gelöst. Tatsächlich sind zwei Dinge sauber zu trennen. Die missbräuchliche Abmahn-Masche ist gerichtlich ausgebremst – das ist die gute Nachricht. Der zugrunde liegende Datenschutzverstoß aber besteht unverändert fort. Wer Google Fonts dynamisch einbindet, überträgt weiterhin ohne Rechtsgrundlage IP-Adressen an Google. Datenschutzbehörden empfehlen deshalb nach wie vor die lokale Einbindung; die Landesbeauftragte für den Datenschutz Niedersachsen etwa nennt das lokale Speichern der Schriften ausdrücklich die datenschutzkonforme Variante.

Hinzu kommt ein praktischer Punkt, der 2026 eher größer als kleiner geworden ist: Automatisierte Datenschutz-Scanner finden solche externen Aufrufe in Sekunden. Eine unzufriedene Kundin, ein Wettbewerber, eine Verbraucherschützerin – niemand braucht heute technisches Wissen, um einen Verstoß zu belegen. Dieser Beitrag ordnet die Lage journalistisch ein und ersetzt keine Rechtsberatung; die Bewertung eines konkreten Einzelfalls gehört in fachkundige juristische Hände.

Warum aus einer Schriftart ein Datenschutzproblem wird

Der Kern ist technischer, als er klingt. Bindest du eine Google-Schrift per Verweis auf fonts.googleapis.com oder fonts.gstatic.com ein, lädt der Browser des Besuchers die Schrift beim Seitenaufruf direkt von Google. Dabei muss er zwangsläufig seine IP-Adresse übermitteln, dazu oft weitere Informationen wie den verwendeten Browser. Die IP-Adresse gilt nach herrschender Auffassung als personenbezogenes Datum. Weil Google ein US-Unternehmen ist, handelt es sich zudem um eine Datenübermittlung in ein Drittland.

Ohne Einwilligung oder andere Rechtsgrundlage nach Art. 6 DSGVO ist dieser Vorgang angreifbar – und anders als ein Cookie-Banner es suggeriert, passiert er sofort beim Laden, bevor der Nutzer überhaupt etwas anklicken konnte.

Genau hier liegt ein weit verbreitetes Missverständnis. Viele glauben, ein Cookie-Banner decke solche externen Aufrufe schon ab. Das tut es nur, wenn die Schrift tatsächlich erst nach der Einwilligung nachgeladen wird – was bei der klassischen Einbindung im Theme praktisch nie der Fall ist. Die Schrift ist längst geladen, wenn das Banner erscheint. Man könnte Google Fonts theoretisch hinter eine Einwilligung legen, doch das ergibt selten Sinn: Eine Seite ohne die richtige Schrift sieht bis zur Zustimmung kaputt aus. Warum Consent-Banner trotzdem ihre Berechtigung behalten, aber eben nicht jedes Problem lösen, haben wir gesondert beim Cookie-Banner 2026 beleuchtet. Für den weiteren Rahmen rund um Einwilligungen beim Zugriff auf Endgeräte ist übrigens seit dem 14. Mai 2024 das TDDDG maßgeblich, das das frühere TTDSG abgelöst hat; den Umstieg haben wir im Kontext der DSGVO-konformen Einbindung externer Dienste mitbehandelt. Die saubere Lösung umgeht die ganze Einwilligungsfrage einfach: Wer die Schrift lokal ausliefert, überträgt gar nichts an Google.

So prüfst du eine Website in zwei Minuten

Die Diagnose ist unkompliziert und gehört in jeden Übernahme- und Wartungscheck. Öffne die Seite im Browser, ruf die Entwicklertools auf und wechsle in den Netzwerk-Reiter, dann lade die Seite neu. Filterst du nach "font" oder suchst nach den Domains fonts.googleapis.com und fonts.gstatic.com, siehst du sofort, ob externe Aufrufe stattfinden. Alternativ leisten Online-Scanner denselben Dienst und prüfen gleich mehrere Unterseiten. Wichtig: Prüfe nicht nur die Startseite. Häufig sitzt die problematische Einbindung in einem Plugin, einem Slider oder einem Kontaktformular, das nur auf bestimmten Unterseiten geladen wird.

So bindest du Google Fonts lokal ein

Für WordPress ist der schnellste Weg ein spezialisiertes Plugin. Werkzeuge wie OMGF spüren verwendete Google-Schriften auf, laden sie herunter und stellen die Einbindung automatisch auf lokale Auslieferung um. Nach der Einrichtung solltest du gegenprüfen, dass wirklich keine Aufrufe an Google mehr laufen – über denselben Netzwerk-Reiter wie bei der Diagnose.

Der manuelle Weg ist etwas mehr Arbeit, aber vollständig unter deiner Kontrolle und für individuell gebaute Seiten oft die sauberste Lösung. Über den Google Webfonts Helper wählst du die benötigten Schriftschnitte aus, lädst die Font-Dateien herunter und erhältst passenden CSS-Code. Die Dateien landen in einem Verzeichnis auf dem eigenen Server, der CSS-Code kommt ins Stylesheet, und die alten Verweise auf Googles Server werden entfernt. Ein Detail, das gern vergessen wird: Reduziere die geladenen Schriftschnitte auf das, was die Seite tatsächlich braucht. Das ist nicht nur sauberer, sondern spürbar schneller.

Die Falle: Schriften, die über andere Dienste nachladen

Selbst wenn du alle direkten Google-Fonts-Verweise beseitigt hast, kann eine Seite weiterhin Schriften von Google nachladen – nämlich versteckt über eingebettete Dienste. Eine Google-Maps-Karte oder ein YouTube-Video, das per iframe eingebunden ist, bringt eigene externe Aufrufe mit, die du nicht einfach im Stylesheet abstellen kannst. Solche Einbettungen brauchen einen eigenen Umgang: erst nach Einwilligung laden, über eine Zwei-Klick-Lösung kapseln oder auf datenschutzfreundlichere Alternativen ausweichen. Wie das konkret für Videos aussieht, steht im Beitrag dazu, YouTube-Videos DSGVO-konform einzubinden. Eine Website ist eben erst dann sauber, wenn auch die eingebetteten Dritten mitspielen.

Mach daraus einen Agentur-Service

Der eigentliche Hebel liegt nicht in der einzelnen Korrektur, sondern in der Systematik. Geh deinen gesamten Bestand an betreuten Seiten einmal durch und dokumentiere, welche noch extern laden – nicht nur bei Google Fonts, sondern gleich mit Blick auf Karten, Videos, Tracking und Consent. Daraus wird ein wiederkehrender DSGVO-Website-Check, den du als planbares Paket anbieten kannst und der sich gut mit deiner ohnehin nötigen Wartung verzahnt. Er passt zu einem größeren Datenschutz-Bild, das auch Impressum und Datenschutzerklärung sowie die Webanalyse ohne Google Analytics umfasst. Datenschutz von Anfang an mitzudenken ist im Übrigen genau die Haltung, aus der auch Ragnova als DSGVO-konforme Lösung entstanden ist – der Grundsatz, Daten gar nicht erst unnötig abfließen zu lassen, gilt für die Schriftart wie für den Chatbot.

Google Fonts lokal einzubinden ist keine große Kunst. Es ist eine dieser kleinen, unspektakulären Aufgaben, die den Unterschied zwischen einer nachlässig und einer sorgfältig betreuten Website ausmachen. Und es ist eine der wenigen DSGVO-Baustellen, die du in wenigen Minuten pro Seite endgültig und ohne Restrisiko schließen kannst. Genau solche Aufgaben sind es, für die Kunden eine Agentur bezahlen – auch wenn die Abmahner längst weitergezogen sind.