Kurze Antwort: Es gibt drei Wege. Der Seitenquelltext ist der schnellste und der unvollständigste, der Netzwerk-Tab im Browser ist genau und mühsam, ein Scan ist beides in fünfzehn Sekunden. Welchen du nimmst, hängt davon ab, wie genau du es wissen willst.
Und eines vorweg: du wirst mehr finden, als du erwartest. Websites sammeln über die Jahre Werkzeuge an, die niemand mehr bewusst eingebaut hat.
Warum du das überhaupt wissen willst
Jeder Dienst, den deine Seite lädt, bekommt Daten deiner Besucher. Mindestens die IP-Adresse, oft mehr. Nach dem revDSG musst du darüber informieren: welcher Dienst, wozu, wer ihn betreibt und in welchen Staat die Daten gehen.
Dazu kommt der praktische Teil. Jedes Skript kostet Ladezeit, und ein Werkzeug, das du nicht mehr nutzt, kostet sie umsonst.
Weg 1: Der Seitenquelltext
Rechtsklick auf deiner Seite, „Seitenquelltext anzeigen“, dann mit der Suchfunktion nach verräterischen Wörtern suchen: `script src`, `googletagmanager`, `facebook`, `cdn`.
Was das kann: In dreissig Sekunden siehst du, was fest in der Seite steht.
Was das nicht kann: Vieles wird erst im Browser nachgeladen, oft von einem anderen Skript. Ein Tag-Manager beispielsweise ist eine einzige Zeile im Quelltext und lädt danach beliebig viele weitere Dienste nach. Die siehst du hier alle nicht.
Weg 2: Der Netzwerk-Tab
Drücke F12 (auf dem Mac: Cmd + Option + I), wechsle auf „Netzwerk“ und lade die Seite neu. Jetzt siehst du jede einzelne Anfrage, die dein Browser stellt, samt Zieladresse.
Was das kann: Es ist vollständig. Was hier nicht auftaucht, läuft nicht.
Was das nicht kann: Es zeigt dir hundert bis dreihundert Einträge, davon der grösste Teil deine eigenen Bilder und Schriften. Die Fremddienste herauszusortieren dauert, und du musst wissen, wem welche Adresse gehört. `connect.facebook.net` erkennt man, `cdn.shopify.com/proxy/…` schon weniger.
Dazu kommt: du musst mehrere Seiten einzeln prüfen. Der Checkout lädt anderes als die Startseite.
Weg 3: Ein Scan
Ein Scanner macht Weg 2 automatisch und ordnet die Ergebnisse. Er lädt die Seite wie ein Besucher, protokolliert jede Anfrage nach aussen und gleicht die Adressen gegen einen Katalog bekannter Dienste ab.
Was das kann: Vollständigkeit von Weg 2, Tempo von Weg 1, und dazu die Einordnung: welcher Dienst, wozu, wer betreibt ihn, in welchen Staat gehen die Daten.
Was kein Weg findet
Das ist der Teil, den die meisten Anleitungen weglassen, und er ist der wichtigere.
Kein Verfahren dieser Welt findet Dienste, die keine Spur im Seitencode hinterlassen. Dazu gehören ausgerechnet die, mit denen du täglich arbeitest:
- dein Zahlungsabwickler, wenn er nur im Hintergrund die Zahlung verarbeitet
- dein Versanddienstleister, der Adressen für die Etiketten bekommt
- dein Newsletter-Werkzeug, wenn die Adressen aus dem Shop dorthin übertragen werden
- deine Buchhaltung, in der Kundendaten landen
Alle vier bearbeiten Personendaten, alle vier gehören in die Erklärung, und keiner taucht in irgendeinem Scan auf. In meiner Erhebung liefen 93 von 206 Seiten auf einem System, dessen Betreiber von aussen unsichtbar ist, und stand in keiner dieser Erklärungen.
Wer dir also einen Scanner verkauft und behauptet, danach sei alles erfasst, sagt nicht die Wahrheit. Die eine Hälfte steht im Code, die andere weisst nur du.
Was du mit dem Ergebnis machst
Für jeden gefundenen Dienst gibt es genau zwei sinnvolle Wege:
Entfernen, wenn du ihn nicht brauchst. Weniger Fremdcode, schnellere Seite, nichts zu deklarieren.
Deklarieren, wenn er bleibt. Mit Zweck, mit der Gesellschaft, die die Daten als Vertragspartnerin erhält, und mit dem Staat, in den sie gehen. Für Nutzerinnen in der Schweiz ist das oft nicht die Firma, die im Namen steckt: bei Google beispielsweise Google Ireland Limited in Dublin, nicht Google LLC in den USA.