Google Fonts lokal einbinden: Anleitung und WordPress-Wege

Google Fonts lokal einbinden heißt, die Schriftdateien selbst auszuliefern statt sie bei jedem Seitenaufruf von Google laden zu lassen: Schriften als woff2 herunterladen, auf den eigenen Server legen, mit @font-face im eigenen CSS einbinden und jeden Verweis auf fonts.googleapis.com und fonts.gstatic.com aus der Seite entfernen. In WordPress geht das je nach Aufbau ohne Code. Der Weg dauert für eine Seite mit zwei Schriften eine halbe Stunde; das Nachprüfen gehört dazu.

Eine Datenschutzerklärung, die Google Fonts erwähnt, ändert an der Übertragung nichts. Der Browser des Besuchers fragt die Schrift bei Google an, bevor er irgendetwas gelesen oder angeklickt hat.

Was beim Laden von Google passiert#

Steht im Quelltext ein <link href="https://fonts.googleapis.com/css2?family=...">, lädt der Browser zuerst ein Stylesheet von Google und danach die Schriftdateien von fonts.gstatic.com. Bei jeder dieser Anfragen erhält Google, was jede Anfrage im Netz mitbringt. Die österreichische Datenschutzbehörde zählt dazu in ihrem Prüfverfahren die IP-Adresse und die HTTP-Header einschließlich Referrer und User-Agent des Browsers. Der Referrer verrät, welche Seite gerade gelesen wird.

Liegen die Dateien auf dem eigenen Server, fällt das weg. Das hält die Datenschutzbehörde ausdrücklich fest: Bei einer lokalen Einbindung „kommt es zu keiner solchen Datenübermittlung“.

Die Rechtslage, nüchtern#

Deutschland, Januar 2022. Das Landgericht München I hat am 20.01.2022 (Az. 3 O 17493/20) einem Besucher 100 € Schadenersatz zugesprochen, weil eine Website seine IP-Adresse beim Laden von Google Fonts ohne Einwilligung an Google weitergegeben hatte. Ein berechtigtes Interesse sah das Gericht nicht, weil sich Google Fonts auch nutzen lässt, ohne dass beim Aufruf eine Verbindung zu einem Google-Server entsteht. Es ist das Urteil eines deutschen Landgerichts in einem Einzelfall, kein Grundsatzurteil für Österreich.

Österreich, Sommer 2022. Mehrere tausend österreichische Betriebe bekamen Schreiben eines niederösterreichischen Anwalts im Namen einer Privatperson: 190 € pro Website, davon 100 € Schadenersatz und 90 € Anwaltskosten, so beschreibt es die WKO. Der ORF berichtete von rund 520 Schreiben im Juli und weiteren rund 32.000 im August 2022.

Was danach geschah:

• Datenschutzbehörde: Sie leitete ein amtswegiges Prüfverfahren gegen Google LLC ein und schloss es 2023 ab (Newsletter 4/2023). Ergebnis: Eine unrechtmäßige Datenverarbeitung durch Google konnte nicht festgestellt werden; ob überhaupt Daten in die USA gehen, hängt vom Standort des Nutzers ab und ist im Streitfall einzeln zu prüfen. Und der Satz, der für Empfänger solcher Schreiben zählt: Die formale Feststellung von Rechtsverstößen liege in Österreich ausschließlich bei der Datenschutzbehörde oder den Gerichten, „keinesfalls“ bei Privatpersonen.
• Strafverfahren: Die Wirtschafts- und Korruptionsstaatsanwaltschaft übernahm im Jänner 2023 Ermittlungen gegen den Anwalt und seine Mandantin wegen des Verdachts des schweren gewerbsmäßigen Betrugs und der Erpressung, nach einer Anzeige eines anderen Anwalts. Ein Ergebnis dieser Ermittlungen war bis zum 12.10.2026 nicht öffentlich auffindbar; es gilt die Unschuldsvermutung.
• Zivilgerichte: Wiener Gerichte stuften das Vorgehen in mehreren Verfahren als rechtsmissbräuchlich ein. Im Musterverfahren, das die WKO für einen niederösterreichischen Betrieb finanziert hat, wies das Landesgericht für Zivilrechtssachen Wien die Klage ab: Wer Websites automatisiert aufruft, um DSGVO-Verstöße gezielt herbeizuführen und daraus Geld zu machen, handelt rechtsmissbräuchlich; einen allgemeinen vorbeugenden Unterlassungsanspruch kenne die DSGVO nicht. Laut WKO (Stand 13.01.2026) ist die Entscheidung nicht rechtskräftig.

Das heißt zweierlei. Die Abmahnwelle war als Geschäftsmodell vor Gericht nicht haltbar. Die Übertragung selbst bleibt aber eine Verarbeitung, für die du eine Grundlage brauchst, und der einfachste Weg, die Frage gar nicht erst zu stellen, ist die lokale Einbindung. Die WKO empfiehlt genau das.

Wie oft das in Tirol noch vorkommt#

cyberscale hat am 03.10.2026 die Startseiten von 140 Tiroler Betrieben und Tourismusverbänden passiv abgerufen, 131 waren erreichbar. 8 davon (6 %) banden Google Fonts noch von Google-Servern ein, 7 weitere Adobe Fonts, die nach demselben Prinzip von einem fremden Server kommen. Gezählt ist, was im ausgelieferten HTML steht, ohne Browser und ohne Skripte; was ein Skript später nachlädt, fehlt in der Zählung. Die ganze Messung mit den anderen Diensten steht auf der Seite DSGVO auf der Website.

So prüfst du deine eigene Seite#

1. Netzwerk-Reiter, der verlässliche Weg. Seite im Browser öffnen, F12, Reiter „Netzwerk“, Häkchen bei „Cache deaktivieren“ setzen, ins Filterfeld fonts.g tippen, dann neu laden. Bleibt die Liste leer, lädt diese Seite keine Google-Schriften. Steht dort fonts.googleapis.com oder fonts.gstatic.com, hat die Spalte „Initiator“ die Antwort, wer sie angefordert hat: ein Stylesheet des Themes, ein Skript, ein eingebettetes Fenster.

2. Quelltext. Strg+U, dann Strg+F nach fonts.googleapis. In WordPress verrät das id-Attribut des Treffers die Herkunft: <link id="meintheme-fonts-css"> stammt vom Handle meintheme-fonts; der Name zeigt meist, ob Theme oder Plugin dahinterstecken. Der Quelltext findet nur, was direkt im HTML steht, kein @import in einer CSS-Datei und nichts, was ein Skript nachlädt.

3. Der Datenschutz-Check. In eigener Sache: Das ist das Werkzeug von cyberscale, kostenlos und ohne Anmeldung. Er liest die Serverantwort und das ausgelieferte HTML der eingegebenen Adresse und meldet Google Fonts, Adobe Fonts, Font Awesome, Google Maps, reCAPTCHA und YouTube-Einbettungen, die dort eingebunden sind. Er führt keine Skripte aus. Ein sauberes Ergebnis heißt also: im HTML dieser Seite steht nichts. Für nachgeladene Schriften bleibt der Netzwerk-Reiter.

4. Für die ganze Website: eine Content-Security-Policy im Report-Only-Modus mit font-src 'self' meldet jede fremde Schrift auf jeder Unterseite, ohne etwas zu blockieren. Wie man sie aufsetzt, steht in Content-Security-Policy im Report-Only-Modus; was die übrigen Header bringen, in Security-Header und SEO.

Lokal einbinden, ohne WordPress#

1. Schriften besorgen. Das offizielle Repository github.com/google/fonts enthält die Dateien als .ttf; Google schreibt dort selbst, dass alle Schriften weitergegeben und selbst gehostet werden dürfen, und nennt Fontsource als bequeme Quelle. Fontsource-Pakete enthalten fertige woff2-Dateien und CSS. Aus einer .ttf wird mit Googles Werkzeug woff2_compress schrift.ttf eine woff2.
2. Nur laden, was gebraucht wird. Zwei Schnitte und der lateinische Zeichensatz reichen den meisten Seiten. Variable Schriften decken alle Stärken mit einer Datei ab.
3. Dateien ablegen, etwa unter /fonts/, und im eigenen CSS einbinden:

@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url("/fonts/inter-latin-400-normal.woff2") format("woff2");
}

body { font-family: "Inter", system-ui, sans-serif; }

font-display: swap zeigt den Text sofort in der Ersatzschrift und tauscht, sobald die Datei da ist. Alle aktuellen Browser können das seit Jänner 2020.

1. Den Google-Verweis löschen, samt <link rel="preconnect" href="https://fonts.gstatic.com"> und dns-prefetch. Eine Vorverbindung baut die Verbindung zu Google auf, auch wenn danach keine Schrift mehr kommt.
2. Optional die wichtigste Schrift vorladen: <link rel="preload" href="/fonts/inter-latin-400-normal.woff2" as="font" type="font/woff2" crossorigin>. Das crossorigin gehört bei Schriften dazu, auch vom eigenen Server.
3. Netzwerk-Reiter erneut prüfen.

Lizenz: Die meisten Google-Schriften stehen unter der SIL Open Font License 1.1, einige unter Apache 2.0, die Ubuntu-Schriften unter der Ubuntu Font License. Die OFL erlaubt Nutzen, Einbetten und Weitergeben ausdrücklich; verboten ist nur, die Schrift allein zu verkaufen, und die Lizenzdatei soll mitkommen. Leg sie in den Schriftenordner.

Google Fonts in WordPress lokal einbinden#

Zuerst klären, woher die Schrift kommt (Schritt 2 oben). Danach der passende Weg:

Block-Theme mit Font Library. Seit WordPress 6.5 gibt es im Website-Editor unter Stile, Typografie die Schriftenverwaltung. Die Google-Fonts-Sammlung muss man erst freischalten; installiert man dort eine Schrift, lädt WordPress laut Entwicklerhinweis die Datei auf den eigenen Server, standardmäßig nach wp-content/fonts, „to allow sites to remain GDPR compliant“. Ein Theme kann Schriften auch in theme.json mitbringen, mit "src": ["file:./assets/fonts/inter.woff2"].

Elementor. Unter Elementor, Editor, Einstellungen, Reiter Performance steht „Load Google Fonts Locally“. Elementor lädt dann die verwendeten Schriften nach /wp-content/uploads/elementor/fonts/ und schreibt das CSS um. Wichtig: Seit Elementor 3.32.1 ist die Einstellung standardmäßig aus, und wer sie vorher eingeschaltet hatte, muss sie laut Elementor nach dem Update erneut einschalten. Eine Seite, die 2022 umgestellt wurde, kann also heute wieder bei Google laden.

Klassisches Theme mit eigener Einstellung. Viele Themes haben in ihren Einstellungen eine Option für lokale Schriften. Danach suchen, bevor ein Plugin dazukommt.

Plugin OMGF. Das Plugin „OMGF“ (laut wordpress.org über 300.000 aktive Installationen) sucht Google Fonts auf der Seite, lädt sie auf den eigenen Server und ersetzt die Verweise. Schriften in Inline-Styles, in @import-Anweisungen und aus dem Web Font Loader erkennt nach Angabe des Herstellers erst die Pro-Version. Allgemeines zur Plugin-Auswahl steht in WordPress-Plugins.

Von Hand im Child-Theme. Das Handle aus dem id-Attribut abmelden und die eigene CSS-Datei mit den @font-face-Regeln einbinden:

add_action( 'wp_enqueue_scripts', function () {
    wp_dequeue_style( 'meintheme-fonts' );
    wp_enqueue_style( 'lokale-schriften',
        get_stylesheet_directory_uri() . '/fonts/schriften.css', [], '1.0' );
}, 20 );

Das Handle meintheme-fonts ist ein Beispiel; einsetzen, was in deinem Quelltext steht. Nach jedem Theme- und Plugin-Update gehört ein Blick in den Netzwerk-Reiter dazu, weil ein Update eine abgeschaltete Einbindung zurückbringen kann. Wie man Updates so einspielt, dass so etwas auffällt, steht in WordPress-Updates.

Die versteckten Quellen#

Die Theme-Schrift ist oft nicht die einzige. Am 12.10.2026 nachgesehen: Das Einbettungs-HTML eines YouTube-Videos verweist auf Roboto-Dateien von fonts.gstatic.com, auch über youtube-nocookie.com, und das reCAPTCHA-Widget ebenso. Eine eingebettete Google-Karte baut ohnehin eine Verbindung zu Google auf.

Diese Treffer verschwinden nicht durch lokale Schriften, weil sie aus dem fremden Fenster kommen. Sie brauchen eine eigene Lösung: das Video erst nach einem Klick laden, die Karte durch ein Bild mit Verweis ersetzen, beim Formular einen anderen Spamschutz prüfen. Deshalb Kontaktseite, Anfahrt und Seiten mit Videos einzeln im Netzwerk-Reiter prüfen, nicht nur die Startseite. Dazu kommen Plugins, die eigene Schriften mitbringen, etwa Slider, Formular- oder Bewertungs-Plugins, und Font Awesome von einem fremden Server, das nach demselben Prinzip lädt.

Was nicht hilft#

Den Cookie-Banner davorsetzen. Bei Google Fonts geht es nicht um Cookies, sondern um die Anfrage selbst, und die passiert beim Seitenaufbau. Ein Banner hilft nur, wenn er die Schrift bis zur Zustimmung tatsächlich zurückhält, und dann steht die Seite bis zum Klick in der Ersatzschrift.

Nur den Hinweis in der Datenschutzerklärung. Er beschreibt die Übertragung, er verhindert sie nicht.

preconnect stehen lassen. Die Vorverbindung zu fonts.gstatic.com ist selbst eine Verbindung zu Google.

Auf einen anderen Schriften-Dienst ausweichen. Ein anderer fremder Server ist wieder ein Dritter, der die IP-Adresse bekommt. Der eigene Server ist der Punkt.

Einmal prüfen und vergessen. Die Elementor-Umstellung in Version 3.32.1 zeigt, wie eine erledigte Sache mit einem Update zurückkommt.

Ein Abmahnschreiben ungeprüft bezahlen. Die WKO rät, sich mit dem Schreiben an die eigene Landeskammer zu wenden. Eine Rechtsfrage im Einzelfall beantwortet eine Anwältin oder ein Anwalt.

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Bei der WordPress-Wartung für 49 € im Monat läuft der Datenschutz-Check jede Nacht automatisch über die Seite, zusammen mit Security-Scan und technischem SEO-Audit; taucht nach einem Update wieder ein Verweis auf Google auf, sehe ich es am nächsten Morgen. Die Umstellung selbst, Schriften lokal einbinden und die versteckten Quellen aufräumen, rechne ich mit 60 € pro Stunde ab, vorher abgesprochen. Eine Rechtsberatung ist das nicht. Anfragen gehen über Kontakt; wer ohnehin eine neue Seite plant, findet unter Webdesign aus dem Zillertal, wie ich Seiten baue.

Häufige Fragen#

Stand 12.10.2026. Urteil, Datenschutzbehörde, WKO, Hersteller-Dokumentation und Presseberichte an diesem Tag gelesen; eigene Messung vom 03.10.2026, Einbettungen von YouTube und reCAPTCHA am 12.10.2026 abgerufen. Keine Rechtsberatung.