DSGVO-Check für WordPress

WordPress selbst ist unkritisch — die Datenschutz-Themen kommen fast immer über Themes, Plugins und eingebettete Inhalte.

In der Praxis stecken die meisten WordPress-Datenschutzprobleme in drei Quellen: dem Theme, das oft Google Fonts oder Icon-Kits von externen CDNs lädt; Marketing- und Analyse-Plugins, die ihren Tracking-Code direkt in den <head> schreiben, ohne einen Consent-Status abzufragen; und dem Block-Editor, der YouTube-, Maps- und Twitter-Einbettungen beim Seitenaufruf sofort auflöst. Jede dieser Quellen lässt sich einzeln entschärfen.

Ein Consent-Plugin allein genügt nicht, wenn es die Skripte nicht tatsächlich blockiert. Viele Banner-Plugins zeigen nur den Hinweis an, während die Tracking-Plugins parallel laden. Wirksam sind Lösungen, die entweder die bekannten Tracker per Skript-Blocker zurückhalten oder tief in die jeweiligen Plugins eingreifen (z. B. über deren Consent-APIs).

WordPress-Kernfunktionen sind selbst unkritisch, mit einer Ausnahme: die Emoji-Skripte laden standardmäßig s.w.org und können — je nach Setup — eine externe Verbindung auslösen. Gravatare im Kommentarbereich übertragen außerdem einen Hash der E-Mail-Adresse an automattic.com. Beides lässt sich mit wenigen Zeilen in der functions.php oder einem kleinen Plugin abschalten.

Ist das ein Risiko?

Häufige Fundstellen: Themes, die Google Fonts von Google laden; Analytics- oder Marketing-Plugins ohne Einwilligungslogik; eingebettete YouTube-/Maps-Blöcke; Emojis und Gravatare von externen Servern. Für alle nicht notwendigen Zugriffe gilt § 25 Abs. 1 TDDDG.

Was du tun kannst

• Google Fonts lokalisieren (z. B. Plugin „OMGF“), externe Emoji-Skripte deaktivieren.
• Analytics/Marketing nur über ein Consent-Plugin laden, das Tags blockiert bis zur Zustimmung.
• YouTube-/Maps-Blöcke auf Zwei-Klick-Einbettung umstellen.
• Nach jeder Plugin-Installation den Quelltext der Startseite prüfen.

Häufige Fragen

Macht das offizielle WordPress-Datenschutz-Werkzeug meine Seite konform?

Nein. Das eingebaute Werkzeug hilft nur beim Erstellen einer Datenschutzerklärungs-Seite und beim Export/Löschen von Nutzerdaten. Es blockiert keine Tracker und prüft keine Plugins.

Welche Plugins sind die häufigsten Fundstellen?

Analytics-Plugins (Google Site Kit, MonsterInsights), Marketing-Plugins mit Pixel-Integration, Schriftart-Plugins, die von Google laden, sowie Page-Builder mit eingebauten Icon- oder Font-CDNs.

Reicht es, Google Fonts über ein Plugin zu lokalisieren?

Für die Schriften ja — Plugins wie OMGF laden die Dateien einmalig herunter und binden sie lokal ein. Danach sollte der Quelltext trotzdem auf verbliebene Aufrufe von fonts.googleapis.com geprüft werden, die manche Themes hart verdrahtet haben.

Wie prüfe ich schnell, ob etwas vor der Einwilligung lädt?

Die Startseite im privaten Fenster öffnen, Entwicklertools, Tab „Netzwerk“, Filter auf „google“, „facebook“, „doubleclick“. Erscheinen Anfragen vor dem Klick auf „Akzeptieren“, feuert ein Tracker zu früh.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.