WordPress-Check: Was lädt Ihre Website vor der Einwilligung?

Woher die Verbindungen kommen

Bei WordPress können Verbindungen zu fremden Servern aus Theme, Page-Builder und Plugins kommen, ohne dass jemand sie bewusst eingebaut hat.

Neue Verbindungen kommen zum Beispiel mit einem Theme-Update, einem zusätzlichen Plugin oder einem Relaunch hinzu. Mögliche Quellen:

• Theme oder Page-Builder binden Schriften von Google-Servern ein
• Karten und Videos sind direkt eingebettet, etwa Google Maps oder YouTube
• Statistik- und Marketing-Plugins laden ihre Skripte im Seitenkopf
• Plugins bringen eigene, ältere Kopien von Bibliotheken wie jQuery mit

Was der Check auf WordPress-Websites zeigt

Der Check sieht das Ergebnis, nicht den Code dahinter: Er listet jede Verbindung zu einem fremden Server mit Adresse. Welches Plugin oder welche Theme-Einstellung sie auslöst, findet Ihr Webdienstleister anhand dieser Belege.

WordPress und WooCommerce erkennt der Check an typischen Merkmalen, etwa Pfaden wie /wp-content/ oder der Generator-Angabe. Wo es WordPress-spezifische Reparaturschritte gibt, stehen sie im Vollbericht zusätzlich zur allgemeinen Anleitung. Geprüft werden unter anderem:

• fremde Server, Cookies und Speichereinträge vor der Einwilligung
• die im Quelltext sichtbare WordPress-Version
• veraltete jQuery-Versionen
• fehlende Sicherheits-Header und unverschlüsselt nachgeladene Inhalte
• eine für Suchmaschinen gesperrte Seite, etwa durch die Einstellung „Suchmaschinen davon abhalten, diese Website zu indexieren“
• Barrierefreiheit nach WCAG 2.1 A und AA, automatisch prüfbarer Teil

Rechtlicher Hintergrund

Informationen auf dem Gerät der Besucher speichern oder dort auslesen, etwa Cookies, ist nur mit Einwilligung erlaubt. Eine Ausnahme gilt, wenn der Zugriff für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 TDDDG).

Zu Schriften von Google-Servern gibt es zwei Urteile desselben Gerichts. Das LG München I hat 2022 einem Besucher 100 € Schadensersatz zugesprochen, weil eingebundene Google Fonts seine IP-Adresse ohne Einwilligung an Google übertrugen (Az. 3 O 17493/20). Automatisiert provozierte „Abmahnungen“ hat es 2023 als rechtsmissbräuchlich bewertet (Az. 4 O 13063/22).

Typische Reparaturen in WordPress

Schriften lokal einbinden: Schriftdateien herunterladen, auf dem eigenen Server ablegen und im Theme einbinden. Danach die Einbindung von fonts.googleapis.com im Theme, im Page-Builder und in Plugins abschalten.

Karten und Videos per Zwei-Klick: Statt Google Maps oder YouTube direkt einzubetten, zunächst ein Vorschaubild zeigen. Den Dienst erst nach einem Klick des Besuchers laden.

Statistik erst nach Zustimmung: Das Skript über das Einwilligungs-Tool blockieren lassen oder durch eine Lösung ersetzen, die ohne fremde Server auskommt.

Aktuell halten: WordPress, Theme und Plugins aktualisieren und die Versionsangabe im Quelltext ausblenden. Diese Schritte sind technisch; ob ein Dienst in Ihrem Fall eine Einwilligung braucht, beurteilen wir nicht.

Der Bericht als Arbeitsauftrag

Der Vollbericht ist für Ihren Webdienstleister geschrieben: Befunde nach Dringlichkeit, jeweils mit Beleg und Reparaturschritten. Sie leiten den Link weiter oder speichern den Bericht als PDF; Ihr Webdienstleister braucht keinen Zugang zu unserem System.

Nach der Reparatur starten Sie den Nachcheck, inklusive einmal innerhalb von 30 Tagen. Er zeigt, welche Befunde behoben sind und welche offen bleiben.

Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen. Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.