Cookie-Banner falsch konfiguriert: Welche Fehler und Risiken am häufigsten sind
Kurz gesagt
Viele Cookie-Banner sind rechtswidrig konfiguriert — vorausgewählte Checkboxen, fehlende gleichwertige Ablehnmöglichkeit, unvollständiges Cookie-Audit und mangelhafte Protokollierung sind die häufigsten Muster. Aufsichtsbehörden prüfen Banner inzwischen mit automatisierten Scannern.
Die sechs häufigsten Fehler im Detail
- Vorausgewählte Checkboxen: Marketing- oder Analyse-Kategorien sind standardmäßig aktiviert — nach geltender Auslegung unzulässig, da Einwilligung aktiv gegeben werden muss.
- Kein gleichwertiger Ablehnbutton: „Alle akzeptieren" ist prominent platziert, „Ablehnen" versteckt sich hinter einem Einstellungen-Link oder ist klein und unauffällig gestaltet.
- Fehlendes oder unvollständiges Cookie-Audit: Banner listet nur einen Teil der tatsächlich gesetzten Cookies — meist, weil neue Tools oder Plugins nachträglich hinzukamen und nicht nachgepflegt wurden.
- Stillschweigende Einwilligung durch Weiterscrollen: ein Hinweis, dass Scrollen als Zustimmung gilt, ist keine wirksame Einwilligung im Sinne der DSGVO.
- Kein Widerrufsmechanismus: einmal gegebene Einwilligung lässt sich nicht mehr auffindbar zurücknehmen.
- Keine oder mangelhafte Protokollierung: es fehlt ein Nachweis, wann welche Person welcher Kategorie zugestimmt hat.
Warum das kein Kleinigkeitsproblem ist
Das ePrivacy-Recht verlangt vor dem Setzen nicht notwendiger Cookies eine freiwillige, informierte und eindeutige Einwilligung. Wer das Banner so gestaltet, dass Zustimmen leichter fällt als Ablehnen, handelt rechtswidrig — unabhängig davon, ob Absicht dahintersteckt oder schlicht eine unsaubere Standardkonfiguration übernommen wurde. Europäische Aufsichtsbehörden haben in den vergangenen Jahren wiederholt hohe Bußgeldsummen wegen mangelhafter Einwilligungslösungen verhängt, auch gegen mittelständische Unternehmen.
Sofortmaßnahmen für den eigenen Banner
- Cookie-Audit durchführen: alle tatsächlich gesetzten Cookies mit einem Scanner oder den CMP-eigenen Reports dokumentieren.
- Ablehnen-Button auf gleicher Ebene und mit gleichem Gewicht wie Zustimmen platzieren.
- Alle vorausgewählten Optionen deaktivieren — nur technisch notwendige Cookies dürfen ohne Einwilligung gesetzt sein.
- Widerrufsmechanismus im Footer einbinden und regelmäßig testen.
- Einwilligungsnachweise mit Zeitstempel und Kategorienauswahl protokollieren.
- Consent-Management-Plattform korrekt mit allen eingebundenen Drittsystemen verbinden.
Prior Blocking richtig testen
Eine Consent-Management-Plattform allein macht einen Banner nicht rechtssicher — entscheidend ist die Konfiguration. Sie muss alle Skripte und Tracker blockieren, bis eine Einwilligung vorliegt. Der Test dafür ist einfach: Seite im Inkognito-Modus ohne Zustimmung laden, im Browser-Netzwerk-Tab prüfen, ob externe Anfragen abgehen. Werden Analyse- oder Werbe-Skripte trotzdem geladen, ist die Konfiguration fehlerhaft. Weil sich Websites laufend ändern — neue Plugins, neue Tools —, empfiehlt sich ein regelmäßiger, etwa vierteljährlicher Prüftermin.