Europäische Datensouveränität im WordPress-Stack
Ja, ein WordPress-Stack ohne US-Cloud ist machbar – für die meisten Websites vollständig, für einige mit ein, zwei bewussten Ausnahmen. Die Stellen, an denen fast jede Installation bei einem US-Dienst landet: Hosting, CDN, Schriften, Analytics, Bildoptimierung, Karteneinbindung und – neuerdings – KI-Schnittstellen. Für jede gibt es eine europäische Alternative, die im Alltag funktioniert.
Es geht dabei nicht nur um die DSGVO. Jeder externe Dienst ist eine Abhängigkeit, die ihr nicht steuert: Preise, Konditionen, Verfügbarkeit, der rechtliche Zugriff durch Dritte. Ein US-Anbieter unterliegt dem CLOUD Act, auch wenn seine Server in Frankfurt stehen. Souveränität heißt: Ihr wisst, wo eure Daten liegen, und ihr könnt den Anbieter wechseln, ohne die Website neu zu bauen.
Wo im typischen Stack US-Dienste stecken
Hosting. Viele Managed-WordPress-Angebote laufen auf AWS oder Google Cloud. Der Serverstandort ist das eine, die Betreiberfirma das andere.
CDN. Cloudflare ist der Standard – als Reverse Proxy sieht es jeden Request im Klartext, inklusive der IP-Adressen eurer Besucher:innen.
Schriften. Google Fonts, extern eingebunden, überträgt bei jedem Seitenaufruf die Besucher-IP an Google. Ein Urteil des LG München I von 2022 hat das abmahnrelevant gemacht.
Analytics. Google Analytics setzt Cookies und überträgt Nutzungsdaten in die USA. Mehrere europäische Datenschutzbehörden haben den Einsatz für unzulässig erklärt.
Bildoptimierung. Die meisten Optimierungs-Plugins schicken jedes Bild zur Verarbeitung an einen externen Server – eine Auftragsverarbeitung, oft mit Serverstandort außerhalb der EU.
Karten. Eine eingebettete Google-Map lädt Skripte und Kartenkacheln von Google und überträgt dabei die Besucher-IP – auf vielen Unternehmensseiten die letzte Stelle, an der überhaupt noch ein Google-Dienst steckt.
KI-Schnittstellen. Neu im Stack: automatische Alt-Texte, Textvorschläge, Übersetzungen. Die großen Anbieter sitzen in den USA, und die Daten, die ihr an die API schickt, verlassen den EU-Rechtsraum.
Die europäische Alternative je Ebene
| Ebene | Häufiger US-Dienst | Europäische Alternative | Anmerkung |
|---|---|---|---|
| Hosting | AWS, Google Cloud, US-Managed-WP-Hoster | Hetzner, IONOS, OVHcloud, Scaleway, netcup; managed: Raidboxes, Mittwald | Betreiberfirma und Serverstandort in der EU |
| CDN | Cloudflare, Fastly, CloudFront | bunny.net; für viele Sites mit deutschem Publikum: guter EU-Host ganz ohne CDN | Cloudflare unterliegt als US-Firma dem CLOUD Act, auch bei EU-PoPs |
| Schriften | Google Fonts (extern eingebunden) | Schriften selbst hosten (woff2 auf dem eigenen Server) | keine Besucher-IP an Dritte; seit LG München I 2022 abmahnrelevant |
| Analytics | Google Analytics / GA4 | Matomo (selbst gehostet), Plausible, Pirsch | cookiefrei möglich, kein Drittlandtransfer |
| Karten | Google Maps | OpenStreetMap mit Leaflet, MapTiler (Schweiz) | Mapbox ist ebenfalls US; OSM-Kacheln lassen sich auch selbst hosten |
| Bildoptimierung | ShortPixel, Imagify, TinyPNG (Cloud) | lokale Plugins: Converter for Media (WebP) oder Enfants IMG Performer (WebP/AVIF + KI-Kennzeichnung) | kein Bild verlässt die Website (Downlink unten) |
| KI-Schnittstellen (Alt-Text, Text) | OpenAI, Anthropic, Google | Mistral (Frankreich), Aleph Alpha (Deutschland) – über eigenen API-Key | Verarbeitung im EU-Rechtsraum, keine Credit-Bindung |
Wo Kompromisse nötig sind
Nicht jede Ebene hat eine gleichwertige europäische Antwort. Bei Captchas, Zahlungsanbietern und einzelnen JavaScript-Bibliotheken ist die Auswahl dünner. Für Captchas gibt es europäische Anbieter wie Friendly Captcha, bei Zahlungen wird es eng. Manchmal ist der ehrlichste Weg, eine Funktion wegzulassen, statt sie schlecht zu ersetzen. Ein Kontaktformular braucht kein Google-reCAPTCHA, wenn ein einfacher Spam-Schutz reicht.
Wie wir das bei Projekten handhaben
Wir setzen den Stack europäisch als Standard auf, nicht als Sonderwunsch. Hosting bei einem EU-Anbieter, Schriften lokal, Analytics ohne Drittlandtransfer, Bildverarbeitung auf dem eigenen Server. Wo eine US-Abhängigkeit bleibt, steht sie im Projekt dokumentiert – mit dem Grund, warum, und einer Notiz, was ein Wechsel kosten würde. So ist die Entscheidung nachvollziehbar und nicht einfach das, was im Standard-Setup mitkam. Bei WordPress gehört die Plugin-Auswahl dazu – auch hier lohnt der zweite Blick, etwa bei der Barrierefreiheit: Barrierefreiheit mit WordPress umsetzen – Plugins und Best Practices.
Im Bildbereich heißt europäisch für uns: lokal. Wie sich WebP- und AVIF-Konvertierung DSGVO-konform ohne Cloud lösen lässt, steht hier: DSGVO-konforme Bildoptimierung für WordPress – ohne Cloud. Für KI-gestützte Alt-Texte nutzen wir einen europäischen Anbieter über einen eigenen Schlüssel – der Weg dahin: DSGVO-konforme Bildoptimierung mit KI-Alt-Texten.
Warum sich der Aufwand lohnt
Ein europäischer Stack ist meist auch der schlankere: weniger Drittanbieter-Verbindungen, weniger Tracking-Skripte, weniger Datenverkehr pro Seitenaufruf. Das macht die Website schneller und den Betrieb sparsamer – Datensouveränität und Nachhaltigkeit ziehen hier in dieselbe Richtung. Und schnellere, schlankere Websites sind meist auch barrierefreier und ranken besser: Barrierefreiheit und SEO – wie Google von besseren Websites profitiert.
Der eigentliche Gewinn ist Unabhängigkeit. Eine Website, die auf einem halben Dutzend US-Dienste aufbaut, gehört euch nur zur Hälfte. Eine, deren Bausteine ihr kennt und tauschen könnt, gehört euch ganz.
Zuletzt geprüft: 04.09.2026. Anbieter und Rechtslage ändern sich – die Struktur des Arguments (lokal vs. Cloud, EU-Firma vs. US-Firma) bleibt. Konkrete Dienste vor der Auswahl gegenprüfen.