Cookie-Einwilligung auf deiner Website einbauen

Um eine Cookie-Einwilligung einzubauen, listest du zuerst auf, was deine Website im Browser der Besucher speichert, und sortierst es in unbedingt notwendig und optional. Dann fügst du ein Banner hinzu, entweder von einer Consent-Management-Plattform oder selbst gebaut. Es blockiert optionale Skripte wie Analytics und Werbe-Pixel, bis der Besucher akzeptiert, bietet „Ablehnen“ genauso prominent wie „Akzeptieren“ an, merkt sich die Wahl und lässt Menschen sie später ändern. Ein Banner, das nur angezeigt wird, aber nichts blockiert, erfüllt seinen Zweck nicht.

Dieser Leitfaden beschreibt allgemein, wie Einwilligungsbanner technisch funktionieren. Er ist keine Rechtsberatung. Datenschutzregeln unterscheiden sich je nach Land und ändern sich; prüfe die Regeln für deine Besucher oder frag einen Berater.

Was Einwilligung braucht (allgemein)

Die Cookie-Regeln betreffen in der Regel Cookies und ähnliche Techniken: localStorage, Tracking-Pixel, Geräte-Fingerprinting. Die übliche Einteilung, basierend auf Leitlinien aus der EU und dem Vereinigten Königreich:

Einige Details, bei denen man leicht danebenliegt:

• Die EU und das Vereinigte Königreich arbeiten mit einem Opt-in-Modell: Optionale Cookies warten, bis der Besucher zustimmt. Leitlinien von Aufsichtsbehörden wie der britischen ICO sagen, dass die Einwilligung eine eindeutige aktive Handlung sein muss und Menschen nicht notwendige Cookies einfach aktivieren und deaktivieren können müssen.
• Das Vereinigte Königreich hat sich 2025 geändert. Der Data (Use and Access) Act 2025 erlaubt, dass bestimmte Cookies ohne Einwilligung gesetzt werden, darunter Analytics, die nur verwendet werden, um deine eigene Seite zu verbessern und aggregierte Statistiken erzeugen, die keine Personen identifizieren können. Dafür gilt eine Pflicht, Nutzer klar zu informieren. Lies die aktuelle Leitlinie der ICO, bevor du dich darauf verlässt.
• Mehrere US-Bundesstaaten arbeiten mit einem Opt-out-Modell für das „Verkaufen“ oder „Teilen“ personenbezogener Daten für zielgerichtete Werbung. Einige erwarten, dass du das browserseitige Signal Global Privacy Control respektierst.
• Google-Anzeigen: Stand September 2026 verlangt Google von Publishern, die AdSense, Ad Manager oder AdMob nutzen, beim Ausspielen von Anzeigen im EWR, im Vereinigten Königreich und in der Schweiz eine von Google zertifizierte Consent-Management-Plattform, die das Transparency and Consent Framework des IAB einbindet.

Optionen: CMP, Bibliothek oder eigene Lösung

Die letzte Option wird unterschätzt. Wenn du nur Besucherzahlen willst, kann ein cookiefreies Analytics-Tool in vielen Ländern das Banner überflüssig machen. Prüfe die Dokumentation und deine lokalen Regeln.

Wenn du Google-Anzeigen in Europa schaltest, ist eine zertifizierte CMP die praktische Wahl. Für eine kleine Firmenseite mit nur Analytics reicht oft ein gut gebautes eigenes Banner oder eine Bibliothek.

Wie ein Banner intern funktioniert

Den Teil, den viele auslassen, ist das Blockieren. Ein korrekter Aufbau:

1. Vor jeder Wahl laufen nur notwendige Cookies und Skripte. Analytics, Pixel und Einbettungen werden gar nicht geladen (oder bei Google-Tags mit auf „verweigert“ gesetzter Einwilligung).
2. Das Banner zeigt auf der ersten Ebene klare Optionen: Alle akzeptieren, Alle ablehnen und eine Auswahl nach Kategorien.
3. Bei einer Wahl speichert die Seite sie, meist in einem Cookie der eigenen Website oder in localStorage, mit Version und Datum. Dann lädt sie nur die akzeptierten Kategorien.
4. Bei späteren Besuchen wird die gespeicherte Wahl gelesen, bevor etwas Optionales lädt.
5. Ein Link „Cookie-Einstellungen“, meist im Footer, öffnet die Auswahl jederzeit neu. Die Einwilligung zurückzuziehen sollte so einfach sein wie sie zu geben.
6. Wenn du ändert, was du einsetzt, erhöhst du die Version, damit Menschen erneut gefragt werden.

Google Consent Mode

Für Google Analytics und Google Ads verbindet der Consent Mode von Google die Tags mit dem Banner. Stand September 2026 beschreibt die Dokumentation von Google vier Haupt-Einwilligungstypen: ad_storage, analytics_storage, ad_user_data und ad_personalization. Du setzt einen Standard, bevor das Google-Tag lädt, und dann ein Update, wenn der Besucher entscheidet:

gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});
// später, wenn der Besucher nur Analytics akzeptiert:
gtag('consent', 'update', { analytics_storage: 'granted' });

Google beschreibt eine einfache Umsetzung, bei der Tags erst nach der Einwilligung laden, und eine erweiterte, bei der Tags mit verweigerter Einwilligung laden und cookiefreie Signale senden. Die einfache ist leichter nachzuvollziehen. Für Datenverkehr aus dem EWR erwartet Google, dass die Signale ad_user_data und ad_personalization gesendet werden. Zum Tag selbst siehe wie du Google Analytics einrichtest.

Prompts, die funktionieren

Füge ein Cookie-Einwilligungsbanner hinzu. Kategorien: notwendig (immer aktiv), Analytics (Google Analytics 4) und Marketing (Meta-Pixel). Nichts aus Analytics oder Marketing darf vor der Einwilligung laden. Erster Bildschirm: „Alle akzeptieren“, „Alle ablehnen“ und „Anpassen“ mit gleicher Gewichtung. Speichere die Wahl mit Versionsnummer und Datum in einem Cookie der eigenen Website für 6 Monate, lade nur die akzeptierten Kategorien und füge im Footer einen Link „Cookie-Einstellungen“ hinzu, der das Banner erneut öffnet. Verwende Google Consent Mode mit allen vier Typen standardmäßig auf verweigert.

Liste jedes Cookie, jeden localStorage-Schlüssel und jedes Drittanbieter-Skript auf, das diese Seite nutzt, welche Seite es lädt und ob es unbedingt notwendig ist. Gib eine Tabelle aus, die ich für die Cookie-Richtlinie verwenden kann.

Die YouTube-Einbettungen auf /about laden vor der Einwilligung. Ersetze sie durch eine Vorschaubild mit Play-Button, der das Video erst nach dem Klick lädt, und zeige einen Hinweis, dass YouTube Cookies setzen kann.

Schritt für Schritt

1. Prüfe, was deine Seite setzt: Öffne bei einem frischen Besuch DevTools → Application → Cookies und Local Storage und schau im Tab Network nach Drittanbieter-Anfragen. Berücksichtige Einbettungen und Chat-Widgets.
2. Kategorisiere jeden Punkt: notwendig, Präferenzen, Analytics, Marketing. Entferne alles, was du nicht nutzt.
3. Entscheide den Ansatz: CMP, Bibliothek oder eigene Lösung, je nach Tabelle oben.
4. Setze das Blockieren um, damit optionale Skripte erst nach der Einwilligung laden. Bei Google-Tags setzt du die Consent-Mode-Standards vor dem Tag.
5. Baue das Banner mit gleichwertigen Optionen für Akzeptieren und Ablehnen, Kategorieauswahl und einem Einstellungslink.
6. Schreibe die Cookie-Richtlinie (oft Teil der Datenschutzerklärung), die aufführt, was du nutzt und warum. Siehe wie du Nutzungsbedingungen und eine Datenschutzerklärung schreibst.
7. Teste in einem privaten Fenster: Vor der Wahl keine optionalen Cookies oder Anfragen; nach dem Ablehnen weiterhin keine; nach dem Akzeptieren erscheinen die richtigen; wenn du deine Meinung änderst, hören sie auf.
8. Prüfe erneut, wann immer du ein neues Tool hinzufügst.

Häufige Fehler

• Ein Banner, das nichts blockiert. Skripte laufen beim Laden der Seite, während das Banner höflich fragt.
• Akzeptieren ist ein großer Button, Ablehnen ist versteckt auf einem zweiten Bildschirm oder als grauer Link.
• Vorausgewählte Kategorien oder „berechtigtes Interesse“-Schalter, die standardmäßig aktiv sind.
• Keine Möglichkeit, die Meinung zu ändern nach der ersten Wahl.
• Einbettungen vergessen: YouTube, Karten, Social-Feeds und Chat-Widgets können ebenfalls Cookies setzen.
• Bei jedem Seitenaufruf neu fragen, weil die Wahl nicht richtig gespeichert wird.
• Das Banner verdeckt die Seite auf dem Handy oder fängt den Tastaturfokus ein. Mache es barrierefrei und klein genug, um daran vorbeizulesen.
• Die Richtlinie einer anderen Seite kopieren, die Cookies beschreibt, die du nicht nutzt.

Checkliste für die Einwilligung

• Jedes Cookie, jeder Speicherschlüssel und jedes Drittanbieter-Skript ist aufgeführt und kategorisiert
• Optionale Skripte sind bis zur Einwilligung blockiert (in DevTools geprüft)
• Akzeptieren und Ablehnen sind auf der ersten Ebene gleich leicht erreichbar
• Kategorieauswahl ist verfügbar; nichts Optionales ist vorausgewählt
• Die Wahl ist mit Version und Datum gespeichert; nach Änderungen wird erneut gefragt
• Ein Link „Cookie-Einstellungen“ ist auf jeder Seite vorhanden
• Die Standards des Google Consent Mode sind vor den Google-Tags gesetzt, falls genutzt
• Cookie- oder Datenschutzerklärung entspricht dem, was die Seite tatsächlich tut
• Die Regeln für die Länder deiner Besucher sind anhand aktueller Leitlinien oder eines Beraters geprüft

Zum Hintergrund lies was sind Cookies und was ist die DSGVO.

Cookie-Einwilligung auf Mythex

Mythex fügt deiner App allein kein Einwilligungsbanner und keine Analytics hinzu. Beides fragst du selbst an, und so entscheidest du, was lädt. Führe zuerst den Prüf-Prompt aus, dann den Banner-Prompt mit deinen echten Kategorien, und teste in der Vorschau mit geöffneten DevTools, bevor du veröffentlichst. Wenn du eine gehostete CMP nutzt, bekommst du ein Script und eine ID; die ID ist öffentlich und darf in den Frontend-Code, Geheimnisse gehören in die Projekteinstellungen (Umgebungsvariablen und Geheimnisse). Veröffentliche nach Änderungen erneut, damit die Live-Seite das neue Banner nutzt.

Fragen