Braucht Ihre Website wirklich ein Cookie-Banner?

Alle Beiträge

Mit ziemlicher Sicherheit ja. Wenn Ihre Website für Besucher aus einer Region mit Einwilligungsgesetz irgendein nicht notwendiges Cookie setzt, also Google Analytics, ein Werbe-Pixel oder ein YouTube-Video, brauchen Sie ein Banner. Das betrifft die meisten Websites. Die schwierigere Frage stellt aber niemand: Kostet Sie das Banner unbemerkt Ihre Analysedaten?

Die kurze Antwort und die Frage, die darunter steckt

Ob Sie ein Cookie-Banner brauchen, hängt von zwei Faktoren ab, und keiner davon ist Ihre Branche oder Ihr Traffic-Volumen. Der erste: Was speichert Ihre Website auf dem Gerät des Besuchers? Der zweite: Wo befindet sich dieser Besucher? Kurz gesagt: Wenn Sie ein Cookie setzen, das nicht unbedingt erforderlich ist, und Ihr Besucher sich in einem Rechtsraum mit Einwilligungspflicht befindet, müssen Sie um Erlaubnis fragen, bevor das Cookie gesetzt wird. Fast jede kommerzielle Website erfüllt beide Bedingungen, sobald sie eine Webanalyse einbindet.

So lautet die Antwort der Compliance-Checklisten, und sie stimmt, soweit sie reicht. Das Problem: Sie hört genau dort auf, wo es interessant wird. Ein Banner erfüllt das Gesetz, aber ein Banner allein schickt auch still und leise einen großen Teil Ihrer Messung ins Leere. Eigentlich geht es also um zwei Fragen, und die Checklisten beantworten nur die erste.

Was die Pflicht tatsächlich auslöst

Auslöser sind nicht notwendige Cookies, und dieser Begriff leistet im Stillen viel Arbeit. Im EU-Recht stammt er aus Artikel 5 Absatz 3 der ePrivacy-Richtlinie, der eine Einwilligung verlangt, bevor etwas auf dem Gerät des Besuchers gespeichert wird, es sei denn, es ist für den angeforderten Dienst unbedingt erforderlich. Ein unbedingt erforderliches Cookie, etwa das, das Sie eingeloggt hält oder Ihren Warenkorb zusammenhält, ist in allen wichtigen Regelwerken von der Einwilligung ausgenommen. Dafür brauchen Sie nie eine Erlaubnis, und wenn Sie nur solche Cookies setzen, brauchen Sie auch kein Banner.

Alles andere ist nicht notwendig, und diese Kategorie ist breiter, als die meisten Website-Betreiber erwarten. Google Analytics ist nicht notwendig. Ein Werbe-Pixel von Meta, LinkedIn oder Google Ads ist nicht notwendig. Ein eingebettetes YouTube- oder Vimeo-Video setzt nicht notwendige Cookies, sobald der Player lädt, und Session Replay, Heatmaps und Live-Chat-Widgets tun dasselbe. Wenn Sie eines davon nutzen, und fast jede kommerzielle Website nutzt zumindest eine Webanalyse, lautet die ehrliche Antwort: ja.

Der Standort Ihrer Besucher bestimmt die Form des Banners

Ein Banner zu brauchen und dasselbe Banner wie alle anderen zu brauchen, sind zwei verschiedene Dinge. Es gilt das Recht am Standort des Besuchers, nicht am Sitz Ihres Unternehmens. Eine einzige Website muss deshalb oft zwei gegensätzliche Modelle gleichzeitig erfüllen.

In der EU und im Vereinigten Königreich gilt Opt-in: Nicht notwendige Cookies bleiben aus, bis der Besucher aktiv zustimmt. Deshalb blockiert ein korrekt gebautes europäisches Cookie-Banner Tags standardmäßig und gibt sie erst nach der Zustimmung frei. In den USA gilt meist Opt-out: Die Gesetze in Kalifornien, Colorado und Virginia lassen Tracking standardmäßig laufen, verlangen aber eine klare Möglichkeit, Nein zu sagen, die auch respektiert wird. Andere Regionen haben überhaupt kein eigenes Cookie-Gesetz. Wenn Ihr Traffic aus mehreren Regionen kommt, und das tut er meistens, brauchen Sie ein Banner, das sich je nach Standort des Besuchers anders verhält, statt einer pauschalen Leiste für alle.

So finden Sie heraus, ob Sie wirklich eines brauchen

1. Listen Sie die Cookies auf, die Ihre Website wirklich setzt

   Öffnen Sie Ihre Website in einem frischen Inkognito-Fenster, öffnen Sie dann im Browser den Tab „Application“ und sehen Sie sich die Cookie-Liste an. Das ist die Wahrheit. Häufig finden sich dort Analyse- und Embed-Cookies, an deren Einbau sich niemand erinnert, gesetzt von einem Tag oder einem Plugin.

2. Trennen Sie unbedingt Erforderliches von allem anderen

   Alles, was die Website am Laufen hält, also Login, Warenkorb und Sicherheit, ist ausgenommen. Webanalyse, Werbung, Embeds und Testing-Tools sind es nicht. Ist die zweite Gruppe leer, brauchen Sie womöglich tatsächlich kein Banner. Ist sie es nicht, lesen Sie weiter.

3. Prüfen Sie, woher Ihre Besucher kommen

   Sehen Sie sich in Ihrer Webanalyse an, woher Ihr Traffic kommt. Besucher aus der EU oder dem Vereinigten Königreich bringen Sie unter ein Opt-in-Regime. Besucher aus US-Bundesstaaten mit Datenschutzgesetzen unter ein Opt-out-Regime. Beides zusammen heißt: Ihr Banner muss beide Aufgaben erledigen.

4. Ordnen Sie jeder Region das passende Einwilligungsmodell zu

   Legen Sie fest, ob das Banner Tags standardmäßig blockiert und auf die Einwilligung wartet, ein Opt-out anbietet oder je nach Standort beides tut. Ein Banner, das immer alles erlaubt oder immer alles blockiert, ist für mindestens einen Teil Ihrer Besucher falsch.

5. Dann stellen Sie die zweite Frage

   Sobald klar ist, dass Sie ein Banner brauchen, prüfen Sie, ob es für Consent Mode v2 angebunden ist. Diesen Schritt erwähnen die Compliance-Ratgeber nie, und genau er entscheidet, ob das Banner Ihre Messung erhält oder sie still und leise aushöhlt.

Die Hälfte der Antwort, die Checklisten auslassen

Alle etablierten Ratgeber, und davon gibt es viele, beantworten die Compliance-Frage sauber und hören dann auf. Wenn es Ihnen um die Anforderungen selbst geht: Wir haben die Checkliste für 2026 samt Prüfung für jeden Punkt zusammengestellt. Keiner dieser Ratgeber sagt Ihnen, was das Banner mit Ihren Daten macht. Das ist seltsam, denn genau dieser Teil betrifft das Unternehmen, das für die Website bezahlt.

Den folgenden Teil lassen sie weg. Ein Banner, das Tags bis zur Einwilligung blockiert und sonst nichts tut, bedeutet: Jeder Besucher, der ablehnt, verschwindet einfach aus Ihrer Webanalyse. Wie viele das sind, hängt von Ihren Regionen, Ihrer Zielgruppe und dem Banner-Design ab. Lesen Sie die Zustimmungsrate in Ihrer CMP ab oder vergleichen Sie die GA4-Sitzungen mit den Request-Logs Ihres Servers oder CDN, dann haben Sie Ihre eigene Zahl. Das ist kein Datenschutzgesetz, das Ihnen Daten wegnimmt. Das ist ein Banner, das ohne die Technik installiert wurde, mit der ein abgelehnter Besuch trotzdem ein anonymes, cookieloses Signal senden kann.

Diese Technik ist Google Consent Mode v2. Richtig angebunden, sendet auch ein abgelehnter Besuch ein reduziertes, cookieloses Signal. Google kann daraus einen Teil des fehlenden Verhaltens modellieren, aber erst, wenn Ihre Website die Datenschwellen aus Googles Dokumentation zum Consent Mode erreicht. Modellierte Zahlen sind Schätzungen, keine beobachteten Conversions. Die Signale selbst erklären wir im verständlichen Leitfaden zu Consent Mode v2, und wohin die Sitzungen hinter dem Banner tatsächlich verschwinden, in einem eigenen Beitrag.

Die vollständige Antwort lautet also: Ja, mit ziemlicher Sicherheit, wenn Sie nicht notwendige Cookies setzen und Besucher haben, für die ein Einwilligungsgesetz gilt. Aber hören Sie nicht beim Ja auf. Das Banner ist die Compliance-Hälfte. Die Messhälfte besteht darin, es so anzubinden, dass ein abgelehnter Besuch trotzdem zählt. Wer sie auslässt, hat am Ende eine rechtlich saubere Website und sieht trotzdem nichts mehr. Genau diese zweite Hälfte schließt Velo: Banner, regionales Verhalten und das Consent-Mode-v2-Signal kommen als eine konfigurierte Ebene. Der Ablehnungspfad ist damit gewollt und kein Loch in Ihrem Reporting.

Wenn Sie diese Frage nicht für Ihre eigene Website beantworten, sondern für eine Liste von Kunden-Websites, gelten dieselben zwei Hälften pro Website, und ein paar zusätzliche Fragen kommen hinzu. Die behandeln wir in White-Label-Cookie-Consent für Agenturen.