WordPress lädt heimlich zwei externe Verbindungen – ganz ohne zusätzliche Plugins
WordPress ist die Basis von einem riesigen Teil aller deutschen Websites – und bringt zwei eingebaute Verbindungen mit, die selbst erfahrene Betreiber gern übersehen: den Emoji-Fallback und die Gravatar-Avatare. Beide laufen automatisch im Hintergrund, sobald du eine Standardinstallation nutzt, und lösen eigene Pflichten aus. Um WordPress selbst musst du dich dabei überraschenderweise nicht kümmern – die Aufgaben hängen an den zwei Diensten, die WordPress im Hintergrund anspricht.
Überblick
Was ist WordPress?
WordPress ist das Content-Management-System, mit dem du vermutlich gerade jetzt eine Website betrachtest, ohne es zu merken. Es ist die Software, auf der deine Seiten, Beiträge, Themes und Plugins aufsetzen – der technische Unterbau, nicht ein einzelnes Zusatz-Tool.
| WordPress – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | WordPress selbst setzt nur technisch notwendige Cookies für Login und Sitzung. |
| Externe Verbindungen | 🔴 | Emoji-Skript und Gravatar-Avatare laden automatisch von externen Servern. |
| Datenschutzerklärung | 🟢 | WordPress selbst braucht keinen eigenen Eintrag unter seinem Namen. |
| Drittlandtransfer | 🔴 | Die Gravatar-Anbindung überträgt Daten an einen Anbieter in den USA. |
| Auftragsverarbeitung | 🟢 | Für die eingebauten Verbindungen ist kein Vertrag zur Auftragsverarbeitung dokumentiert. |
| Benutzereingaben | 🟢 | Kommentare bleiben ohne Zusatz-Plugin auf deiner eigenen Website. |
| KI-Verarbeitung | 🟢 | Der aktuelle WordPress-Kern verarbeitet keine Besucherdaten über eine KI-Funktion. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was macht WordPress selbst mit den Daten deiner Besucher?
WordPress selbst hält sich beim Datenschutz im Rahmen: Der Kern setzt keine Marketing- oder Statistik-Cookies, und Kommentare bleiben ohne Zusatz-Plugin komplett auf deiner eigenen Website – die Daten wandern nicht zu einem fremden Anbieter.
Trotzdem baut WordPress bei jedem Seitenaufruf zwei automatische Verbindungen zu externen Servern auf, ganz ohne dass du dafür ein Plugin installiert hast. Die eine ist ein kleines Skript, das ältere Browser mit Emoji-Grafiken versorgt und dafür Server unter der Adresse s.w.org anspricht. Die andere entsteht, sobald auf deiner Seite Kommentare mit Profilbildern angezeigt werden: WordPress fragt dann automatisch bei Gravatar an, einem Dienst des US-Unternehmens Automattic, ob zur E-Mail-Adresse des Kommentierenden ein Profilbild hinterlegt ist.
Bei beiden Verbindungen wandert die IP-Adresse deines Besuchers zum jeweiligen Anbieter, bevor irgendjemand zugestimmt hat. Einen eigenen Eintrag in deiner Datenschutzerklärung unter dem Namen „WordPress“ brauchst du dafür trotzdem nicht – die Pflicht hängt an den beiden angesprochenen Diensten selbst, nicht an WordPress als Software.
Wenn deine Seite Kommentare erlaubt, kommt noch ein dritter Punkt dazu, der nichts mit externen Servern zu tun hat: WordPress speichert Name, E-Mail-Adresse und IP-Adresse von Kommentierenden direkt in deiner eigenen Datenbank – dafür braucht deine Datenschutzerklärung eine separaten Eintrag zur Kommentarfunktion.
Externe Verbindungen
Warum baut WordPress automatisch Verbindungen zu Gravatar und einem Emoji-Dienst auf?
WordPress lädt seit Version 4.2 standardmäßig ein Skript von s.w.org, das Emojis für Browser bereitstellt, die sie sonst nicht anzeigen könnten. Das passiert bei jedem Seitenaufruf automatisch, ganz ohne dass ein Besucher etwas klickt. Die Fachseite digitalfahrschule.de weist darauf hin, dass dabei die IP-Adresse jedes Besuchers an diesen externen Server übertragen wird. Diese Verbindung ist für den Betrieb deiner Website nicht notwendig – dein Cookie-Banner muss sie blockieren, bis der Besucher zustimmt. Eine eingebaute WordPress-Einstellung zum Abschalten gibt es dafür nicht, nur ein Code-Snippet oder ein Plugin hilft weiter.
Die zweite Verbindung entsteht über Gravatar, sobald auf deiner Seite Kommentare oder Autorenboxen mit Profilbildern angezeigt werden. WordPress fragt dann automatisch bei den Servern von Automattic an, ob zur hinterlegten E-Mail-Adresse ein Profilbild existiert – auch das läuft im Hintergrund, ohne dass jemand aktiv etwas tut. Auch diese Verbindung muss dein Cookie-Banner blockieren, bis der Besucher zustimmt. Anders als beim Emoji-Skript gibt es hier aber eine Abschaltung in WordPress selbst: Unter Einstellungen → Diskussion kannst du die Anzeige von Profilbildern unterdrücken, ohne Plugin oder Code.
Drittlandtransfer
Werden mit WordPress Daten in die USA übertragen?
WordPress überträgt über die Gravatar-Anbindung Daten deiner Besucher in die USA, denn Automattic als Anbieter von Gravatar hat seinen Sitz dort. Automattic hat sich, wie viele große US-Anbieter, im Rahmen eines Datenschutzabkommens zwischen der EU und den USA zertifizieren lassen, das bestimmte Datenübertragungen erlaubt – nachprüfbar im offiziellen Teilnehmerverzeichnis unter der Nummer 4709. Für das Emoji-Skript von s.w.org lässt sich der genaue Betreiber und damit das Zielland aus den öffentlich verfügbaren Quellen nicht sicher bestimmen – hier kann datenrein.de aktuell keine klare Aussage treffen.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check für deine WordPress-Seite?
Der DSGVO-Check zeigt dir direkt, welche der beiden eingebauten Verbindungen auf deiner konkreten Seite aktiv sind – ob deine Kommentare Profilbilder anzeigen, ob das Emoji-Skript noch lädt und ob dein Cookie-Banner beide bereits korrekt blockiert. Das musst du sonst selbst im Quelltext nachschauen, und die wenigsten Website-Betreiber wissen überhaupt, dass WordPress von Haus aus solche Verbindungen mitbringt.
Gleichzeitig hilft jeder Scan datenrein.de dabei, noch genauer zu erkennen, welche Plugins und Funktionen auf echten Websites tatsächlich im Einsatz sind – dadurch werden mit der Zeit mehr Tools zuverlässig erkannt, wovon am Ende jede Seite profitiert, die einen Scan durchführt.
