Was wird geprüft
Im HTML: Der Scan sammelt alle <script src> im ausgelieferten HTML und behält die, deren Host auf einer anderen Domain liegt als die Seite; Subdomains der eigenen Domain zählen als eigen, protokoll-relative URLs zählen mit. Bis 10 Fremd-Scripts heißt „ok“, bis 20 „zu prüfen“, darüber kritisch. Kein einziges heißt Hinweis, denn das kann auch bedeuten, dass alles inline steht oder dynamisch nachgeladen wird.
Dazu prüft der Scan fünf Einbindungen, die unabhängig von der Zahl datenschutzrelevant sind: Google Fonts von fonts.googleapis.com, eingebettete Google Maps, YouTube-Embeds ohne die nocookie-Domain, Adobe Fonts von use.typekit.net und der Vimeo-Player. Findet er eine, steht die Zeile mindestens auf „zu prüfen“ und nennt sie. Kritisch wird sie dadurch nie; die rechtliche Bewertung gehört in die Beratung, nicht in einen Automaten.
Was der Scan nicht sieht: Scripts, die ein Tag Manager oder ein anderes Script nachlädt, Inline-Code und alles, was erst nach Interaktion kommt.
Warum ist das wichtig
Jedes Script von einer fremden Domain ist ein Abruf, der die IP-Adresse des Besuchers an einen Dritten übermittelt, bevor irgendjemand einwilligt. Bei einem Pixel ist das der bekannte Fall, bei einer Schriftart, einer Karte oder einem Video derselbe Vorgang, nur ohne dass jemand es als Tracking begreift. Und die Zahl selbst erzählt vom Zustand des Templates. Zwanzig Fremd-Scripts direkt im HTML heißen zwanzig Stellen, an denen jemand vorbei am Tag Manager etwas eingebaut hat, ohne Consent-Trigger und ohne Verantwortlichen. Aufräumen beginnt mit Zählen.
Häufige Ursachen
- Tools wurden über Jahre ergänzt und nie wieder entfernt, Chat-Widgets, Heatmaps und A/B-Tests aus beendeten Projekten laufen mit.
- Jede Marketing-Plattform hat ihr eigenes Skript bekommen statt über den Tag-Manager zu laufen.
- Embeds (Video, Karten, Social) laden ganze Skript-Familien nach, die niemand eingeplant hat.
- Agentur-Wechsel: die neuen Tags kamen dazu, die alten blieben drin.