Cookie-Banner prüfen: welches CMP läuft, und läuft es vor den Tags

Der Check erkennt elf gängige Consent-Plattformen am SDK, nicht am sichtbaren Banner. Fehlt eine, obwohl Cookie-Tags laden, ist das kritisch.

Was wird geprüft

Im HTML: Lädt die Seite das SDK einer bekannten Consent-Plattform? Der Scan kennt elf: OneTrust, Cookiebot, Usercentrics (v2 und v3), Didomi, Borlabs, Klaro, consentmanager, TrustArc, Iubenda, Complianz und CookieYes. Er erkennt sie an Script-URLs und JS-Markern, nie an Prosa; das Wort „Cookie-Banner“ im Footer zählt nicht. Treffer heißt „ok“ mit dem Namen des Anbieters. Kein Treffer ist kritisch, sobald Cookie-Tags im Quelltext stehen, und ein Hinweis („nicht anwendbar“), wenn nur cookielose Tools erkannt wurden.

Im Tiefenscan: Die Consent-Simulation bedient das Banner mit den Selektoren des erkannten Anbieters, bei unbekannten Bannern über den sichtbaren Button-Text. Bei Borlabs liest der Scan zusätzlich die Konfigurationsdatei und zeigt, welche Tags erst nach der Einwilligung laden.

Was der Scan nicht sieht: ein selbst gebautes Banner ohne Plattform dahinter, ein CMP, das erst per Tag Manager nachgeladen wird, und Anbieter außerhalb der Liste. Alle drei landen als „kein Consent-Layer“ im Befund. Zu Recht, meistens.

Warum ist das wichtig

Das Banner ist die sichtbare Hälfte der Einwilligung. Die unsichtbare Hälfte ist das Blocking: Kein Tag darf laufen, bevor jemand zugestimmt hat, und dazu zählt seit dem Urteil des VG Hannover auch der Tag Manager selbst. Ohne CMP gibt es weder das eine noch das andere, und ohne Protokoll der Einwilligung fehlt im Streitfall der Nachweis.

Welche Plattform zu welchem Setup passt, steht im Vergleich OneTrust, Usercentrics und Cookiebot.

Häufige Ursachen

Es ist schlicht kein CMP eingebunden, das Tracking läuft seit Jahren ohne Einwilligungsschicht.
Das CMP lädt nur auf der Startseite. Landingpages aus Kampagnen oder ein separater Shop laufen ohne Banner.
Ein selbst gebautes Banner ohne CMP-Backend: sichtbar ja, aber ohne Audit-Trail und ohne Tag-Blocking dahinter.
Nach einem Relaunch lädt das CMP-Skript aus einer alten Vorlage nicht mehr. Niemandem fällt es auf, weil das Banner-Cookie im eigenen Browser noch sitzt.
Das CMP wird per Tag Manager nachgeladen und verliert damit genau das Zeitfenster, in dem es Tags blockieren müsste.

So beheben

Ein CMP einbinden, das Tag-Blocking beherrscht, und das SDK direkt ins HTML vor alle Tracking-Snippets setzen, nicht in den Tag Manager. Danach den Scan wiederholen: Die Zeile Pre-Consent Scripts muss leer sein, und im Tiefenscan darf nach „Ablehnen“ kein Marketing-Request mehr rausgehen. Bei Usercentrics-Setups: Wie die Kette bis in den Server-Container weitergeht, steht im Guide Usercentrics + Server-Side GTM, wir betreuen die Plattform als zertifizierter Partner.

Passende Vorlage

Audit-Checkliste Consent Mode

Sieben Schichten, je mit Prüfschritt, Fehlersignal und Owner. Deckt diesen Befund und die sechs Punkte drumherum ab.

Checkliste holen →

Erst selbst prüfen

Der Tracking-Check testet diesen Punkt zusammen mit allen anderen in Sekunden.

Tracking-Check starten →

Verwandte Checks

Consent Mode V2 →Pre-Consent-Scripts →Pre-Consent-Cookies →Consent-Simulation →Consent-verdeckter Stack →

Häufige Fragen

Wir haben ein Banner, der Check meldet trotzdem „kein Consent-Layer“. Warum?

Der Scan erkennt ein CMP am SDK-Aufruf im Quelltext, nicht am sichtbaren Banner. Drei Fälle lösen den Befund aus: ein selbst gebautes Banner ohne CMP dahinter, ein CMP, das erst der Tag Manager nachlädt, und ein Anbieter, der nicht in der Liste steht. Im ersten Fall ist der Befund berechtigt, in den beiden anderen prüft der Tiefenscan, ob sich das Banner bedienen lässt; der Befund Consent-Simulation zeigt das Ergebnis.

Wir tracken cookieless mit Plausible. Brauchen wir trotzdem ein CMP?

Für den Scan nicht: erkennt er nur cookielose Tools und keine Cookie-Tags, meldet die Zeile „nicht anwendbar“ als Hinweis. Ob Ihr Setup wirklich ohne Einwilligung auskommt, entscheidet nicht das Analytics-Tool allein, sondern jedes Skript, das Daten auf dem Gerät speichert oder ausliest. Der Befund Pre-Consent Cookies zeigt, was der erste Aufruf setzt.

Reicht ein CMP ohne Tag-Blocking?

Nein. Ein Banner, das nur fragt, während die Tags längst feuern, dokumentiert eine Einwilligung, die nie gewirkt hat. Der Scan sieht das an zwei Stellen: Pre-Consent Scripts im Quelltext und im Tiefenscan die Requests nach „Ablehnen“. Beides muss leer sein, sonst ist das CMP Dekoration.

Behebung

Verdrahtet in Tagen, nicht in Sprints.

Befunde aus dem Tracking-Check gehen im Audit Sprint in eine Reihenfolge mit Aufwand, jeder Baustein mit Abnahmekriterium.

Zur Leistung Audit Sprint anfragen