Welche externen Dienste lädt meine WordPress-Seite eigentlich?

Eine WordPress-Seite besteht längst nicht immer nur aus Dateien, die vom eigenen Webserver geladen werden.

Plugins, Themes, Videos, Karten, Analysewerkzeuge und externe Schriftarten können dazu führen, dass der Browser eines Besuchers bereits beim Öffnen einer Seite Verbindungen zu anderen Anbietern aufbaut.

Welche das sind, lässt sich überraschend einfach selbst untersuchen.

Dafür brauchen wir weder ein WordPress-Plugin noch einen kostenpflichtigen Scanner. Ein moderner Browser reicht.

Warum lädt WordPress überhaupt Inhalte von anderen Servern?

#

WordPress selbst kann vollständig auf dem eigenen Webserver laufen.

Interessant wird es durch die Inhalte und Erweiterungen, die wir hinzufügen.

Typische Beispiele sind:

• eingebettete YouTube-Videos,
• Google Maps,
• Google Analytics,
• externe Webfonts,
• Social-Media-Inhalte,
• Werbe- und Trackingdienste,
• externe JavaScript-Bibliotheken,
• Captcha-Dienste.

Dabei muss nicht zwangsläufig ein klassisches Tracking-Plugin installiert sein.

Schon ein eingebettetes Element kann dazu führen, dass der Browser zusätzliche Server kontaktiert.

Der Browser zeigt uns, was wirklich passiert

#

Für einen ersten Überblick eignen sich die Entwicklerwerkzeuge des Browsers hervorragend.

In Firefox öffnen wir sie mit:

F12

Anschließend wechseln wir zur Netzwerkanalyse und laden die Seite neu.

Jetzt sehen wir die einzelnen HTTP-Anfragen, die der Browser beim Aufbau der Seite durchführt.

Das ist wesentlich aussagekräftiger als nur den sichtbaren Inhalt der Website zu betrachten.

Eine Seite kann optisch vollkommen unspektakulär aussehen und im Hintergrund trotzdem zahlreiche externe Verbindungen aufbauen.

Beispiel 1: Google Analytics

#

Auf unserer Testseite haben wir Google Analytics eingebunden.

Beim erneuten Laden der Seite sehen wir entsprechende Requests in der Netzwerkanalyse.

Ein einfacher Filter nach Begriffen wie

google

oder

analytics

hilft dabei, die relevanten Einträge zu finden.

Damit können wir direkt überprüfen, ob Analytics beim Seitenaufruf aktiv wird.

Beispiel 2: YouTube

#

Ein YouTube-Video lässt sich im WordPress-Editor sehr einfach einbetten.

URL einfügen, veröffentlichen, fertig.

Technisch passiert allerdings mehr.

Der Browser kann beim Aufbau beziehungsweise bei der Nutzung des eingebetteten Players Ressourcen von YouTube und anderen zugehörigen Diensten laden.

Starten wir das Video, kommen weitere Requests hinzu.

Gerade bei eingebetteten Medien lohnt es sich deshalb, nicht nur auf das zu schauen, was im Editor sichtbar ist.

Beispiel 3: Google Maps

#

Noch eindrucksvoller wird das Experiment mit einer eingebetteten Google-Karte.

Für eine einfache Karte benötigt man nicht zwingend eine selbst programmierte Google-Maps-Integration. Über Google Maps lässt sich eine Karte als iframe in eine Website einbetten.

Nach dem Laden unserer Testseite wird die Netzwerkanalyse schnell deutlich voller.

Das ist ein schönes Beispiel dafür, warum die Anzahl sichtbarer Elemente wenig darüber aussagt, wie viele externe Ressourcen eine Website tatsächlich verwendet.

Welche Domains sollte ich mir ansehen?

#

Für die erste Untersuchung muss man nicht jeden einzelnen Request verstehen.

Interessanter ist zunächst die Frage:

Welche fremden Hosts beziehungsweise Domains tauchen überhaupt auf?

Bei einer einfachen WordPress-Seite könnten beispielsweise Verbindungen zu Servern von Google, YouTube oder anderen eingebundenen Anbietern sichtbar werden.

Dabei sollte man nicht automatisch jeden externen Request als Tracker interpretieren.

Ein Request zeigt zunächst nur, dass der Browser eine Ressource von einem anderen Server angefordert hat.

Warum diese Verbindung besteht und welche Daten dabei übertragen werden, ist eine separate Frage.

Ein einfacher Test

#

Wer seine eigene WordPress-Seite untersuchen möchte, kann folgendermaßen vorgehen:

1. Website in einem privaten Browserfenster öffnen.
2. Entwicklerwerkzeuge mit F12 öffnen.
3. Zur Netzwerkanalyse wechseln.
4. Vorhandene Einträge löschen.
5. Seite neu laden.
6. Nach bekannten Diensten oder Domains filtern.
7. Interaktive Inhalte wie Videos anschließend ebenfalls ausprobieren.

Das private Fenster ist hilfreich, weil Browser-Erweiterungen, bestehende Sitzungen und Cookies das Ergebnis beeinflussen können.

Warum ein privates Fenster trotzdem kein perfektes Labor ist

#

Auch damit erhält man nicht automatisch eine vollständige Datenschutzanalyse.

Browser, Erweiterungen, DNS, Caching, Content-Blocker und die konkrete Konfiguration der Website können beeinflussen, welche Requests sichtbar werden.

Die Netzwerkanalyse ist deshalb kein Ersatz für eine professionelle rechtliche oder technische Prüfung.

Sie ist aber hervorragend geeignet, um zunächst zu verstehen, was eine Website technisch tatsächlich tut.

Und häufig findet man dabei Dinge, von denen man gar nicht wusste, dass sie eingebunden sind.

Was ist mit Cookies?

#

Die Netzwerkanalyse zeigt HTTP-Verbindungen.

Cookies können wir zusätzlich über die Entwicklerwerkzeuge untersuchen.

In Firefox finden wir sie im Bereich Web-Speicher beziehungsweise Storage.

Dort lässt sich überprüfen, welche Cookies für die aktuelle Website gespeichert wurden.

Auch hier gilt: Ein Cookie ist nicht automatisch problematisch und nicht jeder externe Dienst verwendet zwangsläufig dieselbe Technik.

Für eine vernünftige Analyse sollte man deshalb Netzwerkzugriffe und gespeicherte Browserdaten getrennt betrachten.

Und was mache ich mit den gefundenen Diensten?

#

Zunächst: aufschreiben.

Beispielsweise:

Google Analytics
YouTube
Google Maps
externe Fonts
Social Media

Danach kann man für jeden Dienst einzeln prüfen:

• Warum ist er eingebunden?
• Wird er tatsächlich benötigt?
• Wann wird er geladen?
• Welche Daten werden übertragen?
• Muss beziehungsweise soll er erst nach einer Einwilligung aktiviert werden?

Gerade der letzte Punkt führt zum Thema Consent Management.

Externe Dienste erst nach Zustimmung laden

#

Bei bestimmten Diensten kann es sinnvoll oder erforderlich sein, sie nicht unmittelbar beim ersten Seitenaufruf zu laden.

Consent-Lösungen können dabei zwischen Website und externem Dienst vermitteln.

Vereinfacht:

Besucher öffnet Website
          │
          ▼
     Consent prüfen
       │       │
     nein      ja
       │       │
       ▼       ▼
   blockieren  Dienst laden

Genau das werden wir in weiteren Anleitungen praktisch untersuchen.

Wir schauen uns unter anderem Google Analytics, YouTube und Google Maps einzeln an und prüfen anschließend mit den Entwicklerwerkzeugen, was sich durch die jeweilige Konfiguration tatsächlich verändert.

Nicht raten, messen

#

Das ist letztlich die wichtigste Erkenntnis.

Bei WordPress ist es leicht, ein Plugin zu installieren, einen Embed einzufügen oder irgendwo einen Tracking-Code zu hinterlegen.

Danach sieht die Website aus wie vorher.

Im Hintergrund kann sich technisch aber einiges verändert haben.

Die Netzwerkanalyse des Browsers gibt uns einen direkten Blick darauf.

Und genau deshalb werden wir sie auch in unseren weiteren WordPress-Anleitungen immer wieder verwenden:

Konfiguration ändern, Seite neu laden und nachsehen, was tatsächlich passiert.