Der Consent-Banner, der Cookies setzt, bevor jemand klickt
Eine Untersuchung von einer Million Websites fand 2025: Auf rund 43 Prozent laufen Tracking-Cookies ohne gültige Einwilligung. Das TDDDG verlangt das Gegenteil. Warum die Lücke fast immer daran liegt, dass niemand weiß, was die eigene Seite wirklich lädt, und wie man es herausfindet.
Das Cookie-Banner verspricht: Nichts wird geladen, bevor Sie zustimmen. Die Realität sieht oft anders aus. Eine Untersuchung von einer Million Websites kam 2025 zu einem unbequemen Ergebnis: Auf rund 43 Prozent liefen Tracking-Cookies ohne gültige Einwilligung. Das Banner sagt das eine, die Seite tut das andere.
Was das Gesetz verlangt
§ 25 TDDDG ist eindeutig: Bevor ein Dienst auf das Endgerät zugreift, also Cookies setzt oder ausliest, braucht es eine aktive Einwilligung. Ausgenommen sind nur technisch zwingend notwendige Cookies, etwa für Login oder Warenkorb. Marketing, Analyse und Tracking gehören nicht dazu. Gerichte haben zuletzt mehrfach bekräftigt, dass Ablehnen so einfach erreichbar sein muss wie Zustimmen.
Warum die Lücke fast immer die gleiche ist
Kaum ein Betreiber setzt Tracker absichtlich vor die Einwilligung. Das Problem ist ein anderes: eingebundene Tools, ein Tag-Manager, ein nachträglich ergänztes Analyse-Skript, ein Chat-Widget, ein eingebetteter Kartendienst laden ihre eigenen Ressourcen, oft schon beim ersten Seitenaufruf. Wie das Consent-Banner konfiguriert ist, sagt nichts darüber, was die Seite tatsächlich tut.
Vertrauen ist keine Prüfung
Der einzige verlässliche Weg, diese Lücke zu schließen, ist nicht die Banner-Konfiguration, sondern die Messung: die eigene Seite mit einem echten Browser aufrufen und beobachten, was vor der Einwilligung lädt und was nach der Zustimmung dazukommt. Erst dieser Vorher-Nachher-Vergleich zeigt, ob das Banner hält, was es verspricht. Wer seine Cookie-Erklärung nur aus der CMP-Konfiguration ableitet, dokumentiert eine Absicht, kein Verhalten.
Wie isidaten das misst
Genau dafür gibt es in isidaten das Cookie-Scan-Modul. Es ruft Ihre Seiten mit einem echten Browser auf, vor und nach der Einwilligung, erkennt gängige Consent-Banner und hält fest, welche Cookies, localStorage-Einträge, Tracking-Pixel und Drittanbieter-Requests jeweils tatsächlich laufen. Jeder Fund wird über eine Wissensdatenbank eingeordnet, Übermittlungen in Drittländer werden ausgewiesen. So entsteht die Datenbasis für Ihre Cookie-Erklärung aus dem, was die Seite messbar tut, nicht aus einer Vermutung.
Ob Ihr Banner hält, was es verspricht, lässt sich in einem Scan zeigen. Wenn Sie wissen wollen, was Ihre Seiten vor der Einwilligung laden, sprechen Sie uns an.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.