Tracking vor der Einwilligung: 50.000 Firmenseiten im Check

Cookie-Banner gehören heute zum Alltag. In meiner Stichprobe hatten 59,5 % der Firmenseiten eines. Die Idee dahinter ist einfach: Bevor eine Website ihre Besucher mit Google Analytics, dem Meta-Pixel oder ähnlichen Diensten misst, fragt sie um Erlaubnis. Seit Dezember 2021 steht das ausdrücklich im Gesetz, heute in § 25 TDDDG. Informationen auf dem Gerät des Besuchers speichern oder dort auslesen darf eine Seite nur mit Einwilligung, es sei denn, es ist für den Dienst unbedingt nötig.

Ich wollte wissen, ob das Banner auch tut, was es verspricht. Also habe ich dieselben 50.000 zufällig gezogenen Websites deutscher Betriebe genommen wie in meiner Google-Fonts-Studie. Diesmal habe ich jede Startseite in einem echten Browser geöffnet und genau hingeschaut, was passiert, bevor jemand irgendetwas anklickt.

Kurz gesagt: 8,8 % der erreichbaren Firmenseiten in meiner Stichprobe messen ihre Besucher schon vor dem ersten Klick. Das ist fast jede elfte. Schaut man nur auf Seiten, die überhaupt Tracking nutzen und bei denen mein Browser einen Zustimmungs-Knopf gefunden hat, sind es 30,9 %, also knapp ein Drittel.

1. Tracking vor der Einwilligung in Zahlen: 8,8 % messen vor dem Klick

So lief der Test, ohne Fachchinesisch. Jede Seite öffnet ein Browser (Chromium, die technische Basis von Chrome) in einem frischen, leeren Profil, ohne gespeicherte Cookies, mit deutscher Spracheinstellung. Die Seite lädt, danach wartet der Browser vier Sekunden. Dann bewegt er die Maus, drückt eine Taste und scrollt ein Stück nach unten, so wie ein echter Besucher, der sich erst mal umschaut. Noch einmal drei Sekunden warten. Geklickt wird in dieser Zeit nichts, auch nicht im Cookie-Banner.

Währenddessen schreibt der Browser jede Anfrage mit, die die Seite ins Netz schickt. Gezählt habe ich Anfragen, mit denen die Seite Daten an einen Mess- oder Werbedienst schickt, zum Beispiel einen Seitenaufruf an Google Analytics oder ein Ereignis an das Meta-Pixel. Dass ein Skript nur geladen wird, zählt in der Hauptquote nicht.

Von 50.000 Adressen waren 41.161 erreichbar. Jede davon landet in genau einer Stufe, und zwar in der schwersten, die zutrifft:

• Messung läuft vor dem Klick: 3.619 Seiten (8,8 %). Die Seite schickt Daten an Google, Meta oder einen anderen Mess- oder Werbedienst, ohne das Signal, dass der Besucher abgelehnt hat.
• Nur Google-Pings im Modus „abgelehnt“: 859 Seiten (2,1 %). Dazu gleich mehr.
• Nur Werbeanfragen über ein YouTube-Video oder ein AdSense-Skript: 409 Seiten (1 %).
• Tracking-Skript geladen, aber noch nichts gemessen: 1.733 Seiten (4,2 %).
• Nur fremde Inhalte wie Google Fonts, Google Maps oder reCAPTCHA: 7.071 Seiten (17,2 %).
• Nichts davon: 27.470 Seiten (66,7 %).

Das Auffällige an der ersten Gruppe: Bei 2.619 dieser 3.619 Seiten hat der Browser ein Cookie-Banner erkannt. Beantwortet hatte es noch niemand, und im Hintergrund lief die Messung schon. Die übrigen 1.000 haben gar kein erkennbares Banner. Und 2.952 der Seiten setzen dabei auch schon Tracking-Cookies, am häufigsten _ga von Google Analytics.

Ich wollte sicher sein, dass das keine Messfehler sind. Deshalb habe ich 30 zufällig ausgewählte Seiten aus dieser Gruppe nach Ende der Erhebung noch einmal geöffnet und dabei fotografiert. 29 von 30 haben wieder vor jedem Klick gemessen. Auf 19 der Bildschirmfotos ist das unbeantwortete Banner deutlich zu sehen, auf einem weiteren wird es von einem anderen Fenster verdeckt.

Wer vor dem Klick Daten bekommt

Meistens ist es Google: Auf 2.670 der 3.619 Seiten, also rund 74 von 100, ist Google Analytics oder Google Ads beteiligt. Google Analytics 4 misst auf 2.170 Seiten vor dem Klick, Google Ads auf 1.238. Das Meta-Pixel kommt auf 536 Seiten. Überraschend oft taucht noch das alte Universal Analytics auf: 534 Seiten schicken Daten an einen Dienst, den Google längst abgeschaltet hat. Das bringt dem Betrieb gar nichts mehr. Die Daten fließen trotzdem.

Welche Branchen am häufigsten betroffen sind

Oben stehen Möbel (16,7 %) und IT-Dienstleister (15,1 %). Bei den Möbelgeschäften sind allerdings nur 221 Seiten in der Stichprobe, da schwankt der Wert stärker. Ganz unten stehen Elektrobetriebe (2,1 %) und Apotheken (1,5 %). Woran das liegt, lässt sich aus den Daten allein nicht sicher ablesen.

2. Warum das Cookie-Banner oft nur Deko ist

Ein Banner auf der Seite heißt noch lange nicht, dass es auch etwas blockiert. Woran es im Einzelfall liegt, zeigt mein Test nicht, er sieht nur die Anfragen. Es gibt aber typische Ursachen, und für einige davon finden sich Spuren in den Daten.

Banner da, Messung läuft trotzdem. Bei 2.619 der 3.619 Seiten gab es ein erkanntes Banner und trotzdem eine Messung. Wie das im Einzelfall zustande kommt, sehe ich von außen nicht. Ein typisches Beispiel: Google Analytics wurde irgendwann direkt in die Designvorlage eingebaut, später kam ein Banner-Plugin dazu, und niemand hat das alte Tracking an das Banner gekoppelt. Beides läuft nebeneinander her. Für den Besucher sieht alles ordentlich aus.

Das Banner fragt gar nicht. Auf einigen der fotografierten Seiten steht sinngemäß „Durch die Nutzung dieser Website stimmst du zu“, darunter oft nur ein Knopf wie „Akzeptieren“ oder „Verstanden“. Das ist ein Hinweis, keine Frage. Eine Einwilligung setzt voraus, dass man auch Nein sagen kann.

Google Consent Mode ist zu offen eingestellt. Google bietet eine Einstellung, mit der seine Dienste schon vor der Entscheidung Pings schicken, die ausdrücklich „abgelehnt“ melden. Das habe ich getrennt gezählt (2,1 % der Seiten), weil rechtlich offen ist, ob das zulässig ist. Häufiger ist aber etwas anderes. Von 3.066 Seiten, die vor dem Klick Anfragen an Google Analytics 4 schicken, melden 2.027 überhaupt keinen Einwilligungsstatus. 115 melden sogar „erlaubt“, obwohl niemand etwas erlaubt hat. 896 melden „abgelehnt“, bei 28 ist das Signal gemischt oder nicht eindeutig.

Der Baukasten entscheidet mit. 199 von 200 Seiten, die über einen einzigen Website-Baukasten laufen, schicken vor dem Klick Daten an Adobe. Fast alle davon sind Restaurants, Imbisse und Cafés. So ein einheitliches Bild spricht eher für die gemeinsame Technik dahinter als für 199 einzelne Entscheidungen. Wer seine Seite über einen Baukasten betreibt, sollte deshalb genauso prüfen wie jemand mit eigener WordPress-Seite.

Dazu kommen 4,2 % der Seiten, die ein Tracking-Skript wie den Google Tag Manager schon vor dem Klick laden, ohne dass damit gleich gemessen wird. Das Verwaltungsgericht Hannover hat 2025 entschieden, dass schon dieses Laden eine Einwilligung braucht. Das ist ein einzelnes Urteil der ersten Instanz und keine gefestigte Rechtsprechung. Deshalb steht diese Gruppe nicht in der Hauptquote. Wer auf Nummer sicher gehen will, lädt aber auch das Skript erst nach der Zustimmung.

Die gute Nachricht steht auch in den Daten. Bei einem festen Viertel der Seiten hat mein Browser am Ende auf den Zustimmungs-Knopf geklickt, erkannt an Texten wie „Alle akzeptieren“, „Zustimmen“ oder „OK“. Von 1.854 Seiten, die dabei überhaupt Tracking gezeigt haben, haben 1.079 (58,2 %) bis zum Klick keine Messung verschickt. 238 davon hatten das Tracking-Skript allerdings schon geladen. Es geht also, und bei mehr als der Hälfte klappt zumindest das Zurückhalten der Messung schon.

3. So prüfst du deine eigene Seite in fünf Minuten

Du brauchst dafür kein Tool und keine Agentur, nur einen normalen Browser. Wenn du deine Website nicht selbst pflegst, schick diese Schritte an die Person, die sie für dich betreut.

1. Privates Fenster öffnen. In Chrome heißt es „Inkognito“. So hat der Browser noch keine Cookies und keine frühere Zustimmung von dir gespeichert.
2. Entwicklerwerkzeuge öffnen, bevor die Seite lädt. Rechtsklick irgendwo, „Untersuchen“ wählen, dann den Reiter „Netzwerk“. Jetzt deine Adresse eingeben und laden. Ins Banner klickst du nicht.
3. Nach verdächtigen Anfragen suchen. Tippe nacheinander in das Filterfeld: collect (Google Analytics), facebook.com/tr (Meta-Pixel), doubleclick und googleadservices (Google Ads). Jeder Treffer, solange das Banner noch offen ist, ist ein Warnsignal, aber nicht jeder ist schon eine Messung. Manche Anfragen laden nur Skripte oder Werbemittel. Eindeutig ist es bei Google Analytics: Eine collect-Anfrage mit tid=G- in der Adresse ist eine Messung. Steht darin etwa gcs=G100, meldet Google „abgelehnt“. Fehlt gcs ganz, geht die Messung ohne jedes Ablehnungssignal raus.
4. Cookies ansehen. Im Reiter „Anwendung“ (auf Englisch „Application“) links auf „Cookies“ klicken. Stehen dort schon _ga, _gid, _gcl_au oder _fbp, obwohl du noch nichts angeklickt hast, wurde vor der Zustimmung gespeichert.
5. Zum Vergleich ablehnen. Neues privates Fenster, diesmal im Banner „Ablehnen“ klicken und Schritt 3 wiederholen. Außer Google-Pings mit dem Signal „abgelehnt“ sollte dann nichts mehr auftauchen.

Findest du etwas, ist die Lösung meistens diese: Das Tracking darf nicht fest in der Seite stecken, sondern nur über das Banner-Tool gestartet werden. Bei WordPress heißt das, den eingebauten Analytics-Code aus der Designvorlage oder dem Plugin zu entfernen und ihn im Banner-Tool als Dienst anzulegen, der erst nach Zustimmung lädt. Wer den Google Tag Manager nutzt, lässt am besten schon den Tag Manager selbst erst nach der Zustimmung laden. Ob du den Consent Mode im Grundmodus oder im erweiterten Modus betreibst, besprich mit der Person, die dich datenschutzrechtlich berät.

Für einen schnellen ersten Überblick gibt es meinen kostenlosen Tracking-Check. Er zeigt dir, welche Tracker deine Startseite einbindet und ob Consent Mode erkennbar ist. Was genau vor dem Klick passiert, zeigt dir am zuverlässigsten aber der Weg oben, im eigenen Browser.

Für Technik-Interessierte: So habe ich gemessen

Diesen Teil kannst du überspringen. Er ist für alle, die nachrechnen wollen. Alle Zahlen gibt es auch als offenen Datensatz mit Download als CSV und JSON, zum Zitieren und Weiterrechnen.

• Adressen: dieselbe Zufallsstichprobe wie bei der Google-Fonts-Studie. 50.000 Betriebe aus 350.146 deutschen Firmen mit eigener Website in OpenStreetMap: Restaurants, Praxen, Handwerk, Hotels, Läden und viele mehr. Keine handverlesene Auswahl und keine Liste aus Suchergebnissen.
• Browser: Chromium ohne sichtbares Fenster, gesteuert über Playwright, pro Seite ein frischer, leerer Browser-Kontext, Sprache Deutsch, Zeitzone Berlin, übliche Fenstergröße. Schriften, Videos und die meisten Bilder wurden nach dem Mitschreiben der Anfrage abgebrochen, um Rechenzeit zu sparen. Abgerufen vom 23.9.2026 bis zum 26.9.2026 von einem Server in Deutschland.
• Ablauf: Laden (plus Ladezeit), vier Sekunden warten, dann Mausbewegung, Umschalttaste und 300 Pixel Scrollen, weitere drei Sekunden. Diese Interaktion ist wichtig: Manche Banner und manche Tracking-Skripte starten erst, wenn sich auf der Seite etwas bewegt. 94 Seiten haben tatsächlich erst nach dem Scrollen gemessen, und zwar immer noch ohne Klick.
• Was als Messung zählt: Anfragen, die Daten an einen Mess- oder Werbedienst schicken. Die Regeln sind fest vorgegeben, einige erfassen ganze Server-Gruppen eines Anbieters. Bei Google Ads zählt jede Anfrage an Googles Werbe-Server (doubleclick.net, googleadservices.com, googlesyndication.com), bei Adobe jede an dessen Mess-Server. Bei Google Analytics 4 zählt der Aufruf von /g/collect, egal ob an Google direkt oder über einen eigenen Server (serverseitiger Tag Manager), bei Meta der Aufruf von facebook.com/tr. Dazu Microsoft Clarity, Hotjar, LinkedIn, TikTok, Pinterest, Microsoft Ads, Criteo, Adobe, Mouseflow, HubSpot, etracker und Matomo Cloud. Selbst betriebenes Matomo zählt nicht mit.
• Consent Mode: Google-Anfragen tragen einen Parameter (gcs), der den Einwilligungsstatus meldet. Steht er für Analytics beziehungsweise Werbung auf „abgelehnt“, zählt die Seite nicht zur Hauptquote, sondern zur eigenen Stufe. Fehlt er oder steht er auf „erlaubt“, zählt sie.
• YouTube und AdSense: Ein eingebettetes YouTube-Video und das AdSense-Skript lösen von sich aus Anfragen an Googles Werbedienste aus. Seiten, bei denen nur das passiert, stehen ebenfalls in einer eigenen Stufe.
• Erreichbar: Die Seite hat geladen und mehr als eine Anfrage ausgelöst. 66 Seiten luden so langsam, dass innerhalb des Zeitlimits keine Antwort des Servers vorlag, und wurden mit dem ausgewertet, was bis dahin passiert war.
• Nicht erreichbar: 8.488 Adressen, vor allem wegen Domains ohne erreichbaren Server und kaputter Zertifikate. Die fallen raus.
• Ausgeschlossen: 351 Adressen: 238 geparkte Domains und 113, die auf automatisch erzeugte Profilseiten eines fremden Anbieters umleiten. Dort ist keine eigene Website des Betriebs mehr zu sehen.
• Genauigkeit: Das 95-%-Konfidenzintervall der Hauptquote reicht von 8,5 % bis 9,1 %. Für den Anteil unter den Seiten mit Tracking sind es 28,8 % bis 33 %.
• Gegenprobe mit Klick: Bei einem festen Viertel der Seiten (10.173) hat der Browser danach auf einen Knopf oder Link geklickt, dessen Text nach Zustimmung klingt („Alle akzeptieren“, „Zustimmen“, „OK“, „Verstanden“). Bei 5.212 hat er einen gefunden, bei 202 davon ohne erkanntes Banner. Ob danach wirklich eine gültige Einwilligung gespeichert war, habe ich nicht gesondert geprüft. Der Anteil von 30,9 % gilt nur für Seiten mit gefundenem Knopf. Ob er über alle Seiten höher oder niedriger läge, lässt sich daraus nicht sagen.
• Querprobe: Google Fonts fand der Browser auf 20 % der Seiten. Die rein technische Prüfung der Google-Fonts-Studie kam auf 18,7 %. Zwei unterschiedliche Messwege liegen also nah beieinander.
• Was der Test nicht sieht: Unterseiten, längere Besuche und Banner, die nur für bestimmte Länder erscheinen. Er sieht auch keine Seiten, die automatisierte Browser erkennen und anders behandeln. Das kann die Quote in beide Richtungen verschieben.

Fazit

• 8,8 % der erreichbaren deutschen Firmenseiten messen ihre Besucher, bevor jemand im Cookie-Banner etwas anklickt. Fast jede elfte.
• Unter den Seiten, die überhaupt Tracking nutzen und einen Zustimmungs-Knopf haben, ist es knapp ein Drittel (30,9 %).
• Bei den meisten Betroffenen ist ein Banner da. Die Messung läuft trotzdem schon.
• Bei rund 74 von 100 Betroffenen ist Google Analytics oder Google Ads beteiligt, meist ganz ohne Einwilligungsstatus.
• Mehr als die Hälfte der Seiten mit Tracking hält die Messung bis zur Zustimmung zurück. Es geht also. Die Prüfung der eigenen Seite dauert fünf Minuten im Browser.

Stand der Erhebung: 26. September 2026. Ich bin kein Anwalt, und dieser Text ist keine Rechtsberatung. Er zeigt dir nur, was technisch auf deiner Seite passiert.