Google Fonts DSGVO-konform: Schriften lokal einbinden

Lädt Ihre WordPress-Website Google Fonts von den Servern von Google, baut der Browser jedes Besuchers eine Verbindung zu Google auf und übermittelt dabei seine IP-Adresse. Genau darum geht es beim Thema Google Fonts und DSGVO: Für diese Übermittlung brauchen Sie eine Rechtsgrundlage – und das Landgericht München I hat entschieden, dass eine Website in dieser Konstellation keine hatte. Die saubere Lösung: Google Fonts lokal einbinden, also die Schriftdateien vom eigenen Server ausliefern.

Dieser Ratgeber erklärt das Urteil und was sich seitdem getan hat, zeigt, wie Sie externe Schriftanfragen auf Ihrer Website aufspüren, und beschreibt drei Wege zu lokal gehosteten Schriften in WordPress.

Google Fonts und DSGVO: Was das LG München entschieden hat

Mit Urteil vom 20. Januar 2022 (Az. 3 O 17493/20) hat das Landgericht München I über eine Website entschieden, die Google Fonts direkt von Google-Servern einband. Bei jedem Seitenaufruf ging die IP-Adresse des Besuchers an Google. Laut dem veröffentlichten Urteil stellte das Gericht fest:

• Die dynamische IP-Adresse ist für den Websitebetreiber ein personenbezogenes Datum.
• Der Besucher hatte in die Weitergabe an Google nicht eingewilligt.
• Ein berechtigtes Interesse bestand nicht, weil sich Google Fonts auch ohne Verbindung zu einem Google-Server nutzen lassen – nämlich lokal gehostet.
• Der Kläger erhielt 100 Euro Schadensersatz.

Es handelt sich um das Urteil eines Landgerichts in einem Einzelfall, nicht um eine Entscheidung des EuGH. Die Begründung ist aber gut nachvollziehbar, und die Folgen reichten weit über diesen Fall hinaus.

Die Abmahnwelle 2022

Ende 2022 folgte eine Abmahnwelle: Massenhaft verschickte Schreiben forderten von Websitebetreibern, die Google Fonts noch extern luden, Geld. Mehrere dieser Abmahnungen wurden später als rechtsmissbräuchlich bewertet.

Erhalten Sie ein solches Schreiben, zahlen Sie nicht vorschnell und unterschreiben Sie keine Unterlassungserklärung ungeprüft, sondern lassen Sie es anwaltlich prüfen. Beheben Sie in jedem Fall die Ursache, damit sich die Frage gar nicht erst wieder stellt.

Löst das Data Privacy Framework das Problem?

Nur zum Teil. Das EU-US Data Privacy Framework (DPF) beruht auf dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Übermittlungen an zertifizierte US-Unternehmen haben damit derzeit eine Grundlage, und Google LLC ist zertifiziert. Das Gericht der EU hat eine Klage gegen das DPF am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe/Kommission). Dagegen wurde am 31. Oktober 2025 Rechtsmittel zum EuGH eingelegt, über das noch nicht entschieden ist. Die Lage kann sich also wieder ändern.

Das Münchner Urteil stammt aus der Zeit vor dem DPF. Das DPF schwächt das Drittland-Argument, also die Sorge, dass Daten ohne angemessenes Schutzniveau in die USA gelangen. Das zweite Argument bleibt bestehen: Sie brauchen überhaupt eine Rechtsgrundlage, um die IP-Adresse an Google zu senden, und ein berechtigtes Interesse lässt sich kaum begründen, wenn Sie die Schriften genauso gut selbst hosten könnten.

Lokales Hosting bleibt deshalb die saubere Lösung. Es ist zugleich ein Paradebeispiel für Datenschutz durch Technikgestaltung (Art. 25 DSGVO): Die Daten verlassen Ihren Server gar nicht erst.

So finden Sie externe Google-Fonts-Anfragen

Mit den Entwicklertools des Browsers

1. Öffnen Sie Ihre Website in einem privaten Fenster.
2. Öffnen Sie die Entwicklertools (F12, auf dem Mac Cmd+Option+I) und wechseln Sie zum Tab Netzwerk.
3. Setzen Sie den Haken bei Cache deaktivieren und laden Sie die Seite neu.
4. Tippen Sie fonts.googleapis.com ins Filterfeld, danach fonts.gstatic.com.

Taucht eine Anfrage an eine dieser Domains auf, lädt die Seite Google Fonts: fonts.googleapis.com liefert das CSS, fonts.gstatic.com die eigentlichen Schriftdateien.

Prüfen Sie mehrere Seitentypen: Startseite, einen Blogbeitrag, die Kontaktseite, Shop und Kasse sowie die Login-Seite. Slider, Formular-Plugins, Kartendienste oder Cookie-Banner laden eigene Schriften manchmal nur dort, wo sie eingebunden sind.

Im Quelltext und in den Theme-Dateien

Öffnen Sie den Quelltext der Seite (Strg+U, auf dem Mac Cmd+Option+U) und suchen Sie nach denselben beiden Domains. So finden Sie <link>-Tags und Preconnect-Hinweise, aber keine Schriften, die in CSS-Dateien importiert oder per JavaScript nachgeladen werden. Der Netzwerk-Tab bleibt deshalb der verlässliche Test.

Mit Shell-Zugang listen Sie alle Theme- und Plugin-Dateien auf, die eine der Domains enthalten:

grep -rl -e "fonts.googleapis.com" -e "fonts.gstatic.com" wp-content/themes wp-content/plugins

Page Builder speichern Schrifteinstellungen oft in der Datenbank. Ein leeres Ergebnis heißt also nicht, dass die Website sauber ist.

Google Fonts lokal einbinden: drei Wege in WordPress

Die drei Wege sind nach Aufwand sortiert. Wiederholen Sie danach jeweils den Test im Netzwerk-Tab.

Weg 1: Theme, Page Builder oder Schriftbibliothek

Viele Themes und Page Builder haben inzwischen eine Einstellung, um Google Fonts lokal zu laden. Die Bezeichnung variiert, etwa „Schriften lokal laden“ oder „Google Fonts lokal hosten“. Sehen Sie im Customizer des Themes und in den Performance- oder Datenschutz-Einstellungen des Builders nach.

Nutzen Sie ein Block-Theme, übernimmt das die Schriftbibliothek (Font Library) ab WordPress 6.5. Im Website-Editor öffnen Sie dazu Stile, dann Typografie, und verwalten dort Ihre Schriftarten. Beim ersten Aufruf der Google-Fonts-Sammlung erlauben Sie WordPress einmalig die Verbindung zu Google. Die Schriften, die Sie installieren, werden heruntergeladen und auf Ihrer Website gespeichert; Besucher laden sie dann von dort (Learn WordPress, englisch).

Weg 2: Ein Plugin für lokale Schriften

Mehrere Plugins im Verzeichnis auf WordPress.org erkennen Google-Fonts-Anfragen, laden die Dateien auf Ihren Server und schreiben die Verweise um. Suchen Sie dort nach „local Google Fonts“. Wählen Sie das Plugin so sorgfältig aus wie jedes andere; worauf es ankommt, steht in unserem Ratgeber zu unsicheren WordPress-Plugins.

Weg 3: Manuell per @font-face im Child-Theme

Dieser Weg gibt Ihnen volle Kontrolle, ganz ohne zusätzliches Plugin:

1. Laden Sie die Schriftfamilie herunter und behalten Sie nur die Schnitte und Stärken, die Sie wirklich nutzen. Für das Web ist WOFF2 das kompakteste Format.
2. Kopieren Sie die Dateien in einen Ordner fonts in Ihrem Child-Theme, zusammen mit der Lizenzdatei der Schrift.
3. Ergänzen Sie @font-face-Regeln in einem Stylesheet, das Ihr Child-Theme lädt, meist in der style.css.
4. Unterbinden Sie, dass das Theme weiterhin die externe Variante lädt.

Ein minimales Beispiel für zwei Stärken der Schrift Inter:

@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url("fonts/inter-400.woff2") format("woff2");
}
@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 700;
  font-display: swap;
  src: url("fonts/inter-700.woff2") format("woff2");
}
body {
  font-family: "Inter", system-ui, sans-serif;
}

Der Pfad in url() bezieht sich auf die CSS-Datei; fonts/ meint also den Ordner neben der style.css.

Um die externe Variante abzuschalten, nutzen Sie die Theme-Option, falls es eine gibt. Andernfalls suchen Sie im Quelltext das <link>-Tag mit fonts.googleapis.com: Seine id lautet etwa themename-fonts-css, das Handle des Stylesheets ist diese id ohne -css. Dann ergänzen Sie in der functions.php des Child-Themes:

add_action( 'wp_enqueue_scripts', function () {
    wp_dequeue_style( 'themename-fonts' ); // echtes Handle eintragen
}, 20 );

Entfernen Sie auch preconnect-Hinweise auf fonts.gstatic.com: Ein Preconnect baut eine Verbindung zum Google-Server auf, selbst wenn von dort keine Schrift geladen wird.

Zur Lizenz: Laut dem Google-Fonts-Repository stehen die meisten Schriften der Sammlung unter der SIL Open Font License 1.1, einige unter der Apache-2-Lizenz oder der Ubuntu Font License. Die OFL erlaubt es, die Schriften zu nutzen, einzubetten und weiterzugeben; lokales Hosting ist also kein Problem. Schriften aus anderen Quellen können andere Bedingungen haben – lesen Sie im Zweifel die Lizenz.

Weitere Drittanbieter-Anfragen prüfen

Dasselbe Prinzip gilt für alles, was eine Seite vom Server eines anderen Unternehmens lädt: Die IP-Adresse des Besuchers geht dorthin, sobald die Seite aufgerufen wird. Achten Sie im Netzwerk-Tab auf:

• Google Maps und andere eingebettete Karten
• eingebettete Videos von YouTube oder Vimeo
• Skripte, Stylesheets oder Icon-Fonts von öffentlichen CDNs
• reCAPTCHA und ähnliche Bot-Prüfungen
• Gravatar-Bilder in Kommentaren (Einstellungen → Diskussion → Avatare)
• Chat-Widgets und Analyse-Tools

Entscheiden Sie für jeden Dienst: selbst hosten (Skripte, Stylesheets, Icon-Fonts), erst nach Klick laden (Karten und Videos als Zwei-Klick-Lösung) oder dort um Einwilligung bitten, wo sie nötig ist – und beschreiben Sie, was übrig bleibt, in Ihrer Datenschutzerklärung. Setzen Einbettungen Cookies oder greifen sie auf das Endgerät zu, ist neben der DSGVO auch das TDDDG (früher TTDSG) zu beachten.

Externe Skripte sind zudem eine Sicherheitsfrage, denn sie laufen mit vollem Zugriff auf Ihre Seiten. Worauf Sie dabei achten sollten, fasst unsere Checkliste für WordPress-Sicherheit zusammen.

Häufige Fragen

Brauche ich für lokal eingebundene Schriften eine Einwilligung?

Schriften vom eigenen Server funktionieren wie Ihre Bilder und Stylesheets: Es gehen keine Besucherdaten an Google, das Problem aus dem Münchner Fall entsteht also gar nicht erst.

Reicht das DPF, um Google Fonts weiter extern zu laden?

Solange es Bestand hat, liefert es eine Grundlage für die Übermittlung in die USA. Ob Sie die IP-Adresse überhaupt an Google senden müssen, beantwortet es nicht. Mit lokalem Hosting stellen sich beide Fragen nicht.

Wird die Website durch lokale Schriften langsamer?

In der Regel nicht. Der Browser braucht keine zusätzliche Verbindung zu den Google-Domains, und Sie liefern nur die Stärken aus, die Sie tatsächlich verwenden.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.