DSGVO für WordPress: Der praktische Leitfaden
WordPress ist flexibel, doch genau diese Flexibilität sorgt oft für Datenschutz-Lücken. Jedes Theme, jeder Page-Builder und jedes Plugin kann unbemerkt Daten an Dritte übertragen. Dieser Leitfaden zeigt Ihnen praxisnah, wo die typischen Stolperfallen liegen und mit welchen Plugins Sie Ihre Website in der Regel DSGVO-konform aufstellen.
Warum WordPress besondere Aufmerksamkeit braucht
WordPress betreibt einen großen Teil aller Websites weltweit und lebt von einem riesigen Ökosystem aus Themes, Plugins und Page-Buildern. Genau hier liegt die Herausforderung: Viele dieser Erweiterungen laden externe Ressourcen wie Schriften, Icons oder Skripte, ohne dass der Betreiber es merkt.
Jedes zusätzliche Plugin kann eine eigene Datenschutz-Quelle sein. Schon ein neu installiertes Theme oder ein Formular-Plugin kann Daten an Server außerhalb Ihrer Kontrolle senden. Deshalb sollten Sie bei WordPress nach überwiegender Auffassung nicht nur die eigene Website, sondern auch jede eingesetzte Erweiterung im Blick behalten.
Der Vorteil: Für nahezu jede Stolperfalle gibt es eine passende Lösung. Wichtig ist, systematisch vorzugehen und nach Änderungen erneut zu prüfen.
Ist Ihre WordPress-Seite DSGVO-konform?
Kostenloser Schnelltest – die ersten 10 Seiten, ohne Anmeldung, Ergebnis in rund 60 Sekunden.
Typische DSGVO-Stolperfallen bei WordPress
Diese Probleme treten bei WordPress-Websites besonders häufig auf:
- Google Fonts aus dem Theme: Viele Themes und Page-Builder wie Astra, Divi oder Elementor laden Google Fonts extern von Google-Servern. Dabei wird in der Regel die IP-Adresse des Besuchers übertragen.
- Page-Builder-Ressourcen: Elementor, Divi und WPBakery binden oft externe Schriften und Icon-Bibliotheken ein. Diese laufen an den Standardeinstellungen des Themes vorbei und werden leicht übersehen.
- Tracking-Plugins vor der Einwilligung: Analytics- oder Marketing-Plugins starten häufig sofort beim Seitenaufruf, also bevor der Besucher überhaupt zugestimmt hat.
- Externe Einbettungen: Direkt eingebettete YouTube-Videos, Karten oder Social-Media-Inhalte laden Daten von Drittanbietern bereits beim Laden der Seite.
- Kontaktformulare ohne Hinweis: Formulare erheben personenbezogene Daten, oft fehlt aber die Einwilligungs-Checkbox oder der Link zur Datenschutzerklärung.
Die richtigen Plugins
Mit den passenden Erweiterungen lassen sich die meisten Stolperfallen gezielt beheben.
Consent- und Cookie-Verwaltung: Ein Consent-Plugin, das Skripte erst nach der Einwilligung freigibt, ist die zentrale Komponente. Bewährt haben sich Real Cookie Banner, Borlabs Cookie, Complianz, CookieYes und Usercentrics. Wichtig ist, dass externe Dienste und Embeds tatsächlich bis zur Zustimmung blockiert werden.
Google Fonts lokal einbinden: Mit Plugins wie OMGF oder „Local Google Fonts“ laden Sie Schriften vom eigenen Server, statt sie extern von Google zu beziehen. So wird keine Besucher-IP mehr an Dritte übertragen.
Analytics steuern: Binden Sie GA4 immer über das Consent-Plugin ein, sodass es erst nach Einwilligung startet. Als datensparsame Alternativen kommen Matomo oder WP Statistics in Frage.
Formulare absichern: Bei Contact Form 7 oder WPForms ergänzen Sie eine Einwilligungs-Checkbox und einen Link zur Datenschutzerklärung.
HTTPS erzwingen: Das Plugin „Really Simple SSL“ leitet Besucher zuverlässig auf die verschlüsselte Verbindung um und hilft beim Aktivieren von HSTS.
Schritt für Schritt zur DSGVO-Konformität
Gehen Sie diese Punkte der Reihe nach durch:
- Bestandsaufnahme: Listen Sie alle aktiven Themes, Plugins und Page-Builder auf. Löschen Sie ungenutzte Plugins und Themes vollständig.
- HTTPS sicherstellen: Aktivieren Sie eine durchgängige HTTPS-Verbindung, etwa mit „Really Simple SSL“, und prüfen Sie die Weiterleitung.
- Consent-Plugin einrichten: Installieren Sie ein Consent-Plugin und konfigurieren Sie es so, dass Analytics, Embeds und externe Skripte erst nach Einwilligung laden.
- Google Fonts lokalisieren: Stellen Sie mit OMGF oder „Local Google Fonts“ auf lokale Schriften um und kontrollieren Sie auch die Einstellungen Ihres Page-Builders.
- Embeds umstellen: Ersetzen Sie direkte YouTube-Einbettungen durch eine Consent- oder 2-Klick-Lösung.
- Formulare ergänzen: Fügen Sie in Contact Form 7 oder WPForms eine Einwilligungs-Checkbox und den Datenschutz-Link hinzu.
- Wartung absichern: Aktivieren Sie automatische Updates für Core und Plugins, richten Sie Backups ein und ergänzen Sie Security-Header über die .htaccess oder ein Sicherheits-Plugin.
Website prüfen und Lücken finden
Auch bei sorgfältiger Konfiguration bleiben bei WordPress schnell einzelne externe Verbindungen unentdeckt, etwa nach einem Theme-Update oder der Installation eines neuen Plugins. Ein automatischer Scan macht sichtbar, welche Skripte und Ressourcen Ihre Seite tatsächlich lädt.
Mit dem kostenlosen Scan von easy-DSGVO.de prüfen Sie Ihre WordPress-Website in wenigen Sekunden auf externe Dienste, Google Fonts und Tracking vor der Einwilligung – so wissen Sie genau, wo noch Handlungsbedarf besteht.