Was der Tracking-Check prüft

Der Check erkennt elf gängige Consent-Plattformen am SDK, nicht am sichtbaren Banner. Fehlt eine, obwohl Cookie-Tags laden, ist das kritisch.

Der Tiefenscan klickt „Akzeptieren“ und wartet auf den ersten Mess-Ping. Bleibt er aus, geht Ihnen jede erteilte Einwilligung verloren, ohne dass es jemand merkt.

Der Check sucht den gtag(consent)-Aufruf mit den vier V2-Parametern. Steht er nicht im HTML, liest der Tiefenscan im Browser mit, ob ein CMP ihn setzt.

Advanced sendet nach Ablehnung cookielose Pings mit gcs-Parameter, Basic sendet keine Google-Messung. Der Tiefenscan liest den Modus aus dem Reject-Zustand ab.

Der Tiefenscan klickt „Akzeptieren“ und wartet auf gtag('consent', 'update'). Ohne den Aufruf bleiben die Google-Signale auf denied, auch für Besucher, die zugestimmt haben.

Der Check sucht die Schnittstellen __tcfapi und __gpp im HTML. Ohne programmatische Werbung ist der Hinweis erwartbar, mit ist er ein Befund.

Der Check listet Script-, Pixel- und iframe-Quellen von Werbe- und Tracking-Anbietern, die auf Ihrer Seite Third-Party-Cookies setzen. Safari und Firefox blockieren sie seit Jahren.

Der Scanner liest die öffentlich abrufbare Borlabs-Config und decodiert die Opt-in-Codes: Container-IDs und Custom-Loader, die erst nach Einwilligung laden, werden sichtbar, ohne Klick.

Hängt der Google-Tag-Manager-Service im CMP an einer Gruppe wie „Externe Medien“, misst die Website Besucher nicht, die der Statistik zugestimmt haben. Der Check liest die Zuordnung aus der Borlabs-Config.

Der Tiefenscan öffnet die Seite im Browser, klickt einmal „Akzeptieren“ und einmal „Ablehnen“ und vergleicht Requests und Cookies. Diese Zeile sagt, ob das geklappt hat.

Der Check liest den Set-Cookie-Header der ersten Antwort, bevor ein Skript läuft und bevor jemand klickt. Jedes Cookie darin ist „zu prüfen“, nicht automatisch ein Verstoß.

Vor Consent referenzierte Tracker sind erst ein Verstoß, wenn sie auch ausgeführt werden. Der Check listet die Referenzen; ob CMP-Blocking oder Consent Mode die Ausführung stoppt, zeigt der Tiefenscan.

Der Scanner sucht den Link auf die Datenschutzerklärung, ruft die Seite ab und liest sie für den Abgleich mit dem erkannten Tracking-Stack ein.

Der Scanner hält den sichtbaren Text der Datenschutzerklärung gegen den real erkannten Tracking-Stack: Tools im Einsatz, die die Erklärung nie erwähnt, werden gelistet.

Der Tiefenscan klickt „Ablehnen“ und liest das Netzwerk-Log. Jeder Marketing- oder Analytics-Request und jedes nicht-essenzielle Cookie danach ist kritisch.

Der Check erkennt Google-Ads-Conversion-IDs, den Conversion Linker und Enhanced Conversions in gtag und GTM. Ohne beides ordnet Google Ads Conversions nur noch teilweise zu.

Der Check sucht im HTML nach Spuren von Server-zu-Server-Conversion-APIs. Er sieht nur, was der Browser verrät; ein Server-Container hinterlässt keine.

Der dataLayer ist die Schnittstelle zwischen Website und Tag Manager. Fehlt er oder bleibt er leer, hängen Tags an CSS-Selektoren und brechen beim nächsten Redesign.

Zwei GA4-Properties oder zwei GTM-Container auf derselben Seite zählen Pageviews doppelt. Der Check listet alle gefundenen IDs, inklusive toter UA-Altlasten, und zählt im Tiefenscan die page_view-Pings je Property mit.

Der Check sucht im Quelltext nach einem eigenen Tagging-Endpunkt: stape-Loader, gtm.js von einer eigenen Domain oder Mess-Pfade auf einer Subdomain. Der Tiefenscan bestätigt im Browser, wohin die Pings laufen.

Der Tiefenscan liest aus dem Request-Log ab, ob Mess-Pings über einen First-Party-Endpunkt laufen oder direkt zu Google gehen: client-side, hybrid oder server-side.

Der Check sucht zwölf Mess-Tools im ausführbaren Teil des HTML, von GA4 bis Plausible. Kein Treffer ist kritisch, außer ein Server-Side-Endpunkt übernimmt.

Der Check sucht fünf Tag-Management-Systeme im HTML. Keins zu finden ist ein Hinweis, kein Fehler; ein Container im First-Party-Modus kann ihn auslösen.

GA4 verwirft Umsätze ohne currency, und gemischte Währungen machen Summen unbrauchbar. Der Check prüft die Währungsangabe in JSON-LD, dataLayer und DOM.

Der Check vergleicht auf echten Produktseiten den sichtbaren Preis mit JSON-LD Offer.price und dem dataLayer. Abweichungen verfälschen ROAS und Umsatzberichte.

Ohne Product-JSON-LD mit Offer-Preis entfallen Preis-Snippets in der Suche, und AI-Suchen können Produktdaten nicht zitieren. Der Check prüft echte Produktseiten.

Der Tiefenscan prüft bei erkannten Shops bis zu fünf echte Produktseiten: sichtbarer Preis, JSON-LD, dataLayer und view_item im direkten Vergleich.

Ohne view_item auf Produktseiten bleiben GA4-E-Commerce-Berichte leer und Remarketing-Listen ungefüllt. Der Check prüft das Event auf echten Produktseiten.

Google hat die Privacy Sandbox 2025 weitgehend zurückgefahren, mehrere Ad-APIs werden eingestellt. Der Check ist ein Inventar-Signal, keine Empfehlung.

Synchron im head geladene Fremd-Scripts halten den ersten Seitenaufbau auf; jede Sekunde Ladezeit kostet messbar Conversions.

Der Check zählt Script-Tags von fremden Domains im ausgelieferten HTML und markiert fünf datenschutzrelevante Einbindungen. Ab 11 „zu prüfen“, ab 21 kritisch.

Der Check lädt bis zu sechs bekannte Tracking-Skripte selbst herunter und summiert ihre Größe. Über 100 KB ist „zu prüfen“, über 200 KB kritisch.

Der Check liest die robots.txt auf Regeln für sieben AI-Crawler. Er bewertet nicht, er zeigt: geblockt, erlaubt oder gar keine Entscheidung.

Der Check liest drei Header der geprüften Seite: HSTS, X-Frame-Options oder frame-ancestors und eine Content Security Policy. Fehlt einer, ist die Zeile „zu prüfen“.

Der Check sieht nach, ob die Seite nach allen Redirects über HTTPS ausgeliefert wird. Nein ist kritisch, denn dann laufen auch die Tracking-Requests im Klartext.

Der Check parst die JSON-LD-Blöcke im Quelltext und listet die schema.org-Typen. Strukturierte Daten sind kein Ranking-Faktor, aber die Eintrittskarte für Rich Results und eindeutige Entitäten in KI-Antworten.

llms.txt ist ein Markdown-Index der wichtigsten Inhalte für LLM-Werkzeuge (llmstxt.org), keine Berechtigungsdatei; welche Crawler ihn lesen, ist offen.

Der Check liest drei Tags aus dem HTML der geprüften URL. Fehlt eines, ist die Zeile „zu prüfen“; Länge, Dubletten und og:image bewertet er nicht.

Der Check holt die robots.txt und liest die Gruppe für alle Crawler. Nicht erreichbar oder ein pauschales Disallow ist „zu prüfen“.