Fast jede Website hat heute irgendeine Form von Cookie-Banner. Doch längst nicht jeder Banner erfüllt die rechtlichen Anforderungen – und ein optisch ansprechender Banner ist noch lange kein rechtssicherer Banner. Dieser Artikel zeigt, worauf es wirklich ankommt.

Wer prüft eigentlich Cookie-Banner?

Sowohl die Landesdatenschutzbehörden als auch spezialisierte Kanzleien und Verbraucherschutzverbände führen regelmäßig stichprobenartige Prüfungen von Cookie-Bannern durch – teils automatisiert mittels eigener Scan-Tools, teils manuell im Rahmen konkreter Beschwerden. Bekannt geworden sind in den letzten Jahren mehrere koordinierte „Sweep"-Aktionen europäischer Aufsichtsbehörden, bei denen gezielt Banner-Gestaltungen nach den oben genannten Kriterien überprüft wurden. Für Website-Betreiber bedeutet das: Ein fehlerhafter Banner fällt nicht nur bei einer gezielten Abmahnung auf, sondern potenziell auch im Rahmen solcher branchenweiten Prüfungen.

Warum ein Cookie-Banner allein nicht reicht

Ein Cookie-Banner ist zunächst nur eine Benutzeroberfläche. Ob er rechtlich wirkt, hängt von zwei Dingen ab: erstens, ob die Gestaltung des Banners den Anforderungen an eine wirksame Einwilligung genügt (Art. 4 Nr. 11, Art. 7 DSGVO), und zweitens, ob die dahinterliegende Technik tatsächlich verhindert, dass nicht-notwendige Skripte vor Zustimmung laden. Viele automatisierte Prüfungen und auch Abmahnungen setzen genau hier an – nicht am Vorhandensein eines Banners, sondern an seiner konkreten Wirksamkeit.

Die wichtigsten Anforderungen an einen rechtskonformen Banner

1. Ablehnen muss genauso leicht sein wie Zustimmen

Ein „Alle akzeptieren"-Button in kräftiger Farbe neben einem unauffälligen, grau gehaltenen „Ablehnen"-Link ist ein klassisches Beispiel für „Dark Patterns" – eine Gestaltung, die Nutzer zur Zustimmung drängt. Aufsichtsbehörden verlangen inzwischen regelmäßig, dass die Ablehnen-Option auf der ersten Ebene genauso prominent und mit einem Klick erreichbar ist wie die Zustimmen-Option.

2. Granulare Auswahl nach Kategorien

Nutzer müssen zwischen verschiedenen Kategorien (z. B. notwendig, Analyse, Marketing) differenziert wählen können, statt nur pauschal „Alle" oder „Keine" auswählen zu können. Ein „Alles-oder-nichts"-Banner ohne granulare Einstellmöglichkeit gilt als problematisch.

3. Kein voreingestellter Haken

Kategorien, die einer Einwilligung bedürfen, dürfen nicht bereits vorausgewählt sein – die Zustimmung muss aktiv und informiert erfolgen, ein bereits gesetzter Haken erfüllt das nicht.

4. Verständliche, konkrete Informationen

Der Banner muss knapp, aber konkret informieren, welche Kategorien von Diensten zum Einsatz kommen – allgemeine Floskeln wie „Wir nutzen Cookies, um Ihr Erlebnis zu verbessern" reichen nicht aus.

5. Jederzeitiger Widerruf

Nutzer müssen ihre einmal getroffene Auswahl jederzeit ändern können, üblicherweise über einen dauerhaft erreichbaren „Cookie-Einstellungen"-Link im Footer.

🍪 Wie schneidet Ihr eigener Banner ab?

Der Scanner erkennt automatisch, ob überhaupt ein Cookie-Consent-Tool vorhanden ist. Jetzt kostenlos prüfen ↑

Häufige Fehler bei Cookie-Bannern in der Praxis

  • Technisch wirkungslos: Der Banner sieht korrekt aus, aber Analyse- oder Marketing-Skripte laden trotzdem schon vor jeder Interaktion.
  • Fehlende Kategorien: Es gibt nur „Akzeptieren"/„Ablehnen", keine granulare Auswahl.
  • Versteckter Ablehnen-Button: Die Ablehnen-Option ist erst nach Klick auf „Einstellungen" erreichbar, während „Alle akzeptieren" direkt auf der ersten Ebene prangt.
  • Kein Zugriff auf die Einstellungen nach dem ersten Besuch: Es fehlt ein dauerhafter Link, über den die getroffene Auswahl später geändert werden kann.
  • Banner blockiert die gesamte Seite, ohne echte Wahl zu lassen: Manche Banner lassen sich erst schließen, nachdem eine Option gewählt wurde, bieten aber nur „Akzeptieren" als einzigen Ausweg an („Cookie Wall") – auch das gilt als problematisch, insbesondere wenn kein gleichwertiger Zugang ohne Tracking angeboten wird.

Schritt-für-Schritt: Eigenen Banner prüfen

  1. Website im Inkognito-Modus öffnen, damit der Banner garantiert neu erscheint.
  2. Prüfen: Sind „Akzeptieren" und „Ablehnen" gleichwertig gestaltet und beide mit einem Klick erreichbar?
  3. Auf „Einstellungen" klicken: Gibt es eine granulare Auswahl nach Kategorien? Sind einwilligungspflichtige Kategorien standardmäßig deaktiviert?
  4. „Nur notwendige" auswählen, Seite neu laden und im Netzwerk-Tab der Entwicklertools prüfen, ob tatsächlich keine Analyse-/Marketing-Skripte laden.
  5. Footer durchsuchen: Gibt es einen dauerhaften Link „Cookie-Einstellungen" zum späteren Widerruf?

Wer diese fünf Schritte durchgeht, deckt die häufigsten Schwachstellen ab. Für die reine technische Frage – lädt überhaupt ein erkennbares Cookie-Consent-Tool, und feuern bekannte Tracking-Skripte bereits vorher – liefert ein automatisierter Scan die schnellste erste Einschätzung.

Consent-Nachweis: Was Sie zusätzlich dokumentieren sollten

Neben der reinen Banner-Gestaltung verlangt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, dass Sie im Zweifel nachweisen können, welche Einwilligung ein Nutzer zu welchem Zeitpunkt erteilt hat. Gängige Consent-Management-Plattformen protokollieren dazu automatisch: Zeitpunkt der Einwilligung, die genaue Auswahl nach Kategorien sowie die zu diesem Zeitpunkt gültige Version des Banner-Textes. Ändert sich der Banner-Text oder kommen neue Kategorien hinzu, sollte technisch sichergestellt sein, dass Nutzer erneut gefragt werden, statt die alte Einwilligung einfach fortzuschreiben.

Technische Umsetzung: Consent Mode im Google Tag Manager

Viele Websites steuern ihre Tracking-Tags über den Google Tag Manager. Der sogenannte „Consent Mode" ermöglicht es, Tags wie Google Analytics oder Google Ads zentral an den im Cookie-Banner erteilten Consent zu koppeln: Tags werden automatisch blockiert, bis die passende Einwilligungskategorie bestätigt wurde. Wichtig dabei: Der Consent Mode muss korrekt mit dem tatsächlich verwendeten Cookie-Banner verknüpft sein – viele der in der Praxis gefundenen Fehler entstehen genau an dieser Schnittstelle, wenn Banner und Tag-Manager-Konfiguration nicht sauber zusammenspielen.

Praxisbeispiel: Fitnessstudio „Kraftwerk Fitness"

Ein fiktives, lokales Fitnessstudio hatte ein kostenloses Cookie-Banner-Plugin im Einsatz. Auf den ersten Blick wirkte es professionell: Logo, passende Farben, „Akzeptieren"- und „Einstellungen"-Buttons. Der genauere Check zeigte jedoch zwei Probleme: Der „Ablehnen"-Button fehlte auf der ersten Ebene komplett – nur „Akzeptieren" und „Einstellungen" waren sichtbar. Und selbst nach Auswahl „Nur notwendige" in den Einstellungen lud Google Analytics weiterhin bei jedem Seitenaufruf, da die Kategorie-Zuordnung im Plugin falsch konfiguriert war. Beide Punkte ließen sich beheben: ein gleichwertiger Ablehnen-Button auf erster Ebene sowie eine korrigierte Skript-Zuordnung im Plugin-Backend. Aufwand: rund eine Stunde. Als zusätzliche Maßnahme richtete der Betreiber einen vierteljährlichen Kalendereintrag ein, um den Banner künftig regelmäßig im Inkognito-Modus zu testen – gerade weil sich Plugin-Updates gelegentlich unbemerkt auf die Konfiguration auswirken können.

Mobilgeräte nicht vergessen

Ein häufig übersehener Punkt: Cookie-Banner werden in der Regel am Desktop getestet und abgenommen, aber selten zusätzlich auf mobilen Geräten kontrolliert. Gerade bei kleineren Bildschirmen kann es vorkommen, dass der „Ablehnen"-Button durch abweichendes responsives Verhalten des Banners verdeckt wird oder erst nach Scrollen sichtbar ist – was faktisch wieder zu einer Bevorzugung der Zustimmen-Option führt, auch wenn das im Quellcode nicht beabsichtigt war. Ein vollständiger Test sollte daher immer auch mindestens ein mobiles Gerät oder die entsprechende Emulation in den Browser-Entwicklertools einschließen.

Cookie Wall: Ein Sonderfall

Manche Websites versuchen, den Zugang zu Inhalten vollständig von einer Zustimmung abhängig zu machen – bekannt als „Cookie Wall". Ob das zulässig ist, wird kontrovers diskutiert und hängt stark vom Einzelfall ab: Aufsichtsbehörden und Gerichte tendieren dazu, eine solche Konstruktion kritisch zu sehen, wenn keine gleichwertige Nutzungsmöglichkeit ohne Tracking angeboten wird, da dann die „Freiwilligkeit" der Einwilligung nach Art. 4 Nr. 11 DSGVO infrage steht. Wer eine Cookie Wall in Erwägung zieht, sollte das unbedingt vorab anwaltlich prüfen lassen, statt sich auf pauschale Aussagen im Netz zu verlassen.

Häufig gestellte Fragen

Muss ich ein kostenpflichtiges Cookie-Consent-Tool nutzen?

Nein, es gibt auch kostenlose und Open-Source-Lösungen – entscheidend ist die korrekte Konfiguration, nicht der Preis des Tools.

Reicht ein einfacher Hinweis-Banner ohne Buttons?

Nein. Ein reiner Hinweis ohne aktive Wahlmöglichkeit stellt keine wirksame Einwilligung dar, wenn einwilligungspflichtige Dienste eingesetzt werden.

Wie oft sollte ich meinen Cookie-Banner überprüfen?

Nach jeder Änderung an eingebundenen Diensten sowie mindestens einmal jährlich als Routine-Check.

Was, wenn ich gar keine einwilligungspflichtigen Dienste einsetze?

Dann brauchen Sie streng genommen auch keinen Cookie-Banner – ein automatisierter Scan zeigt, ob Ihre Website überhaupt Analyse-, Marketing- oder eingebettete Drittinhalte lädt.

Muss der Cookie-Banner auf Deutsch sein?

Der Banner sollte in der Sprache verfasst sein, in der sich die Website an ihre Besucher richtet – bei mehrsprachigen Angeboten entsprechend in jeder angebotenen Sprachversion.

Was, wenn der Banner von einem externen Dienstleister eingebunden wird?

Viele Websites nutzen für den Cookie-Banner ein fertiges Plugin oder ein extern gehostetes Consent-Management-Tool, statt eine Eigenentwicklung. Das nimmt zwar viel technischen Aufwand ab, entbindet den Website-Betreiber aber nicht von der Prüfpflicht: Auch bei einem eingekauften Tool bleibt der Betreiber selbst dafür verantwortlich, dass Konfiguration und tatsächliches Verhalten zusammenpassen. Nach jedem Plugin-Update sollte daher kurz nachgeprüft werden, ob sich an der Kategorie-Zuordnung oder am Standardverhalten etwas verändert hat – Update-Changelogs erwähnen solche Detailänderungen nicht immer ausdrücklich. Ein wiederkehrender, kurzer Scan nach jedem größeren Update ist hier die pragmatischste Absicherung, ohne bei jeder kleinen Änderung manuell den gesamten Quelltext durchsuchen zu müssen.

Das gilt im Übrigen auch beim Wechsel des Anbieters: Wird ein Consent-Tool durch ein anderes ersetzt, sollte die neue Lösung vor dem Livegang mit denselben fünf Schritten geprüft werden wie ein selbstentwickelter Banner – ein Anbieterwechsel ist kein Garant dafür, dass die neue Konfiguration von Anfang an korrekt eingerichtet ist.

Fazit

Ein Cookie-Banner ist kein Selbstzweck, sondern muss zwei Dinge leisten: eine faire, verständliche Auswahlmöglichkeit bieten und technisch tatsächlich verhindern, dass nicht-notwendige Dienste vor Zustimmung laden. Wer beides regelmäßig prüft, ist rechtlich deutlich besser aufgestellt als mit einem rein kosmetischen Banner.