Teil 9 der Serie „EU Web Security: In 10 Schritten zum besseren Rating"
Pre-Consent: Das eigentliche Problem
Die Diskussion um Cookie-Banner verdeckt das eigentliche Risiko: was passiert, bevor der Nutzer irgendetwas klickt?
Wir scannen jede Website im Pre-Consent-Zustand — bevor der Banner angezeigt wird, bevor der Nutzer klickt. Und finden regelmäßig:
- Google Analytics / Meta Pixel laden vor dem Consent
- Third-Party-Cookies werden gesetzt bevor der Banner erscheint
- Tracking-Scripts in
<head>die sofort feuern - Datenübertragungen in Drittstaaten (US) ohne Rechtsgrundlage
Das ist kein Kavaliersdelikt. CNIL (Frankreich) hat allein 2024 über 50 Mio. EUR Bußgelder für Pre-Consent-Tracking verhängt. AEPD (Spanien) folgt.
Was das Recht sagt
ePrivacy-Richtlinie Art. 5(3): Zugriff auf das Endgerät (Cookies setzen, Fingerprinting) erfordert vorherige Einwilligung. Ausnahme: technisch notwendige Cookies.
DSGVO Art. 6(1)(a): Einwilligung muss freiwillig, informiert und eindeutig sein — vor der Datenverarbeitung.
EuGH-Urteil C-673/17 (Planet49): Vorangekreuzte Checkboxen sind keine gültige Einwilligung. Opt-in, nicht Opt-out.
Schrems II (C-311/18): Datenübertragungen in die USA erfordern zusätzliche Schutzmaßnahmen. Ein Google-Analytics-Script das vor dem Consent lädt und Daten an US-Server sendet, ist ein Schrems-II-Verstoß.
Was wir prüfen
SiteGuardian analysiert das Verhalten der Website im Pre-Consent-Zustand:
- Pre-Consent Cookies — welche Cookies werden gesetzt, bevor der Banner erscheint?
- Third-Party Requests — welche Drittanbieter werden kontaktiert, bevor der Nutzer zustimmt?
- Drittstaaten-Transfers — gehen Daten in Nicht-EU-Länder (insbesondere USA)?
- Cookie-Banner — existiert einer? Bietet er eine echte Ablehnungsoption?
- Consent-Mechanismus — werden nach Ablehnung die Tracker tatsächlich deaktiviert?
Die häufigsten Verstöße
1. Google Analytics ohne Consent. Der häufigste Pre-Consent-Verstoß in unserem Benchmark. Das GA-Script steht im <head> und lädt sofort — der Cookie-Banner erscheint erst nachdem GA bereits Daten an Google gesendet hat.
2. Meta/Facebook Pixel. Gleiches Problem: das Pixel lädt als erstes, setzt _fbp- und _fbc-Cookies, sendet Daten an meta.com — alles vor dem Consent.
3. Embedded Content. YouTube-Videos, Google Maps, Social-Media-Widgets — jedes lädt Drittanbieter-Ressourcen und setzt Cookies. Lösung: Platzhalter bis zum Consent, dann nachladen.
4. CMP-Konfigurationsfehler. Der Cookie-Banner ist da, aber die "Ablehnen"-Option ist versteckt, ausgegraut oder leitet auf eine andere Seite. CNIL und EDPB fordern: "Ablehnen" muss genauso einfach sein wie "Akzeptieren".
So prüfen Sie Ihre Website
Manuell (Browser DevTools)
- Browser öffnen im Inkognito-Modus
- DevTools → Network Tab öffnen
- Website laden, NICHT auf den Banner klicken
- Network Tab: welche Drittanbieter-Requests sehen Sie?
- Application → Cookies: welche Cookies sind gesetzt?
Automatisiert
SiteGuardian macht genau diesen Test automatisiert — für jede Domain, mit echtem Chromium Browser, im Pre-Consent-Zustand:
Was Sie tun sollten
- Google Analytics / Meta Pixel hinter den Consent Manager packen. Erst laden wenn der Nutzer "Akzeptieren" klickt.
- YouTube-nocookie.com statt youtube.com für Embeds verwenden.
- Reject-Button gleichwertig gestalten. Gleiche Größe, gleiche Farbe, gleiche Position.
- Nach Ablehnung prüfen: werden die Scripts wirklich nicht geladen? Viele CMP-Konfigurationen haben Lücken.
- Regelmäßig scannen. Ein CMS-Update, ein neues Plugin, ein Marketing-Tag — und plötzlich laden wieder Pre-Consent-Tracker.
Nächste Woche in Teil 10: Der Gesamtcheck — alle Dimensionen auf einmal, und wie Sie Ihren Score von F auf C bringen.