Cookie-Banner prüfen

10 Minuten, ein Browser – und du weißt, ob deiner nur Deko ist

Ich schaue mir Webseiten an. Beruflich sowieso, aber auch privat, weil ich einfach nicht anders kann – ich suche ein Lokal für Samstagabend und lande stattdessen im Quelltext der Speisekarte.

Und bei den allermeisten Seiten, die ich so aufmache, ist das Cookie-Banner reine Dekoration. Es steht da, es schaut ordentlich aus, es ist sogar schön in den Markenfarben angelegt – und es tut genau nix. Wenn du dein Cookie-Banner prüfen willst, brauchst du dafür weder ein Werkzeug, das du extra kaufen musst, noch eine Juristin an deiner Seite.

Wer lieber liest als hört, bekommt hier alles zum Nachlesen. Und weil das Thema heikel ist, sage ich das Wichtigste gleich am Anfang, statt es hinten kleingedruckt zu verstecken.

Warum ich das Thema fast nicht angegriffen hätte

Ich habe wirklich lange überlegt, ob ich mich da hineinstellen soll. Datenschutz ist im Grunde Juristensache, und da halte ich mich eigentlich lieber heraus.

Dann ist mir aufgefallen, dass genau das das Problem ist: Alle halten sich raus. Die Juristin sagt dir, was gilt. Der Plugin-Anbieter versichert dir, dass sein Tool das alles ganz schön regelt. Aber niemand schaut nach, was auf deiner Webseite technisch tatsächlich passiert, wenn sie jemand aufruft. Und genau das ist mein Job.

Damit wir uns richtig verstehen: Das hier ist eine allgemeine Information aus der Praxis einer Webdesignerin und ausdrücklich keine Rechtsberatung. Ich bin keine Juristin und will auch keine sein. Ob das alles auf deine Seite zutrifft, kann ich von hier aus nicht beurteilen – dafür gibt es die Wirtschaftskammer, die Datenschutzbehörde und Anwältinnen und Anwälte. Stand dieses Beitrags ist August 2026, und in diesem Themenfeld kann sich in ein paar Monaten wieder einiges drehen.

Deine Webseiten-Expertin

Mein Name ist Angelika Stempfle und als Unternehmensberaterin für Marketing und Vertrieb sowie Webseiten-Expertin mach ich deine Unternehmens-Website zur besten Mitarbeiterin.

Wünscht du dir eine Mitarbeiterin

• die rund um die Uhr arbeitet und der Du trotzdem keine Überstunden bezahlen musst?
• die keinen Urlaub braucht und doch immer effizient ist?
• die tagtäglich mit unterschiedlichen Menschen zu tun hat, und immer gut gelaunt bleibt?

Dann bist Du bei mir richtig. Es ist an der Zeit, Deine Website in eine wahre Powerfrau zu verwandeln – in Wendy Wonder! Mit einer beeindruckenden und benutzerfreundlichen Website ziehst Du die Aufmerksamkeit potenzieller Kunden auf Dich und generierst Anfragen.

Lass uns gemeinsam loslegen, damit Du Dich entspannt auf Deine Kunden konzentrieren kannst, ohne auf neue Anfragen verzichten zu müssen. Klingt das nicht nach einem guten Plan?

Buche Dir gleich einen Termin für ein kostenloses Erstgespräch!

Zwei Gesetze, die ständig in einen Topf geworfen werden

etwas auf dem Gerät deiner Besucherinnen und Besucher abgelegt oder ausgelesen werden?

Die zweite Ebene ist die Datenschutzgrundverordnung. Die will wissen, was danach mit den Daten passiert – Auswertung, Weitergabe, Übermittlung in Drittländer.

Und jetzt kommt’s: Es gibt Werkzeuge, die dir versichern, bei ihnen werde nichts Personenbezogenes gespeichert. Das klingt herrlich beruhigend. Nur fragt die erste Ebene gar nicht danach. Die fragt nur, ob überhaupt etwas abgelegt wird – und wenn ja und wenn es nicht technisch notwendig ist, dann braucht es eine Einwilligung. Aus.

• Ohne Einwilligung erlaubt: Login, Warenkorb, Spracheinstellung, Zahlungsabwicklung – also alles, ohne das die Seite schlicht nicht funktioniert.
• Einwilligung nötig: Statistik, eingebettete Videos, Kartendienste, Social-Media-Plugins und alles, was mit Werbung zu tun hat.

Der häufigste Denkfehler steckt im Wort „notwendig“. Notwendig heißt nicht das, was du gerne hättest, sondern das, was die Seite ohne es nicht kann. Deine Besucherstatistik fällt da ganz sicher nicht darunter, auch nicht, wenn sie anonym ist.

Ich weiß, dass das für manche bitter ist. Aber mir ist lieber, du hörst es von mir als von einem Anwaltsschreiben. Welches Analysetool überhaupt zu dir passt, habe ich in Folge 28 über Google Analytics und Matomo in Ruhe auseinandergenommen.

Der Fall ORF.at: 5,42 gegen 1,13

Jetzt wird es konkret, und zwar mit einem österreichischen Fall, der auch für deutsche Seiten hochinteressant ist. Die Datenschutzbehörde hat sich das Cookie-Banner von ORF.at ganz genau angeschaut – und, das finde ich elegant, sie hat nicht nur hingesehen, sondern nachgemessen.

Du kennst die Buttons auf so einem Banner: „Alle akzeptieren“, „Ablehnen“, „Nur notwendige Cookies“, „Einstellungen“. Bei ORF.at hatte „Alles akzeptieren“ ein Kontrastverhältnis von 5,42:1 – ein richtig guter Kontrast, der springt dich förmlich an. „Nur notwendige Cookies“ hatte 1,13:1. Das ist ungefähr so, als würdest du auf Weiß mit Hellgrau schreiben.

Der eine schreit, der andere verschwindet.

Die Behörde hat daraus den Schluss gezogen, dass bei einer so gelenkten Aufmerksamkeit von einer freien Entscheidung keine Rede mehr sein kann. Und obendrein wurden Cookies gesetzt, bevor überhaupt irgendjemand irgendwohin geklickt hatte. Das war im Oktober 2024, im April 2026 hat das Bundesverwaltungsgericht diese Sicht bestätigt.

Fairerweise gehört dazugesagt, dass eine Revision am Verwaltungsgerichtshof zugelassen ist – das letzte Wort ist also noch nicht gesprochen. Nur würde ich mich trotzdem schon jetzt daran halten, weil es dich am Ende nichts kostet außer einer Einstellung.

Der Satz, den ich mir mitgenommen habe: Zustimmen und Ablehnen müssen auf derselben Ebene liegen, klar bezeichnet und optisch gleichwertig sein.

Wenn der eine Button deine Markenfarben trägt, muss der andere sie genauso tragen. Wenn der eine weiß mit schwarzer Schrift ist, ist der andere weiß mit schwarzer Schrift. Punkt. Genau daran sehe ich auf einer fremden Seite als Allererstes, dass etwas nicht stimmt – und das ist keine Geschmacksfrage, das sind Zahlen, die man nachmessen kann.

Die vier Fehler, die mir ständig unterkommen

Es sind wirklich immer dieselben vier Dinge, egal ob ich mir eine Seite beruflich anschaue oder aus purer Neugier.

1. Die Skripte laden, bevor ich geklickt habe. Das ist mit Abstand der Häufigste. Der Banner springt auf, schaut gut aus, wirkt seriös – und im Hintergrund hat die Statistik längst notiert, dass ich da bin. Genau das hat die Behörde auch beim ORF beanstandet.
2. Das Banner blockiert technisch gar nichts. Es zeigt einen Hinweis an, und das war’s. Besonders gern bei Bannern, die direkt im Theme stecken, und bei den mitgelieferten Bannern von Baukastensystemen, auf denen dann sinngemäß steht: „Wenn du diese Webseite besuchst, stimmst du der Verwendung von Cookies zu.“ Nein. Definitiv nicht datenschutzkonform. Warum Baukästen genau bei solchen Details an ihre Grenzen stoßen, habe ich in Folge 27 über Baukasten oder Expertin erzählt.
3. „Ablehnen“ versteckt sich hinter „Einstellungen“. Du musst also erst einen Umweg gehen, um Nein zu sagen, während das Ja direkt vor deiner Nase liegt. Auch das ist so nicht erlaubt.
4. Man klickt auf Nein – und das Tracking läuft trotzdem weiter. Mein persönlicher Favorit. Das passiert meistens, wenn irgendwann jemand ein Script fix ins Theme geschrieben hat und dieses Script seither am Consent-Tool vorbeiläuft. Das Tool weiß schlicht nicht, dass es da noch etwas zu blockieren gäbe. Das ist ungefähr so, als hättest du dir eine schöne Türglocke montieren lassen, während die Hintertür sperrangelweit offensteht.

Zwei Dinge, die du heute noch erledigen kannst

Das Erste sind die Google-Schriften. Wenn deine Webseite die Schriften direkt von Google lädt, wandert bei jedem einzelnen Aufruf die IP-Adresse deiner Besucherinnen und Besucher dorthin – und zwar ungefragt.

Du kannst diese Schriften stattdessen lokal einbinden, dann liegen sie auf deinem eigenen Server. Seit WordPress 7.0 lässt sich das direkt über WordPress hochladen. Das dauert vielleicht eine Viertelstunde, und danach hast du es für immer erledigt.

Schau im selben Aufwaschen gleich nach, was sonst noch von Google mitläuft, zum Beispiel beim Formularschutz. Viele verwenden Google reCaptcha, und dort gilt genau dasselbe Problem. Dass sich rund um fremde Inhalte auf der eigenen Seite ziemlich schnell ziemlich teure Post ansammeln kann, habe ich in Folge 92 über Lizenzen und Abmahnungen beschrieben.

Das Zweite hat mit deiner Webseite an sich wenig zu tun und wird trotzdem ständig vergessen: die Auftragsverarbeitungsverträge, kurz AVV. Jeder, der in deinem Auftrag Daten verarbeitet, braucht so einen Vertrag mit dir – dein Hoster, dein Newsletter-Tool, dein Terminbuchungssystem. Wenn du mit mir arbeitest, hast du von mir einen zum Unterschreiben bekommen.

Bei den meisten Anbietern liegt das Ding ohnehin fix und fertig im Kundenkonto, und du musst es nur bestätigen und abspeichern. Das kostet dich nichts außer einem Klick. Und trotzdem fehlt es fast immer.

„Das Ende der Cookie-Banner“ – dreh deinen bitte trotzdem nicht ab

Zum Schluss noch eine Warnung, weil ich das in letzter Zeit öfter höre. Es geistern gerade Artikel durchs Netz, die „Das Ende der Cookie-Banner“ über ihre Überschrift schreiben. Dahinter steckt ein Vorschlag der EU-Kommission von November 2025, die Cookie-Regeln neu zu ordnen.

Das entscheidende Wort in diesem Satz heißt Vorschlag: Der Rat hat bis heute nicht einmal eine Position dazu. Vergiss das also getrost, solange du es liest – und wenn sich tatsächlich etwas ändert, sage ich dir Bescheid.

Wenn du deinen Banner jetzt abdrehst, weil er ohnehin bald wegkommt, ist das Risiko hoch. Gerade in Deutschland sind die Strafen nicht zu unterschätzen. In Österreich ist es im Moment noch nicht ganz so dramatisch – nur ist „im Moment“ bekanntlich kein besonders verlässlicher Zustand.

🪄 Der magische Feen-Tipp

Und jetzt zum Test. Er kostet dich zehn Minuten, und du brauchst nichts außer deinem Browser.

1. Inkognito-Fenster öffnen. Das ist wichtig, denn wenn du deine eigene Seite ganz normal aufrufst, liegen deine Einwilligungen vom letzten Mal ja noch vor. Dann testest du nur, wie gut du dich selbst schon einmal einverstanden erklärt hast.
2. Deine Seite aufrufen und alles so lassen, wie es ist. Der Cookie-Banner bleibt stehen. Nicht wegklicken.
3. F12 drücken. Falls das bei dir nicht funktioniert, findest du die Entwicklertools auch über die Einstellungen deines Browsers.
4. Auf den Reiter „Application“ gehen und links „Cookies“ auswählen. Dort klickst du deine eigene Domain an – unter Umständen musst du sie erst aufklappen – und schaust dir an, was da schon alles steht. Findest du Einträge, die mit _ga oder mit _fb beginnen, hast du dein Ergebnis: Dann läuft die Statistik bereits, bevor jemand zugestimmt hat.
5. Jetzt auf „Ablehnen“ klicken und weiterklicken. Geh durch zwei, drei Unterseiten und schau, was trotzdem nachkommt.

Genau an dieser Stelle werde ich bei fremden Seiten am häufigsten fündig.

Was du dir merken solltest

Ein sichtbarer Banner sagt überhaupt nichts darüber aus, ob er auch funktioniert. Du kennst jetzt die zwei Ebenen, die ständig verwechselt werden, du hast einen Fall aus Österreich, an dem du dich orientieren kannst, und du hast einen Test, nach dem du in zehn Minuten mehr weißt als vorher.

Wenn du dabei etwas findest, das dir nicht gefällt oder das du nicht einordnen kannst, dann weißt du zwar, dass da etwas ist – aber noch lange nicht, wo es herkommt. Genau dafür gibt es meinen Website-Quickie. Schick mir vorab deine Seite, dann schauen wir gemeinsam drauf, und ich sage dir, welches Script da vorbeiläuft oder ob bei dir ohnehin alles passt und es falscher Alarm war.

Und jetzt bin ich neugierig: Hast du bei dem Test etwas gefunden, mit dem du nicht gerechnet hättest? Schreib mir gern, was bei dir aufgetaucht ist – mich interessiert wirklich, welche Skripte sich derzeit am häufigsten vorbeimogeln.

Brauchst du Unterstützung? Ich bin nur einen Klick entfernt.

Vernetz dich mit mir auf Social Media

Du findst mich auch auf Social-Media-Kanälen. Lass uns dort in Verbindung bleiben.