Google Fonts lokal einbinden — Abmahnrisiko vermeiden

Schriften prägen das Erscheinungsbild fast jeder Website. Über Jahre war es der bequemste Weg, Google Fonts direkt von Google einzubinden: ein paar Zeilen Code, und die Schrift lädt automatisch. Genau diese bequeme Variante ist datenschutzrechtlich in die Kritik geraten — und hat eine Welle von Abmahnungen und Schadenersatz-Forderungen ausgelöst. Dieser Beitrag erklärt neutral, worin das mögliche Risiko liegt und wie du Schriften stattdessen lokal („self-hosted") ausspielst.

Hinweis: Dieser Artikel ist eine technische Einordnung und ersetzt keine Rechtsberatung. Im Zweifel ziehst du am besten deine Datenschutzbeauftragte oder einen Fachanwalt hinzu.

Worum geht es technisch?

Bei der dynamischen Einbindung lädt der Browser deiner Besucher die Schriftdateien direkt von einem Google-Server (zum Beispiel fonts.googleapis.com und fonts.gstatic.com). Damit dieser Request überhaupt funktioniert, muss der Browser die IP-Adresse des Besuchers an Google übermitteln — technisch unvermeidbar, weil jede HTTP-Anfrage eine Absender-IP trägt. Diese Server stehen überwiegend in den USA.

Die IP-Adresse gilt nach überwiegender Auffassung als personenbezogenes Datum, weil sich darüber – zumindest mit Zusatzwissen – ein Bezug zu einer Person herstellen lässt. Wird sie ohne Rechtsgrundlage und ohne Einwilligung an einen Dienst in einem Drittland wie den USA übertragen, deutet das auf ein datenschutzrechtliches Problem hin. Der Punkt ist nicht „Google Fonts ist verboten", sondern: die dynamische, ungefragte Übertragung der Besucher-IP an einen Dritten ist der kritische Teil. Lieferst du dieselbe Schrift von deinem eigenen Server aus, entfällt diese Übertragung – die Schrift selbst bleibt dieselbe.

Dynamisch (CDN) vs. lokal (self-hosted)

• Dynamisch / CDN: Der Browser holt die Schrift bei jedem Seitenaufruf von Google. Vorteil: bequem. Nachteil: die Besucher-IP geht an einen Drittanbieter, in der Regel ohne vorherige Einwilligung.
• Lokal / self-hosted: Die Schriftdateien liegen auf deinem eigenen Server (bzw. werden über deine eigene Domain ausgeliefert). Der Browser kontaktiert keinen externen Dienst, es wird keine IP an Google übermittelt.

Der rechtliche Bezugspunkt

Viel Aufmerksamkeit hat ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20) erhalten. Das Gericht sprach einer Klägerin Schadenersatz zu, weil eine Website Google Fonts dynamisch eingebunden und dabei ihre IP-Adresse ohne Einwilligung an Google in den USA übertragen hatte. In der Folge kam es zu einer breiten Abmahn- und Forderungswelle, bei der zahlreiche Website-Betreiber wegen dynamisch eingebundener Google Fonts angeschrieben wurden.

Wichtig zur Einordnung: Es handelt sich um eine erstinstanzliche Einzelfall-Entscheidung eines Landgerichts — kein höchstrichterliches Grundsatzurteil und keine gefestigte Rechtsprechung; die rechtliche Diskussion dazu ist nicht in jedem Detail abgeschlossen. Die im Fall zugesprochenen 100 € sind kein Pauschalanspruch, der sich automatisch auf jede Website mit dynamisch eingebundenen Google Fonts übertragen ließe — Abmahn- oder Forderungsschreiben, die einen solchen Betrag pauschal ansetzen, sind nicht gleichbedeutend mit einer gerichtlich festgestellten Pflicht. Trotzdem hat der Fall gezeigt, dass die dynamische Einbindung erfahrungsgemäß abmahnrelevant sein kann. Die naheliegende technische Antwort darauf ist unstrittig und einfach: Schriften lokal ausliefern, damit gar keine Besucher-IP an Google fließt. Ob in deinem konkreten Fall ein Risiko besteht, beurteilt verlässlich nur eine fachkundige Prüfung.

Einen schnellen ersten Eindruck — ob deine Seite überhaupt Schriften von einem Google-Server nachlädt — bekommst du in rund einer Minute mit dem kostenlosen Schnellcheck. Er ersetzt keine fachkundige Prüfung, zeigt dir aber sofort, ob an dieser Stelle Handlungsbedarf besteht.

So bindest du Schriften lokal ein

1. Klassisch: Download und @font-face

Für statische Seiten oder klassische CMS lädst du die gewünschten Schriftschnitte herunter (etwa als WOFF2), legst sie in dein Projekt und referenzierst sie selbst per CSS:

@font-face {
  font-family: "Inter";
  src: url("/fonts/inter-regular.woff2") format("woff2");
  font-weight: 400;
  font-display: swap;
}

Entscheidend ist, dass der src auf einen Pfad deiner eigenen Domain zeigt — und dass im fertigen HTML/CSS keine Verweise auf fonts.googleapis.com oder fonts.gstatic.com mehr stehen. Achte darauf, beim Umstieg auch Theme-Optionen, Page-Builder und alte <link>-Tags zu bereinigen, die die Schrift sonst weiterhin von Google nachladen.

Beachte beim Hosten fremder Schriften außerdem deren Lizenz. Google Fonts stehen meist unter der SIL Open Font License, die das Selbst-Hosten erlaubt — prüfe das aber für jede konkrete Schrift.

2. Next.js: next/font

In Next.js übernimmt next/font/google das Self-Hosting automatisch: Die Schriftdateien werden zur Build-Zeit geladen und über deine eigene Domain ausgeliefert. Zur Laufzeit kontaktiert der Browser deiner Besucher keinen Google-Server.

import { Inter } from "next/font/google"

const inter = Inter({ subsets: ["latin"], display: "swap" })

export default function Layout({ children }) {
  return <html className={inter.className}>{children}</html>
}

Diese Seite selbst nutzt denselben Ansatz: Die Schriften sind über next/font self-hosted und werden über unsere eigene Infrastruktur ausgeliefert — sie werden nicht zur Laufzeit von einem Google-Server nachgeladen.

Ein paar Stolpersteine bleiben auch beim Self-Hosting: Vergiss nicht, alte <link rel="preconnect"> auf fonts.gstatic.com zu entfernen, und prüfe eingebettete Inhalte (Karten, Buchungs- oder Bewertungs-Widgets), die ihre eigenen Schriften nachladen können. Auch Icon-Schriften wie „Material Symbols" laufen oft noch über Google-Server.

Wie prüfst du deine eigene Seite?

Du musst kein Profi sein, um einen ersten Eindruck zu bekommen:

• Netzwerk-Tab der Entwicklertools: Öffne deine Seite, drücke F12, gehe auf „Netzwerk" und lade neu. Filtere nach „font" oder „google" und sieh nach, ob Requests an fonts.googleapis.com oder fonts.gstatic.com auftauchen.
• Quelltext durchsuchen: Suche im HTML-Quelltext nach googleapis und gstatic. Treffer deuten auf eine dynamische Einbindung hin.
• Unterseiten nicht vergessen: Schriften werden oft nur auf bestimmten Templates nachgeladen (Blog, Shop, eingebettete Inhalte) — prüfe mehrere Seitentypen.

Kurz zusammengefasst

• Dynamisch eingebundene Google Fonts übertragen die Besucher-IP an Google-Server, in der Regel in den USA — ohne Einwilligung gilt das als heikel.
• Das LG München I (Urteil vom 20.01.2022, Az. 3 O 17493/20) sprach deswegen Schadenersatz zu; danach folgte eine Abmahnwelle. Es bleibt eine erstinstanzliche Einzelentscheidung.
• Die saubere technische Lösung ist Self-Hosting: Schriften per @font-face über die eigene Domain oder, in Next.js, über next/font ausliefern.
• Prüfen kannst du das im Netzwerk-Tab oder im Quelltext — Treffer auf googleapis/gstatic deuten auf eine externe Einbindung hin.

Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.