DSGVO-konformer Cookie-Banner: So blockieren Sie Google Analytics bis zur Zustimmung

Sie haben einen Cookie-Banner auf Ihrer Website eingerichtet, er erscheint hübsch, hat Buttons für „Akzeptieren“ und „Ablehnen“, und Sie sind überzeugt, dass alles in Ordnung ist. Das Problem: In den meisten Fällen ist dieser Banner rein dekorativ — Google Analytics, Meta Pixel und die anderen Tracking-Skripte starten trotzdem, sobald die Seite geladen wird, bevor der Besucher überhaupt etwas anklickt.

Das bedeutet nicht, dass Sie DSGVO-konform sind, sondern nur, dass Sie einen Banner haben, der konform AUSSIEHT. Der Unterschied zählt, denn genau hier kann Sie eine Beschwerde bei der Datenschutzbehörde erwischen. Die gute Nachricht: Es lässt sich lösen, und es ist weder teuer noch kompliziert. Ich zeige Ihnen konkret, wie Sie prüfen, ob Ihr Banner tatsächlich etwas blockiert, und wie Sie ihn dazu bringen, das Tracking bis zur Einwilligung zu stoppen.

Warum Ihr Banner wahrscheinlich gar nichts blockiert

Die meisten Websites setzen das Google-Analytics-Skript direkt in den head-Bereich, während der Cookie-Banner ein separates Plugin ist, das nachträglich hinzugefügt wurde. Die beiden kommunizieren nicht miteinander. Das Ergebnis: Analytics lädt und sendet ab der ersten Sekunde Daten an Google, während der Banner nur eine Nachricht anzeigt und die Antwort speichert, ohne irgendetwas zu stoppen.

Die DSGVO zusammen mit der ePrivacy-Richtlinie verlangen genau das Gegenteil: Cookies und nicht-wesentliche Skripte (Statistik, Marketing, Remarketing) dürfen NUR starten, nachdem der Besucher seine ausdrückliche Einwilligung durch eine klare Handlung gegeben hat. Ein Banner, der nur informiert, etwa „durch Nutzung der Website stimmen Sie zu“, ist keine gültige Einwilligung.

Um konform zu sein, müssen Skripte standardmäßig blockiert und erst nach Klick auf „Akzeptieren“ freigegeben werden. Der Rest ist Kosmetik.

Der 2-Minuten-Test: Werden wirklich Daten vor der Zustimmung gesendet?

Sie müssen niemandem auf Wort glauben, prüfen Sie es selbst direkt im Browser:

• Öffnen Sie die Website in einem neuen Fenster (ohne etwas im Banner anzuklicken).
• Drücken Sie F12, um die Entwicklertools zu öffnen, und gehen Sie zum Tab „Netzwerk“.
• Geben Sie in das Filterfeld ein: google-analytics oder collect oder gtag.
• Laden Sie die Seite neu und schauen Sie, OB Netzwerkanfragen erscheinen, bevor Sie „Akzeptieren“ gedrückt haben.

Wenn Sie Anfragen an google-analytics.com oder an facebook.com/tr sehen, bevor Sie zugestimmt haben, blockiert Ihr Banner gar nichts. Derselbe Test funktioniert für Meta Pixel (suchen Sie nach „tr?“ oder „facebook“), TikTok, Hotjar oder jeden anderen Tracker. Das ist die einfachste Methode, um zu zeigen, dass ein Problem besteht, und später, dass Sie es gelöst haben.

Die richtige Lösung: Blockierung bis zur Einwilligung

Die Grundidee ist, Tracking-Skripte gar nicht erst zu laden, bis ein „Ja“ vorliegt. Je nachdem, wie die Website gebaut ist, gibt es mehrere Varianten:

• Echte Consent Management Platform (CMP): Lösungen wie Cookiebot, Complianz (für WordPress) oder CookieYes wissen, wie man Skripte automatisch bis zur Zustimmung blockiert und danach freigibt. Der Unterschied zu einem einfachen Banner ist, dass sie „Prior Blocking“ durchführen, nicht nur eine Nachricht anzeigen.
• Google Consent Mode v2: Wenn Sie Analytics oder Google Ads nutzen, ist das praktisch Pflicht. Es sendet das Einwilligungssignal an Google, und bis zur Zustimmung werden die Daten begrenzt oder gar nicht erfasst.
• Bedingtes Laden im Code: Die Skripte werden erst injiziert, nachdem der Nutzer auf Akzeptieren geklickt hat, über eine Callback-Funktion des Banners.

Daneben müssen die Kategorien getrennt sein (notwendig, Statistik, Marketing), und das Ablehnen muss genauso einfach sein wie das Akzeptieren, mit einem sichtbaren, nicht versteckten „Ablehnen“-Button.

Häufige Fehler, die Sie trotzdem nicht konform machen

Selbst mit einem guten Plugin schleichen sich oft dieselben Fehler ein:

• Cookie Wall oder erzwungene Zustimmung: Sie dürfen den Zugang zur Website nicht blockieren, bis jemand Marketing-Cookies akzeptiert.
• Vorangekreuzte Kästchen: Die Einwilligung muss eine aktive Handlung sein, nicht etwas, das von Anfang an vorausgewählt ist.
• Großer, farbiger „Akzeptieren“-Button, kleiner oder versteckter „Ablehnen“-Button: Solche Dark Patterns machen die Einwilligung ungültig.
• Keine Möglichkeit, es sich anders zu überlegen: Der Nutzer muss seine Zustimmung genauso leicht widerrufen können, wie er sie gegeben hat — dafür brauchen Sie einen dauerhaften Link „Cookie-Einstellungen“.
• Kein Einwilligungsprotokoll: Sie müssen nachweisen können, wer wann zugestimmt hat — genau das, was eine seriöse CMP speichert.

Und ja, auch von Google-Servern geladene Google-Schriftarten können ein Problem sein; idealerweise hosten Sie sie lokal.

Wie kompliziert ist es eigentlich, Ordnung zu schaffen

Die gute Nachricht: Für eine normale Präsentations-Website ist das eine Sache von einem Arbeitstag, nicht von Wochen. In der Praxis bedeutet das: Sie installieren eine CMP, die tatsächlich blockiert, aktivieren den Consent Mode, falls Sie Google nutzen, verschieben die Schriftarten lokal und testen mit der oben beschriebenen Netzwerk-Methode erneut, bis nichts mehr vor der Zustimmung abgeht.

So arbeiten wir auch bei MPO Web Studio: Wir liefern remote im ganzen Land, zeigen Ihnen zuerst eine Demo auf Ihrer eigenen Website, und konfigurieren dann sauber und konform, mit transparenten Preisen, ohne versteckte Kosten.

Wenn Sie schnell erfahren möchten, ob Ihr Banner tatsächlich etwas blockiert oder nur Deko ist, schreiben Sie uns per WhatsApp mit der Adresse Ihrer Website, und wir sagen Ihnen ehrlich, was wir sehen und was repariert werden sollte.