Google Fonts DSGVO-konform selbst hosten — so geht's

Die kurze Antwort vorweg: Google Fonts selbst zu nutzen ist völlig in Ordnung. Das Problem ist, wie sie geladen werden. Bindest du sie über den Standard-Link von Googles Servern ein, schickt der Browser bei jedem Seitenaufruf die IP-Adresse deiner Besucher an Google — ohne dass die eingewilligt haben. Die Lösung: Schriften herunterladen und vom eigenen Server ausliefern. Wie das geht, steht unten in vier Schritten.

Wenn du nur wissen willst, ob deine Seite betroffen ist: Spring zum Abschnitt „Bist du betroffen?“ — der Check dauert eine Minute.

Warum das überhaupt ein Problem ist

Im Januar 2022 hat das Landgericht München I einem Website-Besucher 100 € Schadenersatz zugesprochen, weil eine Seite Google Fonts dynamisch von Google-Servern lud und dabei seine IP-Adresse in die USA übertrug (Urteil vom 20.01.2022, Az. 3 O 17493/20). Die IP-Adresse zählt als personenbezogenes Datum — und für die Übertragung gab es weder Einwilligung noch ein berechtigtes Interesse, denn es geht ja auch ohne.

Danach rollte eine Abmahnwelle: Automatische Crawler durchsuchten hunderttausende Websites, die Schreiben forderten in der Regel 170 €. Diese Massen-Abmahnungen hat dasselbe Gericht im März 2023 als rechtsmissbräuchlich eingestuft (Urteil vom 30.03.2023, Az. 4 O 13063/22): Wer per Crawler gezielt nach Verstößen sucht, ist nicht wirklich betroffen und bekommt nichts. Die Welle ist damit vorbei — eine Entwarnung für die Einbindung selbst ist das aber nicht. Die Datenschutz-Aufsichtsbehörden halten das dynamische Laden ohne Einwilligung weiterhin für unzulässig (Stand Juli 2026). Zwar gibt es seit 2023 wieder ein Datenschutzabkommen mit den USA, das den Übertragungs-Aspekt entschärft (und derzeit selbst vor Gericht steht) — am Kernpunkt ändert das nichts: Die IP deiner Besucher geht an einen Dritten, obwohl es dafür keinen Grund gibt. Es lohnt sich nur niemand mehr, industriell damit zu drohen.

Bist du betroffen?

Der Check dauert wirklich nur eine Minute: Öffne deine Website in Chrome oder Firefox, drücke F12, wähle den Reiter „Netzwerk“ und lade die Seite neu. Tippe in das Filterfeld fonts. Tauchen dort Anfragen an fonts.googleapis.com oder fonts.gstatic.com auf, lädt deine Seite Schriften von Google.

Das passiert öfter unbemerkt, als man denkt: WordPress-Themes, Page-Builder, Buchungs-Widgets und eingebettete Karten bringen Google Fonts gern heimlich mit. Deshalb reicht es nicht, dass du selbst keinen Font-Link eingebaut hast — prüfen musst du das Ergebnis im Browser.

Selbst hosten in vier Schritten

1. Schriften herunterladen

Der bequemste Weg ist der google-webfonts-helper (ein kostenloses Open-Source-Tool): Schrift auswählen, Schriftschnitte anhaken, ZIP herunterladen. Das Format woff2 reicht heute — alle aktuellen Browser können es, die alten Formate (ttf, eot) kannst du weglassen. Rechtlich ist das sauber: Google Fonts stehen unter offenen Lizenzen (SIL Open Font License bzw. Apache), die das Selbsthosten ausdrücklich erlauben.

2. Dateien auf den eigenen Server legen

Die woff2-Dateien kommen in einen Ordner deines Webspace, z. B. /fonts/. Sie werden damit genauso ausgeliefert wie deine Bilder — von deinem Server, ohne Umweg.

3. Schrift per CSS einbinden

In dein Stylesheet kommt ein @font-face-Block, den der webfonts-helper gleich mitliefert: Schriftname, Pfad zur Datei, dazu font-display: swap, damit der Text sofort mit einer Ersatzschrift erscheint, statt auf die Datei zu warten.

4. Google-Link entfernen und nachprüfen

Jetzt den alten Einbindungs-Link (<link href="https://fonts.googleapis.com/…">) aus dem Head bzw. Theme entfernen — sonst lädst du doppelt. Danach derselbe Check wie oben: F12, Netzwerk, Filter „fonts“. Wenn keine Google-Domains mehr auftauchen, bist du fertig. Bei WordPress nehmen dir Plugins wie OMGF die Schritte ab; viele Themes haben inzwischen auch einen Schalter „Fonts lokal laden“. Zum Schluss noch die Datenschutzerklärung anpassen: Der Passus zu Google Fonts fliegt raus oder wird auf lokales Hosting umgestellt.

Wie ich es in Kundenprojekten mache

Bei meinen Projekten stellt sich die Frage gar nicht erst: Das Framework, mit dem ich baue, lädt Google-Schriften einmalig beim Bauen der Website herunter und liefert sie danach immer vom eigenen Server aus. Zur Laufzeit gibt es keinen einzigen Request an Google — das ist bei meinem Webdesign Standard, kein Aufpreis-Extra. Der Nebeneffekt ist messbar: Eine Verbindung zu einem fremden Server fällt komplett weg, und das macht die Seite schneller — warum das zählt, steht im Artikel über schnelle Ladezeiten.

Geht es auch mit Einwilligung?

Theoretisch ja: Du könntest Google Fonts über ein Consent-Banner erst nach Zustimmung laden. Praktisch ist das absurd — du würdest Besucher mit einem Banner behelligen und bekämst dafür eine Website, die ohne Zustimmung mit Ersatzschrift daherkommt. Selbst hosten ist einfacher, schneller und braucht keine einzige Zustimmung. Es gibt bei Schriften schlicht keinen guten Grund für den Google-Server.