Eine Website besteht selten nur aus selbst geschriebenem HTML, CSS und JavaScript. Schriften, Karten, Videos, Analysewerkzeuge, Consent-Systeme, Chats, Formulare, Bibliotheken und das CMS können von weiteren Anbietern stammen. Manche Ressourcen werden direkt aus einem fremden Netz geladen. Andere liegen auf dem eigenen Server, wurden aber als Paket übernommen. Wieder andere laufen nur beim Entwickeln und erreichen den Browser nie.
Diese Unterschiede entscheiden über das Risiko. Ein extern geladenes Skript kann sich ändern, ohne dass eine neue Websiteversion veröffentlicht wird. Eine lokal gespeicherte Bibliothek verändert sich nicht von allein, muss dafür aber bewusst aktualisiert werden. Ein Buildwerkzeug kann die ausgelieferte Datei beeinflussen, obwohl es für Besucher unsichtbar bleibt. Eine vollständige Betrachtung beginnt deshalb mit der Frage, wo Code herkommt, wann er ausgeführt wird und wer ihn pflegt.
Notieren Sie zu jeder Einbindung die konkrete Aufgabe. „Marketing“ oder „Plugin“ erklärt noch nicht, ob eine Ressource Termine bucht, Videos abspielt oder Besuchsdaten übermittelt. Erst ein verständlicher Zweck macht die Abwägung möglich: Ist die Funktion den Ladeaufwand und die Pflege wert? Wenn niemand ihren Nutzen benennen kann, sollte sie genauer geprüft werden.
Das Ergebnis muss kein hundertseitiges Verzeichnis sein. Für eine kleine Unternehmenswebsite genügt oft eine gepflegte Tabelle aus Name, Ursprung, Zweck, übermittelten Daten, kritischer Funktion, Version, verantwortlicher Person und Aktualisierungsweg. Diese Inventur ist kein Sicherheitsnachweis. Sie schafft die Voraussetzung, um Änderungen und Vorfälle überhaupt zuordnen zu können.