Cookies prüfen: Setzt Ihre Website Cookies vor der Einwilligung?

Cookies prüfen auf der eigenen Website gelingt in fünf Minuten, ohne zusätzliche Software. Sie öffnen Ihre Website in einem privaten Chrome-Fenster, klicken nicht auf das Cookie-Banner und sehen in den Entwicklertools nach, welche Cookies bereits gesetzt sind und welche Tracker bereits Daten senden. Stehen nach dem Laden schon _ga, _fbp oder _gcl_au da, oder gehen Hits an Google, Meta oder LinkedIn, dann wartet Ihre Website nicht auf die Einwilligung.

Das ist kein theoretisches Problem. Am 6. Oktober 2026 haben wir 37 belgische Websites in einem echten Chrome-Browser geladen, ohne irgendwo zu klicken. 20 dieser Websites nutzten Tracking. Bei 14 davon waren schon Tracking-Cookies gesetzt oder es gingen nicht abgelehnte Hits raus, bevor der Besucher eine Wahl getroffen hatte. 4 Websites sendeten Google-Analytics-4-Hits ohne Consent Mode, 2 Websites erteilten die Einwilligung standardmäßig und nur 10 Websites machten es richtig: alles abgelehnt, bis der Besucher entscheidet. Die Rechtslage in Deutschland ist eine andere als in Belgien, die Technik dahinter ist dieselbe. In diesem Leitfaden lernen Sie, denselben Test selbst durchzuführen.

Warum reicht ein Cookie-Banner nicht?

Ein Banner ist nur die Frage. Entscheidend ist, was technisch passiert, solange diese Frage offen ist. In Deutschland regelt das § 25 TDDDG, das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten (früher TTDSG): Die Speicherung von Informationen auf dem Endgerät oder der Zugriff darauf ist nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat.

Ein Banner, das hübsch erscheint, während Google Analytics, das Meta-Pixel und das LinkedIn Insight Tag im Hintergrund bereits feuern, holt diese Einwilligung also zu spät ein. Und Sie sehen das nicht, wenn Sie einfach Ihre Website anschauen. Deshalb dieser Test.

Cookies prüfen in 5 Minuten: Schritt für Schritt

Sie brauchen nur Google Chrome. Andere Browser funktionieren auch, dort heißen die Menüs aber anders.

1. Öffnen Sie ein privates Fenster (Strg+Umschalt+N, auf dem Mac Cmd+Umschalt+N). So starten Sie ohne frühere Cookies oder gespeicherte Entscheidungen.
2. Öffnen Sie die Entwicklertools, bevor Sie die Website laden. Drücken Sie F12 und wählen Sie den Tab Network. Setzen Sie den Haken bei „Preserve log“, damit Ihnen bei einer Weiterleitung nichts entgeht.
3. Laden Sie Ihre Startseite und klicken Sie nirgends. Weder auf das Banner noch auf die Seite. Warten Sie etwa zehn Sekunden und scrollen Sie nach unten, denn manche Tags feuern erst beim Scrollen.
4. Sehen Sie sich die Cookies an. Gehen Sie zum Tab Application, öffnen Sie links Cookies und klicken Sie auf Ihre Domain. Notieren Sie, was Sie sehen. Prüfen Sie auch die anderen Domains in der Liste.
5. Filtern Sie den Netzwerkverkehr. Geben Sie nacheinander diese Suchbegriffe in das Filterfeld von Network ein: collect, facebook.com/tr, px.ads.linkedin, analytics.tiktok, clarity und hotjar. Jede Zeile, die erscheint, ist ein Tracker, der bereits Daten sendet.
6. Lesen Sie den Consent-Status von Google. Klicken Sie auf einen Request mit g/collect (Google Analytics 4) oder einen Google-Ads-Request und suchen Sie in den URL-Parametern nach gcs. Mehr dazu unten.
7. Wiederholen Sie den Test nach „Ablehnen“. Öffnen Sie ein neues privates Fenster, klicken Sie diesmal auf „Alle ablehnen“ und prüfen Sie, ob danach noch Marketing-Tracker feuern.

Arbeiten Sie mit dem Google Tag Manager, sehen Sie dieselbe Reihenfolge auch im Tag Assistant: Wählen Sie das erste Consent-Event und prüfen Sie im Tab Consent, ob die vier Google-Signale auf denied stehen, bevor ein Tag feuert.

Wie lesen Sie den gcs-Parameter?

Google sendet den Consent-Status mit jedem Hit mit. Laut Googles Dokumentation zum Consent Mode übermittelt der Parameter gcs die Wahl des Besuchers für ad_storage und analytics_storage. In der Praxis sehen wir drei Muster:

• gcs=G100: Beide Signale stehen auf denied. Der Consent Mode funktioniert und wartet auf eine Entscheidung. Das wollen Sie vor dem Klick sehen.
• gcs=G111: Beide Signale stehen auf granted. Sehen Sie das, bevor jemand auf „Akzeptieren“ geklickt hat, erteilt Ihre Website die Einwilligung standardmäßig.
• Kein gcs: Der Consent Mode ist nicht eingerichtet. Google weiß nicht, ob eine Einwilligung vorliegt, und das Tag feuert einfach.

Andere Kombinationen wie G110 oder G101 bedeuten, dass eines der beiden Signale auf granted steht. Auch das sollte vor einer Entscheidung nicht vorkommen.

Was Sie sehen, was es bedeutet und was Sie tun

Was sagt das Recht in Deutschland?

§ 25 TDDDG. Für das Setzen und Auslesen von Cookies und ähnlichen Technologien ist in Deutschland § 25 TDDDG maßgeblich. Ohne Einwilligung zulässig ist nach Absatz 2 nur, was der reinen Übertragung einer Nachricht dient oder unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Analyse- und Werbe-Cookies fallen in der Regel nicht unter diese Ausnahmen.

DSGVO. Werden über diese Cookies personenbezogene Daten verarbeitet, etwa Online-Kennungen oder IP-Adressen, gilt zusätzlich die DSGVO. Die Einwilligung muss dann auch deren Anforderungen erfüllen: freiwillig, informiert, eindeutig und so einfach zu widerrufen, wie sie erteilt wurde. Vorangekreuzte Kästchen genügen dafür nicht.

Wie Banner, Kategorien und Einwilligungstexte im Einzelnen aussehen sollten, lesen Sie in unserem Leitfaden zu den Cookie-Richtlinien.

Zeigt Ihr Test, dass Tracker schon vor einem Klick feuern, dann holt Ihre Website die Einwilligung nicht so ein, wie § 25 TDDDG es vorsieht. Das ist ein Befund, kein Urteil: Meist steckt ein technischer Fehler dahinter, der sich schnell beheben lässt.

Die fünf Ursachen, die wir am häufigsten sehen

1. Ein fest eingebautes Tag im Theme. Das Google-Tag oder das Meta-Pixel steht direkt im <head>, neben der Version im GTM. Das Consent-Tool steuert die GTM-Version, die fest eingebaute feuert immer.
2. Ein Plugin, das eigene Pixel lädt. WordPress- und Shop-Plugins für Analytics, Chat oder Bewertungen laden oft ihre eigenen Tracker, am Consent-Tool vorbei.
3. Ein Tracker in der falschen Kategorie. Der Scan Ihres Consent-Tools ordnet ein unbekanntes Cookie unter „notwendig“ oder „nicht klassifiziert“ ein, und niemand sieht es sich an.
4. Das Consent-Tool lädt zu spät. Im GTM steht es auf All Pages statt auf Consent Initialization, sodass der erste Hit ohne Consent-Status rausgeht.
5. Standardwerte auf granted. Jemand hat die Standard-Einwilligung auf granted gesetzt, „damit keine Daten verloren gehen“. Das bringt Ihnen keine verwertbaren Daten, nur ein größeres Risiko.

So beheben Sie es

Die Behebung folgt immer derselben Linie:

• Ein Ort für alle Tags. Entfernen Sie fest eingebaute Skripte aus dem Theme und verwalten Sie alles über den Google Tag Manager.
• Ein korrekt installiertes Consent-Tool. Zum Beispiel Cookiebot über die offizielle Vorlage, auf dem Trigger Consent Initialization, mit denied als Standard für ad_storage, analytics_storage, ad_user_data und ad_personalization.
• Consent Mode v2 für Google Ads. Ohne die vier Signale behandelt Google Ihren Traffic aus dem EWR als nicht erlaubt.
• Nicht-Google-Tags an die Einwilligung koppeln. Meta, LinkedIn, TikTok und Hotjar feuern erst nach der passenden Einwilligung.
• Erneut testen. Wiederholen Sie den Fünf-Minuten-Test nach jedem Theme-Update, jedem neuen Plugin und jedem neuen Tag.

Wollen Sie weniger davon abhängen, was der Browser tut, ist Server-Side Tracking ein nächster Schritt. Es ersetzt die Einwilligung nicht, gibt Ihnen aber mehr Kontrolle darüber, welche Daten wohin gehen.

Sie möchten es nicht selbst machen?

Sie können dieselbe Prüfung auch automatisch mit unserem Cookie Checker laufen lassen: Sie sehen, welche Cookies und Tracker Ihre Website vor einem Klick setzt und welchen Consent-Status Google erhält.

Wollen Sie sicher sein, dass die ganze Kette stimmt, von der Einwilligung bis zu GA4, Google Ads und Meta, dann beginnen Sie mit einem Tracking Audit. Möchten Sie es lieber gleich richtig einrichten lassen, installiert unsere Tracking Agentur Ihr Consent-Tool, den Consent Mode v2 und die Tests. Preis auf Anfrage.

Häufig gestellte Fragen