Drittanbieter auf der Website prüfen: wohin Daten gehen

Der kostenlose Drittanbieter-Check zeigt, welche fremden Dienste (Mess- und Werbecodes, Schriften wie Google Fonts, Karten, Videos oder Chat) die Startseite Ihrer Website schon vor der Auswahl im Cookie-Banner lädt, wofür sie dienen und in welchem Land der Anbieter seinen Sitz hat. Jeder dieser Dienste erhält die IP-Adresse des Besuchers, Mess- und Werbecodes zusätzlich weitere Daten zum Besuch.

Aktualisiert 28.10.2026

Was Drittanbieter auf einer Website sind

Drittanbieter ist jeder Dienst auf einer fremden Domain, den die Seite beim Öffnen aufruft: Reichweitenmessung, Werbepixel, Schriften, Karte, Video, Chat, Zahlungsanbieter oder eine Bibliothek aus einem öffentlichen CDN.
Der Browser verbindet sich direkt mit ihm, sodass der Anbieter die IP-Adresse, die Seitenadresse und Angaben zum Browser erhält.
Geladen ist nicht dasselbe wie gesendet. Schon das Herunterladen eines Skripts oder einer Schrift verrät dem Anbieter die IP-Adresse. Mess- und Werbecode sendet zusätzlich weitere Daten zum Besuch, etwa eine Besucherkennung oder das Absenden eines Formulars. WebMeter unterscheidet beide Fälle.

Die wichtigsten Arten von Drittanbieter-Diensten und was der Anbieter erhält:

Arten von Drittanbieter-Diensten, was der Anbieter erhält und die schonendere Lösung
Art des Dienstes	Beispiele	Was der Anbieter erhält	Schonendere Lösung
Reichweitenmessung	Google Analytics, Hotjar, Matomo Cloud	IP-Adresse, Seitenadresse, Angaben zum Browser und eine Besucherkennung	Start erst nach der Einwilligung
Werbung und Remarketing	Meta Pixel, Google Ads, Sklik	dasselbe und zusätzlich Daten zum Besuch, etwa das Absenden eines Formulars	Start erst nach der Einwilligung, Code nach Kampagnenende entfernen
Schriften	Google Fonts, Adobe Fonts	IP-Adresse und Adresse der Website schon beim Öffnen	Schriften vom eigenen Server der Website
Karten und Videos	Google Maps, Mapy.cz, YouTube	IP-Adresse und Adresse der Website schon beim Öffnen	Laden erst nach einem Klick auf die Vorschau
Chat	Smartsupp, tawk.to, LiveChat	IP-Adresse und Seitenadresse, nach Start des Chats auch dessen Inhalt	Laden erst nach einem Klick auf das Chat-Symbol
Bibliotheken und CDN	jsDelivr, cdnjs, unpkg	IP-Adresse und Adresse der Website	Dateien vom eigenen Server, sonst mindestens eine Integritätsprüfung (SRI); sie schützt vor manipulierten Dateien, nicht vor der Weitergabe der IP-Adresse

Warum Drittanbieter für kleine Firmen wichtig sind

Die Einwilligungsregeln für Cookies und Tracking erklärt der Leitfaden Cookies und DSGVO auf der Website; hier geht es darum, wohin die Daten fließen. Die DSGVO erlaubt die Übermittlung personenbezogener Daten außerhalb von EU und EWR nur unter bestimmten Bedingungen. Am einfachsten ist die Übermittlung in ein Land, für das die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat, etwa das Vereinigte Königreich, die Schweiz, Kanada oder Japan. Für die USA gilt seit dem 10. Juli 2023 das EU-US Data Privacy Framework, aber nur für Unternehmen, die sich ihm angeschlossen haben. Eine Klage gegen diesen Rahmen hat das Gericht der EU im September 2025 abgewiesen; über das Rechtsmittel beim Gerichtshof der EU ist noch nicht entschieden.

Ein Sonderfall sind Schriften von Google-Servern. Das Landgericht München I sprach im Januar 2022 einem Besucher 100 Euro zu, weil eine Website seine IP-Adresse ohne Einwilligung an Google weitergab, obwohl die Schriften auch vom eigenen Server hätten geladen werden können. Es handelt sich um ein einzelnes Urteil; in Tschechien, wo WebMeter betrieben wird, gibt es keine vergleichbare Entscheidung.

Häufige Probleme mit Drittanbietern

Mess- und Werbecodes, die vor jeder Auswahl im Cookie-Banner starten.
Schriften, die von Google-Servern statt vom eigenen Server der Website geladen werden.
Ein YouTube-Video oder eine Karte, die schon beim Öffnen der Seite lädt und nicht erst nach einem Klick.
Vergessene Codes aus beendeten Kampagnen und Dienste, die ein Plugin oder Theme eingebunden hat, ohne dass der Inhaber davon weiß.
Bibliotheken aus öffentlichen CDNs ohne Integritätsprüfung (SRI), sodass der Browser eine Änderung der Datei auf dem fremden Server nicht erkennt. Woher eine Seite Skripte laden darf, legt der Header Content-Security-Policy fest; mehr dazu im Check der Sicherheitsheader.
Jede weitere fremde Domain bedeutet eine neue Verbindung zu einem anderen Server, und fremde Skripte können das Laden der Seite verlangsamen. Wie stark, zeigt der Test der Website-Geschwindigkeit.

Tracker prüfen: was wir untersuchen

WebMeter öffnet die Startseite in einem echten Browser, scrollt nicht und klickt nie auf das Einwilligungsbanner. Es erfasst jede fremde Domain, an die die Seite eine Anfrage geschickt hat, und ordnet ihr anhand einer eigenen Liste von über hundert bekannten Diensten einen Zweck (Analyse, Werbung, Chat, Video, Karten, Zahlungen, Schriften, Bibliotheken und CDN) und das Sitzland des Anbieters zu. Maßgeblich ist der Sitz des Anbieters (bei internationalen Konzernen der Muttergesellschaft), nicht der Serverstandort. Die Länder fallen in vier Gruppen: EU und EWR, Länder mit Angemessenheitsbeschluss, USA und andere Drittländer. Bei Bibliotheken mit fester Version aus öffentlichen CDNs weist es auf eine fehlende Integritätsprüfung hin.

Tracking, das die Website erst nach der Einwilligung startet, ist beim Öffnen nicht sichtbar. WebMeter durchsucht deshalb den Code der Startseite und bis zu acht JavaScript-Dateien von der Domain der Website nach den Adressen, von denen Mess- und Werbedienste geladen werden, etwa Google Tag Manager, Meta Pixel, Hotjar oder Sklik (das Werbesystem des tschechischen Portals Seznam.cz). Wurde vor der Einwilligung keine Messung geladen, vermerkt der Bericht, dass sie im Code vorbereitet ist. Die Drittanbieter-Übersicht hat keine eigene Punktzahl; Tracking vor der Einwilligung und Schriften von Google bewertet der Bereich Cookies und DSGVO.

Es sieht nicht, was die Website nach der Einwilligung, auf Unterseiten oder im Warenkorb lädt, und auch keine Daten, die die Website von ihrem eigenen Server sendet. Es prüft nicht, ob ein US-Unternehmen dem Data Privacy Framework angeschlossen ist, und bewertet weder Auftragsverarbeitungsverträge noch Rechtsgrundlage oder Datenschutzerklärung. Dienste außerhalb seiner Liste nennt es nur mit der Domain als unbekannt.

Drittanbieter kostenlos prüfen

Geben Sie eine Domain ein und sehen Sie, welche Drittanbieter die Startseite vor der Einwilligung lädt, zusammen mit den übrigen Bereichen.

Website messen →

Unsicher, was das Ergebnis bedeutet? Wir bieten ein unverbindliches Gespräch an — schreiben Sie einfach an kontakt@webmeter.eu.

Website erstellen lassen – ohne unnötige Tracking-Codes

Wir bauen die neue Website nur mit den Diensten, die Sie wirklich brauchen: Schriften vom eigenen Server, Karten und Videos erst nach einem Klick und Tracking erst nach der Einwilligung. Vor der Übergabe prüfen wir sie mit demselben Drittanbieter-Check wie hier.

So läuft die Website-Erstellung ab → Fallstudie: von 73 auf 97 Punkte →

Häufige Fragen zu Drittanbietern

Darf eine Website Besucherdaten in die USA senden?

Die DSGVO erlaubt Übermittlungen in die USA unter anderem dann, wenn der Empfänger dem EU-US Data Privacy Framework angeschlossen ist; für solche Unternehmen gilt seit dem 10. Juli 2023 ein Angemessenheitsbeschluss der Europäischen Kommission. Ob ein bestimmter Dienst angeschlossen ist, prüft WebMeter nicht. Die Einwilligung in Messung und Werbung ist unabhängig vom Land nötig. Die Gesamtbewertung gehört in die Hände einer Rechtsberatung.

Warum weist WebMeter auf Google Fonts hin?

Wird eine Schrift von Google-Servern geladen, erhält Google die IP-Adresse des Besuchers, meist schon beim Öffnen der Seite. WebMeter meldet es nur, wenn der Browser die Schrift tatsächlich geladen hat, und zählt Schriften innerhalb eines eingebetteten Videos oder einer Karte nicht mit.

Wie findet WebMeter Tracking, das erst nach der Einwilligung startet?

Es führt es nicht aus. Es sucht im Code der Startseite und in den JavaScript-Dateien der Website nach den Adressen, von denen Mess- und Werbedienste geladen werden, auch in Skripten, die das Banner blockiert hält. Das Ergebnis sagt nur, dass die Website den Dienst vorbereitet hat; wann und auf welchen Seiten er startet, lässt sich aus dem Code nicht erkennen.

Was sind Drittanbieter-Cookies?

Cookies, die nicht die besuchte Website setzt, sondern ein in die Seite eingebundener fremder Dienst, typischerweise ein Werbenetzwerk oder ein Analysetool. Sie dienen vor allem dazu, Besucher über verschiedene Websites hinweg zu verfolgen, und Safari und Firefox schränken sie standardmäßig ein. Daten fließen aber auch ohne Cookies ab: Schon das Laden eines Skripts, einer Schrift oder einer Karte verrät dem Anbieter die IP-Adresse des Besuchers.

Wo sehe ich, ob ein US-Dienst dem Data Privacy Framework angeschlossen ist?

In der offiziellen Data Privacy Framework List auf dataprivacyframework.gov, die das US-Handelsministerium führt. Dort steht bei jedem Unternehmen, ob seine Teilnahme aktiv ist. WebMeter führt diese Prüfung nicht durch, es nennt nur das Sitzland des Anbieters.

Weitere Prüfbereiche

Wie sich die Prüfung gegenüber Ihrer Website verhält, beschreibt die Seite über den Robot WebMeterBot; was gespeichert wird und wie lange, steht in der Datenschutzrichtlinie.