Kurz-Fakten

  • title ist keine Kür: ohne ihn kündigt der Screenreader nur "Frame" an
  • Mit dem sandbox-Attribut lässt sich einschränken, was der eingebettete Inhalt darf – ohne Wert ist alles gesperrt
  • loading="lazy" lädt den Rahmen erst, wenn er in Sichtweite kommt
  • Ob die eigene Seite anderswo eingebettet werden darf, steuert die Kopfzeile Content-Security-Policy mit frame-ancestors
  • Beim Einbinden fremder Dienste fließt die IP-Adresse jedes Besuchers dorthin – das gehört in die Datenschutzerklärung

Einordnung für die Praxis

Der Datenschutzpunkt ist der, der in der Praxis am meisten kostet. Eine eingebettete Karte oder ein Video eines großen Anbieters baut beim ersten Seitenaufruf eine Verbindung zu einem Dritten auf – ohne Einwilligung ist das je nach Dienst angreifbar. Die verbreitete Lösung ist eine Vorschau, die erst auf Klick lädt.

Für die Ladezeit gilt: Ein iframe bringt ein komplettes zweites Dokument mit. Ein einziges eingebettetes Video kann mehr Daten nachladen als die gesamte übrige Seite.

Verwandte Begriffe