„Wir haben doch einen Cookie-Banner – reicht das nicht?" Diese Frage hören wir häufig, und die Antwort ist fast immer: nein, nicht automatisch. Ein Cookie-Banner allein sagt nichts darüber aus, ob im Hintergrund tatsächlich erst nach Zustimmung Cookies gesetzt werden. Ein Cookie Check deckt genau das auf – und ist einfacher durchzuführen, als viele denken.
Was ist ein Cookie Check und warum ist er wichtig?
Ein Cookie Check untersucht, welche Cookies (und vergleichbare Speichertechnologien wie Local Storage oder Tracking-Pixel) eine Website beim Aufruf tatsächlich setzt – und vor allem: wann. Setzt eine Website Analyse- oder Marketing-Cookies bereits beim ersten Seitenaufruf, bevor der Besucher überhaupt die Möglichkeit hatte, zuzustimmen oder abzulehnen, verstößt das gegen § 25 Abs. 1 TTDSG. Der Cookie-Banner selbst mag korrekt aussehen – technisch wirkt er dann aber nicht.
Cookie-Kategorien einfach erklärt
Notwendige Cookies
Technisch zwingend erforderlich, damit die Website grundlegend funktioniert – Warenkorb, Login-Session, CSRF-Schutz. Diese benötigen laut § 25 Abs. 2 Nr. 2 TTDSG keine Einwilligung.
Funktionale Cookies
Verbessern den Komfort (z. B. Spracheinstellung merken), sind aber nicht zwingend notwendig – hier ist die Rechtslage im Einzelfall zu prüfen, oft ist eine Einwilligung sicherer.
Analyse-Cookies
Google Analytics, Matomo, Hotjar & Co. – messen das Nutzerverhalten. Erfordern eine aktive Einwilligung.
Marketing-/Tracking-Cookies
Facebook Pixel, Google Ads Remarketing, LinkedIn Insight Tag, TikTok Pixel und ähnliche – dienen der personalisierten Werbung und dem Tracking über Websites hinweg. Erfordern ebenfalls eine aktive Einwilligung, oft mit besonders strengen Anforderungen an die Informiertheit der Nutzer.
🍪 Welche Kategorie betrifft Sie?
Ein automatisierter Check zeigt in Sekunden, welche dieser Tracker auf Ihrer Startseite aktiv sind. Jetzt kostenlos prüfen ↑
Die rechtliche Grundlage: § 25 TTDSG im Detail
§ 25 Abs. 1 TTDSG verlangt eine Einwilligung für jede Speicherung von oder jeden Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind – unabhängig davon, ob es sich dabei um personenbezogene Daten im Sinne der DSGVO handelt. Das ist bewusst technologieneutral formuliert und gilt daher nicht nur für klassische Cookies, sondern auch für Local Storage, Session Storage, Device-Fingerprinting und ähnliche Techniken. Ausgenommen sind nach Abs. 2 Nr. 1 und 2 nur Fälle, in denen die Speicherung/der Zugriff die alleinige Übertragung einer Nachricht ermöglicht oder unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert.
Wichtig: Die Einwilligung muss vor dem Setzen der Cookies erfolgen, freiwillig, informiert und eindeutig sein (Art. 4 Nr. 11, Art. 7 DSGVO). Ein voreingestellter Haken bei „Alle akzeptieren" oder ein Banner, das sich beim bloßen Scrollen als Zustimmung wertet, erfüllt diese Anforderungen nicht.
Consent Mode und Google Tag Manager kurz erklärt
Viele Websites steuern ihre Tracking-Tags nicht direkt im Quellcode, sondern über den Google Tag Manager (GTM) – einen zentralen „Container", der bei Bedarf weitere Skripte nachlädt. Das hat einen entscheidenden Vorteil für den Datenschutz: Wird der GTM-Container korrekt mit dem sogenannten Consent Mode konfiguriert, lassen sich einzelne Tags (Analytics, Ads, etc.) gezielt erst nach entsprechender Einwilligung freischalten. Der Haken dabei: Der GTM-Container selbst lädt trotzdem bereits beim Seitenaufruf – ein Cookie Check sollte daher nicht nur prüfen, ob GTM vorhanden ist, sondern auch, ob die dahinterliegenden Tags tatsächlich erst nach Zustimmung feuern.
Third-Party- vs. First-Party-Cookies
Ein weiterer wichtiger Unterschied betrifft die Herkunft eines Cookies. First-Party-Cookies werden von der besuchten Domain selbst gesetzt (z. B. Warenkorb-Session) – sie gelten datenschutzrechtlich meist als weniger kritisch, sofern sie technisch notwendig sind. Third-Party-Cookies werden dagegen von einer anderen Domain gesetzt, typischerweise durch eingebundene Werbe- oder Analyse-Skripte (z. B. doubleclick.net, facebook.com), und ermöglichen theoretisch ein Tracking über verschiedene Websites hinweg. Genau diese Third-Party-Cookies stehen im Zentrum der meisten Consent-Anforderungen und werden von modernen Browsern ohnehin zunehmend automatisch eingeschränkt – was ihre datenschutzrechtliche Bedeutung zusätzlich unterstreicht.
Manueller Cookie Check: Schritt für Schritt mit den Browser-Entwicklertools
Wer es selbst ausprobieren möchte, braucht keine zusätzliche Software – die Entwicklertools jedes modernen Browsers reichen aus:
- Website im Inkognito-/Privatmodus öffnen (damit keine alten Cookies das Ergebnis verfälschen)
- Entwicklertools öffnen (F12 bzw. Rechtsklick → „Untersuchen")
- Zum Tab „Application" (Chrome) bzw. „Storage" (Firefox) wechseln
- Unter „Cookies" die eigene Domain auswählen – hier erscheinen alle gesetzten Cookies mit Name, Domain und Ablaufdatum
- Wichtig: Die Seite neu laden, ohne vorher auf den Cookie-Banner zu klicken, und beobachten, ob schon jetzt Cookies von Google, Facebook oder anderen Drittanbietern auftauchen
Zusätzlich lohnt sich ein Blick in den Tab „Network": Dort sieht man, welche externen Server (google-analytics.com, connect.facebook.net, googletagmanager.com, etc.) bereits vor jeder Interaktion kontaktiert werden.
Cookie-Laufzeiten verstehen
Neben der Kategorie ist auch die Laufzeit eines Cookies datenschutzrechtlich relevant und sollte in der Datenschutzerklärung korrekt angegeben werden. Session-Cookies werden beim Schließen des Browsers gelöscht, persistente Cookies können dagegen Tage, Monate oder – bei manchen Marketing-Cookies – sogar mehrere Jahre gespeichert bleiben. In den Browser-Entwicklertools wird die Laufzeit in der Spalte „Expires / Max-Age" angezeigt. Auffällig lange Laufzeiten (mehrere Jahre) bei Tracking-Cookies sind ein zusätzliches Warnsignal, das in der Datenschutzerklärung transparent gemacht werden sollte.
Automatisierter Cookie Check: Vorteile eines Online-Scanners
Der manuelle Weg funktioniert, ist aber mühsam, wenn man mehrere Websites oder Unterseiten prüfen möchte, und erfordert etwas technisches Verständnis. Ein automatisierter Scanner übernimmt genau diese Schritte: Er ruft die Startseite auf und prüft strukturiert, ob bekannte Tracking- und Werbe-Skripte (Google Analytics, Google Tag Manager, Facebook Pixel, Hotjar, Microsoft Clarity, LinkedIn Insight Tag, TikTok Pixel und weitere) im Quellcode vorhanden sind – und liefert das Ergebnis in wenigen Sekunden, ohne Browser-Kenntnisse vorauszusetzen.
🍪 Automatisch statt manuell
Sparen Sie sich die Entwicklertools – der Cookie Scanner übernimmt den Check für Sie. Jetzt kostenlos prüfen ↑
Praxisbeispiel: Reisebüro „Wanderlust Travel"
Ein mittelständisches, fiktives Reisebüro hatte einen professionell aussehenden Cookie-Banner von einem bekannten Anbieter im Einsatz – inklusive Kategorien und „Nur notwendige"-Button. Der manuelle Check per Entwicklertools zeigte jedoch: Der Facebook Pixel zur Remarketing-Kampagne war direkt im Template verankert, nicht über das Consent-Tool gesteuert. Ergebnis: Der Pixel feuerte bei jedem Seitenaufruf, unabhängig von der Cookie-Auswahl der Besucher. Die Ursache war keine böse Absicht, sondern ein technisches Versehen bei einer früheren Kampagnen-Integration – aber genau solche Fehler bleiben ohne gezielten Check oft jahrelang unbemerkt.
Was tun, wenn Cookies vor Zustimmung gesetzt werden?
Wird ein Problem gefunden, ist die technische Lösung meist überschaubar:
- Tracking-Skripte über das Cookie-Consent-Tool (Google Tag Manager Consent Mode, oder direkte Einbindung mit Bedingung) statt fest im Template laden
- Prüfen, ob alle Marketing-Tags wirklich über das Consent-Tool laufen – nicht nur die offensichtlichen
- Nach Änderungen erneut im Inkognito-Modus testen
Cookie Check als wiederkehrender Termin
Ein Cookie Check ist kein einmaliges Projekt, sondern sollte fester Bestandteil der Website-Pflege werden – ähnlich wie ein regelmäßiges Backup oder ein Software-Update. Empfehlenswert ist ein kurzer Check nach jeder Einbindung eines neuen Tools, nach einem Website-Relaunch sowie mindestens einmal pro Quartal als Routine-Termin. Wer den Aufwand gering halten möchte, kann diesen Termin direkt mit anderen wiederkehrenden Aufgaben koppeln, etwa der Kontrolle der Backup-Funktion oder der Aktualisierung von Plugins und CMS-Version.
Typische Auffälligkeiten bei einem Cookie Check
Aus zahlreichen Prüfungen lassen sich wiederkehrende Muster ableiten. Besonders häufig zeigt sich: Ein Google-Tag-Manager-Container ist korrekt mit Consent Mode konfiguriert, aber ein einzelnes zusätzliches Skript (z. B. ein Chat-Widget, ein A/B-Testing-Tool oder ein Retargeting-Pixel für eine einmalige Kampagne) wurde direkt im Theme oder per Plugin eingebunden – vorbei am Consent-Tool. Auch mehrfach installierte, überlappende Analyse-Tools (etwa alte Google-Analytics-Reste neben einer neueren Matomo-Installation) sind ein wiederkehrender Fund, der bei der Ablösung eines alten Tools schlicht vergessen wurde, restlos zu entfernen.
Cookie-Consent-Tools im Vergleich: Banner vs. vollständiges CMP
Nicht jedes „Cookie-Banner"-Tool ist gleich leistungsfähig. Grob lassen sich zwei Kategorien unterscheiden. Einfache Banner-Skripte zeigen lediglich einen Hinweis mit Zustimmen/Ablehnen-Button an, ohne die dahinterliegenden Skripte technisch zu steuern – die eigentliche Blockierung muss der Website-Betreiber selbst per Code umsetzen. Vollständige Consent-Management-Plattformen (CMPs) wie sie viele professionelle Anbieter bereitstellen, übernehmen dagegen die technische Steuerung automatisch: Sie scannen die Website nach bekannten Skripten, ordnen diese Kategorien zu und blockieren sie automatisch, bis die passende Einwilligung vorliegt. Für Websites mit mehreren Tracking-Diensten ist ein vollständiges CMP in aller Regel die robustere und wartungsärmere Lösung.
Cookie Check bei mehrsprachigen und internationalen Websites
Bei Websites mit mehreren Sprachversionen oder internationaler Ausrichtung lohnt sich ein zusätzlicher Blick: Wird für unterschiedliche Länderversionen (z. B. .de, .at, .com) dasselbe Cookie-Consent-Tool mit identischer Konfiguration ausgespielt? Nutzer in der EU benötigen die volle TTDSG-/DSGVO-konforme Einwilligungslogik, während für Besucher außerhalb der EU teils andere gesetzliche Anforderungen gelten (etwa CCPA in Kalifornien). Ein Cookie Check sollte daher im Zweifel für jede relevante Sprach- oder Länderversion einzeln durchgeführt werden, da Tag-Manager-Konfigurationen sich zwischen Versionen unterscheiden können, ohne dass dies auf den ersten Blick auffällt.
Häufig gestellte Fragen
Wie lange dauert ein Cookie Check?
Manuell per Entwicklertools etwa 5–10 Minuten pro Seite, automatisiert wenige Sekunden.
Muss ich für einen Cookie Check technische Vorkenntnisse haben?
Für den manuellen Weg helfen Grundkenntnisse der Browser-Entwicklertools. Ein automatisierter Scanner funktioniert dagegen ganz ohne technisches Vorwissen.
Erkennt ein Cookie Check auch Local Storage und Session Storage?
Ein manueller Check über die Entwicklertools ja – im Tab „Application"/„Storage" werden auch diese Speicherorte angezeigt. Automatisierte Quellcode-Scanner konzentrieren sich meist auf die im HTML erkennbaren Skript-Einbindungen.
Was, wenn ich gar kein Cookie-Consent-Tool im Einsatz habe?
Dann sollten Sie zunächst prüfen, ob Ihre Website überhaupt einwilligungspflichtige Dienste einsetzt (Analyse, Marketing, eingebettete Inhalte). Ist das der Fall, brauchen Sie ein Consent-Tool, das Skripte technisch blockiert, bis eine Einwilligung vorliegt.
Fazit
Ein Cookie-Banner ist nur die halbe Miete – entscheidend ist, ob im Hintergrund tatsächlich erst nach Zustimmung geladen wird. Der manuelle Check per Browser-Tools funktioniert, ein automatisierter Scan ist für die schnelle erste Einschätzung aber deutlich komfortabler und deckt auch Skripte auf, die im Seitenquelltext leicht übersehen werden.