Ihre Seite trackt womöglich vor dem Klick. Vier Ursachen, und wie Sie es in zwei Minuten prüfen.
Ein Cookie-Banner zu haben und nichts vor der Einwilligung zu senden, sind zwei verschiedene Dinge. Wir haben uns angesehen, woran es hängt, wenn beides auseinanderfällt. Hier stehen die vier Ursachen, die wir dabei gesehen haben, und der Test, mit dem Sie Ihre eigene Seite in zwei Minuten prüfen.
Es gibt einen Satz, den wir in Gesprächen immer wieder hören: „Wir haben doch ein Cookie-Banner." Der Satz ist meistens wahr und beantwortet trotzdem die falsche Frage. Ein Banner ist eine Anzeige auf dem Bildschirm. Ob Ihre Seite Daten sendet, bevor jemand darauf geklickt hat, entscheidet sich an einer ganz anderen Stelle, nämlich in der Reihenfolge, in der Skripte geladen werden.
Wie oft die beiden Dinge auseinanderfallen, hat der Lehrstuhl für Privatsphäre und Sicherheit in Informationssystemen der Universität Bamberg 2022 an hundert zufällig gezogenen deutschsprachigen Seiten gemessen. Von den 81 Seiten, die überhaupt ein Cookie-Banner hatten, banden 64 bereits Drittanbieter-Tracker ein, bevor der Nutzer mit dem Banner interagiert hatte. Im Schnitt waren es zu diesem Zeitpunkt drei Tracker, auf einer Seite dreizehn.
Was wir selbst gesehen haben, und was das wert ist
Im September haben wir 40 Seiten in einem frisch angelegten Chrome-Profil geöffnet, keinen Banner angeklickt und fünfzehn Sekunden lang den kompletten Netzwerkverkehr mitgeschnitten. Als Treffer zählte nur ein echter Datenaufruf an einen Tracking-Dienst, also ein Hit bei Google Analytics oder beim Meta-Pixel. Geladene Bibliotheken ohne Datenübertragung zählten nicht, reine Verbindungsvorbereitungen ebenso wenig.
Ein Wort zur Belastbarkeit, bevor hier Zahlen stehen, die keine tragen: Diese 40 Seiten sind handverlesen, nicht zufällig gezogen. Wir haben Portale, Fachseiten, kleine Unternehmensseiten und eigene Seiten hineingenommen, weil uns das Muster interessierte, nicht die Quote. Eine Prozentangabe daraus wäre eine Zahl mit falschem Anspruch. Für eine Quote nehmen Sie die Bamberger Erhebung, die ist gezogen und veröffentlicht.
Was die Beobachtung trägt, ist das Muster, und das war eindeutig:
- Keine einzige der 22 großen und mittleren Seiten in unserer Auswahl sendete vollwertige Analytics-Daten vor dem Klick. Was dort vor der Entscheidung lud, waren Bibliotheken und Tag-Manager-Container ohne ausgelöste Tags.
- Jeder Fall, den wir gefunden haben, war eine kleine WordPress-Seite.
Der Grund für die Trennschärfe ist wenig romantisch: Große Häuser haben nach dem Planet49-Urteil von 2020 und § 25 TTDSG Geld in die Hand genommen, ein zertifiziertes Einwilligungswerkzeug eingekauft und jemanden dafür bezahlt, die Tag-Reihenfolge zu prüfen. Das ist kein moralischer Vorsprung, das ist ein Budget. Wer eine Seite nebenher betreibt, hat dieses Budget nicht, und niemand prüft ihn.
Die vier Ursachen
1. Ein Vorlaufskript, das Einwilligung annimmt
Die bitterste Variante, weil sie aus guter Absicht entsteht. Irgendwo liegt ein kleines Skript, das dem Consent Mode mitteilt: Einwilligung erteilt, solange noch keine Entscheidung gespeichert ist. Gedacht ist so etwas als Übergangslösung, damit die Messung während eines Umbaus nicht abreißt. Praktisch bedeutet es das Gegenteil dessen, was gewollt war: Jeder Erstbesucher, also genau die Gruppe, die noch nie geklickt hat, wird als eingewilligt gemeldet. Aus einem cookielosen Ping wird ein vollwertiger Treffer.
Das ist der Fall, den man im Frontend nie sieht und im Netzwerk-Reiter sofort.
2. Analytics ganz ohne Gating
Der Klassiker aus der Zeit, als Analytics als harmlos galt: Das Mess-Tag hängt per Plugin oder von Hand im Header und lädt ungefragt mit. Kein Banner davor, kein Einwilligungs-Grundzustand, nichts. Solche Einbindungen überleben Relaunches, weil niemand sie sucht. Sie stehen in einem Theme-Feld, in einer Plugin-Einstellung oder in einem Snippet-Verwalter, und von außen sind sie unsichtbar.
Nach unserer Beobachtung ist das bei kleinen Seiten das häufigste Muster.
3. Ein Banner, das nichts blockiert
Consent-Plugin installiert, Banner erscheint, Analytics feuert trotzdem. Das ist kein Fehler des Plugins, sondern ein Missverständnis darüber, was es tut. Ein Hinweisbanner zeigt einen Hinweis. Ob die Skripte anderer Plugins darauf warten, entscheidet es nicht, solange man sie nicht ausdrücklich dahinter hängt.
Diese Ursache ist deshalb so verbreitet, weil sie sich richtig anfühlt. Der Betreiber hat etwas installiert, sieht das Ergebnis auf dem Bildschirm und hakt das Thema ab.
4. Der Graubereich, den Google für gelöst hält
Die mildere Kategorie: cookielose Consent-Mode-Pings vor der Entscheidung, erkennbar am Parameter gcs=G100. Nach Googles Lesart ist das der saubere Weg, weil keine Cookies gesetzt und keine Nutzer wiedererkannt werden. Die deutsche Datenschutzkonferenz sieht es anders, weil auch dieser Ping die IP-Adresse an einen Empfänger überträgt.
Wir zählen solche Fälle nicht als Treffer, halten den sicheren Weg aber für den, bei dem vor dem Klick gar nichts rausgeht.
Der Selbsttest, zwei Minuten
- Privates Fenster öffnen, damit keine alte Einwilligung gespeichert ist.
- F12 drücken, Reiter Netzwerk wählen.
- Ihre Startseite laden. Den Banner nicht anklicken.
- Im Filterfeld
collecteingeben, alternativgoogle-analyticsoderfacebook. - Steht dort eine Anfrage, haben Sie Ihre Antwort.
Wer genauer hinsehen will, klickt die Anfrage an und sucht in der Adresse nach gcs=:
| Wert | Bedeutung | Bewertung |
|---|---|---|
gcs=G111 | als eingewilligt gesendet | voller Treffer |
gcs=G100 | Consent Mode auf „denied", cookieloser Ping | Graubereich |
kein gcs | kein Consent Mode eingerichtet | voller Treffer |
Eine Einschränkung, die zur Ehrlichkeit gehört: Bei Seiten mit viel Werbetechnik schwankt das Ergebnis zwischen zwei Durchläufen, weil Anzeigenauktionen unterschiedlich schnell starten. Wer einen Befund hat, prüft ihn ein zweites Mal, bevor er daraus einen Schluss zieht.
Wenn Sie etwas finden
- Erst die Quelle finden, dann handeln. Deaktivieren Sie nicht wahllos Plugins. Suchen Sie im Quelltext nach der Mess-ID (bei GA4 beginnt sie mit G-) und diese Zeichenfolge dann in Plugin-Einstellungen, Theme und Snippet-Verwalter.
- Nach einem Vorlaufskript suchen. Im Quelltext nach
consentundgrantedgreifen. Steht dort eine Zeile, die Einwilligung setzt, bevor jemand geklickt hat, ist das Ihre Ursache. - Skripte hinter die Entscheidung hängen, statt dem Banner zu vertrauen.
- Nach dem Umbau erneut messen, im selben Verfahren. Eine Änderung, die man nicht nachmisst, ist eine Hoffnung.
- Mit fallenden Zahlen rechnen. Wer vorher jeden Erstbesucher gezählt hat und jetzt nur noch die Einwilligenden, sieht einen Einbruch, der keiner ist. Der Verkehr war vorher schon so, nur die Messung war falsch. Was danach in den Zahlen fehlt und wie man es trotzdem einschätzt, steht im Beitrag Was Google Analytics nicht zeigt.
Wer ohnehin Anzeigen ausspielt, findet in unserem Werbe-Plugin Adjet ein Consent-Gating für die verbreiteten Einwilligungswerkzeuge: Die Anzeigenskripte laufen erst nach dem Klick. Welches Einwilligungswerkzeug dazu passt, haben wir im Vergleich der Cookie-Consent-Plugins durchgesehen.
Warum diese vier und keine anderen
Dies ist kein Katalog aller theoretisch denkbaren Fehlerquellen, sondern die vier, die in der Praxis tatsächlich vorkommen.
Gemeinsam ist ihnen, dass sie keine Entscheidung sind. Niemand beschließt, ohne Einwilligung zu messen. Es ist eine Übergangslösung, die niemand zurückgebaut hat, ein Plugin, das jemand für zuständig hielt, eine Einstellung aus einer Zeit, in der andere Regeln galten. Zustände, die niemand geprüft hat, weil die Prüfung zwei Minuten kostet und niemand sie verlangt.
Die zwei Minuten haben Sie gerade gelesen.
Häufige Fragen
Wie prüfe ich selbst, ob meine Website vor der Einwilligung trackt?
Öffnen Sie ein privates Fenster, drücken Sie F12 für die Entwicklerwerkzeuge, wechseln Sie auf den Reiter Netzwerk und laden Sie Ihre Startseite. Klicken Sie den Banner nicht an. Filtern Sie dann nach "collect" für Google Analytics 4 oder nach "google-analytics". Erscheint dort eine Anfrage, bevor Sie geklickt haben, sendet Ihre Seite Daten ohne Einwilligung. Das dauert zwei Minuten und ist die verlässlichste Prüfung, die es ohne Werkzeuge gibt.
Was bedeutet der Parameter gcs in einer Google-Analytics-Anfrage?
Er verrät, was der Consent Mode gerade meldet. gcs=G111 heißt: als eingewilligt gesendet, mit allem, was dazugehört. gcs=G100 heißt: Consent Mode auf "denied", Google bekommt einen cookielosen Ping. gcs fehlt ganz, wenn überhaupt kein Consent Mode eingerichtet ist. Für eine Prüfung ist das die wichtigste Angabe: G111 vor jedem Klick ist ein handfestes Problem, ein fehlender gcs-Parameter meist auch.
Sind cookielose Consent-Mode-Pings erlaubt?
Darüber sind sich Google und die deutschen Aufsichtsbehörden uneins. Google sieht darin den zulässigen Kompromiss, weil keine Cookies gesetzt werden. Die Datenschutzkonferenz argumentiert, dass auch dieser Ping die IP-Adresse an einen Empfänger in den USA überträgt und deshalb einer Einwilligung bedarf. Wer den Streit nicht führen will, lädt vor dem Klick gar nichts.
Reicht ein Cookie-Banner-Plugin, damit nichts vor der Einwilligung gesendet wird?
Nein, und das ist der häufigste Irrtum. Ein Banner zeigt einen Hinweis an, es blockiert nicht automatisch die Skripte anderer Plugins. Uns ist genau dieser Fall begegnet: Cookie-Plugin aktiv, Banner sichtbar, Analytics feuerte trotzdem. Entscheidend ist nicht, dass ein Banner da ist, sondern dass die Tracking-Skripte erst nach dem Klick eingebunden werden. Das prüfen Sie nur im Netzwerk-Reiter, nicht in den Einstellungen.
Wie hoch ist die Abmahngefahr bei Tracking vor der Einwilligung?
Rechtlich ist die Lage seit dem Planet49-Urteil des Bundesgerichtshofs von 2020 und § 25 TTDSG eindeutig: Speichern und Auslesen von Informationen auf dem Endgerät braucht eine vorherige Einwilligung. In der Praxis kommen Beanstandungen häufiger von Aufsichtsbehörden und Mitbewerbern als von Abmahnanwälten. Das ändert aber nichts an der Grundlage: Wer es messen kann, kann es auch nachweisen, und messen kann es jeder mit einem Browser.
