Cookie-Banner prüfen: Lädt Google Analytics vor der Einwilligung?

Öffnen Sie Ihre Website in einem privaten Fenster, klicken Sie im Cookie-Banner nichts an und schauen Sie in den Entwicklertools des Browsers nach, ob schon Cookies wie _ga gesetzt sind. Sind sie da, lädt Google Analytics vor der Einwilligung. Für Statistik- und Werbe-Cookies braucht es in Deutschland und Österreich in der Regel vorher ein Ja des Besuchers. Der Banner muss die Tracker also wirklich zurückhalten.

Der Test dauert etwa fünf Minuten und funktioniert in Chrome oder Edge auf jedem Computer. Er ist eine technische Anleitung, keine Rechtsberatung.

Worum es geht, in einfachen Worten

Ein Cookie ist eine kleine Notiz, die eine Website in Ihrem Browser ablegt. Manche sind nötig, damit die Seite funktioniert, zum Beispiel für den Warenkorb oder die Anmeldung. Andere dienen der Statistik und der Werbung: Google Analytics legt etwa ein Cookie namens _ga ab, das Meta Pixel (Facebook) eines namens _fbp.

Ein Tracker ist ein kleines Programm eines anderen Anbieters, das beim Laden Ihrer Seite mitläuft und Daten über den Besuch an diesen Anbieter schickt.

Für Deutschland steht die Regel in § 25 TDDDG, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (bis Mai 2024 hieß es TTDSG): Informationen auf dem Gerät des Besuchers speichern oder von dort auslesen darf man nur mit seiner Einwilligung – außer es ist unbedingt nötig, damit der Dienst funktioniert, den der Besucher ausdrücklich nutzen will. Werden dabei personenbezogene Daten verarbeitet, etwa die IP-Adresse, gilt zusätzlich die DSGVO. Das EU-Portal „Ihr Europa“ fasst es für Unternehmen so zusammen: Cookies, die eine Einwilligung brauchen, dürfen nicht schon beim ersten Öffnen der Seite gesetzt werden. Statistik und Werbung gehören in der Regel dazu.

In Österreich verlangt § 165 Abs. 3 Telekommunikationsgesetz 2021 ebenfalls eine aktive Einwilligung, mit einer vergleichbaren Ausnahme für unbedingt Erforderliches.

In der Schweiz ist es anders geregelt. Nach Art. 45c des Fernmeldegesetzes müssen Besucher informiert werden und das Speichern ablehnen können, grundsätzlich bevor die Cookies aktiv werden. Eine ausdrückliche Einwilligung vorab ist laut dem Merkblatt des Eidgenössischen Datenschutzbeauftragten (EDÖB) nötig, wenn die Datenbearbeitung unerwartet ist, ein hohes Risiko birgt oder besonders schützenswerte Daten betrifft. Richtet sich eine Schweizer Website auch an Besucher in der EU, können zusätzlich die EU-Regeln gelten.

Auf EU-Ebene sind Änderungen an den Cookie-Regeln vorgeschlagen, aber noch nicht beschlossen (Stand: Oktober 2026). Diese Übersicht ist vereinfacht; im Einzelfall klären Sie die Rechtslage mit einer Datenschutzberatung oder einer Kanzlei.

Warum der Banner oft nur Dekoration ist

Viele Websites haben einen Cookie-Banner und laden Google Analytics trotzdem sofort. Das passiert selten mit Absicht. Typische Gründe:

• Analytics wurde direkt in die Seite eingebaut, zum Beispiel im Theme, im Header-Feld des Baukastens oder in der index.html. Der Banner kam später dazu und weiß nichts von diesem Skript.
• Die KI hat es so gebaut. Wer Lovable, Bolt oder Cursor bittet, „Google Analytics hinzuzufügen“, bekommt meist genau ein Skript, das bei jedem Seitenaufruf startet. Die Einwilligung ist ein zweiter Schritt, an den die KI nicht von selbst denkt.
• Der Google Tag Manager startet alles sofort. Über dieses Google-Werkzeug binden viele Websites ihre Tracker ein. Ist dort jeder Tracker so eingestellt, dass er bei jedem Seitenaufruf startet, spielt es keine Rolle, was der Besucher im Banner wählt.
• Ein neues Plugin oder Widget – Chat, Karte, Video, Bewertungen – bringt eigene Tracker mit, die der Banner nicht kennt.

Von außen sehen Sie davon nichts. Die Seite funktioniert, der Banner erscheint. Erst der Blick in den Browser zeigt, was wirklich passiert.

So prüfen Sie es selbst in fünf Minuten

Die Entwicklertools erscheinen in der Sprache Ihres Browsers. Sind sie auf Englisch, helfen die englischen Namen in Klammern.

1. Privates Fenster öffnen. In Chrome und Edge: Strg + Umschalt + N, auf dem Mac Cmd + Umschalt + N. Das ist wichtig, weil dort keine alten Cookies und keine frühere Zustimmung gespeichert sind. Sie sehen die Seite wie ein neuer Besucher.
2. Entwicklertools öffnen. Drücken Sie F12 oder klicken Sie mit der rechten Maustaste auf die Seite und wählen Sie „Untersuchen“. Auf dem Mac geht es auch mit Cmd + Option + I. Es öffnet sich ein Bereich mit vielen Reitern. Keine Sorge, Sie brauchen nur zwei davon.
3. Ihre Website aufrufen und nichts anklicken. Geben Sie Ihre Adresse ein und warten Sie, bis die Seite geladen ist. Den Banner lassen Sie einfach stehen.
4. Cookies ansehen. Öffnen Sie den Reiter „Anwendung“ („Application“). Ist er nicht zu sehen, steckt er hinter dem Doppelpfeil » neben den anderen Reitern. Klicken Sie links unter „Speicher“ („Storage“) auf „Cookies“ und dann auf Ihre Adresse. Achten Sie auf Namen wie _ga, _gid, _fbp, _gcl_au oder alles, was mit _hj beginnt (Hotjar). Stehen sie hier, obwohl Sie nichts angeklickt haben, wurden sie vor der Einwilligung gesetzt.
5. Anfragen ansehen. Öffnen Sie den Reiter „Netzwerk“ („Network“) und laden Sie die Seite neu (F5, auf dem Mac Cmd + R). Tippen Sie nacheinander google-analytics, googletagmanager und facebook in das Filterfeld. Jede Zeile, die dann übrig bleibt, ist eine Verbindung zu diesem Anbieter – noch bevor jemand zugestimmt hat.
6. Ablehnen testen. Schließen Sie alle privaten Fenster, sonst bleiben die Cookies erhalten. Öffnen Sie ein neues, rufen Sie die Seite auf und klicken Sie diesmal „Ablehnen“. Laden Sie neu und schauen Sie wie in Schritt 4 und 5 nach. Nach einem Nein dürfen keine Tracking-Cookies auftauchen und keine Anfragen an diese Anbieter gehen.
7. Den Banner selbst anschauen. Ist „Ablehnen“ genauso leicht zu finden wie „Alle akzeptieren“, oder versteckt es sich hinter „Einstellungen“? Die deutschen Datenschutzbehörden erwarten laut ihrer Orientierungshilfe für digitale Dienste eine gleichwertige Möglichkeit zum Ablehnen schon auf der ersten Ebene, wenn der Banner Inhalte verdeckt und Besucher ihn wegklicken müssen. Bei gängigen Bannern ist das sehr oft so. Prüfen Sie auch: Sind Datenschutzerklärung und Impressum erreichbar, während der Banner offen ist? Und lässt sich die Auswahl später ändern, etwa über einen Link „Cookie-Einstellungen“ am Seitenende?
8. Auf dem Handy wiederholen. Öffnen Sie die Seite auch auf dem Smartphone. Manchmal verdeckt der Banner dort alles, oder er erscheint gar nicht, weil die mobile Ansicht anders gebaut ist.

Prüfen Sie nicht nur die Startseite. Kontaktseite, Shop und Blog haben oft eigene Bausteine: eine eingebettete Google-Karte, ein YouTube-Video, Schriften, die von Google-Servern geladen werden. Auch die bauen beim Laden eine Verbindung zu einem anderen Anbieter auf.

Was Ihr Ergebnis bedeutet

Sie sehen _ga oder _fbp vor dem Klick. Dann lädt der Tracker vor der Einwilligung. Um genau diesen Fall geht es hier, und er lässt sich technisch beheben (nächster Abschnitt).

Sie sehen Anfragen an Google, aber keine _ga-Cookies. Dann lädt vielleicht nur der Google Tag Manager, oder Googles „Consent Mode“ ist eingerichtet: Das Skript lädt, verzichtet ohne Zustimmung aber auf Cookies. Ob das ausreicht, wird unterschiedlich bewertet. Klären Sie diese Frage mit Ihrer Datenschutzberatung, nicht mit einem Blogartikel.

Sie sehen nichts von alledem. Ein gutes Zeichen für diese Seite. Wiederholen Sie den Test nach dem nächsten Update, dem nächsten neuen Plugin oder der nächsten Änderung durch Ihre KI.

Die Lösung: Text für Ihren Entwickler oder Ihre KI

Die technische Lösung ist fast immer dieselbe: Das Analytics-Skript darf erst starten, wenn der Besucher im Banner zugestimmt hat. Bei WordPress kann das meist das Cookie-Plugin übernehmen, vorausgesetzt, Analytics wird über dieses Plugin eingebunden und nicht zusätzlich über das Theme oder ein zweites Plugin. Bei Baukästen hängt es davon ab, wie Analytics eingebunden wurde; dort hilft der Support des Anbieters weiter.

Betreut jemand anderes Ihre Website – eine Agentur, ein Freelancer oder ein KI-Werkzeug wie Lovable, Bolt, Cursor oder ChatGPT –, schicken Sie diesen Text:

Bitte prüfe meine Website https://ihre-domain.de auf Tracker,
die vor der Einwilligung laden, und behebe das.

- In einem privaten Fenster werden vor jedem Klick im Cookie-Banner
  diese Cookies gesetzt: [hier eintragen, z. B. _ga, _fbp].
- Google Analytics, der Google Tag Manager und alle anderen Tracker
  sollen erst starten, nachdem der Besucher im Banner zugestimmt hat.
- Nach „Ablehnen“ dürfen keine Tracking-Cookies gesetzt und keine
  Anfragen an google-analytics.com oder facebook.com gesendet werden.
- „Ablehnen“ soll auf der ersten Ebene des Banners stehen,
  genauso sichtbar wie „Alle akzeptieren“.
- Die Auswahl soll sich jederzeit über einen Link am Seitenende
  ändern lassen.
- Prüfe auch Kontaktseite, Shop und Blog auf eingebettete Karten,
  Videos und Schriften von fremden Servern.

Erkläre mir danach in einfachen Worten, was du geändert hast.

Danach prüfen Sie selbst noch einmal mit den Schritten oben. Fertig ist die Korrektur erst, wenn der Test im privaten Fenster sauber ist – nicht, wenn jemand sagt, dass sie fertig ist.

Mehr zu den anderen Grundlagen – Verschlüsselung, Zugänge, Updates – steht im Selbsttest Ist meine Website sicher?.

Automatisch nachsehen lassen

Der Test oben ist eine Momentaufnahme. Jedes neue Plugin und jede Änderung durch Ihre KI kann einen Tracker zurückbringen. Wer das nicht jede Woche von Hand machen will, kann die kostenlose Prüfung von ScanYourSite nutzen: ohne Anmeldung, das Ergebnis kommt in etwa einer Minute. Geben Sie Ihre Adresse ein oder öffnen Sie https://scanyoursite.app/de?check=ihre-domain.de mit Ihrer Domain; der Link trägt die Adresse nur ins Feld ein, die Prüfung starten Sie selbst.

Was die Prüfung dabei tut:

• Sie lädt Ihre Startseite wie ein neuer Besucher, ohne etwas anzuklicken, und listet die Tracker auf, die sie sieht – darunter Google Analytics (auch wenn es über den Google Tag Manager geladen wird), Meta Pixel, Hotjar, TikTok und LinkedIn.
• Sie meldet es als dringend, wenn Tracker laufen, aber kein Einwilligungs-Tool zu erkennen ist. Sie erkennt verbreitete Tools wie Borlabs Cookie, Complianz, Real Cookie Banner, CCM19, consentmanager, Cookiebot, OneTrust und Usercentrics. Ist Ihr Tool seltener, kann der Bericht fälschlich „kein Einwilligungs-Tool“ melden – dann zeigt der Test oben, ob Ihr Banner die Tracker trotzdem zurückhält.
• Setzt Ihr Server schon beim ersten Aufruf bestimmte Cookies, ohne dass ein solches Tool da ist, meldet sie das als eigenen Punkt mit mittlerer Dringlichkeit. Cookies, die erst ein Skript im Browser setzt, etwa _ga von Google Analytics, sieht sie dabei nicht.
• Sie prüft, ob die Seite auf eine Datenschutzerklärung und auf Impressum oder AGB verlinkt.

Was sie nicht tut: Sie klickt nicht durch Ihren Banner. Ob ein vorhandener Banner Google Analytics wirklich zurückhält, zeigt deshalb nur der Test mit den Entwicklertools oben. Und sie ersetzt keine rechtliche Prüfung.

Mit einem kostenlosen Konto wird eine Website einmal pro Woche geprüft, die Zusammenfassung kommt per E-Mail. Mit Pro (19 € im Monat, drei Websites) prüft ScanYourSite täglich und meldet sich sofort, wenn der Fund „Tracker ohne Einwilligungs-Tool“ neu auftaucht. Nach jeder neuen Version prüft Pro außerdem innerhalb weniger Minuten, ob die Website lädt und kein geheimer Schlüssel nach außen gelangt ist.