Die meisten Websites brauchen keine Marketing-Suite. Sie brauchen eine Antwort auf vier Fragen: Wie viele Menschen waren da, woher kamen sie, welche Seiten haben sie gelesen, und funktioniert das auf dem Handy. Google Analytics beantwortet diese Fragen — und sammelt dabei ein Vielfaches dessen, was dafür nötig wäre, auf Servern eines Konzerns außerhalb der EU.
Umami beantwortet dieselben Fragen mit einem Bruchteil des Aufwands, auf eigener Infrastruktur, ohne Cookies. Diese Website läuft damit, ebenso die Kundenprojekte, die wir betreuen.
Was Umami ist
Ein selbst gehostetes Webanalyse-Werkzeug unter MIT-Lizenz: eine Node.js-Anwendung mit PostgreSQL oder MySQL dahinter. Das Tracking-Skript wiegt wenige Kilobyte — Google Analytics bringt ein Vielfaches davon mit und kostet damit auch Ladezeit. Eingebunden wird es mit einer Zeile im <head>:
<script defer src="https://analytics.example.com/script.js"
data-website-id="00000000-0000-0000-0000-000000000000"></script>Die Oberfläche zeigt Besucher, Seitenaufrufe, Verweildauer, Absprungrate, Herkunftsländer, Referrer, Geräte und Browser. Dazu kommen benutzerdefinierte Events — Klicks auf einen Button, abgeschickte Formulare — und Ziele. Für den Alltag einer Unternehmenswebsite ist das vollständig.
Die Datenschutz-Vorteile im Einzelnen
Keine Cookies, kein Zugriff auf das Endgerät. Umami legt weder Cookies noch Einträge im Local Storage an. Das ist nicht nur eine Frage der Höflichkeit: § 25 TDDDG verlangt eine Einwilligung für das Speichern von Informationen auf dem Endgerät oder den Zugriff darauf — unabhängig davon, ob die Daten personenbezogen sind. Wo nichts gespeichert und nichts ausgelesen wird, greift diese Pflicht nicht. Das ist der rechtliche Kern hinter der Aussage „ohne Cookie-Banner“.
Keine dauerhafte Kennung. Statt einen Besucher über Wochen wiederzuerkennen, bildet Umami nach Angaben des Projekts einen Hash aus IP-Adresse, User-Agent und einem geheimen Salt, der täglich wechselt. Die IP-Adresse selbst wird nicht gespeichert. Wiederkehrende Besucher lassen sich damit innerhalb eines Tages zählen — darüber hinaus nicht mehr. Genau diese Selbstbeschränkung ist der Unterschied zwischen Reichweitenmessung und Tracking.
Kein Profilbildung über Websites hinweg. Google Analytics ist Teil eines Ökosystems, das dieselben Menschen auf Millionen anderer Websites, in der Suche und auf YouTube wiedererkennt. Umami weiß nur, was auf Ihrer eigenen Domain passiert. Es gibt keine Verknüpfung mit Werbeprofilen, weil es keine gibt.
Kein Drittlandtransfer. Die Daten liegen dort, wo Ihr Server steht. Damit entfällt der gesamte Komplex aus Standardvertragsklauseln, Transfer Impact Assessment und der Frage, was US-Behörden dürfen. Es ist kein Auftragsverarbeiter außerhalb der EU beteiligt, weil überhaupt kein Auftragsverarbeiter beteiligt ist.
Datensparsamkeit ist eingebaut. Art. 5 Abs. 1 lit. c DSGVO verlangt, auf das für den Zweck Notwendige zu beschränken. Bei Google Analytics ist das eine Konfigurationsaufgabe gegen die Voreinstellung; bei Umami ist die minimale Erhebung die Voreinstellung. Der Unterschied zeigt sich spätestens, wenn jemand fragt, was genau erhoben wird — die Antwort passt bei Umami auf eine halbe Seite.
Auskunft und Löschung werden beantwortbar. Ein Betroffener fragt, welche Daten über ihn vorliegen. Ohne dauerhafte Kennung, ohne gespeicherte IP und ohne externen Verarbeiter ist diese Frage in einem Satz beantwortet. Bei einer Analytics-Landschaft mit Consent-Tool, Tag Manager und Werbe-Integrationen ist sie ein Projekt.
Die Dokumentationslast sinkt. Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsvertrag, Datenschutzerklärung, Cookie-Banner-Konfiguration: All das wird kürzer oder entfällt. Weniger Erhebung heißt weniger, das begründet und gepflegt werden muss.
Zur Rechtslage bei Google Analytics
Eine faire Einordnung, weil hier viel Halbwissen kursiert: 2022 haben die Datenschutzbehörden in Österreich, Frankreich und Italien den Einsatz von Google Analytics für unzulässig erklärt — Kern war der Datentransfer in die USA nach dem Schrems-II-Urteil. Im Juli 2023 hat die EU-Kommission mit dem EU-U.S. Data Privacy Framework einen Angemessenheitsbeschluss erlassen, der Transfers an zertifizierte US-Unternehmen wieder auf eine Rechtsgrundlage stellt. Der Einsatz ist damit derzeit möglich.
Der Punkt ist ein anderer: Es ist der dritte Anlauf. Safe Harbor wurde 2015 gekippt, Privacy Shield 2020. Das aktuelle Rahmenwerk wird juristisch angegriffen und hängt zusätzlich an politischen Voraussetzungen in den USA, auf die europäische Unternehmen keinerlei Einfluss haben. Wer heute auf Google Analytics setzt, trifft damit eine Entscheidung, deren Grundlage zweimal weggebrochen ist und ein drittes Mal wegbrechen kann — mit dann sehr kurzer Umstellungsfrist.
Unabhängig davon bleibt die Einwilligungspflicht bestehen: Google Analytics arbeitet mit Cookies, das Banner ist damit nicht verhandelbar. Und jeder Besucher, der ablehnt, fehlt in der Statistik. In der Praxis bedeutet das je nach Zielgruppe, dass ein erheblicher Teil des Verkehrs nicht gemessen wird — die Zahlen sind also nicht nur rechtlich aufwendiger, sondern auch schlechter.
Das ist eine technische Einordnung, keine Rechtsberatung. Die Bewertung für Ihr Haus gehört zur Rechtsabteilung oder zum Datenschutzbeauftragten.
Umami oder Matomo?
Beide sind selbst hostbar, beide lösen das Souveränitätsproblem. Der Unterschied liegt im Umfang.
Matomo ist der ausgewachsene Ersatz für Google Analytics: Funnels, Heatmaps, Session Recording, A/B-Tests, Tag Manager, E-Commerce-Auswertung, Rollen- und Rechtekonzept, Roh-Datenexport. Wer diese Tiefe braucht, kommt an Matomo kaum vorbei. Der Preis dafür ist Betriebsaufwand: PHP-Stack, MySQL, deutlich größere Datenbanken, regelmäßige Archivierungsläufe. Matomo lässt sich cookielos konfigurieren, ist es aber nicht ab Werk.
Umami ist bewusst klein. Ein Container, eine Datenbank, eine übersichtliche Oberfläche — und cookielos als Ausgangszustand, nicht als Konfigurationsziel. Was fehlt, fehlt absichtlich: keine Heatmaps, keine Sitzungsaufzeichnungen, keine tiefe E-Commerce-Analyse.
Die ehrliche Faustregel: Für Unternehmenswebsites, Portfolios, Kanzleien, Praxen, Vereine und die meisten Shops mit überschaubarem Sortiment reicht Umami — und der geringere Aufwand ist ein echter Vorteil, kein Kompromiss. Wo ein Marketing-Team täglich mit Segmenten und Funnels arbeitet, ist Matomo die richtige Wahl.
Betrieb mit Docker Compose
services:
umami-db:
image: postgres:16-alpine
restart: unless-stopped
environment:
POSTGRES_DB: umami
POSTGRES_USER: umami
POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:?bitte in .env setzen}
volumes:
- umami_db:/var/lib/postgresql/data
healthcheck:
test: ["CMD-SHELL", "pg_isready -U umami -d umami"]
interval: 10s
timeout: 5s
retries: 5
umami:
image: ghcr.io/umami-software/umami:postgresql-latest
restart: unless-stopped
depends_on:
umami-db:
condition: service_healthy
ports:
- "127.0.0.1:3000:3000"
environment:
DATABASE_URL: postgresql://umami:${POSTGRES_PASSWORD}@umami-db:5432/umami
# Salt für die Besucher-Hashes und Signaturschlüssel der Sitzungen.
# Einmal zufällig erzeugen, sichern, nicht mehr ändern: Ein neuer Wert
# macht wiederkehrende Besucher zu neuen Besuchern.
APP_SECRET: ${APP_SECRET:?bitte in .env setzen}
healthcheck:
test: ["CMD-SHELL", "curl -fsS http://localhost:3000/api/heartbeat || exit 1"]
interval: 30s
timeout: 5s
retries: 5
volumes:
umami_db:Davor gehört ein Reverse Proxy mit TLS — der Port ist deshalb auf 127.0.0.1 gebunden. Nach dem ersten Start meldet man sich mit admin und dem Standardpasswort umami an; dieses Passwort sofort zu ändern ist der erste Schritt, nicht der zweite.
Im Kubernetes-Cluster gilt sinngemäß dasselbe: Deployment mit PostgreSQL, APP_SECRET und DATABASE_URL aus einem Secret, Ingress mit cert-manager davor. Community-Helm-Charts existieren; wie immer bei Fremd-Charts gehört die Version gepinnt.
Ein praktischer Hinweis zum Schluss: Legen Sie die Instanz auf eine eigene Subdomain Ihrer Hauptdomain, nicht auf eine fremde. Werbeblocker filtern bekannte Analytics-Hostnamen; ein Skript unter analytics.ihre-domain.de bleibt eher erreichbar und misst damit vollständiger.
Fazit
Umami beantwortet die Fragen, die eine Unternehmenswebsite tatsächlich stellt — ohne Cookie-Banner, ohne Drittlandtransfer, ohne Werbeprofile und ohne Abhängigkeit von einem Angemessenheitsbeschluss, der schon zweimal gekippt wurde. Der Betriebsaufwand ist ein Container und eine Datenbank.
Wir richten Umami ein, migrieren bestehende Analytics-Setups und betreiben die Instanzen mit — inklusive der Anpassungen an Datenschutzerklärung und Verarbeitungsverzeichnis. Sprechen Sie uns an.
Timo Bergen
Gründer & Geschäftsführer
