Cookie-Banner erklärt: was dahintersteckt und was Websites über Dich speichern

Worum es geht

Wer eine Website zum ersten Mal öffnet, sieht meistens zuerst ein Fenster mit Knöpfen wie "Alle akzeptieren", "Einstellungen" und manchmal "Ablehnen". Die meisten klicken es weg, ohne zu lesen. Dabei entscheidet dieser Klick darüber, welche Daten die Website über den Besuch sammelt und an wen sie weitergegeben werden.

Ich arbeite lange genug im Marketing und weiß, wofür diese Daten genutzt werden. In diesem Beitrag erkläre ich, was hinter den Bannern steckt, was gemessen wird und wie eine Website ganz ohne Banner auskommen kann.

Warum KI das gerade verändert

Das Ganze ist in Bewegung, und der Grund heißt KI.

Immer mehr Menschen suchen nicht mehr über eine Liste von Links. Google zeigt über den Ergebnissen eine von KI geschriebene Antwort, und Dienste wie ChatGPT, Gemini oder Perplexity beantworten Fragen direkt. Wer dort erfährt, welcher Staubsauger gut abschneidet, klickt seltener auf eine Website. Für Betreiber heißt das: weniger Besuche, weniger Daten, und die Herkunft wird unklar. Wer eine Empfehlung im Chat liest und später den Markennamen direkt eintippt, erscheint in der Statistik als direkter Besuch, ohne Spur zur eigentlichen Ursache.

Daraus entsteht ein neues Feld neben der klassischen Suchmaschinenoptimierung: GEOGenerative Engine Optimization. Inhalte so aufbereiten, dass KI-Systeme sie verstehen, als Quelle nutzen und zitieren. Mehr bei Wikipedia (öffnet in neuem Fenster). Sichtbar ist dann, wer von der KI als Quelle genannt wird. Dafür zählen klare, belegbare Inhalte, saubere Struktur und Angaben, die Maschinen lesen können.

Gleichzeitig steuern Google und Meta Werbung zunehmend automatisch. Die KI der Plattformen wählt Zielgruppen, Gebote und Anzeigen selbst und lernt dabei aus jeder gemeldeten Anfrage und jedem Kauf. Je mehr Signale ein Unternehmen liefert, desto besser arbeitet sie. Das erhöht den Druck, möglichst viele Daten zu übermitteln, etwa über die eigenen Server oder über hochgeladene Kundenlisten. Wer ablehnt, fällt nicht einfach heraus: Die Plattformen rechnen fehlende Daten statistisch hoch.

Für Unternehmen verschiebt sich damit die Frage. Es wird wichtiger, Inhalte zu haben, die eine KI zitiert, und die eigenen Kunden und Anfragen selbst zu kennen, als jedem Klick auf fremden Plattformen hinterherzumessen.

Cookie, Banner, Einwilligung: die Begriffe

Ein CookieEine kleine Textdatei, die eine Website im Browser ablegt und bei jedem weiteren Aufruf wieder ausliest. Darin steht oft nur eine zufällige Kennung. Mehr bei Wikipedia (öffnet in neuem Fenster) ist eine kleine Datei, die eine Website in Deinem Browser speichert. Manche Cookies braucht die Seite, um zu funktionieren, zum Beispiel für den Warenkorb. Andere dienen dazu, Dich beim nächsten Besuch wiederzuerkennen.

Das Fenster, das nach Deiner Zustimmung fragt, heißt Cookie-Banner oder Consent-Banner, vom englischen Wort für Einwilligung. Dahinter steht meist eine Consent-Management-PlattformEin Dienst, der das Banner anzeigt, Deine Entscheidung speichert und dafür sorgt, dass Tracking-Dienste erst nach Zustimmung geladen werden. Kurz: CMP. Mehr bei Wikipedia (öffnet in neuem Fenster), die Deine Entscheidung speichert und steuert, welche Dienste geladen werden dürfen.

Wichtig: Es geht längst nicht nur um Cookies. Dieselbe Einwilligung braucht es auch für ZählpixelEin unsichtbares Bild mit einem Pixel Größe, das beim Laden einen Aufruf an einen fremden Server auslöst und so den Besuch meldet. Mehr bei Wikipedia (öffnet in neuem Fenster), für Daten im Speicher des Browsers und für Verfahren, die Dein Gerät an seinen technischen Eigenschaften erkennen.

Warum es die Banner gibt

In Deutschland regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDGBis Mai 2024 hieß es TTDSG. Es setzt die europäische ePrivacy-Richtlinie um und gilt seit Dezember 2021. Mehr bei Wikipedia (öffnet in neuem Fenster)), dass eine Website nur dann Informationen auf Deinem Gerät speichern oder von dort auslesen darf, wenn Du eingewilligt hast. Ausgenommen ist, was für den Dienst, den Du ausdrücklich nutzen willst, unbedingt erforderlich ist.

Sobald dabei personenbezogene Daten verarbeitet werden, kommt die Datenschutz-Grundverordnung hinzu. Der Europäische Gerichtshof hat 2019 entschieden, dass ein bereits angekreuztes Kästchen keine wirksame Einwilligung ist. Seitdem muss man aktiv zustimmen.

Das Banner ist also kein Selbstzweck. Es ist der Weg, eine Einwilligung einzuholen, die das Gesetz für Tracking und Werbung verlangt.

Was tatsächlich gemessen wird

Hinter "Alle akzeptieren" stehen meist dieselben Bausteine. Die wichtigsten:

Reichweite und Verhalten

Google Analytics legt beim ersten Besuch ein Cookie namens _ga mit einer zufälligen Kennung an, die bis zu zwei Jahre gespeichert bleibt. Jeder Seitenaufruf wird mit dieser Kennung an Google geschickt: welche Seite, wie lange, von welchem Gerät, aus welcher Gegend und über welchen Weg Du gekommen bist, etwa über eine Suche, eine Anzeige oder einen Newsletter.

Werbeerfolg

Wer auf eine Google-Anzeige klickt, bekommt eine Klickkennung an die Adresse gehängt, die als Cookie gespeichert wird, in der Regel für 90 Tage. Kaufst Du in dieser Zeit etwas oder schickst eine Anfrage ab, ordnet Google das der Anzeige zu. Das Pixel von Meta arbeitet ähnlich mit dem Cookie _fbp. So weiß der Betreiber, welche Anzeige wie viele Anfragen gebracht hat und was eine Anfrage gekostet hat.

Retargeting

Besucher werden in Zielgruppen einsortiert, zum Beispiel "hat sich die Preisseite angesehen, aber nicht angefragt". Das nennt man RetargetingWerbung, die sich gezielt an Menschen richtet, die eine Website schon besucht haben. Mehr bei Wikipedia (öffnet in neuem Fenster). Diese Zielgruppe bekommt danach auf anderen Websites, bei Instagram oder bei YouTube gezielt Werbung zu sehen. Das ist der Grund, warum Dir ein Produkt nach einem Besuch tagelang folgt.

Heatmaps und Aufzeichnungen

Dienste wie Hotjar oder Microsoft Clarity erfassen, wohin Besucher klicken, wie weit sie scrollen und wo sie hängen bleiben. Manche zeichnen ganze Besuche als Video auf, mit jeder Mausbewegung.

Wie wiederkehrende Besucher erkannt werden

Damit eine Website weiß, dass Du schon einmal da warst, braucht sie ein Merkmal, das bei jedem Besuch gleich bleibt. Dafür gibt es mehrere Wege, die oft kombiniert werden:

• Kennung im Cookie: Die zufällige Nummer aus dem Analyse- oder Werbe-Cookie wird bei jedem Besuch mitgeschickt. Solange Du sie nicht löschst, bist Du für die Website derselbe Besucher, mit allen früheren Besuchen.
• Anmeldung: Sobald Du Dich einloggst, kann die Website Deine Kundennummer mit der Kennung verknüpfen. Dann lassen sich auch Besuche vom Handy und vom Laptop zusammenführen.
• Links aus E-Mails: Newsletter-Links enthalten oft eine persönliche Kennung. Wer klickt, ist damit eindeutig zugeordnet.
• Abgleich mit Kundendaten: Viele Unternehmen laden ihre Kundenlisten mit E-Mail-Adressen verschlüsselt zu Google oder Meta hoch. Die Plattform gleicht sie mit ihren eigenen Konten ab und erkennt so Kunden auch außerhalb der eigenen Website wieder.
• Geräteerkennung ohne Cookie: Aus Bildschirmgröße, Browserversion, installierten Schriften und weiteren Eigenschaften lässt sich ein ziemlich eindeutiges Profil eines Geräts bilden. Das nennt man FingerprintingErkennung eines Geräts an seinen technischen Merkmalen. Funktioniert auch, wenn Cookies gelöscht werden.. Es gilt ebenfalls als Zugriff auf das Endgerät und braucht eine Einwilligung.

Beispiel: ein Staubsauger und eine Woche Werbung

Wie die Bausteine zusammenspielen, zeigt am besten ein alltäglicher Fall. Die Namen der Anbieter sind ausgedacht, die Abläufe sind die üblichen. Nicht jede Website setzt alles davon ein, aber kein Schritt ist ungewöhnlich.

Was Agenturen und Betreiber mit den Daten machen

Aus Sicht eines Unternehmens geht es vor allem um eine Frage: Welches Geld bringt welchen Ertrag? Mit den Daten werden Werbebudgets auf die Kanäle verteilt, die Anfragen oder Verkäufe bringen. Agenturen bauen daraus Berichte, optimieren Anzeigen, bilden Zielgruppen für Retargeting und lassen die Werbeplattformen nach ähnlichen Menschen suchen wie den bisherigen Kunden.

Dazu kommt die Verbesserung der Website selbst: Wo brechen Besucher ab, welche Seite wird nie gefunden, welches Formular ist zu lang.

Aus meiner Erfahrung als CMO gilt aber auch: Es wird deutlich mehr gesammelt als genutzt. Viele Dashboards sieht nach dem ersten Monat niemand mehr an. Die Frage, die vor jeder Messung stehen sollte, lautet deshalb: Welche Entscheidung treffen wir mit dieser Zahl? Gibt es darauf keine Antwort, braucht es die Messung nicht.

Google Consent Mode

Seit März 2024 verlangt Google von Werbetreibenden im Europäischen Wirtschaftsraum, die personalisierte Werbung nutzen, den Consent Mode in der zweiten Version. Das Banner meldet Google dabei, ob Du der Nutzung Deiner Daten für Werbung und für personalisierte Anzeigen zugestimmt hast.

Lehnst Du ab, werden keine Werbe-Cookies gesetzt. Je nach Einstellung schickt die Seite aber trotzdem einfache Signale ohne Kennung an Google, aus denen Google die fehlenden Daten statistisch hochrechnet. Wie weit das mit einer Ablehnung vereinbar ist, wird unter Datenschützern kritisch gesehen.

Vorausgefüllt ist verboten

Eine Einwilligung zählt nur, wenn Du sie aktiv gibst. Der Europäische Gerichtshof hat 2019 im Fall Planet49 entschieden, dass ein bereits gesetztes Häkchen keine wirksame Einwilligung ist. Der Bundesgerichtshof hat das 2020 für Deutschland übernommen.

Für Banner heißt das: Schalter für Statistik, Marketing oder Werbepartner dürfen nicht schon eingeschaltet sein, wenn Du die Einstellungen öffnest. Auch Weitersurfen, Scrollen oder das Schließen des Fensters über das Kreuz sind keine Einwilligung. Bis Du ausdrücklich zustimmst, darf nichts geladen werden, was eine Einwilligung braucht.

Was Du selbst tun kannst

Ablehnen im Banner ist der wichtigste Schritt. Dazu kommen einige Werkzeuge, die jeweils einen Teil des Trackings verhindern. Keines davon schützt vor allem.

Ein VPN

Ein VPNVirtual Private Network: Dein Datenverkehr läuft verschlüsselt über einen Server des VPN-Anbieters. Websites sehen dessen Adresse statt Deiner eigenen. Mehr bei Wikipedia (öffnet in neuem Fenster) verbirgt Deine IP-Adresse. Websites und Werbenetzwerke sehen dann nicht, aus welchem Ort und über welchen Anschluss Du kommst, und Dein Internetanbieter sieht nicht, welche Seiten Du aufrufst. Im öffentlichen WLAN, etwa im Café oder im Hotel, schützt es zusätzlich vor Mitlesern.

Was ein VPN nicht kann: Cookies, Werbepixel, Anmeldungen und die Geräteerkennung funktionieren weiter. Wer bei Google angemeldet ist, bleibt erkannt, egal über welchen Server. Und der VPN-Anbieter sieht jetzt, was vorher Dein Internetanbieter gesehen hat. Ein VPN verlagert das Vertrauen, es macht nicht unsichtbar. Einige Anbieter blockieren zusätzlich bekannte Werbe- und Tracking-Adressen, das hilft spürbar.

Der Browser

Safari und Firefox blockieren viele Tracker von Haus aus, Brave ebenfalls. In Chrome lassen sich Cookies von Drittanbietern in den Einstellungen sperren. WerbeblockerBrowser-Erweiterungen, die Werbung und Tracking-Skripte anhand von Listen bekannter Adressen gar nicht erst laden. Mehr bei Wikipedia (öffnet in neuem Fenster) wie uBlock Origin verhindern, dass Tracking-Skripte überhaupt geladen werden.

Gewohnheiten

Ein privates Fenster löscht Cookies beim Schließen. Wer für Suchen und Einkäufe nicht ständig bei Google, Amazon oder Meta angemeldet ist, verbindet weniger Spuren. Und wer sich für einen Rabatt beim Newsletter anmeldet, sollte wissen, dass er dafür seine E-Mail-Adresse als Erkennungsmerkmal hergibt.

Es geht auch ohne Banner

Ein Banner ist nur nötig, wenn eine Website etwas einsetzt, das eine Einwilligung braucht. Wer darauf verzichtet, braucht auch kein Banner. Das heißt: keine Analyse-Dienste mit Cookies, keine Werbepixel, Schriften vom eigenen Server, Videos und Karten erst nach einem Klick oder als einfacher Link.

Wer trotzdem Besucherzahlen will, kann eine Statistik auf dem eigenen Server betreiben, die ohne Cookies und ohne Weitergabe an Dritte arbeitet, zum Beispiel Matomo in dieser Einstellung. Nach derzeitiger Auslegung kommt das in der Regel ohne Einwilligung aus, sofern keine Daten an Dritte gehen und die Auswertung auf das Nötige beschränkt bleibt.

Diese Website ist ein Beispiel dafür. Sie setzt keine Cookies, lädt nichts von fremden Servern und braucht deshalb kein Banner.