Was ist ein Cookie-Banner?
Jeder kennt die kleine Box, die beim Öffnen einer Seite aufpoppt: "Wir verwenden Cookies — Akzeptieren oder Ablehnen?". Technisch ist das ein Stück JavaScript, das lädt, bevor deine eigentliche Seite irgendwelche Tracking-Skripte ausführt. Der Banner fragt die Einwilligung des Nutzers ab und speichert die Entscheidung — in der Regel ebenfalls in einem Cookie.
Rechtlich steckt hinter dem Banner der Artikel 6 der DSGVO in Verbindung mit dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG). Vereinfacht: Alles, was nicht unbedingt technisch nötig ist, darf erst nach aktiver Zustimmung geladen werden. Google Analytics, Meta Pixel, Hotjar, YouTube-Embeds, Schriftarten von fremden CDNs — all das gehört hinter die Einwilligung.
Ein Beispiel aus dem Alltag: Ein Dachdecker aus dem Allgäu lässt Google Analytics einbauen, um zu sehen, wie viele Besucher seine Seite hat. Ohne Banner startet das Tracking sofort. Mit Banner läuft es erst, wenn der Besucher auf "Akzeptieren" tippt — vorher sieht der Dachdecker schlicht nichts.
Wie funktioniert ein Cookie-Banner?
Ein sauberer Banner trennt die Ladereihenfolge der Skripte und arbeitet in vier Schritten:
- Initial-Zustand: Die Website lädt nur technisch notwendige Komponenten — HTML, CSS, das eigene Grundgerüst, der Banner selbst. Tracking-Skripte liegen noch in der Warteschlange.
- Einwilligungsabfrage: Der Banner zeigt klar verständlich, welche Kategorien von Cookies zum Einsatz kommen sollen — meistens in Gruppen wie "Notwendig", "Statistik", "Marketing".
- Entscheidung des Nutzers: Der Besucher wählt. "Alle akzeptieren" oder "Alle ablehnen" oder granular per Haken pro Kategorie. Beide Optionen müssen gleichwertig sichtbar sein.
- Umsetzung: Je nach Auswahl werden die Skripte nachgeladen oder eben nicht. Die Entscheidung wird in einem First-Party-Cookie gespeichert, damit der Banner nicht bei jedem Seitenaufruf neu erscheint.
Diesen Mechanismus nennt man auch Consent Management. Die Tools, die das übernehmen, heißen in der Branche CMP — Consent Management Platform. CMPs wie Borlabs Cookie, Complianz, Usercentrics oder CookieYes bringen die komplette Infrastruktur fertig mit und lassen sich per Plugin in WordPress einbinden. Größere CMPs (Usercentrics, OneTrust, Cookiebot) orientieren sich am IAB TCF (Transparency and Consent Framework) — einem Industriestandard des Interactive Advertising Bureau, der vor allem im Werbemarkt als gemeinsame Sprache zwischen Websites, Ad-Netzwerken und CMPs dient. Für die meisten KMU ist TCF overkill, aber wer ein Werbenetzwerk betreibt oder mit Header Bidding arbeitet, kommt daran kaum vorbei.
Wenn Google-Dienste im Spiel sind — Analytics, Ads, Tag Manager — spielt zusätzlich der Google Consent Mode v2 eine Rolle. Er ermöglicht, dass Google-Skripte auf der Seite laufen, aber ihr Verhalten anhand des Consent-Status anpassen: Ohne Zustimmung senden sie nur anonymisierte Pings, mit Zustimmung volle Daten. Seit März 2024 ist die v2 für den Einsatz im Europäischen Wirtschaftsraum verpflichtend, wenn du Google-Ads-Personalisierung nutzen willst. Eine saubere CMP bringt die Google-Consent-Mode-Integration mit.
Warum ist der Cookie-Banner für deine Website wichtig?
Ohne Banner lädst du Tracking-Skripte, bevor der Nutzer zugestimmt hat — das ist in der EU rechtswidrig. Das betrifft praktisch jede professionelle Website, weil fast niemand mehr ohne Analytics, Conversion-Tracking oder Google Maps auskommt.
Zweitens: Ein gut gemachter Banner ist auch ein Vertrauenssignal. Wer sauber fragt statt aggressive Dark Patterns einzubauen, wirkt souverän. Wer vier Ebenen klickbare Menüs braucht, bis man "Ablehnen" findet, verärgert Besucher und riskiert Abmahnungen.
Was ein rechtskonformer Banner enthalten muss
Ein Cookie-Banner, der die Prüfung besteht, erfüllt fünf Punkte:
| Anforderung | Was das heißt |
|---|---|
| Aktive Einwilligung | Kein Häkchen darf vorbelegt sein. Der Nutzer muss selbst klicken. |
| Gleichwertige Wahl | "Ablehnen" muss genauso sichtbar sein wie "Akzeptieren" — gleiche Größe, gleiche Farbe, gleicher Klick. |
| Granularität | Nutzer dürfen einzelne Kategorien an- und abwählen können. |
| Informationspflicht | Jedes einzelne Tool muss mit Name, Zweck, Speicherdauer und Anbieter erklärt werden. Link zur Datenschutzerklärung. |
| Widerrufbar | Der Nutzer muss die Einwilligung jederzeit zurückziehen können — meist über einen Link im Footer. |
Zusätzlich gilt: Die Entscheidung "Ablehnen" darf nicht bedeuten, dass die Seite anschließend unbenutzbar ist. Wer nur mit "Akzeptieren" weiterkommt, baut ein sogenanntes Cookie-Wall — rechtlich in den meisten Fällen unzulässig.
Häufige Fehler beim Cookie-Banner
Vorangehakte Checkboxen. Ein Klassiker bei alten Plugins. Nach DSGVO ist das unwirksam — die Einwilligung muss aktiv erfolgen.
Tracking lädt trotz Ablehnung. Oft ein Konfigurationsfehler: Der Banner wird gezeigt, aber das Skript liegt direkt im Theme und startet unabhängig davon. Muss entkoppelt werden.
Pre-Consent Loading. Der Klassiker unter den Dark Patterns: Tracking-Skripte werden schon geladen, bevor der Nutzer überhaupt mit dem Banner interagiert hat. Ob aus Bequemlichkeit oder Absicht — rechtlich ist es dasselbe wie eine vorangehakte Checkbox. Ein korrekt implementierter Banner blockiert alle nicht-essenziellen Ressourcen, bis die Entscheidung gefallen ist.
"Ablehnen"-Button versteckt. Ein dunkelgrauer Link in Schriftgröße 10 neben einem knallroten "Akzeptieren"-Button ist ein typisches Dark Pattern — und abmahnfähig.
Banner blockiert den ganzen Screen. Besonders auf Mobile kritisch. Der Banner darf die Bedienung nicht verunmöglichen — insbesondere muss das Impressum weiterhin erreichbar bleiben.
Google Fonts noch von Google geladen. Auch Schriftarten von externen CDNs brauchen eigentlich Einwilligung. Lösung: Fonts lokal hosten, dann entfällt das Problem.
Kurzer Hinweis: Der Text hier ist eine verständliche Einordnung, keine Rechtsberatung. Bei Zweifeln im konkreten Fall — besonders wenn eine Abmahnung eingetroffen ist — ruf einen Fachanwalt für IT-Recht an, nicht den Webdesigner.