Externe Skripte: fremde Domains reduzieren und Ladezeit sparen

Warum das wichtig ist

Bevor der Browser ein Skript von einer fremden Domain laden kann, muss er den Namen auflösen, eine Verbindung aufbauen und die Verschlüsselung aushandeln. Auf einem Handy im Mobilnetz dauert das pro Domain spürbar, und zwar bevor auch nur ein Byte des eigentlichen Skripts unterwegs ist. Bei zwei Domains merkt das niemand. Bei fünfzehn schon.

Dazu kommt die Rechenzeit. Chat-Widgets, Tracking-Pakete und Werbenetzwerke bringen oft Hunderte Kilobyte JavaScript mit, die das Handy erst auswerten muss. Das drückt den Performance-Wert und macht die Seite träge beim Antippen (INP).

Und dann der Datenschutz. Jeder Abruf von einem fremden Server übermittelt die IP-Adresse des Besuchers. Für alles, was nicht technisch nötig ist, brauchst du in der Regel eine Einwilligung (mehr dazu bei Tracker und Consent-Tool). Weniger Fremdquellen heißt auch weniger, was du im Cookie-Banner und in der Datenschutzerklärung erklären musst.

Ein Risiko unterschätzen viele: Du lässt fremden Code mit vollen Rechten auf deiner Seite laufen. 2024 hat der Dienst polyfill.io nach einem Besitzerwechsel Schadcode an Tausende Websites ausgeliefert, die das Skript seit Jahren eingebunden hatten. Wer die Datei selbst gehostet hatte, war nicht betroffen.

So prüfst du es selbst

Schneller geht ein Blick in den Quelltext (Strg+U) und eine Suche nach <script src="https://. Damit siehst du allerdings nur, was fest im HTML steht. Ein Google Tag Manager lädt seine Tags erst im Browser nach, die findest du nur im Netzwerk-Reiter.

Mit dem kostenlosen Check von checkfrei bekommst du die Zahl der fremden Skript-Domains automatisch, ausgelesen aus dem HTML deiner Seite. Was ein Tag Manager später nachlädt, steckt also nicht in der Zahl. Die echte Last im Browser ist oft höher.

1. 01Öffne deine Seite in Chrome oder Firefox und drück F12, um die Entwicklertools zu öffnen.
2. 02Wechsle in den Reiter Netzwerk (Network), filtere auf JS und lade die Seite neu.
3. 03Blende per Rechtsklick auf die Spaltenköpfe die Spalte Domain ein, falls sie fehlt. Alles, was nicht deine eigene Domain ist, zählt als fremde Quelle.

So behebst du es

Geh die Liste Domain für Domain durch und frag bei jeder: Wer hat das eingebaut, und braucht es noch jemand? In fast jeder älteren Seite finden sich Leichen. Ein Heatmap-Code vom Test vor drei Jahren, ein zweiter Analytics-Tag, ein Chat-Widget, auf das keiner antwortet. Das rauszuwerfen kostet nichts und bringt am meisten.

Was bleibt, hostest du nach Möglichkeit selbst. Bibliotheken wie jQuery, Slider oder Lightboxen kannst du herunterladen und von deinem Server ausliefern. Bei Diensten, die zwingend von ihrem eigenen Server laden (Zahlungsanbieter, manche Buchungs-Widgets), geht das nicht. Die bindest du dann nur auf den Seiten ein, auf denen sie gebraucht werden.

<!-- vorher: drei fremde Domains -->
<script src="https://code.jquery.com/jquery-3.7.1.min.js"></script>
<script src="https://cdn.jsdelivr.net/npm/swiper@11/swiper-bundle.min.js"></script>
<script src="https://unpkg.com/aos@2.3.4/dist/aos.js"></script>

<!-- nachher: alles vom eigenen Server -->
<script src="/js/jquery-3.7.1.min.js" defer></script>
<script src="/js/swiper-bundle.min.js" defer></script>
<script src="/js/aos.js" defer></script>

import Script from "next/script";

<Script src="https://widget.example.com/chat.js" strategy="lazyOnload" />

Typische Fehler

• ·Den Google Tag Manager als Ablage für alles nutzen. Im HTML steht dann eine Domain, im Browser laden zehn.
• ·Icon-Bibliotheken und Schriften vom CDN laden, obwohl die Dateien in ein paar Minuten selbst gehostet wären. Bei Google Fonts kommt ein bekanntes Datenschutzproblem dazu (mehr dazu).