Daten & Recht · Prüfpunkt
Welche Fremdserver kontaktiert meine Website schon beim Aufruf?
Oft mehr, als der Betreiber selbst weiß: Schon beim ersten Laden baut der Browser vieler Websites Verbindungen zu fremden Servern auf, und jede dieser Verbindungen überträgt die IP-Adresse des Besuchers. Unsere Prüfung protokolliert alle Fremdserver, die Ihre Seite vor jeder Einwilligung kontaktiert, und ordnet sie ein: Tracking, Werbung, soziale Netzwerke, Schriften, Karten oder Bibliotheken.
Jede Verbindung überträgt Daten — auch ohne Cookie
Sobald der Browser einen fremden Server anspricht, erfährt dieser Server die IP-Adresse des Besuchers samt technischer Angaben des Browsers. Dafür braucht es keinen Cookie — die Verbindung selbst genügt. Die Prüfung erkennt bekannte Tracking-Dienste am Servernamen: Google Analytics, Google Ads, Facebook, Hotjar, Microsoft Clarity, LinkedIn Insight, TikTok und weitere. Wird einer dieser Dienste kontaktiert, bevor der Besucher zustimmen konnte, wertet die Prüfung das als Verstoß und nennt im Bericht jeden betroffenen Server. Die Datenübertragung beginnt in diesem Fall bereits beim bloßen Seitenaufruf.
Sonderfall Google Tag Manager
Der Google Tag Manager ist ein Verteiler, der andere Skripte nachlädt. Lädt er vor der Einwilligung, ist das mit einem korrekt eingestellten Consent Mode zulässig — dann bleibt er stumm, bis der Besucher gewählt hat. Ob diese Einstellung stimmt, lässt sich von außen aber nicht sicher erkennen. Die Prüfung zieht deshalb keine Punkte ab, sondern setzt einen deutlichen Hinweis: manuell prüfen. Fragen Sie Ihre Agentur konkret, ob der Consent Mode eingerichtet ist und was der Tag Manager vor der Zustimmung tatsächlich auslöst.
Das vollständige Drittanbieter-Inventar im Bericht
Neben den Tracking-Diensten listet der Bericht jeden fremden Server auf, den Ihre Seite beim Aufruf kontaktiert — sortiert nach Kategorie: Schriften, Karten, Video, Captcha, Einwilligungswerkzeug, Bibliotheken. Auch externe Bibliotheks-Server wie jQuery-CDN, cdnjs oder Bootstrap-CDN stehen darin. Für sie gibt es keinen Punktabzug, denn die rechtliche Einordnung ist umstritten — aber die IP-Adresse fließt auch hier beim Seitenaufruf an den Betreiber. Die Empfehlung im Bericht: Bibliotheken lokal auf dem eigenen Server ablegen. Das vermeidet die Übertragung und schützt zugleich vor Ausfällen des fremden Anbieters.
So gehen Sie es an
- Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers mit der Taste F12, wählen Sie den Reiter „Netzwerk“ und laden Sie Ihre Startseite neu — jede Zeile ist eine Verbindung.
- Bitten Sie Ihre Agentur, alle Tracking-Skripte über das Einwilligungswerkzeug zu steuern, sodass vor der Zustimmung keine Verbindung entsteht.
- Fragen Sie konkret nach, ob der Google Tag Manager mit Consent Mode konfiguriert ist, falls er vor der Einwilligung lädt.
- Prüfen Sie nach jedem neuen Plugin oder Theme, welche Fremdserver hinzugekommen sind.
- Lassen Sie externe Bibliotheken wie jQuery oder Bootstrap vom eigenen Server ausliefern.
Häufige Fragen
Was erfährt ein Tracking-Dienst, wenn meine Seite ihn kontaktiert?
Mindestens die IP-Adresse des Besuchers, den Zeitpunkt des Aufrufs und technische Angaben des Browsers. Das geschieht bei jedem Kontakt automatisch — ein Cookie ist dafür nicht nötig. Deshalb prüft der Messkern nicht nur Cookies, sondern jede Verbindung, die vor der Einwilligung zu einem bekannten Tracking-Server aufgebaut wird.
Ist der Google Tag Manager vor der Einwilligung verboten?
Mit korrekt eingestelltem Consent Mode ist der frühe Start technisch vertretbar — der Tag Manager wartet dann mit dem Tracking, bis der Besucher gewählt hat. Weil sich diese Einstellung von außen nicht sicher erkennen lässt, gibt die Prüfung einen Hinweis zur manuellen Kontrolle statt eines Punktabzugs. Die rechtliche Bewertung bleibt Sache Ihres Rechtsbeistands.
Warum zählt eine Verbindung auch ohne Cookie als Fund?
Weil die Datenübertragung mit der Verbindung beginnt, nicht erst mit dem Cookie. Der kontaktierte Server erhält die IP-Adresse des Besuchers in dem Moment, in dem der Browser ihn anspricht. Die Prüfung dokumentiert deshalb jeden Fremdserver-Kontakt vor der Einwilligung — als technische Bestandsaufnahme, nicht als Rechtsgutachten.
Sind externe Bibliotheken wie jQuery vom CDN ein Verstoß?
Die Prüfung zieht dafür keine Punkte ab, weil die rechtliche Einordnung umstritten ist. Sie weist die Bibliotheks-Server aber vollständig aus, denn auch dorthin fließt die IP-Adresse beim Seitenaufruf. Die Empfehlung lautet, die Dateien lokal zu hosten — das beendet die Übertragung und macht die Website unabhängig vom fremden Anbieter.
Weiter im Prüfbereich Daten & Recht
- Wie lassen sich YouTube-Videos und Google Maps datenschutzfreundlich einbinden?Mit einer Zwei-Klick-Lösung laden YouTube, Google Maps und Social-Media-Inhalte erst nach dem Klick des Besuchers. Die Prüfung erkennt beide Varianten.
- Warum sollten Google Fonts lokal eingebunden sein?Google Fonts vom Google-Server übertragen bei jedem Aufruf die IP-Adresse des Besuchers. Lokal eingebundene Schriften vermeiden diese Übertragung.
- Wann braucht eine Website ein Cookie-Banner?Ein Cookie-Banner ist nur nötig, wenn einwilligungspflichtige Dienste laufen. Eine Website ohne Tracking kommt ohne Banner aus.
- Gehört „Ablehnen“ auf die erste Ebene des Cookie-Banners?Ja — die Ablehnung muss auf der ersten Banner-Ebene genauso leicht erreichbar sein wie die Zustimmung. Die Prüfung liest die Schaltflächen aus.
Dieser Prüfpunkt gehört zum Prüfbereich Daten & Recht — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.