Ihr Cookie-Banner deckt weniger ab, als Sie denken — so messen Sie es nach
Der Consent-Manager kannte YouTube und Vimeo. Der Zahlungsanbieter setzte seine Cookies trotzdem auf jeder Seite — vor jeder Einwilligung.
Bei einer Shop-Prüfung ist mir kürzlich etwas aufgefallen, das ich seitdem bei jedem Shop mitprüfe — und das erstaunlich oft zutrifft.
Der Shop hatte einen Consent-Manager. Ordentlich eingerichtet, mit Kategorien, mit Ablehnen-Schaltfläche, alles vorhanden. Eingetragen waren dort YouTube und Vimeo, weil auf einigen Seiten Videos eingebettet sind. So weit, so richtig.
Beim Nachmessen zeigte sich: Das Skript des Zahlungsanbieters lud auf jeder Seite. Auf der Startseite, auf Kategorieseiten, auf jeder Artikelseite. Und es setzte dabei zwei eigene Cookies, bevor irgendjemand auf irgendetwas geklickt hatte. Der Consent-Manager kannte diesen Dienst schlicht nicht — er stand nicht auf der Liste, also wurde er nicht blockiert.
Warum das so häufig passiert
Ein Consent-Manager erkennt keine Skripte. Er blockiert das, was jemand eingetragen hat. Diese Unterscheidung ist der ganze Punkt.
Eingetragen werden meist die Dienste, die man als Tracking wahrnimmt: Analysewerkzeuge, Karten, Videoeinbettungen, Werbepixel. Übersehen werden die, die sich harmlos anfühlen:
- Zahlungsanbieter, deren Skript global im Template eingebunden ist statt nur im Checkout
- Schriftarten von fremden Servern, die bei jedem Aufruf die IP-Adresse übertragen
- Chat- und Support-Fenster, die schon vor dem ersten Klick eine Sitzung eröffnen
- Bewertungswidgets, die auf der Startseite Sterne anzeigen
- Versanddienstleister-Skripte für Paketshop-Auswahl, oft global eingebunden
Keiner dieser Dienste steht in der Regel im Verdacht. Alle setzen sie regelmäßig Cookies oder bauen Verbindungen zu fremden Servern auf, bevor eine Einwilligung vorliegt.
Wie Sie es in zwei Minuten nachmessen
Sie brauchen dafür kein Werkzeug und keinen Dienstleister. Ein Aufruf mit leerem Cookie-Speicher genügt:
curl -s -c cookies.txt -A "Mozilla/5.0" https://ihr-shop.de/ -o /dev/null
cat cookies.txt
Der erste Befehl ruft die Startseite mit einem frischen, leeren Cookie-Speicher auf. Der zweite zeigt, was dabei gesetzt wurde. Alles, was jetzt in dieser Datei steht, wurde ohne jede Einwilligung gesetzt.
Denselben Aufruf machen Sie anschließend für eine Artikelseite und eine Kategorieseite. Interessant sind die Unterschiede: Ein Cookie, das nur im Checkout auftaucht, ist etwas anderes als eines, das auf jeder Artikelseite gesetzt wird.
Für den zweiten Teil — welche fremden Server überhaupt angefragt werden — öffnen Sie den Shop in einem privaten Browserfenster und schauen im Netzwerk-Reiter der Entwicklerwerkzeuge auf die Spalte mit den Domains. Sortiert nach Domain sehen Sie in wenigen Sekunden, wer alles mitliest, bevor Sie etwas angeklickt haben.
Der praktische Hebel: Einbindung statt Blockade
Wenn Sie fündig werden, ist die naheliegende Reaktion, den Dienst in den Consent-Manager einzutragen. Das ist richtig, aber oft nicht die beste Lösung.
Die bessere Frage lautet: Warum lädt dieses Skript überhaupt auf einer Artikelseite? Ein Zahlungsanbieter-Skript gehört in den Checkout. Ein Paketshop-Auswahl-Widget gehört in den Versandschritt. Ein Chat-Fenster kann nachladen, wenn jemand darauf klickt.
Diese Umstellung löst das Problem an der Wurzel, statt es zu verwalten — und sie macht die Seiten nebenbei schneller, weil auf jeder Artikelseite ein paar fremde Verbindungen wegfallen.
Wann Sie nachmessen sollten
Drei Anlässe bringen regelmäßig neue Einbindungen mit, ohne dass jemand den Consent-Manager anfasst:
- Template-Änderungen — dabei wandern gerne Skripte in den globalen Kopfbereich
- Plugin-Updates — neue Version, neue eingebundene Fremdressource
- Neue Zahlungsarten — fast jeder Anbieter bringt sein eigenes Skript mit
Der Prüflauf oben dauert zwei Minuten. Das ist deutlich billiger als die Annahme, dass sich seit dem letzten Mal nichts geändert hat.
Und zur Einordnung, weil die Frage sonst offen bleibt: Ob eine konkrete Einbindung in Ihrem Fall zulässig ist oder eine Einwilligung braucht, ist eine juristische Bewertung. Was dieser Beitrag liefert, ist die Messung — also die Faktenlage, mit der Sie zu Ihrem Anwalt gehen können, statt zu raten.
Häufige Fragen
Wie prüfe ich, welche Cookies mein Shop vor der Einwilligung setzt?
Am schnellsten mit einem Kommandozeilenaufruf, der eine frische Sitzung simuliert und die gesetzten Cookies in eine Datei schreibt — etwa mit curl und einem leeren Cookie-Jar. Alles, was danach in dieser Datei steht, wurde ohne jede Einwilligung gesetzt. Ergänzend hilft der Netzwerk-Reiter der Browser-Entwicklerwerkzeuge im privaten Fenster: Dort sehen Sie zusätzlich, welche fremden Domains überhaupt angefragt werden.
Warum erkennt mein Consent-Manager manche Dienste nicht?
Weil ein Consent-Manager keine Skripte erkennt, sondern nur die blockiert, die jemand darin eingetragen hat. Typischerweise werden die offensichtlichen Kandidaten gepflegt — Analyse-Werkzeuge, Karten, Videoeinbettungen. Übersehen werden Dienste, die man nicht als Tracking wahrnimmt: Zahlungsanbieter, Schriftarten, Chat-Fenster, Bewertungswidgets, Versanddienstleister-Skripte.
Ist ein Zahlungsanbieter-Skript nicht technisch notwendig?
Auf der Bezahlseite lässt sich das gut begründen. Die Frage ist, warum es auch auf der Startseite und auf jeder Artikelseite lädt — dort findet keine Zahlung statt. Genau diese Unterscheidung ist der praktische Ansatzpunkt: Das Skript gehört dorthin, wo es gebraucht wird, statt global eingebunden zu sein. Wie die Einordnung in Ihrem Fall rechtlich zu bewerten ist, klären Sie mit einem Anwalt.
Wie oft sollte man das nachmessen?
Nach jeder Template-Änderung, nach jedem Plugin-Update und nach jeder neuen Zahlungsart. Alle drei bringen regelmäßig neue Einbindungen mit, ohne dass jemand den Consent-Manager anfasst. Ein Prüflauf dauert zwei Minuten — das ist billiger als die Annahme, dass sich nichts geändert hat.
