Was wird geprüft
Im HTML: Der Scan liest nur die ausführbaren Teile der Seite, also Script-Quellen, Inline-Skripte und Pixel-URLs, und sucht darin die Signaturen von zwölf Mess-Tools: GA4 (gtag.js mit G-ID), Google Tag Manager (Container-ID), Plausible, Matomo, Piwik PRO, Fathom, Pirsch, Simple Analytics, Cloudflare Web Analytics, Mixpanel, PostHog und Adobe Analytics. Ein Treffer heißt „ok“ mit der Liste. Kein Treffer ist kritisch: keine Messung aktiv.
Zwei Ausnahmen mildern das Urteil. Erkennt der Scan einen First-Party-Endpunkt (Befund Server-Side Tagging), wird aus dem Kritisch ein Hinweis, denn dann läuft die Messung serverseitig. Und wer den Scan im Kontext „Server-Side / Custom“ startet, bekommt dieselbe Herabstufung.
Was der Scan nicht sieht: Skripte, die das CMP bis zur Einwilligung als Text ausliefert, eigene Loader ohne die bekannten Hostnamen und alles, was erst nach einem Klick nachlädt. Code in Beispielen und Dokumentation zählt nicht; bis September 2026 hielt der Scan g-recaptcha für eine GA4-Property, seitdem sind die IDs case-sensitiv.
Warum ist das wichtig
Ohne Tag keine Daten: kein Reporting, keine Conversion für Google Ads, keine Zielgruppe für Remarketing. Das klingt banal, passiert aber nach fast jedem Relaunch. Das Snippet lag im alten Theme, das neue Theme hat keins, und weil niemand das Dashboard in der ersten Woche aufmacht, fällt es erst mit dem Monatsreport auf. Vier Wochen Lücke, unwiederbringlich. Welche Tools der Scan erkennt, sagt zugleich etwas über den Stack: Plausible oder Fathom heißt cookieless, GA4 mit GTM heißt Consent-Pflicht, beides zusammen heißt Klärungsbedarf.
Häufige Ursachen
- Die Site trackt bewusst server-side oder cookielos, dann ist der Befund erwartbar und kein Fehler.
- Das Tag liegt hinter dem CMP-Blocking und erscheint erst nach Einwilligung, der statische Scan sieht es nicht.
- Nach einem Relaunch wurde das Tracking-Snippet schlicht nicht mit umgezogen.
- Ein Werbe- oder Tracking-Blocker auf CDN-Ebene filtert die bekannten Skript-Hosts schon beim Ausliefern.