Kurz-Fakten
- title ist keine Kür: ohne ihn kündigt der Screenreader nur "Frame" an
- Mit dem sandbox-Attribut lässt sich einschränken, was der eingebettete Inhalt darf – ohne Wert ist alles gesperrt
- loading="lazy" lädt den Rahmen erst, wenn er in Sichtweite kommt
- Ob die eigene Seite anderswo eingebettet werden darf, steuert die Kopfzeile Content-Security-Policy mit frame-ancestors
- Beim Einbinden fremder Dienste fließt die IP-Adresse jedes Besuchers dorthin – das gehört in die Datenschutzerklärung
Einordnung für die Praxis
Der Datenschutzpunkt ist der, der in der Praxis am meisten kostet. Eine eingebettete Karte oder ein Video eines großen Anbieters baut beim ersten Seitenaufruf eine Verbindung zu einem Dritten auf – ohne Einwilligung ist das je nach Dienst angreifbar. Die verbreitete Lösung ist eine Vorschau, die erst auf Klick lädt.
Für die Ladezeit gilt: Ein iframe bringt ein komplettes zweites Dokument mit. Ein einziges eingebettetes Video kann mehr Daten nachladen als die gesamte übrige Seite.