Google Fonts lokal hosten: DSGVO-konform in vier Schritten

Die kurze Antwort vorweg: Google Fonts zu benutzen ist völlig in Ordnung. Das Problem ist, wie sie geladen werden. Bindest du sie über den Standard-Link von Googles Servern ein, schickt der Browser bei jedem Seitenaufruf die IP-Adresse deiner Besucher an Google, ohne dass die eingewilligt haben. Die Lösung heißt selber hosten: Schriften einmal herunterladen und danach vom eigenen Server ausliefern. Wie das geht, steht unten in vier Schritten.

Wenn du nur wissen willst, ob deine Seite betroffen ist, spring zum Abschnitt „Bist du betroffen?“. Wenn du das schon weißt, geh direkt zu den vier Schritten.

Warum das überhaupt ein Problem ist

Im Januar 2022 hat das Landgericht München I einem Website-Besucher 100 € Schadenersatz zugesprochen, weil eine Seite Google Fonts dynamisch von Google-Servern lud und dabei seine IP-Adresse in die USA übertrug (Urteil vom 20.01.2022, Az. 3 O 17493/20). Die IP-Adresse zählt als personenbezogenes Datum, und für die Übertragung gab es weder Einwilligung noch ein berechtigtes Interesse. Es geht ja auch ohne.

Danach rollte eine Abmahnwelle: Automatische Crawler durchsuchten hunderttausende Websites, die Schreiben forderten in der Regel 170 €. Diese Massen-Abmahnungen hat dasselbe Gericht im März 2023 als rechtsmissbräuchlich eingestuft (Urteil vom 30.03.2023, Az. 4 O 13063/22). Das Gericht sah den Abmahner als nicht persönlich betroffen an: Die Websites hatte ein Crawler besucht, nicht er selbst.

Die Welle ist damit vorbei, eine Entwarnung für die Einbindung selbst ist das aber nicht. An der Einschätzung der Aufsichtsbehörden hat sich nichts geändert: Ohne Einwilligung ist das dynamische Laden nicht zulässig. Seit 2023 gibt es mit dem EU-US Data Privacy Framework zwar wieder eine Grundlage für Datenübermittlungen in die USA, was den Übertragungs-Aspekt entschärft. Eine Klage dagegen hat das Gericht der Europäischen Union im September 2025 abgewiesen (Rechtssache T-553/23), rechtskräftig ist das Urteil nicht (Stand August 2026). Am Kernpunkt ändert das ohnehin nichts: Die IP deiner Besucher geht an einen Dritten, obwohl es dafür keinen Grund gibt. Es lohnt sich nur niemand mehr, industriell damit zu drohen.

Bist du betroffen?

Öffne deine Website in Chrome oder Firefox, drücke F12, wähle den Reiter „Netzwerk“ und lade die Seite neu. Tippe in das Filterfeld fonts. Tauchen dort Anfragen an fonts.googleapis.com oder fonts.gstatic.com auf, lädt deine Seite Schriften von Google.

Das passiert öfter unbemerkt, als man denkt: Themes, Page-Builder, Buchungs-Widgets und eingebettete Karten bringen Google Fonts gern heimlich mit. Deshalb reicht es nicht, dass du selbst keinen Font-Link eingebaut hast. Prüfen musst du das Ergebnis im Browser, nicht deinen Quelltext.

Google Fonts lokal hosten: die vier Schritte

1. Schriften herunterladen

Der bequemste Weg ist der google-webfonts-helper, ein kostenloses Open-Source-Tool: Schrift auswählen, Schriftschnitte anhaken, ZIP herunterladen. Das Format woff2 reicht heute, alle aktuellen Browser können es. Die alten Formate (ttf, eot) kannst du weglassen. Rechtlich ist das sauber: Google Fonts stehen unter offenen Lizenzen, fast immer der SIL Open Font License 1.1, ein Rest unter Apache 2.0. Beide erlauben das Selbsthosten ausdrücklich.

Lade dabei nur die Schnitte herunter, die du wirklich benutzt. Als Faustregel liegt ein Schnitt als Latin-woff2 bei 15 bis 30 Kilobyte. Zwölf Schnitte statt vier kosten dich also schnell ein paar hundert Kilobyte, die nie jemand sieht.

2. Dateien auf den eigenen Server legen

Die woff2-Dateien kommen in einen Ordner deines Webspace, zum Beispiel /fonts/. Sie werden damit genauso ausgeliefert wie deine Bilder, von deinem Server, ohne Umweg.

3. Schrift per CSS einbinden

In dein Stylesheet kommt ein @font-face-Block, den der webfonts-helper gleich mitliefert: Schriftname, Pfad zur Datei, dazu font-display: swap, damit der Text sofort mit einer Ersatzschrift erscheint, statt auf die Datei zu warten.

4. Google-Link entfernen und nachprüfen

Jetzt den alten Einbindungs-Link (<link href="https://fonts.googleapis.com/…">) aus dem Head bzw. Theme entfernen, sonst lädst du doppelt. Danach derselbe Check wie oben: F12, Netzwerk, Filter „fonts“. Wenn keine Google-Domains mehr auftauchen, bist du fertig. Zum Schluss noch die Datenschutzerklärung anpassen: Der Passus zu Google Fonts fliegt raus oder wird auf lokales Hosting umgestellt.

Damit ist der Font-Teil erledigt. Die übrigen Tempo-Hebel stehen im Ladezeit-Guide.

WordPress: der kürzeste Weg

Bei WordPress musst du meist gar nicht selbst basteln. Drei Wege, in dieser Reihenfolge:

• Theme-Einstellung. Viele Themes haben inzwischen einen Schalter „Schriften lokal laden“ oder „Google Fonts deaktivieren“. Der ist schneller als jedes Plugin und hinterlässt keine zusätzliche Abhängigkeit.
• Standard-Themes. Die älteren Standard-Themes Twenty Twelve bis Twenty Seventeen liefern ihre Schriften seit WordPress 6.2 aus dem Theme-Ordner statt von Google (Make WordPress Core, 06.03.2023). Die neueren kommen ohnehin mit System- oder mitgelieferten Schriften. Wer eins davon nutzt und trotzdem Google-Requests sieht, hat sie woanders her.
• Plugin. Werkzeuge wie OMGF laden die Schriften einmalig herunter und schreiben die Einbindung um. Praktisch, aber es bleibt ein Plugin mehr, das gepflegt werden will.

Nach jedem dieser Wege gilt derselbe Nachweis: F12, Netzwerk, Filter „fonts“. Was du nicht im Browser gesehen hast, hast du nicht geprüft.

Der schwierige Rest: Schriften, die du nicht selbst einbindest

Der Font-Link im Head ist die leichte Übung. Hartnäckiger sind fremde Einbettungen, die ihre Schriften selbst nachladen: Google-Maps-Karten, Buchungs- und Terminwidgets, Bewertungs-Slider, eingebettete Formulare. Da hilft kein lokaler @font-face, weil der Code nicht dir gehört.

Drei Möglichkeiten, wieder von der einfachsten her:

• Ersetzen. Eine statische Kartengrafik mit Link auf die Route erfüllt bei den meisten Firmenseiten denselben Zweck wie die interaktive Karte. Auch ein Kontaktformular vom eigenen Server tut es.
• Erst auf Klick laden. Die Einbettung zeigt zunächst nur eine Vorschau und lädt erst nach einer bewussten Zustimmung. Das ist der übliche Weg, wenn die Karte wirklich gebraucht wird.
• Alternative wählen. Bei Karten und Terminbuchungen gibt es Anbieter, die ohne Google auskommen. Das ist oft weniger Arbeit als jede Bastellösung.

Ein Hinweis in der Datenschutzerklärung ist dabei keine Einwilligung: Die setzt eine aktive Zustimmung voraus.

Wie ich es in Kundenprojekten mache

Bei meinen Projekten stellt sich die Frage gar nicht erst. Next.js lädt Google-Schriften einmalig beim Bauen der Website herunter und liefert sie danach immer vom eigenen Server aus. Zur Laufzeit gibt es keinen einzigen Request an Google, und das ist bei meinem Webdesign Standard, kein Aufpreis-Extra.

Der Nebeneffekt kommt gratis dazu. Der Standard-Einbau spricht nämlich zwei fremde Hosts an: Das CSS kommt von fonts.googleapis.com, die Schriftdateien von fonts.gstatic.com. Das sind zwei DNS-Lookups und zwei Verbindungsaufbauten, und die Schriftdatei kann erst starten, wenn das CSS da ist. Alles davon passiert früh beim Laden, wo es am meisten stört. Warum Tempo überhaupt zählt, steht im Artikel über schnelle Ladezeiten.

Geht es auch mit Einwilligung?

Theoretisch ja. Du könntest Google Fonts über ein Consent-Banner erst nach Zustimmung laden. Praktisch ist das absurd: Du würdest Besucher mit einem Banner behelligen und bekämst dafür eine Website, die ohne Zustimmung mit Ersatzschrift daherkommt. Selber hosten ist einfacher, schneller und braucht keine einzige Zustimmung. Bei Schriften gibt es schlicht keinen guten Grund für den Google-Server.