Was wird geprüft
Im HTML: Der Scan sucht dreizehn cookie-basierte Tracker im ausführbaren Teil der Seite, also in Script-Quellen, Inline-Skripten und Pixel-URLs: Google Tag Manager, gtag.js, Meta Pixel, LinkedIn Insight, TikTok Pixel, Hotjar, HubSpot, Microsoft Clarity, Google Ads, Intercom, Mixpanel, PostHog und Adobe Analytics. Cookielose Tools wie Plausible oder Fathom stehen bewusst nicht auf der Liste. Jeder Treffer trägt seinen Beleg mit, Host, Pfad oder Container-ID. Kein Treffer heißt „ok“. Treffer sind kritisch, außer es sind nur Google-Tags und Consent Mode ist aktiv; dann steht die Zeile auf „zu prüfen“, und der Tiefenscan klärt im Reject-Zustand, ob etwas feuert.
Was der Scan nicht sieht: Skripte, die das CMP als type="text/plain" ausliefert, Code in Beispielen und Dokumentation, und Tracker, die erst ein anderes Skript nachlädt.
Warum ist das wichtig
Referenziert heißt nicht ausgeführt. Nach § 25 TDDDG braucht der Zugriff auf Endgeräte-Informationen eine Einwilligung, entscheidend ist also, was vor dem Opt-in tatsächlich läuft. Basic Consent Mode blockiert die Tags komplett; Advanced lädt sie und sendet cookielose denied-Pings, deren rechtliche Bewertung umstritten ist. Ein Tag ohne beides feuert einfach. Das ist der kritische Fall.
Häufige Ursachen
- GTM oder gtag.js ist direkt ins Template eingebaut statt hinter das CMP-Blocking.
- Shop- und CMS-Plugins injizieren ihre Pixel selbst, am Tag-Manager und an der CMP-Kategorisierung vorbei.
- „Nur kurz testen“-Snippets aus alten Kampagnen wurden nie wieder entfernt.
- Das CMP lädt asynchron nach, die Tracker stehen aber schon im initialen HTML.