Was wird geprüft
Im HTML: Der Scan sucht die Ladepfade von fünf Tag-Management-Systemen: Google Tag Manager (gtm.js oder eine Container-ID GTM-…), Cloudflare Zaraz, Adobe Launch, Tealium iQ und Segment. Ein Treffer heißt „ok“ mit dem Namen. Kein Treffer ist ein Hinweis, nie kritisch, denn hartkodierte Tags messen auch. Wer den Scan als „Server-Side / Custom“ startet, bekommt statt des Hinweises den Vermerk, dass der Tag Manager serverseitig laufen dürfte.
Was der Scan nicht sieht: Container, die über eine eigene Subdomain und einen umbenannten Pfad laden, ohne dass die Container-ID im Quelltext steht. Und er sieht nicht in den Container hinein. Ob dort überhaupt Tags liegen, ob sie veröffentlicht sind und woran sie hängen, bleibt dem Tiefenscan und dem Tag Assistant überlassen.
Warum ist das wichtig
Ein Tag Manager ist der Ort, an dem Tracking-Änderungen ohne Deployment passieren, und der Ort, an dem die Einwilligung an jeden einzelnen Tag gebunden wird. Beides fehlt bei hartkodierten Pixeln. Nach dem Urteil des VG Hannover braucht allerdings schon der Abruf von gtm.js eine Einwilligung; der Container gehört deshalb selbst hinter das CMP, und seine Trigger müssen die Entscheidung kennen. Was der Container an Daten bekommt, regelt der dataLayer, dazu der Grundlagenartikel Was ist ein dataLayer.
Häufige Ursachen
- Alle Pixel sind einzeln hartkodiert, historisch gewachsen über mehrere Agenturen hinweg.
- Ein Tag Manager existiert, lädt aber von einer First-Party-Subdomain und ist im HTML nicht als solcher erkennbar, dann ist der Befund ein False-Positive.
- Das CMS-Plugin verwaltet die Tags, ohne Versionierung und ohne Rechte-Trennung.
- Der Container wurde testweise eingebaut und nie veröffentlicht, das Snippet zeigt auf einen leeren Workspace.