Jede vierte Website lädt ihre Schriften vor der Einwilligung von Google – viereinhalb Jahre nach dem Münchner Urteil

Im Januar 2022 verurteilte das Landgericht München I einen Website-Betreiber zu 100 Euro Schadensersatz, weil seine Seite Schriftarten direkt von Google lud und dabei die IP-Adresse des Besuchers in die USA übertrug – ohne Einwilligung, ohne Notwendigkeit. Es folgte eine Abmahnwelle, die später selbst Gegenstand staatsanwaltlicher Ermittlungen wurde, und eine Welle von Ratgebern: „Google Fonts lokal einbinden, so geht's." Viereinhalb Jahre später haben wir nachgemessen. Das Ergebnis: Auf jeder vierten deutschen Website ist nichts passiert.

Was wir gemessen haben

Grundlage sind 3.824.300 deutsche Websites aus unserem Scan-Bestand, jeweils der letzte erfolgreiche Scan zwischen dem 8. August und dem 5. September 2026. Jede Seite wird in einem frischen Chromium-Browser geladen, ohne Cookies, ohne Vorgeschichte. Der Scanner protokolliert jede Verbindung, die der Browser aufbaut, bevor irgendjemand das Cookie-Banner berührt hat. Eine Website zählt, wenn in dieser Phase eine Verbindung zu fonts.googleapis.com, fonts.gstatic.com oder use.typekit.net auftaucht – also Schriften direkt von Google oder Adobe kommen.

Die Zahl ist bewusst nicht in unseren Tracking-Quoten enthalten. Eine Schriftart ist kein Analyse-Werkzeug, sie profiliert niemanden. Aber sie überträgt bei jedem Seitenaufruf die IP-Adresse des Besuchers an einen US-Konzern, und genau das war der Gegenstand des Münchner Urteils (LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20). Wir führen sie deshalb als eigene Achse.

Warum ein Cookie-Banner hier nichts hilft

Das ist der Punkt, den die meisten Betreiber nicht wissen. Ein Consent-Manager blockiert Skripte: Er hält Google Analytics, den Meta-Pixel oder ein YouTube-Embed zurück, bis jemand zustimmt. Schriften werden aber nicht per Skript geladen, sondern per Stylesheet, meist über eine einzige Zeile im Kopf der Seite. Der Browser holt sie, bevor das Banner überhaupt gezeichnet ist. Kein gängiges CMP greift an dieser Stelle ein.

Die Daten bestätigen das: Unter den Websites mit erkanntem Cookie-Banner laden 25,4 % ihre Fonts vor der Einwilligung extern, unter denen ohne Banner 26,1 %. Der Unterschied ist Rauschen. Wer glaubt, mit dem Banner sei das Thema erledigt, irrt in jedem vierten Fall.

Bemerkenswert ist auch die Gegenrichtung: 664.491 Websites, 17,4 % des Bestands, laden externe Fonts vor dem Consent, ohne dass irgendein Tracking-Werkzeug vor der Einwilligung feuert. Diese Seiten haben ihr Tracking im Griff. Die Schriften haben sie vergessen.

Das System entscheidet mit

Squarespace (63,7 %) und Webflow (51,9 %) binden Google Fonts als Standard ein; wer dort eine Schrift aus dem Katalog wählt, bekommt sie von Google. WordPress (36,2 %) ist der größte Block in absoluten Zahlen: Von 325.839 erkennbaren WordPress-Seiten laden 118.000 extern, meist über das Theme oder einen Page-Builder, der die Schrift „bequem" einbindet. Shopify (26,2 %) liegt im Durchschnitt.

Am anderen Ende stehen die deutschen und europäischen Baukästen: Jimdo (5,6 %), IONOS (7,6 %) und TYPO3 (8,6 %) liefern Schriften überwiegend selbst aus. Wix (10,6 %) hostet sie auf eigener Infrastruktur. Das zeigt, dass es keine technische Notwendigkeit gibt, Schriften von Google zu holen – es ist eine Voreinstellung, die jemand geändert hat oder nicht.

Nach Branchen ist das Bild flach, mit einer Ausnahme nach oben und einer nach unten: Bars (30,3 %), Fitnessstudios (30,0 %) und Restaurants (29,6 %) laden am häufigsten extern, Gemeinde-Websites am seltensten (9,5 %). Öffentliche Stellen haben das Thema offenbar früher ernst genommen als der Mittelstand.

Was das Urteil bewirkt hat – und was nicht

Das Münchner Urteil war juristisch klein und praktisch groß. Es sprach 100 Euro zu, aber es sagte in aller Deutlichkeit, dass die dynamische Einbindung von Google Fonts ohne Einwilligung rechtswidrig ist, weil die Übertragung der IP-Adresse technisch nicht nötig ist – die Schriften lassen sich lokal hosten. Die Abmahnwelle, die darauf folgte, hat vor allem eines erreicht: Sie hat das Thema in Verruf gebracht. Viele Betreiber erinnern sich an die Abmahner, nicht an das Problem.

Die 25,8 % sind der messbare Rest davon. Wer seit 2022 eine neue Website bekommen hat, hat mit guter Wahrscheinlichkeit lokale Schriften, weil Agenturen es seither so bauen. Wer eine Seite von 2018 betreibt, hat sie meistens noch. Das Problem sitzt im Bestand.

Die Behebung dauert eine Stunde

• Schriften herunterladen und selbst ausliefern. Die Google-Fonts-Lizenz erlaubt das ausdrücklich. Die Dateien liegen dann auf dem eigenen Server, die Einbindung im Stylesheet zeigt auf den eigenen Pfad. Werkzeuge wie der google-webfonts-helper erzeugen die nötigen Dateien und den CSS-Block in einer Minute.
• Bei WordPress das Theme prüfen. Viele Themes und Page-Builder haben inzwischen einen Schalter „Google Fonts lokal laden". Fehlt er, übernimmt das ein kleines Plugin. Danach im Browser prüfen, ob noch eine Verbindung zu fonts.googleapis.com aufgebaut wird; der Theme-Schalter erwischt nicht immer alles.
• Bei Baukästen den Katalog meiden. Squarespace und Webflow erlauben eigene Schriftdateien. Wer eine Google-Schrift aus dem Katalog wählt, bekommt sie von Google.
• Alternativ europäische Anbieter. Bunny Fonts spiegelt den Google-Katalog auf EU-Servern ohne Protokollierung; 29.535 Websites im Bestand nutzen das. Systemschriften brauchen gar keinen Download.
• Nicht die Einwilligung abfragen. Eine Schrift hinter das Banner zu legen, ist möglich, aber unsinnig: Die Seite sähe bis zum Klick anders aus. Lokal hosten ist die einzige Lösung, die für Besucher unsichtbar ist.

Was diese Zahlen nicht sagen

• Nicht „25,8 % handeln rechtswidrig". Das Urteil eines Landgerichts ist keine höchstrichterliche Entscheidung, und Gerichte haben später einen Teil der Abmahnungen in dieser Sache als rechtsmissbräuchlich eingestuft. Wir messen einen technischen Sachverhalt: die Übertragung der IP-Adresse an Google oder Adobe vor jeder Einwilligung.
• Untergrenze. Gezählt wird der Aufruf der Startseite. Eine Schrift, die nur auf einer Unterseite extern geladen wird, fehlt.
• Plattformen nur teilweise erkennbar. Der Scanner sieht ein System nur, wenn es am Netzwerkverkehr erkennbar ist. Rein selbst gehostete Installationen ohne eigene Signatur fehlen in der Plattformauswertung; die Gesamtquote ist davon nicht betroffen.
• Bestand, keine Zufallsstichprobe. Ausgewertet wurde unser Scan-Korpus, in dem kleine und mittlere Unternehmensseiten dominieren. Großunternehmen sind unterrepräsentiert.
• Momentaufnahme zwischen dem 8. August und dem 5. September 2026.

Für Agenturen: der billigste Befund im Portfolio

Von allen Punkten, die auf einer Kundenwebsite rot sein können, ist dieser der günstigste zu beheben und der leichteste zu erklären: „Ihre Seite schickt bei jedem Aufruf die IP-Adresse jedes Besuchers an Google, obwohl das nicht nötig ist. Wir hosten die Schriften selbst, dauert eine Stunde." Es gibt keinen Gegenargument-Reflex wie beim Tracking, keine Abhängigkeit vom Marketing, keine Funktionseinbuße. Wer 20 Kundenseiten betreut, hat rechnerisch fünf davon. Ein Scan vor und nach der Einwilligung zeigt in Sekunden, welche.

Häufige Fragen