Warum auf meiner Website so wenige Plugins laufen, und wie ich bei jedem einzelnen geprüft habe, ob er heimlich bei Google, Gravatar oder sonst irgendwo anklopft.

Der Aufhänger

Eine WordPress-Seite ist schnell aufgesetzt. Ein Plugin hier, ein Plugin da, und plötzlich kann sie Kontaktformulare, Statistiken, Spamschutz und Schriften. Das Problem: Viele dieser Helfer telefonieren im Hintergrund nach Hause. Ein Besucher ruft meine Startseite auf, und sein Browser (oder mein Server) meldet das nebenbei an einen Dienst in den USA, von dem ich nie etwas gewollt habe.

Das wollte ich bei retrodejay.de von Anfang an nicht. Ich habe die Seite privat und aus Spaß gebaut, da muss niemand unfreiwillig Datenspur hinterlassen, nur weil er einen Devlog lesen möchte. Außerdem ist das Handling nach DSGVO für eine Privatperson die Hölle. Also lieber von Anfang an konsequent ausschließen, denn was gar nicht erst gesendet wird, muss ich auch nicht erklären.

Mein Grundsatz also: so wenige Plugins wie möglich, keine Dienste in den USA, keine Anfragen an Dritte ohne Einwilligung.

Wie ich prüfe

Ein Plugin sieht nach der Installation meist harmlos aus. Deshalb gehe ich in drei Schritten vor:

  1. Beschreibung und Einstellungen lesen. Steht dort etwas von „Cloud“, „CDN“, „API-Key“ oder „Nutzungsdaten“, werde ich hellhörig.
  2. Den Quelltext der Startseite ansehen und nach fremden Adressen suchen. Alles, was der Browser des Besuchers von woanders lädt, taucht dort auf.
  3. Nach jedem neuen Plugin wieder von vorn, und die Datenschutzerklärung gleich mit anpassen.

Was der Server im Hintergrund selbst nach außen schickt, sehe ich im Browser allerdings nicht. Dort hilft nur, die Einstellungen und die Herstellerangaben zu lesen. Das ist der Teil, bei dem ich ehrlich sagen muss: ganz sicher bin ich nicht bei jedem Plugin.

Was läuft, und warum

Schriften: OMGF. Das Theme wollte Young Serif und Source Sans 3 eigentlich von Google Fonts laden. Das Plugin OMGF holt sie einmal ab und legt sie lokal auf meinen Server. Am 10.10.2026 habe ich den Quelltext geprüft: keine Anfrage mehr an Google.

Avatare: Simple Local Avatars. WordPress fragt standardmäßig bei Gravatar nach Profilbildern, und Gravatar gehört zu Automattic in den USA. Das Plugin schaltet das ab. Im Autorenfeld liegt jetzt ein leeres Bild von meinem eigenen Server.

Statistik: Burst Statistics. Ich will schon wissen, ob jemand meine Beiträge liest, aber nicht um jeden Preis. Burst läuft auf meinem Server, setzt keine Cookies und gibt nichts an Dritte weiter. Dafür bekomme ich weniger bunte Diagramme als bei den großen Anbietern, damit kann ich leben.

Kontaktformular: Contact Form 7 mit CF7 Apps. Das Formular selbst braucht keine externen Dienste. Beim Spamschutz hätte ich mit reCAPTCHA den bequemen Weg nehmen können, aber das ist ein Dienst von Google. Stattdessen sorgt ein Honeypot dafür, dass Spam-Bots sich verraten: ein verstecktes Feld, das kein Mensch ausfüllt. Die weiteren Bausteine von CF7 Apps (Datenbank, Webhook, Weiterleitung) habe ich bewusst ausgeschaltet.

Kommentare: Antispam Bee. Die Alternative wäre Akismet gewesen, ebenfalls von Automattic. Antispam Bee arbeitet ohne Captcha und ohne externe Server. Die Optionen, die doch einen fremden Dienst einbinden würden, bleiben aus.

Datenschutzhinweis unter den Kommentaren: Code Snippets. Ein kleines Stück Code setzt den Hinweis unter das Kommentarformular, ohne dass ich am Theme herumbasteln muss. Es schickt nichts nach außen.

Was bewusst draußen bleibt

  • Google reCAPTCHA, hCaptcha und Cloudflare Turnstile: alles Dienste in den USA.
  • Akismet: gehört zu Automattic, siehe oben.
  • Jetpack: würde Anfragen an stats.wp.com auslösen.
  • ALTCHA: liegt als Reserve bereit, falls der Spam trotz Honeypot und Antispam Bee zunimmt.

Wo ich noch nicht sicher bin

Diese Plugins sind bei mir drin, ohne dass ich sie ganz durchleuchtet hätte:

  • LiteSpeed Cache (vermutlich vom Hoster vorinstalliert): Der lokale Zwischenspeicher überträgt nichts. Kritisch wären nur die optionalen Dienste von QUIC.cloud. Solange die Seite nicht damit verbunden ist, ist das kein Thema.
  • Hostinger Tools: die Verbindung zu meinem Hoster, der in der Datenschutzerklärung samt Auftragsverarbeitung steht.

Stand und Ausblick

Beim nächsten Schritt kommt ein YouTube-Embed ins Spiel. Damit vor dem Klick keine Verbindung zu Google besteht, richte ich vorher ein Plugin mit Platzhalter ein (Embed Privacy oder etwas Ähnliches). Und ab und zu werfe ich wieder einen Blick in den Quelltext, denn Updates bringen gern mal neue Überraschungen mit.

Zum Mitnehmen

  • Ein Plugin ist nie nur ein Plugin. Es ist auch alles, womit es im Hintergrund spricht.
  • Den Quelltext der eigenen Seite anzuschauen kostet fünf Minuten und beantwortet erstaunlich viele Fragen.
  • Nicht benutzte Plugins löschen, nicht nur deaktivieren.
  • Wenn ich bei einem Plugin etwas übersehen habe, sag mir Bescheid. Das Kontaktformular ist dafür da.

Quellen

  • Eigene Prüfung am Quelltext der Startseite vom 10.10.2026: keine Anfragen an Google, Jetpack (stats.wp.com) und Gravatar, keine Cookies im Antwort-Header.
  • Datenschutzerklärung dieser Seite: Datenschutzerklärung
  • Plugin-Beschreibungen der genannten Plugins im WordPress-Verzeichnis (OMGF, Simple Local Avatars, Burst Statistics, Contact Form 7, CF7 Apps, Antispam Bee, Code Snippets).

Beitragsbild: Mit KI erzeugt (ChatGPT, gpt-image) und von mir ausgewählt.

Kategorisiert in:

Labor

Getagged in:

, , ,