Google Fonts in WordPress lokal einbinden: Schriften datenschutzkonform vom eigenen Server laden

Lädt Ihre WordPress-Website Schriften direkt von den Servern von Google, übermittelt der Browser jedes Besuchers dessen IP-Adresse an Google. Das Landgericht München I hat darin einen Verstoß gegen das Persönlichkeitsrecht gesehen, wenn keine Einwilligung vorliegt. Die Lösung ist technisch einfach: Die Schriftdateien liegen auf Ihrem eigenen Server, und kein Seitenaufruf baut mehr eine Verbindung zu Google auf. Diese Anleitung zeigt, wie Sie externe Schriften finden, sie mit der Schriftbibliothek von WordPress, mit dem Plugin OMGF oder mit wenigen Zeilen Code lokal einbinden und das Ergebnis nachprüfbar kontrollieren. Alle Schritte haben wir mit WordPress 7.1.2 im Labor nachgestellt.

Voraussetzungen

• WordPress: eine aktuelle Version. Getestet mit WordPress 7.1.2, PHP 8.4 und dem Blocktheme Twenty Twenty-Five.
• Rolle: Administrator im WordPress-Backend.
• Zugriff: Backend genügt für die Wege mit Schriftbibliothek und OMGF. Für den Weg per Must-Use-Plugin brauchen Sie FTP/SFTP oder den Dateimanager Ihres Hosters. SSH mit curl ist für die Kontrolle hilfreich, aber nicht Pflicht.
• Backup: ein aktuelles Backup von Dateien und Datenbank, bevor Sie Plugins installieren oder Dateien anlegen.
• Datenschutzerklärung: Zugriff auf den Text, um den Abschnitt zu Google Fonts nach der Umstellung anzupassen.

Schritt 1: Externe Schriften finden

Bevor Sie etwas ändern, stellen Sie fest, ob und woher Ihre Website Google-Schriften lädt. Es genügt nicht, nur die Startseite zu prüfen: Kontaktformulare, Karten, Slider oder Cookie-Banner binden Schriften oft nur auf einzelnen Unterseiten ein. Die schnellste Prüfung ist der Quelltext:

curl -s https://ihre-domain.de/ | grep -o "[^\"' ]*fonts\.g[a-z]*\.com[^\"' ]*" | sort -u

Im Labor haben wir ein Test-Plugin eingebunden, das die Schrift Open Sans über die übliche Funktion wp_enqueue_style lädt. Die Ausgabe zeigte zwei Treffer:

//fonts.googleapis.com
https://fonts.googleapis.com/css2?family=Open+Sans:wght@400;700&display=swap

Der erste Treffer ist ein Hinweis dns-prefetch, den WordPress für externe Stylesheets automatisch ergänzt. Er löst eine DNS-Abfrage für Google aus, auch wenn keine Schrift geladen wird. Den zweiten Treffer finden Sie im Quelltext als <link rel='stylesheet' id='gfonts-demo-css' …>. Der Wert von id ohne die Endung -css ist der sogenannte Handle, unter dem das Theme oder Plugin die Schrift registriert hat. Den brauchen Sie in Schritt 4.

Ergänzend öffnen Sie die Entwicklertools des Browsers, wechseln in den Reiter „Netzwerk“ und filtern nach fonts.g. So sehen Sie auch Schriften, die per JavaScript nachgeladen werden. Leeren Sie vorher einen Seiten-Cache, sonst sehen Sie eine veraltete Version der Seite.

Verifizieren: Sie haben eine Liste der Seiten mit Treffern und kennen für jeden Treffer den Handle und damit das verantwortliche Theme oder Plugin.

Schritt 2: Rechtlichen Hintergrund einordnen

Das Landgericht München I hat mit Urteil vom 20. Januar 2022 (Az. 3 O 17493/20) entschieden: Leitet ein Websitebetreiber die dynamische IP-Adresse eines Besuchers ohne dessen Zustimmung durch Einbindung von Google Fonts an Google weiter, verletzt das dessen Persönlichkeitsrecht. Einen Rechtfertigungsgrund sah das Gericht nicht, weil sich Google Fonts auch ohne Verbindung zu einem Google-Server nutzen lassen. Genau das ist das Ziel dieser Anleitung.

Die lokale Einbindung hat einen zweiten Vorteil: Der Browser muss keine Verbindung zu einem weiteren Server aufbauen. Ein Nachteil ist, dass Sie Schrift-Aktualisierungen von Google nicht mehr automatisch erhalten. Für Unternehmenswebsites ist das in der Regel unerheblich, weil sich Schriften selten ändern. Diese Anleitung ersetzt keine Rechtsberatung. Fragen zur Gestaltung Ihrer Datenschutzerklärung klären Sie mit Ihrem Datenschutzbeauftragten.

Verifizieren: Sie wissen, welche Einbindungen umgestellt werden müssen, und haben entschieden, welchen der folgenden Wege Sie für welchen Treffer nutzen.

Schritt 3: Schriften mit der Schriftbibliothek installieren (Blockthemes)

Nutzen Sie ein Blocktheme wie Twenty Twenty-Five, bringt WordPress eine eigene Schriftbibliothek mit. Sie finden sie im Backend unter „Design“ → „Schriften“. Unter „Bibliothek“ stehen die installierten Schriften, über „Hochladen“ fügen Sie eigene Schriftdateien hinzu, und die Sammlung „Google Fonts“ umfasste im Labor 1949 Schriftfamilien. Beim ersten Öffnen der Sammlung verlangt WordPress eine Zustimmung mit der Schaltfläche „Zugriff auf Google Fonts erlauben“. WordPress erklärt dazu, dass die Schriften von Google heruntergeladen und auf Ihrer Website gespeichert werden und die Website danach die lokal gespeicherten Schriften verwendet.

Wählen Sie die Schrift, markieren Sie nur die Schnitte, die Sie wirklich brauchen, zum Beispiel Normal 400 und Fett 700, und klicken Sie auf „Installieren“. Jeder zusätzliche Schnitt ist eine weitere Datei, die Besucher laden. Im Labor landeten die beiden Dateien unter:

wp-content/uploads/fonts/

Danach weisen Sie die Schrift im Website-Editor unter „Stile“ → „Typografie“ zu. WordPress erzeugt daraus im Seitenkopf eine eingebettete Regel, im Labor mit folgendem Inhalt:

@font-face{font-family:"Open Sans";font-style:normal;font-weight:400;font-display:fallback;src:url('https://ihre-domain.de/wp-content/uploads/fonts/…woff2') format('woff2');}

Wichtig: Die Schriftbibliothek installiert Schriften, entfernt aber keine Google-Einbindung durch Plugins oder klassische Themes. Hat Schritt 1 solche Treffer gezeigt, brauchen Sie zusätzlich Schritt 4 oder 5.

Verifizieren: Die Schrift steht im Reiter „Bibliothek“, im Quelltext der Startseite verweist die Regel @font-face auf Ihre eigene Domain und nicht auf fonts.gstatic.com.

Schritt 4: Google Fonts von Theme und Plugins mit OMGF ersetzen

Klassische Themes, Page-Builder und viele Plugins binden Google Fonts selbst ein. Hier hilft das kostenlose Plugin OMGF aus dem WordPress-Plugin-Verzeichnis (Plugin-Slug host-webfonts-local, getestet mit Version 6.3.12). Es erkennt Google-Fonts-Stylesheets, lädt die Schriften einmal auf Ihren Server und ersetzt die Einbindung durch die lokale Kopie.

wp plugin install host-webfonts-local --activate
wp language plugin install host-webfonts-local de_DE

Im Labor genügte die Aktivierung: Beim nächsten Seitenaufruf verwies das Stylesheet auf wp-content/uploads/omgf/gfonts-demo/gfonts-demo.css, daneben lagen die Schriftdateien als .woff2. Auch der Hinweis dns-prefetch auf Google war verschwunden. Die Einstellungen finden Sie unter „Einstellungen“ → „OMGF“. Dort zeigt der Cachestatus jedes erkannte Stylesheet mit seinem Handle.

Zwei Einstellungen sind in der Praxis wichtig:

• Testmodus: Ist er aktiv, sehen nur angemeldete Administratoren oder Aufrufe mit ?omgf=1 die lokalen Schriften. Nützlich zum Testen, aber für Besucher bleibt dann alles beim Alten. Deaktivieren Sie ihn nach dem Test.
• Nicht benötigte Schnitte: Unter „Lokale Schriftarten“ können Sie Schriftschnitte gezielt entladen. Das spart Datenmenge.

OMGF zeigt im Labor zudem einen Hinweis, wenn die Website nicht per HTTPS läuft, weil gemischte Inhalte dann zu Systemschriften führen können. Auf einer Live-Website mit HTTPS entfällt dieser Hinweis.

Verifizieren: Die curl-Abfrage aus Schritt 1 liefert für alle betroffenen Seiten keinen Treffer mehr, und die Seiten zeigen weiterhin die gewünschte Schrift.

Schritt 5: Einbindung ohne Plugin per Code entfernen

Möchten Sie kein weiteres Plugin einsetzen oder erkennt OMGF eine Einbindung nicht, entfernen Sie das externe Stylesheet gezielt über seinen Handle. Ein Must-Use-Plugin eignet sich dafür besser als die functions.php des Themes, weil es Theme-Wechsel und Theme-Updates übersteht und im Backend nicht versehentlich deaktiviert werden kann. Legen Sie die Datei wp-content/mu-plugins/keine-google-fonts.php an:

<?php
/**
 * Plugin Name: Keine Google Fonts von Drittservern
 */
add_action( 'wp_enqueue_scripts', function () {
	wp_dequeue_style( 'gfonts-demo' );
}, 100 );

Ersetzen Sie gfonts-demo durch den Handle aus Schritt 1. Die Priorität 100 sorgt dafür, dass die Zeile nach der Einbindung durch Theme oder Plugin läuft. Existiert der Ordner mu-plugins nicht, legen Sie ihn an. Im Labor war die Google-Einbindung danach vollständig verschwunden, und wp plugin list --status=must-use zeigte das neue Plugin.

Damit ist die Schrift aber nur entfernt, nicht ersetzt. Installieren Sie sie anschließend über die Schriftbibliothek (Schritt 3) oder binden Sie die Dateien bei klassischen Themes über das Child-Theme ein. Das ist mehr Handarbeit als OMGF, dafür wissen Sie genau, was geladen wird. Wie ein Child-Theme angelegt wird, beschreibt Child-Theme anlegen und Anpassungen bei Theme-Updates behalten.

Verifizieren: Nach dem Leeren aller Caches liefert die curl-Abfrage keinen Treffer, und das Must-Use-Plugin erscheint in der Plugin-Liste unter „Must-Use“.

Schritt 6: Ergebnis kontrollieren und dauerhaft sichern

Wiederholen Sie die Prüfung aus Schritt 1 für alle notierten Seiten und zusätzlich für Kontaktseite, Blogbeitrag und Impressum. Prüfen Sie in den Entwicklertools des Browsers mit leerem Cache, dass keine Anfrage an fonts.googleapis.com oder fonts.gstatic.com mehr erfolgt. Passen Sie dann Ihre Datenschutzerklärung an: Ein Abschnitt, der die Übermittlung an Google beschreibt, trifft nicht mehr zu.

Die Umstellung ist kein einmaliger Vorgang. Ein Theme-Update, ein neues Plugin oder ein neuer Block kann wieder eine Google-Einbindung mitbringen, und ein Test-Plugin wie im Labor zeigt, wie schnell das passiert. Nehmen Sie die curl-Prüfung deshalb in Ihre Routine nach Updates auf. Wer diese Kontrolle zusammen mit den Updates nicht selbst im Kalender halten möchte, kann sie abgeben: Die WordPress-Wartung von wordpressupdate.de spielt Updates von WordPress, Plugins und Themes mit Kompatibilitätsprüfung ein, sichert die Website wöchentlich auf externen Speicher und beginnt mit einer einmaligen Homepage-Analyse.

Verifizieren: Keine Seite lädt Ressourcen von Google-Schriftservern, und die Datenschutzerklärung beschreibt den tatsächlichen Stand.

Typische Fehler

• Nach der Umstellung erscheinen Systemschriften: Die Schriftdatei wird über HTTP statt HTTPS eingebunden oder ein CDN blockiert sie. Prüfen Sie in den Entwicklertools, ob die .woff2-Datei mit Status 200 geladen wird. OMGF weist im Dashboard selbst auf fehlendes HTTPS hin.
• Treffer bleiben trotz OMGF: Der Testmodus ist aktiv, oder ein Seiten-Cache liefert die alte Seite aus. Testmodus abschalten, OMGF-Cache und Seiten-Cache leeren.
• wp_dequeue_style wirkt nicht: Der Handle stimmt nicht, oft wurde die Endung -css nicht entfernt, oder das Plugin bindet die Schrift erst später ein. Handle im Quelltext prüfen, Priorität erhöhen.
• Schrift per @import in einer CSS-Datei: Solche Einbindungen erscheinen nicht als eigenes <link>. Sie finden sie über den Netzwerk-Reiter. Im Labor getestet haben wir nur die Einbindung per wp_enqueue_style.
• Google Maps, YouTube oder reCAPTCHA laden weiterhin Google-Ressourcen: Das sind eigene Dienste mit eigener Datenübertragung, die diese Anleitung nicht abdeckt.

Häufige Fragen

Darf ich Google-Schriften überhaupt auf meinem Server speichern?

WordPress bietet genau das in der eigenen Schriftbibliothek an und lädt die Schriften dafür von Google herunter. Prüfen Sie trotzdem die Lizenz der jeweiligen Schrift, besonders bei Schriften, die nicht aus der Sammlung in WordPress stammen.

Reicht es, Google Fonts nur nach Einwilligung im Cookie-Banner zu laden?

Technisch ist das möglich, aber umständlich: Besucher ohne Einwilligung sehen eine Ersatzschrift, und das Banner selbst darf keine Google-Schrift nutzen. Die lokale Einbindung vermeidet die Übermittlung vollständig und ist daher der einfachere Weg.

Wird meine Website dadurch schneller?

Der Browser spart die Verbindung zu zwei externen Servern. Wie viel das ausmacht, hängt von Ihrer Seite ab. Messen Sie vorher und nachher, wie in Langsame WordPress-Plugins mit Query Monitor finden beschrieben.

Was ist mit Schriftdiensten wie Bunny Fonts?

Auch dabei baut der Browser eine Verbindung zu einem externen Server auf. OMGF erkennt laut Plugin-Beschreibung auch Bunny Fonts und lädt sie lokal. Getestet haben wir das nicht.

Testumfang

Wir haben das mit WordPress 7.1.2 und Twenty Twenty-Five ausprobiert. Open Sans ließ sich über die Schriftbibliothek installieren und lag danach unter wp-content/uploads/fonts. OMGF ersetzte die Google-Einbindung automatisch und entfernte dabei auch den DNS-Prefetch.

Nicht geprüft haben wir die Klickwege der Schriftbibliothek im Editor, klassische Themes und Page-Builder. Nutzen Sie so etwas, testen Sie die Umstellung bitte zuerst auf einer Kopie Ihrer Seite.

Fazit

Google Fonts lokal einzubinden, ist in den meisten Fällen eine Sache von einer Stunde: Einbindungen finden, mit Schriftbibliothek, OMGF oder Must-Use-Plugin umstellen und mit curl nachweisen, dass keine Verbindung zu Google mehr entsteht. Entscheidend ist die Kontrolle nach jedem Update, damit keine neue Einbindung unbemerkt zurückkehrt. Diese laufende Pflege übernimmt auf Wunsch die WordPress-Wartung von Marcel Schönfelder.

Weiterführende Anleitungen und Quellen

• Child-Theme anlegen und Anpassungen bei Theme-Updates behalten
• Langsame WordPress-Plugins mit Query Monitor finden
• WordPress-Sicherheitsheader: CSP, HSTS und X-Frame-Options
• LG München I, Endurteil vom 20.01.2022, 3 O 17493/20
• OMGF im WordPress-Plugin-Verzeichnis
• WordPress Developer Reference: wp_dequeue_style()
• WordPress Advanced Administration: Must Use Plugins