Ratgeber · 5. August 2026

Cookie-Banner, die wirklich ablehnen: So messen wir, ob „Ablehnen" wirkt

Der häufigste Datenschutz-Befund ist unsichtbar: Tracker laden, bevor jemand eingewilligt hat — oder trotz Ablehnung weiter. Warum ein hübsches Banner nichts beweist und wie eine technische Messung den Unterschied sichtbar macht.

Entscheidend ist die Wirkung, nicht das Banner

Fast jede Website hat heute ein Cookie-Banner. Die Frage, an der es in der Praxis scheitert, sieht man dem Banner nicht an: Passiert vor der Einwilligung wirklich nichts — und wirkt die Ablehnung technisch? Ein Banner ist ein Versprechen an die Besucher·innen. Ob die Website es hält, entscheidet sich im Netzwerkverkehr, nicht im Design.

Die drei häufigsten stillen Fehler

• Tracker vor der Einwilligung. Analytics, Pixel oder Session-Recording laden bereits beim ersten Seitenaufruf — das Banner erscheint, aber die Daten fließen längst.
• Ablehnung ohne Wirkung. Der „Ablehnen"-Klick blendet das Banner aus — die Skripte laden trotzdem, oft weil sie am Consent-Tool vorbei eingebunden wurden.
• Drittanbieter durch die Hintertür. Eingebettete Karten, Videos, Schriften oder Formulare kontaktieren Drittserver, ohne dass irgendjemand gefragt wurde — eingebaut vom Theme oder einem Plugin, nicht von der Redaktion.

Allen drei Fällen ist gemeinsam: Im Browser sieht alles korrekt aus. Genau deshalb ist „wir haben doch ein Banner" keine Antwort — und genau deshalb messen wir.

So misst unser DSGVO-Prüfbereich

1. Erstaufruf ohne jede Interaktion. Die Seite wird im echten Browser geladen; erfasst wird, was VOR jeder Einwilligung passiert: gesetzte Cookies, Speicherzugriffe, alle Anfragen an Drittanbieter.
2. „Ablehnen" wird wirklich geklickt. Die Messung bedient das Banner wie ein Mensch — sie wählt die ablehnende Option. Das ist übrigens die einzige Stelle unserer gesamten Prüfung, an der nicht nur gelesen wird; unsere Prüfordnung weist sie ausdrücklich aus.
3. Neu laden, nachmessen, vergleichen. Nach der Ablehnung wird die Seite erneut geladen. Was jetzt noch lädt, obwohl es abgelehnt wurde, steht im Befund — mit Ross und Reiter: welcher Dienst, welche Anfrage, welche Seite.

Was der Befund aussagt — und wie weit er reicht

Das Ergebnis ist ein technischer Tatsachenbefund: Diese Dienste wurden vor der Einwilligung kontaktiert, diese Cookies wurden gesetzt, die Ablehnung hat diese Anfragen nicht unterbunden. Ob daraus ein rechtliches Problem folgt, hängt von Rechtsgrundlagen und Einzelfall ab — das bewertet eine juristische Beratung, nicht wir. Aber sie kann es erst bewerten, wenn der technische Sachverhalt auf dem Tisch liegt. Vermutungen ersetzen keinen Netzwerk-Mitschnitt.

Selbst-Check für den Anfang

• Öffnen Sie Ihre Website im privaten Fenster mit offenen Entwickler-Werkzeugen (Netzwerk-Tab) — bevor Sie das Banner anklicken: Welche Drittanbieter-Domains tauchen auf?
• Klicken Sie „Ablehnen", laden Sie neu — verschwinden die Anfragen, oder bleiben sie?
• Prüfen Sie eingebettete Inhalte (Karten, Videos, Schriften): Laden sie ohne Zwei-Klick-Lösung direkt vom Drittserver?

Dieser Handgriff findet die groben Fälle auf einer Seite. Die DSGVO-Prüfung macht dasselbe systematisch über den gesamten Prüfumfang — reproduzierbar, dokumentiert und mit Teilsiegel, wenn der Prüfbereich besteht.