Ihre Seite trackt womöglich vor dem Klick. Vier Ursachen, und wie Sie es in zwei Minuten prüfen.

Es gibt einen Satz, den wir in Gesprächen immer wieder hören: „Wir haben doch ein Cookie-Banner." Der Satz ist meistens wahr und beantwortet trotzdem die falsche Frage. Ein Banner ist eine Anzeige auf dem Bildschirm. Ob Ihre Seite Daten sendet, bevor jemand darauf geklickt hat, entscheidet sich an einer ganz anderen Stelle, nämlich in der Reihenfolge, in der Skripte geladen werden.

Wie oft die beiden Dinge auseinanderfallen, hat der Lehrstuhl für Privatsphäre und Sicherheit in Informationssystemen der Universität Bamberg 2022 an hundert zufällig gezogenen deutschsprachigen Seiten gemessen. Von den 81 Seiten, die überhaupt ein Cookie-Banner hatten, banden 64 bereits Drittanbieter-Tracker ein, bevor der Nutzer mit dem Banner interagiert hatte. Im Schnitt waren es zu diesem Zeitpunkt drei Tracker, auf einer Seite dreizehn.

Was wir selbst gesehen haben, und was das wert ist

Im September haben wir 40 Seiten in einem frisch angelegten Chrome-Profil geöffnet, keinen Banner angeklickt und fünfzehn Sekunden lang den kompletten Netzwerkverkehr mitgeschnitten. Als Treffer zählte nur ein echter Datenaufruf an einen Tracking-Dienst, also ein Hit bei Google Analytics oder beim Meta-Pixel. Geladene Bibliotheken ohne Datenübertragung zählten nicht, reine Verbindungsvorbereitungen ebenso wenig.

Ein Wort zur Belastbarkeit, bevor hier Zahlen stehen, die keine tragen: Diese 40 Seiten sind handverlesen, nicht zufällig gezogen. Wir haben Portale, Fachseiten, kleine Unternehmensseiten und eigene Seiten hineingenommen, weil uns das Muster interessierte, nicht die Quote. Eine Prozentangabe daraus wäre eine Zahl mit falschem Anspruch. Für eine Quote nehmen Sie die Bamberger Erhebung, die ist gezogen und veröffentlicht.

Was die Beobachtung trägt, ist das Muster, und das war eindeutig:

• Keine einzige der 22 großen und mittleren Seiten in unserer Auswahl sendete vollwertige Analytics-Daten vor dem Klick. Was dort vor der Entscheidung lud, waren Bibliotheken und Tag-Manager-Container ohne ausgelöste Tags.
• Jeder Fall, den wir gefunden haben, war eine kleine WordPress-Seite.

Der Grund für die Trennschärfe ist wenig romantisch: Große Häuser haben nach dem Planet49-Urteil von 2020 und § 25 TTDSG Geld in die Hand genommen, ein zertifiziertes Einwilligungswerkzeug eingekauft und jemanden dafür bezahlt, die Tag-Reihenfolge zu prüfen. Das ist kein moralischer Vorsprung, das ist ein Budget. Wer eine Seite nebenher betreibt, hat dieses Budget nicht, und niemand prüft ihn.

Die vier Ursachen

1. Ein Vorlaufskript, das Einwilligung annimmt

Die bitterste Variante, weil sie aus guter Absicht entsteht. Irgendwo liegt ein kleines Skript, das dem Consent Mode mitteilt: Einwilligung erteilt, solange noch keine Entscheidung gespeichert ist. Gedacht ist so etwas als Übergangslösung, damit die Messung während eines Umbaus nicht abreißt. Praktisch bedeutet es das Gegenteil dessen, was gewollt war: Jeder Erstbesucher, also genau die Gruppe, die noch nie geklickt hat, wird als eingewilligt gemeldet. Aus einem cookielosen Ping wird ein vollwertiger Treffer.

Das ist der Fall, den man im Frontend nie sieht und im Netzwerk-Reiter sofort.

2. Analytics ganz ohne Gating

Der Klassiker aus der Zeit, als Analytics als harmlos galt: Das Mess-Tag hängt per Plugin oder von Hand im Header und lädt ungefragt mit. Kein Banner davor, kein Einwilligungs-Grundzustand, nichts. Solche Einbindungen überleben Relaunches, weil niemand sie sucht. Sie stehen in einem Theme-Feld, in einer Plugin-Einstellung oder in einem Snippet-Verwalter, und von außen sind sie unsichtbar.

Nach unserer Beobachtung ist das bei kleinen Seiten das häufigste Muster.

3. Ein Banner, das nichts blockiert

Consent-Plugin installiert, Banner erscheint, Analytics feuert trotzdem. Das ist kein Fehler des Plugins, sondern ein Missverständnis darüber, was es tut. Ein Hinweisbanner zeigt einen Hinweis. Ob die Skripte anderer Plugins darauf warten, entscheidet es nicht, solange man sie nicht ausdrücklich dahinter hängt.

Diese Ursache ist deshalb so verbreitet, weil sie sich richtig anfühlt. Der Betreiber hat etwas installiert, sieht das Ergebnis auf dem Bildschirm und hakt das Thema ab.

4. Der Graubereich, den Google für gelöst hält

Die mildere Kategorie: cookielose Consent-Mode-Pings vor der Entscheidung, erkennbar am Parameter gcs=G100. Nach Googles Lesart ist das der saubere Weg, weil keine Cookies gesetzt und keine Nutzer wiedererkannt werden. Die deutsche Datenschutzkonferenz sieht es anders, weil auch dieser Ping die IP-Adresse an einen Empfänger überträgt.

Wir zählen solche Fälle nicht als Treffer, halten den sicheren Weg aber für den, bei dem vor dem Klick gar nichts rausgeht.

Der Selbsttest, zwei Minuten

1. Privates Fenster öffnen, damit keine alte Einwilligung gespeichert ist.
2. F12 drücken, Reiter Netzwerk wählen.
3. Ihre Startseite laden. Den Banner nicht anklicken.
4. Im Filterfeld collect eingeben, alternativ google-analytics oder facebook.
5. Steht dort eine Anfrage, haben Sie Ihre Antwort.

Wer genauer hinsehen will, klickt die Anfrage an und sucht in der Adresse nach gcs=:

Eine Einschränkung, die zur Ehrlichkeit gehört: Bei Seiten mit viel Werbetechnik schwankt das Ergebnis zwischen zwei Durchläufen, weil Anzeigenauktionen unterschiedlich schnell starten. Wer einen Befund hat, prüft ihn ein zweites Mal, bevor er daraus einen Schluss zieht.

Wenn Sie etwas finden

• Erst die Quelle finden, dann handeln. Deaktivieren Sie nicht wahllos Plugins. Suchen Sie im Quelltext nach der Mess-ID (bei GA4 beginnt sie mit G-) und diese Zeichenfolge dann in Plugin-Einstellungen, Theme und Snippet-Verwalter.
• Nach einem Vorlaufskript suchen. Im Quelltext nach consent und granted greifen. Steht dort eine Zeile, die Einwilligung setzt, bevor jemand geklickt hat, ist das Ihre Ursache.
• Skripte hinter die Entscheidung hängen, statt dem Banner zu vertrauen.
• Nach dem Umbau erneut messen, im selben Verfahren. Eine Änderung, die man nicht nachmisst, ist eine Hoffnung.
• Mit fallenden Zahlen rechnen. Wer vorher jeden Erstbesucher gezählt hat und jetzt nur noch die Einwilligenden, sieht einen Einbruch, der keiner ist. Der Verkehr war vorher schon so, nur die Messung war falsch.

Wer ohnehin Anzeigen ausspielt, findet in unserem Werbe-Plugin Adjet ein Consent-Gating für die verbreiteten Einwilligungswerkzeuge: Die Anzeigenskripte laufen erst nach dem Klick. Welches Einwilligungswerkzeug dazu passt, haben wir im Vergleich der Cookie-Consent-Plugins durchgesehen.

Warum diese vier und keine anderen

Dies ist kein Katalog aller theoretisch denkbaren Fehlerquellen, sondern die vier, die in der Praxis tatsächlich vorkommen.

Gemeinsam ist ihnen, dass sie keine Entscheidung sind. Niemand beschließt, ohne Einwilligung zu messen. Es ist eine Übergangslösung, die niemand zurückgebaut hat, ein Plugin, das jemand für zuständig hielt, eine Einstellung aus einer Zeit, in der andere Regeln galten. Zustände, die niemand geprüft hat, weil die Prüfung zwei Minuten kostet und niemand sie verlangt.

Die zwei Minuten haben Sie gerade gelesen.