Branchenbericht · aggregiert
Wohin Schweizer Websites Daten schicken
Auswertung von 120 Websites mit Schweizer Bezug, gemessen am 2026-08-15. Dieser Bericht nennt bewusst keine einzelne Organisation – er beschreibt die Lage, nicht einzelne Häuser. Er entsteht automatisch neu, sobald neue Messungen vorliegen.
Der Kernbefund
76 von 95 messbaren Websites binden einen Anbieter mit Sitz im Drittland ein – und niemand sieht nach
76 von 95 messbaren Websites (80 %) binden mindestens einen Dienst ein, dessen Anbieter seinen Sitz in einem Staat hat, dessen Datenschutzniveau der Bundesrat nicht generell als angemessen anerkennt – ganz überwiegend in den USA, wo die Anerkennung nur für DPF-zertifizierte Unternehmen gilt. Beim Laden einer solchen Einbindung erhält der Anbieter in der Regel mindestens IP-Adresse und Browser-Angaben der Besucherinnen. Ob daraus eine Bekanntgabe wird, die nach Art. 16 f. DSG eine Garantie braucht, hängt vom tatsächlichen Verarbeitungsort und von Zertifizierungen wie dem Swiss-U.S. Data Privacy Framework ab – der Sitz allein zeigt das nicht.
Genau diese Unbekannte ist der Punkt: Verarbeitungsort, Garantien, Zertifizierungen – nichts davon lässt sich von aussen messen. Heute muss jede Kundin, jeder Geschäftspartner und jede Aufsichtsbehörde das einzeln erfragen. Eine maschinenlesbare Deklaration macht daraus eine Abfrage von einer Sekunde.
Von den 120 untersuchten Websites führt bisher 1 eine solche Deklaration.
Was wir nicht sehen
60 % nutzen einen Tag-Manager – die Zahlen sind Untergrenzen
Wichtig für die Einordnung
Ein Tag-Manager lädt weitere Dienste erst nach, wenn JavaScript läuft. Diese Messung führt kein JavaScript aus. Auf 57 der 95 messbaren Websites ist also mit mehr Drittdiensten zu rechnen, als hier ausgewiesen sind – wie viele mehr, sagt diese Methode nicht.
Dasselbe gilt umgekehrt für die 18 % ohne erkannten Dienst: Das ist kein Freispruch, sondern eine Aussage über das statisch Sichtbare. Wer diese Zahlen zitiert, sollte den Zusatz mitzitieren.
Branchenvergleich
Wer wie viel einbindet
Nur Gruppen ab fünf messbaren Websites. Gruppen unter zehn sind als Hinweis zu lesen, nicht als belastbare Branchenstatistik – bei sechs Websites bestimmt ein einzelner Ausreisser das Ergebnis.
| Branche | Websites | Ø Dienste | mit Drittland | ohne Dienst |
|---|---|---|---|---|
| Treuhand, Beratung, Recht KLEINE GRUPPE | 6 | 2.7 | 100 % | 0 % |
| Bildung KLEINE GRUPPE | 5 | 2.4 | 100 % | 0 % |
| Verbände und Kammern | 10 | 2.3 | 90 % | 10 % |
| Finanz und Versicherung | 13 | 2.2 | 77 % | 23 % |
| Mobilität, Reisen und Gastgewerbe KLEINE GRUPPE | 6 | 1.7 | 100 % | 0 % |
| Gemeinnützige KLEINE GRUPPE | 6 | 1.5 | 100 % | 0 % |
| Handel und Konsum | 13 | 1.5 | 77 % | 23 % |
| Digitalwirtschaft und Datenschutz KLEINE GRUPPE | 6 | 1.3 | 67 % | 33 % |
| Medien KLEINE GRUPPE | 9 | 1.2 | 67 % | 11 % |
| Öffentliche Hand | 13 | 0.9 | 77 % | 23 % |
| Alltag und Dienste KLEINE GRUPPE | 7 | 0.7 | 57 % | 43 % |
Der bemerkenswerteste Befund steht ganz oben: Ausgerechnet Treuhand, Beratung und Recht – jene Branche, die Schweizer KMU in Datenschutzfragen berät – bindet im Schnitt am meisten Drittdienste ein. Die Gruppe ist klein, der Befund also mit Vorsicht zu lesen. Aber er passt zu einer Erfahrung, die viele Fachleute teilen: Die eigene Website ist selten dort, wo die eigene Beratung wäre.
Am anderen Ende steht die öffentliche Hand mit im Schnitt 0.9 Diensten je Website – ein Hinweis darauf, dass wenige Drittdienste möglich sind, wenn man sie zur Vorgabe macht.
Häufigste Dienste
Was eingebunden wird
| Dienst | Websites | Anteil der messbaren |
|---|---|---|
| Google Tag Manager | 57 | 60 % |
| Google Analytics | 27 | 28 % |
| Matomo (selbst gehostet) | 9 | 9 % |
| Usercentrics | 9 | 9 % |
| Google Fonts | 6 | 6 % |
| Google reCAPTCHA | 5 | 5 % |
| Cloudflare Analytics | 5 | 5 % |
| Cookiebot | 5 | 5 % |
Nebenbefund
Die Konvention funktioniert bereits
53 der 95 messbaren Websites (56 %)
führen eine security.txt – eine Datei an einem festgelegten Ort, die
Sicherheitsforschenden sagt, an wen sie sich wenden können. Sie ist heute RFC 9116 und
wurde von niemandem vorgeschrieben.
Das zeigt: Schweizer Organisationen legen bereits freiwillig strukturierte Dateien unter
/.well-known/ ab, wenn der Nutzen einleuchtet. Für Datenschutz-Transparenz
muss also kein neues Verhalten erfunden werden.
Methode
Wie gemessen wurde – und was das nicht kann
Vorgehen: Ein einzelner Abruf der Startseite je Website, ohne JavaScript
auszuführen. Erkannt werden statisch eingebundene Ressourcen bekannter Anbieter. Der
Scanner respektiert robots.txt und identifiziert sich als
DatenflussScanner/0.1. Quellcode und Auswertung sind offen.
Stichprobe: 120 Websites, ausgewählt nach Reichweite und Branchenmischung – keine Zufallsstichprobe. 25 Websites blockierten den Scanner und fehlen in allen Prozentzahlen; ausgewertet wurden 95.
Grenzen: Nur Startseiten, kein JavaScript, keine Aussage über Rechtmässigkeit. Der Sitz eines Anbieters sagt nicht, wo Daten tatsächlich verarbeitet werden – US-Anbieter liefern auch aus der Schweiz und der EU aus, und umgekehrt. Ob eine Einbindung zulässig ist, hängt von Verarbeitungsort, Garantien und Einwilligungen ab, die von aussen unsichtbar sind. Dieser Bericht misst, er beurteilt nicht.
Rohdaten: Aggregierte Auswertung als JSON · Einzelprofile im Register
Verwendung frei unter CC BY 4.0, mit Quellenangabe «Datenfluss-Standard, Messung vom 2026-08-15». Für Rückfragen und Korrekturen: kontakt@datenfluss-standard.ch