Google Fonts, und warum du sie lokal einbinden solltest

Weil das Einbinden über Google-Server die IP-Adresse jedes Besuchers an Google überträgt, und ein Gericht dafür schon Schadensersatz zugesprochen hat. Die Lösung kostet zehn Minuten und ist danach für immer erledigt.

Das Urteil

Das Landgericht München I verurteilte am 20.01.2022 eine Website-Betreiberin zu Unterlassung und Schadensersatz, Aktenzeichen 3 O 17493/20. Sie hatte Google Fonts dynamisch eingebunden. Die Schriften wurden also beim Seitenaufruf von Google-Servern geladen, wodurch die IP-Adresse des Besuchers dorthin übertragen wurde, ohne dass er dem zugestimmt hätte.

Der entscheidende Gedanke des Gerichts war, dass ein berechtigtes Interesse an dieser Übertragung nicht besteht. Google Fonts lassen sich ebenso gut nutzen, ohne eine Verbindung zu Google herzustellen, nämlich lokal installiert. Wenn es einen datensparsamen Weg gibt, lässt sich der datenintensive nicht rechtfertigen.

Der Schadensersatz betrug 100 Euro. Das klingt harmlos.

Was daraus wurde

2022 und 2023 gingen in Deutschland zehntausende Abmahnschreiben wegen Google Fonts heraus, Schätzungen sprechen von über 100.000. Nicht von Behörden, sondern von Anwälten und teils zweifelhaften Absendern, die das Urteil als Geschäftsmodell entdeckt hatten. Ein einzelner Fall kann schnell rund 1.000 Euro kosten, wenn Anwaltskosten dazukommen.

Diese Welle ist abgeflaut. Die Rechtslage selbst hat sich aber nicht geändert. Dynamisch eingebundene Google Fonts sind weiterhin angreifbar, lokal gehostete unbedenklich.

Der Haken, du hast es vielleicht ohne es zu wissen

Das ist der eigentliche Grund, warum so viele getroffen wurden. Google Fonts stecken oft dort, wo man sie nicht vermutet.

In WordPress-Themes. Viele laden Schriften standardmäßig von Google, ohne es irgendwo zu erwähnen.
In Plugins und Seitenbaukästen, die eigene Schriften mitbringen.
In Homepage-Baukästen, bei denen du gar keinen Zugriff auf den Quelltext hast.
In eingebetteten Formularen, Karten oder Kalendern von Drittanbietern.

Prüfen kannst du das mit den Entwicklerwerkzeugen deines Browsers. F12 drücken, den Reiter „Netzwerk" öffnen, die Seite neu laden. Tauchen dort Anfragen an fonts.googleapis.com oder fonts.gstatic.com auf, lädt deine Seite bei Google.

Die Lösung

Schriften auf den eigenen Server legen und von dort ausliefern.

Die gewünschte Schrift herunterladen. Google Fonts stehen unter freien Lizenzen, das ist ausdrücklich erlaubt.
Die Dateien in einen Ordner deiner Website legen.
Im Stylesheet per @font-face auf die lokalen Dateien verweisen statt auf die Google-Adresse.
Alle Verweise auf fonts.googleapis.com entfernen, auch die im Theme.
Mit den Entwicklerwerkzeugen nachprüfen, dass keine Anfrage mehr hinausgeht.

Bei WordPress gibt es Erweiterungen, die das automatisch machen. Wichtig bleibt der letzte Schritt. Nachprüfen, nicht vertrauen.

Noch einfacher wird es mit einer Schriftart, die auf dem Gerät des Besuchers schon vorhanden ist. Dann lädt gar nichts nach, die Seite wird schneller, und die Frage stellt sich nicht mehr. Diese Seite hier macht das so.

Das Muster dahinter

Google Fonts ist nur der bekannteste Fall eines allgemeinen Problems. Jede externe Einbindung überträgt die IP-Adresse deiner Besucher an einen Dritten. Dasselbe gilt für eingebettete YouTube-Videos, Google-Karten, Schrift-Dienste anderer Anbieter, Icon-Sammlungen und Werbe-Skripte.

Die Grundregel ist immer dieselbe. Was du selbst ausliefern kannst, liefere selbst aus. Was du wirklich einbetten musst, braucht eine Einwilligung, und damit sind wir wieder beim Cookie-Banner.

Zum Verzeichnis mit 53 europäischen Alternativen

Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen wieder und ersetzt keine Prüfung deines Einzelfalls. Das genannte Urteil ist eine einzelne landgerichtliche Entscheidung, keine höchstrichterliche Klärung. Bei einer konkreten Abmahnung solltest du nicht ungeprüft unterschreiben, sondern anwaltlichen Rat einholen.