🌐 Auch auf: English · Français · Español
Vorweg: Das hier ist ein Erfahrungsbericht, keine Rechtsberatung. Ich bin Admin, kein Anwalt. Wer unsicher ist, fragt jemanden, der es beruflich macht.
Ein privater Tech-Blog in Deutschland ist rechtlich kein Niemandsland. Impressum, Datenschutz, Urheberrecht an Bildern – an all dem hängen Abmahnrisiken, und je länger ein Blog läuft, desto mehr sammelt sich an. Im Oktober habe ich meinen Blog deshalb einmal systematisch durchgesehen: Wo könnte ich jemandem auf die Füße treten, wo gebe ich mehr preis als nötig, und wo bin ich angreifbar? Dieser Beitrag fasst zusammen, was ich gefunden und geändert habe.
🖼️ Bilder, die mir nicht gehören
Der größte Brocken waren Bilder. Über die Jahre hatten sich Dinge angesammelt, die ich nicht selbst gemacht habe:
- Produktfotos von Herstellern: zwei Gerätefotos und eine Vergleichsgrafik mit fremden App-Logos. Ersetzt durch selbst gezeichnete Illustrationen.
- Offizielle Logos: mehrere Logo-Dateien von Software-Projekten lagen in der Mediathek, waren aber gar nicht mehr in Verwendung. Gelöscht.
- KI-Bilder mit fremden Figuren: Ein paar Titelbilder zeigten erkennbare Figuren und Motive aus Filmen und Spielen. Auch KI-generiert bleiben das fremde Marken und Figuren. Weichgezeichnet, mit einem kurzen Hinweis darunter.
- Screenshots mit Menschen: Ein alter Login-Screenshot enthielt Beispielfotos echter Personen, darunter ein Kind. Ebenfalls weichgezeichnet.
- Ein Buchcover: erst mit Quellenangabe versehen, später ganz aus dem Beitrag genommen.
Dazu kamen zwei Einbettungen von fremden Servern: ein Bild direkt von GitHub und ein Video-Player einer anderen Plattform. Beides lädt beim Seitenaufruf Daten von Dritten – und schickt dabei die IP-Adresse des Besuchers mit. Das Bild liegt jetzt auf meinem eigenen Server, statt des Players gibt es ein Vorschaubild mit Link.
Was man mitnimmt: „Es ist ja nur ein Titelbild“ schützt nicht. Was nicht selbst gemacht, ausdrücklich frei lizenziert oder eindeutig zitiert ist, gehört nicht auf die Seite – auch nicht in der Mediathek, wenn es nirgends mehr verwendet wird.
📷 Was Fotos über einen verraten
Fotos vom Smartphone tragen Metadaten mit sich: Gerätemodell, Aufnahmezeit, eine eindeutige Bildkennung, oft die GPS-Position. Bei einer Prüfung aller rund 1.200 Bilder fanden sich solche Daten noch in einigen Fotos; die GPS-Felder waren zum Glück leer. Entfernt habe ich die Metadaten verlustfrei, das Bild selbst blieb Pixel für Pixel gleich.
Auch Dateinamen verraten etwas: Zwei Bilder hießen noch so, wie das KI-Werkzeug sie benannt hatte. Sie haben sprechende Namen bekommen.
Seit Oktober wandelt ein kleines Plugin jedes neue Bild beim Hochladen um: WebP, höchstens 1.536 Pixel breit, unter 280 KB. Der Grund für die Grenze war ein Nebenfund – WhatsApp zeigte bei geteilten Links ein falsches Vorschaubild, weil es Vorschaubilder über rund 300 KB einfach ignoriert. Betroffen waren 128 von 468 Beiträgen.
Was man mitnimmt: Ein Bild ist mehr als seine Pixel. Metadaten und Dateinamen gehören vor dem Hochladen geprüft – oder gleich beim Hochladen automatisch bereinigt.
📜 Eine Datenschutzerklärung, die zur Wirklichkeit passt
Meine Datenschutzerklärung stammte ursprünglich aus einem Generator. Sie beschrieb ein Kontaktformular, das es nie gab, eine Verhaltensanalyse, die nie lief – und kein Wort über das, was tatsächlich passiert.
Neu geschrieben habe ich deshalb den Teil über den Betrieb:
- Server-Logs: welche Felder ein Zugriff im Log hinterlässt und wie lange sie liegen bleiben.
- Schutz vor Angriffen: dass fail2ban Adressen nach wiederholten Fehlversuchen vorübergehend sperrt.
- Besucherstatistik: dass ich Besucher ohne Tracker und ohne Cookies zähle, nur aggregiert aus den Logs.
- Was es nicht gibt: keine externen Schriften, keine fremden Skripte, keine Cookies für Werbung oder Analyse.
Was man mitnimmt: Eine Datenschutzerklärung aus Textbausteinen ist im Zweifel falsch. Sie muss beschreiben, was der eigene Server wirklich tut – und das weiß nur, wer ihn betreibt.
🤖 KI-Hinweis – und Zitate, die es nie gab
Viele meiner Texte und Bilder entstehen mit KI-Unterstützung, das steht auch in einem eigenen Hinweis auf dem Blog. Eines war dort aber nicht ganz ehrlich: Der Hinweis behauptete, Screenshots seien unbearbeitet – viele sind geschwärzt. Das ist jetzt korrigiert.
Schwerer wog ein Fund in einem älteren Beitrag: drei Sätze, als Zitat einer bekannten Person ausgewiesen, die diese Person so nie gesagt hat. Ein Sprachmodell hatte sie plausibel klingend „ergänzt“. Der Beitrag enthält jetzt nur noch ein einziges, nachprüfbares Zitat mit Quellenangabe; meine eigene Deutung ist als solche gekennzeichnet.
Was man mitnimmt: KI schreibt glaubwürdige Zitate. Jedes Zitat braucht eine Quelle, die man selbst nachgelesen hat – sonst ist es keins.
🏷️ Das Impressum: Pflicht, aber bitte nicht bei Google
Ein Impressum muss sein, in Deutschland nach § 5 DDG, dazu die Angabe, wer für die Inhalte verantwortlich ist. Es muss leicht erreichbar sein – es muss aber nicht in jeder Suchmaschine stehen. Mein Impressum enthält meine Anschrift, und die möchte ich nicht als Suchtreffer für meinen Namen sehen.
Deshalb tragen Impressum und Datenschutzerklärung in allen vier Sprachen noindex: Suchmaschinen nehmen sie nicht auf, Besucher erreichen sie aber über den Link im Fußbereich jeder Seite. Seit Kurzem steht dort auch ein Satz zum Haftungsausschluss – in der Sprache des Besuchers und verlinkt auf den passenden Abschnitt im Impressum: alles ist meine persönliche Sicht, nichts davon ist Rechts-, Fach- oder Sicherheitsberatung, und wer etwas übernimmt, sollte es vorher selbst testen.
Und dann war da noch das Impressum im Dark Mode. Es kam ursprünglich als fertiger HTML-Baustein aus einer hellen Vorlage, mit fest eingetragenen Farben – dunkelgraue Schrift, ein hellgrauer Kasten um den PGP-Fingerabdruck. Auf dem dunklen Hintergrund des Blogs war das kaum lesbar. Die Lösung war einfach: die festen Farben entfernen, dann greifen die Farben des Themes.
Was man mitnimmt: Pflichtangaben müssen erreichbar sein, nicht auffindbar. Und kopiertes HTML bringt sein Design mit – auch dort, wo es nicht passt.
Ein zweiter Durchgang. Nach diesem Beitrag habe ich den ganzen Blog noch einmal dagegen geprüft, und das hat sich gelohnt. Das Übersetzungs-Plugin setzte ein Sprach-Cookie für ein Jahr, das meine Datenschutzerklärung nicht erwähnte; es ist jetzt abgeschaltet. Einige Screenshots zeigten noch öffentliche IP-Adressen, den Vornamen einer Angehörigen und eine Server-Seriennummer, und ein Log enthielt noch eine IP-Adresse. Das ist jetzt geschwärzt oder ersetzt. Acht ungenutzte Bilder sind aus der Mediathek verschwunden, auch das Buchcover, und schwache Bildbeschreibungen habe ich neu geschrieben.
🎯 Die Lehren
- Nur eigene oder sauber lizenzierte Bilder – auch KI-Bilder können fremde Rechte verletzen.
- Metadaten und Dateinamen prüfen – am besten automatisch beim Hochladen.
- Fremde Inhalte selbst hosten oder verlinken – jede Einbettung schickt Daten der Besucher an Dritte.
- Datenschutz und KI-Hinweis an der Wirklichkeit ausrichten – Textbausteine und geschönte Hinweise sind angreifbar.
- Jedes Zitat selbst nachprüfen – ein Sprachmodell erfindet sie überzeugend.
