Cookie-Banner und Messung: was ohne Einwilligung noch geht

Warum zeigt die Webanalyse nur noch einen Teil der Besucher?

Viele Inhaber erleben dasselbe: Die Webanalyse meldet deutlich weniger Besucher als früher, obwohl die Anfragen nicht weniger geworden sind. Der Grund liegt meist nicht bei der Website, sondern beim Einwilligungsbanner. Wer ablehnt oder das Banner wegklickt, wird von einer Analyse, die Cookies setzt, nicht erfasst. Die Zahlen zeigen dann nur die Besucher, die zugestimmt haben.

Diese Einordnung beantwortet deshalb eine Frage: Welche Messung ist ohne Einwilligung noch möglich, und wie gestaltet ein kleiner Betrieb Banner und Messung so, dass seine Zahlen tragen und das Vertrauen der Besucher nicht leidet? Dafür klären wir zuerst die Rechtslage und die Begriffe, dann ein Modell aus der Werbeforschung, das erklärt, warum aufdringliche Banner schaden. Danach sehen wir uns Befunde aus Studien an, wägen zwei Sichtweisen ab und ordnen die Messwege in drei Schichten. Dieser Beitrag ist keine Rechtsberatung.

Ein Banner, das zum Ja drängt, kauft Zahlen und bezahlt mit Vertrauen.

Was verlangt § 25 TDDDG, und was ist ein Zugriff auf das Endgerät?

Für Cookies greifen in Deutschland zwei Regelwerke ineinander, wie schon der Beitrag Retargeting im B2B beschreibt. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), bis Mai 2024 TTDSG genannt, regelt in § 25 den Zugriff auf Endgeräte. Wer Informationen im Browser eines Nutzers speichert oder dort ausliest, braucht dafür dessen Einwilligung, es sei denn, der Zugriff ist für den gewünschten Dienst unbedingt erforderlich. Die Datenschutz-Grundverordnung (DSGVO) regelt anschließend, ob die so gewonnenen personenbezogenen Daten verarbeitet werden dürfen.

Ein Zugriff auf das Endgerät ist dabei weiter gefasst, als der Name Cookie vermuten lässt. Gemeint sind auch Pixel, lokaler Speicher im Browser und Verfahren, die Merkmale des Geräts auslesen, um es wiederzuerkennen. Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, verzichtet in ihrer Orientierungshilfe für digitale Dienste auf eine pauschale Freigabe für Reichweitenmessung. Maßgeblich ist der konkrete Zweck. Unbedingt erforderlich sind etwa ein Cookie für den Warenkorb, für die Anmeldung oder für die Speicherung der Banner-Entscheidung selbst. Eine Webanalyse, die zeigt, wie viele Besucher von wo kommen, dient dem Betreiber, nicht dem Dienst, den der Besucher wollte.

Die Gerichte haben die Anforderungen an eine Einwilligung geklärt. Der Europäische Gerichtshof entschied 2019 im Fall Planet49 (C-673/17), dass ein bereits angekreuztes Kästchen keine wirksame Einwilligung ist, der Bundesgerichtshof folgte dem 2020 (I ZR 7/16). Die Datenschutzkonferenz verlangt zudem, dass Ablehnen so einfach ist wie Zustimmen. Seit April 2025 gilt außerdem die Einwilligungsverwaltungsverordnung. Sie ermöglicht anerkannte Dienste, bei denen Nutzer ihre Entscheidungen zentral hinterlegen. Website-Betreiber müssen solche Dienste aber nicht berücksichtigen.

Änderungen sind angekündigt, aber nicht beschlossen. Die EU-Kommission hat im November 2025 mit dem sogenannten Digital-Omnibus unter anderem eine Ausnahme von der Einwilligung für zusammengefasste Reichweitenmessung und eine Ablehnung mit einem Klick vorgeschlagen. Der Rat hat seine Position am 21. Oktober 2026 festgelegt, die des Parlaments steht aus, und ein Inkrafttreten ist nicht vor 2027 zu erwarten. Bis dahin gilt § 25 TDDDG unverändert. Plane nach dem Recht, das heute gilt.

Warum schaden aufdringliche Banner? Überzeugungswissen und Reaktanz

Für die Frage, wie ein Banner wirkt, hilft das Modell, das schon der Beitrag über Retargeting verwendet. Friestad und Wright (1994) haben das Persuasion Knowledge Model entwickelt, auf Deutsch etwa Modell des Überzeugungswissens. Es geht davon aus, dass Menschen im Lauf ihres Lebens lernen, wie Werbung und Verkauf funktionieren. Erkennen sie einen Versuch, sie zu beeinflussen, prüfen sie die Botschaft kritischer und wehren sich, wenn sie das Mittel für unangemessen halten.

Hinzu kommt die Reaktanztheorie nach Brehm. Reaktanz bezeichnet den inneren Widerstand, der entsteht, wenn Menschen ihre Wahlfreiheit bedroht sehen. Sie wollen die Freiheit zurückgewinnen und lehnen deshalb gerade das ab, wozu sie gedrängt werden. Ein Banner, das nur einen großen Knopf zum Zustimmen zeigt und das Ablehnen hinter einem Link versteckt, ist genau so ein Druck. Man nennt solche Gestaltungen Dark Patterns: Oberflächen, die Nutzer zu einer Entscheidung lenken, die dem Anbieter nützt.

Auf einer B2B-Website prüft der Besucher einen möglichen Lieferanten. Ein Banner, das trickst, ist für ihn ein erster Hinweis darauf, wie der Betrieb mit Kunden umgeht.

Was zeigen Studien über Banner und Einwilligung?

Ju, Ham und Yel (2026) haben im Journal of Advertising in drei aufeinander aufbauenden Studien untersucht, wie die Gestaltung von Einwilligungsabfragen auf spätere Werbung wirkt. In der ersten Studie bewerteten Teilnehmende übliche Formulierungen. „I am OK“, also „Für mich in Ordnung“, galt als die unklarste, „I Agree“, also „Ich stimme zu“, als die klarste. In der zweiten Studie senkte eine vorhandene Ablehnungsmöglichkeit den wahrgenommenen Kontrollverlust und die Reaktanz. In der dritten zeigte sich, dass personalisierte Anzeigen die Erinnerung an die frühere Einwilligung wachrufen. Wer sich beim Banner gedrängt gefühlt hatte, begegnete der späteren Anzeige mit mehr Widerstand. Die Studien wurden mit Verbrauchern durchgeführt, nicht mit Einkäufern im Geschäftskundengeschäft.

Wie verbreitet solche Gestaltungen sind, zeigen zwei Untersuchungen. Die Autoren verweisen auf eine frühere Studie von Utz und Kollegen (2019) zur DSGVO in Deutschland, nach der 57,4 Prozent der untersuchten Hinweise Elemente enthielten, die zur datenunfreundlichen Wahl lenkten. Eine automatische Prüfung von 99 viel besuchten Websites, aufgerufen aus Dänemark, fand auf 90 davon ein Banner. Die Zustimmung war meist auf der ersten Ebene möglich, die Ablehnung oft erst nach weiteren Schritten (Ntemkas und Kollegen 2026). Die Autoren betonen, dass ihre Kriterien Anhaltspunkte sind und keine rechtliche Bewertung.

Ein dritter Befund betrifft die Frage, ob ehrliche Einwilligung dem Geschäft schadet. Godinho de Matos und Adjerid (2022) werteten ein Experiment bei einem großen Telekommunikationsanbieter in Europa aus. Nach einer transparenten Einwilligung nach den Regeln der DSGVO stiegen Zustimmung, Verkäufe und Wirkung der Kundenansprache. Für sensible Zwecke blieben die Kunden zurückhaltend.

Zwei Sichtweisen: Zustimmung maximieren oder Messung umbauen?

Die erste Sichtweise setzt auf das Banner. Sie sagt: Ohne Einwilligung gibt es keine brauchbaren Zahlen, also muss das Banner so gestaltet sein, dass möglichst viele zustimmen. Dafür werden Farben, Reihenfolge und Formulierung optimiert. Dafür spricht, dass Webanalyse mit Einwilligung genauere Wege durch die Website zeigt als jede andere Quelle.

Die zweite Sichtweise setzt auf die Messung. Sie sagt: Die Entscheidungen eines kleinen Betriebs hängen an Anfragen und Aufträgen, und die lassen sich ohne Zugriff auf das Endgerät zählen. Das Banner bleibt ehrlich, die Webanalyse liefert eine Stichprobe, und die Steuerung beruht auf Zahlen, die vollständig sind. Dafür sprechen die Befunde zur Reaktanz und die Rechtslage, nach der ein drängendes Banner angreifbar ist.

Ich halte die zweite Sichtweise für die tragfähigere. Ein kleiner B2B-Betrieb hat oft nur einige tausend Besucher im Monat. Bei solchen Mengen sagt eine genauere Webanalyse wenig über die eine Frage, die zählt: welche Quelle Aufträge bringt. Diese Frage beantwortet die Messkette aus dem Beitrag Marketing-Erfolg messen, und deren entscheidende Glieder, Anfrage, Gespräch und Auftrag, liegen im Formular und im CRM, nicht im Browser des Besuchers.

Die Drei-Schichten-Messung: welche Zahlen ohne Einwilligung bleiben

Aus Rechtslage und Befunden leite ich eine Ordnung ab, die ich die Drei-Schichten-Messung nenne. Sie sortiert jede Zahl danach, ob sie einen Zugriff auf das Endgerät braucht. Gesteuert wird mit der untersten Schicht, weil sie vollständig ist. Die oberen Schichten ergänzen sie.

1. Schicht 1: ohne Zugriff auf das Endgerät

   Search Console, Statistik des Unternehmensprofils, Quellenfrage und unsichtbares Quellenfeld im Formular, Anfragenliste und CRM. Diese Zahlen sind vollständig, weil sie nicht von einer Einwilligung abhängen. Hierher gehören Anfragen, Gespräche und Aufträge je Quelle.

2. Schicht 2: technische Protokolle und zusammengefasste Zählung

   Serverprotokolle zeigen Aufrufe je Seite für Betrieb und Sicherheit. Manche Analysewerkzeuge zählen ohne Cookies und ohne Wiedererkennung. Ob das im Einzelfall ohne Einwilligung zulässig ist, ist umstritten. Lass die Einrichtung prüfen, bevor du darauf baust.

3. Schicht 3: mit Einwilligung

   Webanalyse mit Cookies, Werbepixel, Retargeting. Diese Zahlen sind eine Stichprobe der Besucher, die zugestimmt haben. Sie zeigen Wege durch die Website und Muster, aber keine Gesamtmengen.

Für Klicks aus der Google-Suche liefert die Google Search Console Einblendungen, Klicks und Position, ohne dass auf der Website ein Cookie gesetzt wird. Wie diese Zahlen zur Frage passen, ob ein Betrieb gefunden wird, beschreibt der Beitrag Sichtbarkeit messen. Und wie sich die Anfragequote mit wenig Besuchern verbessern lässt, steht im Beitrag Anfragequote der Website messen.

Wie sieht ein ehrliches Banner aus? Prüfliste

Das Banner selbst lässt sich mit wenigen Fragen prüfen. Sie folgen aus der Rechtsprechung, aus den Anforderungen der Aufsichtsbehörden und aus den Befunden zur Reaktanz.

• Ablehnen ist auf der ersten Ebene möglich und gleich gut sichtbar wie Zustimmen.
• Kein Kästchen ist vorausgewählt, außer für unbedingt erforderliche Zugriffe.
• Die Knöpfe sagen klar, was passiert, etwa „Statistik erlauben“ und „Ablehnen“, nicht „Weiter“ oder „In Ordnung“.
• Vor der Entscheidung werden keine Analyse- oder Werbecookies gesetzt.
• Der Besucher kann seine Entscheidung jederzeit über einen Link am Seitenende ändern.
• Schriften, Karten und Videos sind lokal eingebunden oder werden erst nach Zustimmung geladen.
• Die Liste der Dienste im Banner stimmt mit dem überein, was die Website tatsächlich lädt.

Die letzte Frage scheitert am häufigsten, weil Websites über Jahre wachsen und das Banner nicht mitwächst. Prüfe es einmal im Jahr zusammen mit der Datenschutzerklärung. Wie Einwilligungen im Vertrieb dokumentiert werden, beschreibt der Beitrag Datenschutz im Vertrieb.

Fazit: Was geht ohne Einwilligung noch?

Die Leitfrage lautete, welche Messung ohne Einwilligung möglich ist und wie Banner und Messung so gestaltet werden, dass Zahlen tragen und Vertrauen bleibt. Ohne Einwilligung bleibt alles, was keinen Zugriff auf das Endgerät braucht: Search Console, Unternehmensprofil, Quellenfeld im Formular, Anfragenliste und CRM. Damit lassen sich Anfragen, Gespräche und Aufträge je Quelle vollständig zählen. Webanalyse mit Cookies liefert nur noch eine Stichprobe, die für Wege und Muster taugt, nicht für Gesamtmengen.

Das Banner sollte ehrlich sein, nicht nur weil das Recht es verlangt. Die Befunde zur Reaktanz zeigen, dass gedrängte Besucher späteren Botschaften mit mehr Widerstand begegnen. Ein Betrieb, der seine Entscheidungen auf die vollständige unterste Schicht stützt, kann sich ein ehrliches Banner leisten. Die zitierten Experimente stammen allerdings aus dem Verbrauchergeschäft, und wie Einkäufer auf Banner reagieren, ist nicht untersucht. Belastbar bleibt die Richtung: Wer die Pflicht ernst nimmt, verliert Zahlen, die er nicht braucht, und behält die, auf die es ankommt.

Was sich sofort umsetzen lässt

1. Öffne deine Website in einem privaten Browserfenster und prüfe, ob Ablehnen auf der ersten Ebene so leicht ist wie Zustimmen.
2. Lass dir von deiner Agentur oder deinem Dienstleister auflisten, welche Dienste die Website lädt, und vergleiche die Liste mit dem Banner.
3. Prüfe, ob dein Anfrageformular die Quelle speichert und nach der Herkunft fragt.
4. Lege fest, welche drei Zahlen aus Schicht 1 du monatlich auswertest, und lass Banner und Analyse von deinem Datenschutzbeauftragten prüfen.