Privacy Drift: WordPress-Datenschutz technisch im Blick behalten

WordPress-Websites verändern sich laufend: ein Plugin bekommt ein Update, ein Marketing-Script wird ergänzt, ein YouTube-Embed kommt hinzu oder ein Consent Manager wird neu konfiguriert. Technisch ist das normal. Aus Datenschutzsicht entsteht dabei aber ein unangenehmes Problem: Der Zustand, den man einmal geprüft hat, bleibt nicht automatisch derselbe.

Genau dafür habe ich Privacy Drift gebaut. Das kostenlose WordPress-Plugin soll nicht versprechen, eine Website „DSGVO-konform zu machen“. Es beantwortet eine praktischere Frage:

Was hat sich technisch verändert – und sollte ich mir diese Änderung aus Datenschutzsicht genauer ansehen?

Das eigentliche Problem ist Drift

Viele Datenschutzprüfungen sind Momentaufnahmen. Man kontrolliert die Website, richtet den Cookie-Banner ein und dokumentiert die eingesetzten Dienste. Danach verändert sich die Website weiter.

Typische Beispiele:

• ein Plugin lädt plötzlich eine neue externe Ressource,
• ein Tracking- oder Marketingdienst wird ergänzt,
• ein Embed bringt zusätzliche Drittanbieter mit,
• Cookies oder Browser-Storage-Namen tauchen neu auf,
• nach „Reject all“ wird trotzdem noch optionale Aktivität beobachtet,
• eine bekannte Integration verschwindet oder ändert ihren Host.

Das Problem ist nicht unbedingt die einzelne Änderung. Das Problem ist, dass sie häufig niemand bemerkt.

Privacy Drift behandelt deshalb den bekannten technischen Zustand als Baseline und macht spätere Abweichungen sichtbar.

Was Privacy Drift konkret prüft

Nach der Installation kann Privacy Drift die Website aus Sicht des Browsers untersuchen. Der erste erfolgreiche Browser-Scan wird zur vertrauenswürdigen Baseline. Spätere Scans zeigen, was hinzugekommen oder verschwunden ist.

Das Plugin hilft unter anderem bei diesen Fragen:

• Mit welchen externen Hosts kommuniziert die Website?
• Welche Drittanbieter-Ressourcen werden im Browser geladen?
• Welche Cookie- oder Storage-Namen sind sichtbar?
• Was hat sich seit dem letzten bekannten Zustand verändert?
• Auf welcher WordPress-Seite, welchem Beitrag oder Produkt wurde ein Fund erkannt, sofern WordPress die Quelle auflösen kann?
• Was passiert technisch, wenn bei einem unterstützten Consent-Banner „Reject“ bzw. „Ablehnen“ gewählt wird?

Die Ergebnisse werden nach Diensten, Hosts und Ressourcentypen gruppiert und mit verständlichen Hinweisen versehen.

Besonders wichtig: der Consent-Rejection-Test

Ein Cookie-Banner kann korrekt aussehen und trotzdem technisch anders reagieren als erwartet. Deshalb enthält Privacy Drift einen Consent-Rejection-Test.

Dabei wird ein frischer Seitenzustand geladen. Das Plugin erfasst zunächst die beobachtbare Drittanbieter-Aktivität, sucht bei unterstützten oder eindeutig erkennbaren Consent-Bannern nach einer Ablehnen-Aktion, führt diese aus und vergleicht anschließend den technischen Zustand davor und danach.

Privacy Drift unterstützt unter anderem bekannte Banner von Complianz, Cookiebot, OneTrust, CookieYes, Usercentrics, Real Cookie Banner und Borlabs Cookie. Kann eine Ablehnen-Aktion nicht zuverlässig erkannt werden, klickt das Plugin nicht einfach auf Verdacht, sondern meldet die Einschränkung.

Das ist bewusst konservativ: Ein automatischer Test ist nur hilfreich, wenn er nicht selbst falsche Sicherheit erzeugt.

Keine Blackbox und keine stille Telemetrie

Mir war wichtig, dass das Plugin nicht selbst zum nächsten Datenschutzproblem wird.

Die Kernfunktionen arbeiten deshalb local-first:

• Scan-Ergebnisse und Baselines werden in der lokalen WordPress-Datenbank gespeichert.
• Es gibt keine stille Übertragung von Site-URLs, Installations-IDs oder Nutzungsdaten an mich.
• Cookie- und Storage-Werte werden nicht gesammelt oder übertragen.
• Für die Kernfunktionen ist kein Privacy-Drift-Konto und kein externer Privacy-Drift-Dienst notwendig.
• Präsentations-Assets liegen lokal im Plugin.

Eine optionale Host-Recherche über RDAP wird nur nach expliziter Freigabe des jeweiligen Administrators ausgeführt und kann wieder widerrufen werden.

Erwartete Änderungen markieren statt Warnungen wegzuklicken

Nicht jede neue externe Ressource ist ein Problem. Manche Änderung wurde bewusst vorgenommen.

Deshalb können Funde in Privacy Drift als Expected markiert werden. Diese Entscheidung ist reversibel und wird im lokalen Review- und Audit-Log dokumentiert. So entsteht mit der Zeit kein unübersichtlicher Warnungsfriedhof, sondern ein nachvollziehbarer technischer Prüfprozess.

Zusätzlich zeigt die Monitoring-Historie, welche Funde zwischen Scans hinzugekommen oder verschwunden sind.

Was Privacy Drift ausdrücklich nicht ist

Privacy Drift ist kein:

• Cookie- oder Consent-Management-System,
• automatischer Script-Blocker,
• Datenschutz-Audit durch einen Juristen,
• Compliance-Zertifikat,
• Versprechen, dass eine Website DSGVO-konform ist.

Ein Browser-Scan kann technische Aktivität beobachten. Er kann aber nicht wissen, welche Rechtsgrundlage für eine konkrete Verarbeitung gilt, welche Verträge abgeschlossen wurden oder ob eine Datenschutzerklärung vollständig ist.

Genau deshalb trennt das Plugin technische Evidenz bewusst von rechtlichen Schlussfolgerungen.

Wann ich Privacy Drift einsetzen würde

Besonders sinnvoll finde ich das Plugin für WordPress-Seiten, die regelmäßig verändert werden – etwa durch Plugin-Updates, Marketing, externe Embeds, Shops oder mehrere Redakteure und Dienstleister.

Ein einfacher Workflow ist:

1. Privacy Drift installieren.
2. Einen ersten Browser-Scan durchführen und den bekannten Zustand als Baseline verwenden.
3. Nach größeren Plugin-, Theme-, Tracking- oder Consent-Änderungen erneut scannen.
4. Neue oder entfernte Funde prüfen.
5. Bei Bedarf den Consent-Rejection-Test durchführen.
6. Bewusst akzeptierte Änderungen als Expected dokumentieren.

Damit wird Datenschutz nicht automatisch erledigt. Aber technische Veränderungen werden deutlich schwerer zu übersehen.

Privacy Drift kostenlos installieren

Privacy Drift ist kostenlos im offiziellen WordPress Plugin Directory verfügbar:

Privacy Drift auf WordPress.org ansehen und installieren

Aktuell konzentriere ich mich darauf, das Plugin im realen Einsatz weiter zu verbessern: weniger Rauschen, klarere Hinweise und ein möglichst einfacher Weg von „Was hat sich verändert?“ zu „Was muss ich jetzt prüfen?“.

Wenn Sie Privacy Drift einsetzen und auf eine Website-Konstellation stoßen, die nicht sauber erkannt wird, freue ich mich über Feedback.

Hinweis: Privacy Drift ist ein technisches Monitoring- und Diagnosewerkzeug. Es ersetzt keine Rechtsberatung und garantiert keine DSGVO-, ePrivacy- oder sonstige rechtliche Compliance.

Häufige Fragen

Was macht Privacy Drift?
Privacy Drift überwacht technische Datenschutz-Signale auf WordPress-Websites. Das Plugin erkennt unter anderem Drittanbieter-Ressourcen, browserseitig sichtbare Cookie- und Storage-Namen, Veränderungen gegenüber einer Baseline und das technische Verhalten unterstützter Consent-Banner nach einer Ablehnung.

Ist Privacy Drift ein Cookie-Banner oder Consent-Management-Plugin?
Nein. Privacy Drift ersetzt keinen Consent Manager. Es prüft und dokumentiert technische Veränderungen und kann bei unterstützten Bannern testen, was vor und nach einer Ablehnung geladen wird.

Macht Privacy Drift eine Website automatisch DSGVO-konform?
Nein. Privacy Drift ist ein technisches Monitoring- und Diagnosewerkzeug. Es liefert Hinweise und technische Evidenz, aber keine Rechtsberatung, Zertifizierung oder Garantie für DSGVO-Konformität.