Wo liegt deine Website?

Weißt du eigentlich, wo deine Website liegt? Ich meine nicht die Adresse auf der Visitenkarte, sondern den Rechner, auf dem sie läuft, und die Firma, der dieser Rechner gehört. Mit dem Postfach ist es genauso, irgendein Server nimmt deine Mails an, bevor du sie liest. Im Grunde ist das eine Eigentumsfrage wie beim Laden: In wessen Haus steht dein Schaufenster, und wer hat den Schlüssel zu deinem Briefkasten?

In der ersten Fassung dieses Artikels standen dafür nur Befehle fürs Terminal, also für das schwarze Fenster, in das man Text tippt. Das war ehrlich gesagt eher ein Text für Leute wie mich als für dich. Deshalb geht es jetzt andersrum: erst der Klick, und die Befehle stehen unten im Kasten für alle, die es genau wissen wollen.

Am schnellsten geht es mit dem Website-Check

Auf dieser Seite gibt es einen Website-Check. Du gibst deine Domain ein, also den Teil hinter dem www, und bekommst nach ein paar Sekunden eine Übersicht. Die Abfragen laufen über meinen eigenen Server in Deutschland, nicht über Cloudflare und nicht über Google PageSpeed. Am Ende steht auch keine Punktzahl, die dir erzählt, wie gut deine Homepage ist, und gespeichert wird von dem, was du eingibst, nichts.

Der Check schaut zuerst nach, welche Adresse im Netz hinter deinem Namen steht, die IP-Adresse (quasi die Hausnummer des Servers). Dann fragt er beim RIPE NCC in Amsterdam, der Vergabestelle für solche Adressen in Europa, nach, wem das Netz dahinter gehört und in welchem Land es registriert ist. Liegt die Adresse woanders, etwa bei der amerikanischen Vergabestelle ARIN, verweist RIPE dorthin, und der Check fragt dort nach. Er liest, was der Server über sich selbst verrät, prüft, ob die verschlüsselte Verbindung mit dem Schloss in der Adresszeile sauber eingerichtet ist, und sieht nach, wer deine Mails annimmt. Und er zeigt dir, welche fremden Dienste deine Startseite beim Laden einbindet, dazu weiter unten mehr.

Eine Sache vorweg, damit du dich nicht wunderst. Steht beim Besitzer des Netzes Cloudflare oder Akamai, ist das ein sogenanntes CDN, ein Zwischenhändler, der deine Seite von vielen Orten gleichzeitig ausliefert. Der eigentliche Server steht dann dahinter, und wo der ist, verrät die Abfrage nicht.

Wer deine Post annimmt, steht im MX-Eintrag

Für die Mails gibt es einen eigenen Eintrag, den MX-Eintrag (MX steht für Mail Exchange). Er nennt die Server, die Post für deine Domain annehmen, und an der Endung erkennst du meistens schon den Anbieter.

Endung im MX-Eintrag	Anbieter	Der Konzern sitzt in
google.com, googlemail.com	Google Workspace	USA
mail.protection.outlook.com	Microsoft 365	USA
ionos.de, ionos.com, 1and1.com, kundenserver.de	IONOS	Deutschland
rzone.de	Strato	Deutschland
kasserver.com	All-Inkl	Deutschland
mailbox.org	mailbox.org	Deutschland

Zwei Dinge gehören dazu. Manchmal steht im MX-Eintrag ein Spamfilter, der die Post vorsortiert und dann weiterreicht, dann siehst du den Filter und nicht dein Postfach. Und wo ein Konzern seinen Sitz hat, sagt noch nicht, in welchem Rechenzentrum deine Mails tatsächlich liegen. Das ist eine zweite Frage, und die Antwort steht in deinem Vertrag.

Warum fremde Dienste auf der Startseite ein Thema sind

Eine Website kann beim Öffnen Dinge von anderen Firmen nachladen, ohne dass man es sieht: Schriften von Googles Servern, den Google Tag Manager, ein Facebook-Pixel, ein eingebettetes YouTube-Video. Technisch heißt das, dass der Browser deiner Kundin schon mit diesen Firmen spricht und dabei ihre IP-Adresse mitschickt, bevor sie auf deiner Seite irgendetwas angeklickt hat.

Dass das in Deutschland mehr als eine Geschmacksfrage ist, zeigt ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20). Eine Website hatte Google Fonts so eingebunden, dass die Schrift bei jedem Aufruf von Googles Servern geladen wurde, und damit die IP-Adresse eines Besuchers ohne seine Einwilligung an Google übermittelt. Das Gericht hat die IP-Adresse als personenbezogenes Datum gewertet und ein berechtigtes Interesse des Betreibers verneint, weil sich die Schrift auch nutzen lässt, ohne dass eine Verbindung zu Google aufgebaut wird. Der Betreiber musste das künftig unterlassen, Auskunft geben und 100 Euro Schadensersatz zahlen.

Das ist das Urteil eines einzelnen Landgerichts, und 100 Euro klingen erst mal nach wenig. Danach haben allerdings Anwälte Unternehmen mit sehr ähnlich aufgebauten Schreiben abgemahnt. Die IHK Nordschwarzwald hat im Oktober 2022 davor gewarnt und darin den Verdacht des Rechtsmissbrauchs gesehen, jedem Websitebetreiber aber trotzdem geraten, die Schriften selbst auszuliefern. Das ist meistens eine kleine Änderung, die Schrift liegt dann auf demselben Server wie deine Seite, und außer dir bekommt niemand etwas mit.

Ob ein bestimmter Dienst bei dir rechtlich ein Problem ist, kann ich dir nicht sagen, das ist eine Frage für deine Kanzlei. Was ich dir sagen kann, ist, welche Dienste geladen werden und ob es ohne sie geht.

Was du mit dem Ergebnis machst

Ein Ergebnis ist nicht automatisch falsch, nur weil USA dransteht. Mit Microsoft 365 zu arbeiten ist eine Entscheidung, die man bewusst treffen kann. Schwierig wird es eher, wenn im Betrieb niemand weiß, wo was liegt, und das erst rauskommt, wenn die Agentur nicht mehr rangeht oder der Neffe, der damals die Seite gemacht hat, weggezogen ist. Mach den Check also einmal, schreib dir das Ergebnis auf und leg den Zettel zu den Unterlagen, in denen auch der Vertrag für deine Domain liegt.

Wenn dir beim Ergebnis etwas komisch vorkommt oder du nicht weißt, was ein Eintrag bedeutet, schick mir einen Screenshot oder ruf mich kurz an, 0157 73953819. Dann sag ich dir, was da steht und ob du überhaupt etwas tun musst.