Datenfluss·Standard

Branchenbericht · aggregiert

Wohin Schweizer Websites Daten schicken

Auswertung von 120 Websites mit Schweizer Bezug, gemessen am 2026-08-15. Dieser Bericht nennt bewusst keine einzelne Organisation – er beschreibt die Lage, nicht einzelne Häuser. Er entsteht automatisch neu, sobald neue Messungen vorliegen.

80 %
binden Anbieter mit Sitz im Drittland ein
84 %
aller Dienste sitzen in den USA
60 %
nutzen einen Tag-Manager
18 %
ohne erkannten Drittdienst

Der Kernbefund

76 von 95 messbaren Websites binden einen Anbieter mit Sitz im Drittland ein – und niemand sieht nach

76 von 95 messbaren Websites (80 %) binden mindestens einen Dienst ein, dessen Anbieter seinen Sitz in einem Staat hat, dessen Datenschutzniveau der Bundesrat nicht generell als angemessen anerkennt – ganz überwiegend in den USA, wo die Anerkennung nur für DPF-zertifizierte Unternehmen gilt. Beim Laden einer solchen Einbindung erhält der Anbieter in der Regel mindestens IP-Adresse und Browser-Angaben der Besucherinnen. Ob daraus eine Bekanntgabe wird, die nach Art. 16 f. DSG eine Garantie braucht, hängt vom tatsächlichen Verarbeitungsort und von Zertifizierungen wie dem Swiss-U.S. Data Privacy Framework ab – der Sitz allein zeigt das nicht.

Genau diese Unbekannte ist der Punkt: Verarbeitungsort, Garantien, Zertifizierungen – nichts davon lässt sich von aussen messen. Heute muss jede Kundin, jeder Geschäftspartner und jede Aufsichtsbehörde das einzeln erfragen. Eine maschinenlesbare Deklaration macht daraus eine Abfrage von einer Sekunde.

Von den 120 untersuchten Websites führt bisher 1 eine solche Deklaration.

Was wir nicht sehen

60 % nutzen einen Tag-Manager – die Zahlen sind Untergrenzen

Wichtig für die Einordnung

Ein Tag-Manager lädt weitere Dienste erst nach, wenn JavaScript läuft. Diese Messung führt kein JavaScript aus. Auf 57 der 95 messbaren Websites ist also mit mehr Drittdiensten zu rechnen, als hier ausgewiesen sind – wie viele mehr, sagt diese Methode nicht.

Dasselbe gilt umgekehrt für die 18 % ohne erkannten Dienst: Das ist kein Freispruch, sondern eine Aussage über das statisch Sichtbare. Wer diese Zahlen zitiert, sollte den Zusatz mitzitieren.

Branchenvergleich

Wer wie viel einbindet

Nur Gruppen ab fünf messbaren Websites. Gruppen unter zehn sind als Hinweis zu lesen, nicht als belastbare Branchenstatistik – bei sechs Websites bestimmt ein einzelner Ausreisser das Ergebnis.

BrancheWebsitesØ Dienstemit Drittlandohne Dienst
Treuhand, Beratung, Recht KLEINE GRUPPE62.7100 %0 %
Bildung KLEINE GRUPPE52.4100 %0 %
Verbände und Kammern102.390 %10 %
Finanz und Versicherung132.277 %23 %
Mobilität, Reisen und Gastgewerbe KLEINE GRUPPE61.7100 %0 %
Gemeinnützige KLEINE GRUPPE61.5100 %0 %
Handel und Konsum131.577 %23 %
Digitalwirtschaft und Datenschutz KLEINE GRUPPE61.367 %33 %
Medien KLEINE GRUPPE91.267 %11 %
Öffentliche Hand130.977 %23 %
Alltag und Dienste KLEINE GRUPPE70.757 %43 %

Der bemerkenswerteste Befund steht ganz oben: Ausgerechnet Treuhand, Beratung und Recht – jene Branche, die Schweizer KMU in Datenschutzfragen berät – bindet im Schnitt am meisten Drittdienste ein. Die Gruppe ist klein, der Befund also mit Vorsicht zu lesen. Aber er passt zu einer Erfahrung, die viele Fachleute teilen: Die eigene Website ist selten dort, wo die eigene Beratung wäre.

Am anderen Ende steht die öffentliche Hand mit im Schnitt 0.9 Diensten je Website – ein Hinweis darauf, dass wenige Drittdienste möglich sind, wenn man sie zur Vorgabe macht.

Häufigste Dienste

Was eingebunden wird

DienstWebsitesAnteil der messbaren
Google Tag Manager5760 %
Google Analytics2728 %
Matomo (selbst gehostet)99 %
Usercentrics99 %
Google Fonts66 %
Google reCAPTCHA55 %
Cloudflare Analytics55 %
Cookiebot55 %

Nebenbefund

Die Konvention funktioniert bereits

53 der 95 messbaren Websites (56 %) führen eine security.txt – eine Datei an einem festgelegten Ort, die Sicherheitsforschenden sagt, an wen sie sich wenden können. Sie ist heute RFC 9116 und wurde von niemandem vorgeschrieben.

Das zeigt: Schweizer Organisationen legen bereits freiwillig strukturierte Dateien unter /.well-known/ ab, wenn der Nutzen einleuchtet. Für Datenschutz-Transparenz muss also kein neues Verhalten erfunden werden.

Methode

Wie gemessen wurde – und was das nicht kann

Vorgehen: Ein einzelner Abruf der Startseite je Website, ohne JavaScript auszuführen. Erkannt werden statisch eingebundene Ressourcen bekannter Anbieter. Der Scanner respektiert robots.txt und identifiziert sich als DatenflussScanner/0.1. Quellcode und Auswertung sind offen.

Stichprobe: 120 Websites, ausgewählt nach Reichweite und Branchenmischung – keine Zufallsstichprobe. 25 Websites blockierten den Scanner und fehlen in allen Prozentzahlen; ausgewertet wurden 95.

Grenzen: Nur Startseiten, kein JavaScript, keine Aussage über Rechtmässigkeit. Der Sitz eines Anbieters sagt nicht, wo Daten tatsächlich verarbeitet werden – US-Anbieter liefern auch aus der Schweiz und der EU aus, und umgekehrt. Ob eine Einbindung zulässig ist, hängt von Verarbeitungsort, Garantien und Einwilligungen ab, die von aussen unsichtbar sind. Dieser Bericht misst, er beurteilt nicht.

Rohdaten: Aggregierte Auswertung als JSON · Einzelprofile im Register

Verwendung frei unter CC BY 4.0, mit Quellenangabe «Datenfluss-Standard, Messung vom 2026-08-15». Für Rückfragen und Korrekturen: kontakt@datenfluss-standard.ch

← Zur Startseite