Tracking ohne Einwilligung: Was unsere Audits aufdecken

Die häufigsten Tracking-Dienste ohne Consent

Welche Dienste laden am häufigsten ohne Einwilligung? Diese Tabelle zeigt die häufigsten Befunde auf Websites mit schwerwiegenden CMP-Mängeln:

Anteil der Tracking-Dienste auf Websites mit schwerwiegenden Datenschutz-Mängeln (Stand: Mai 2026)

Stand: Mai 2026 – Basis: 894.844 Websites mit schwerwiegenden Mängeln von über 2,9 Mio. Audits

Google Tag Manager und Google Analytics sind die mit Abstand häufigsten Befunde – bei mehr als jeder zweiten Website mit schwerwiegenden Mängeln. Das Problem dabei: Es liegt häufig nicht an den Tools selbst, sondern an deren Einbindung. Der Tag Manager lädt Tracking-Tags, die personenbezogene Daten erheben – ohne auf den Consent-Status zu warten. Cookies, Pixel, JavaScript-Tracker: alles aktiv, ohne gültige Einwilligung.

Warum Matomo überrascht

Matomo wird oft als datenschutzfreundliche Alternative zu Google Analytics beworben – und das kann es auch sein. Trotzdem taucht Matomo bei 4,6 % der Websites mit Datenschutz-Verstößen auf. Der Grund: Viele Betreiber nutzen Matomo mit Tracking-Cookies und haben es trotzdem nicht korrekt in ihr CMP eingebunden.

Fakt ist: Matomo kann datenschutzkonform ohne Cookie-Banner betrieben werden – aber nur mit den richtigen Einstellungen (cookielos, IP-Anonymisierung, kein Cross-Site-Tracking). Wer diese nicht aktiviert und Matomo gleichzeitig nicht im CMP blockiert, hat ein Problem.

Google Fonts: Ein Sonderfall

Google Fonts sind streng genommen kein Tracking-Dienst – trotzdem ein Dauerbrenner in unseren Audits. Warum? Extern eingebundene Google Fonts übermitteln die IP-Adresse des Nutzers an Google-Server in den USA. Ohne Einwilligung. Die Lösung ist einfach: Google Fonts lokal hosten. Mehr dazu in unserem Überblick der häufigsten Datenschutz-Verstöße.

Was „schwerwiegende Mängel" technisch bedeutet

Wenn unser Audit schwerwiegende Mängel feststellt, bedeutet das: Der Audit-Browser hat die Einwilligung verweigert (oder das Banner bot keine Ablehnmöglichkeit) – und trotzdem wurden Tracking-Dienste geladen. Konkret:

• Cookies werden gesetzt, bevor der Nutzer zustimmt.
• Tracking-Pixel feuern und übermitteln Daten an Drittanbieter.
• JavaScript-Tracker analysieren das Nutzerverhalten und sammeln personenbezogene Daten, obwohl der Consent fehlt.

Aus datenschutzrechtlicher Sicht ist das ein Verstoß gegen Art. 6 Abs. 1 DSGVO und § 25 TDDDG (ehemals TTDSG): Ohne ausdrückliche Einwilligung dürfen keine nicht-essenziellen Tracking-Cookies gesetzt und keine personenbezogenen Daten vom Endgerät des Nutzers ausgelesen werden. Bei Verstößen drohen DSGVO-Bußgelder und Abmahnungen.

Die häufigsten Ursachen

1. Tag Manager ohne Consent-Integration

Der Google Tag Manager wird installiert – und alle Tags feuern sofort. Daten werden erhoben, Tracking-Cookies gesetzt. Ohne Prüfung des Consent-Status. Die Lösung: GTM mit dem CMP verknüpfen und Tags erst nach positivem Consent auslösen (Consent Mode v2 oder Trigger über CMP-Events).

2. Scripts außerhalb des CMP eingebunden

Das CMP verwaltet einen Teil der Scripts – aber manche werden direkt im HTML-Code oder in einem separaten Plugin geladen. Ohne Wissen des CMP. Diese Dienste erheben dann unkontrolliert Daten. Häufig betroffen: Google Fonts, eingebettete YouTube-Videos, Google Maps.

3. CMP-Konfiguration nicht auf Website abgestimmt

Das CMP ist installiert, aber die Zuordnung von Diensten zu Cookie-Kategorien stimmt nicht. Ein typisches Beispiel: Google Analytics wird als „essenziell" oder „funktional" eingestuft statt als „Statistik" – und lädt damit ohne Einwilligung.

4. Consent Mode nicht implementiert

Google Consent Mode v2 ist seit März 2024 Pflicht für Google Ads und Google Analytics. Ohne Consent Mode sendet Google Analytics Daten, unabhängig davon ob der Nutzer zugestimmt hat.

Was Sie tun können

1. Audit durchführen: Prüfen Sie Ihre Website mit unserem kostenlosen Audit. In wenigen Sekunden sehen Sie, ob Dienste vor der Einwilligung laden.
2. Tag Manager aufräumen: Alle Tags im GTM auf Consent-Trigger umstellen.
3. Google Fonts lokal hosten: Schriften herunterladen und vom eigenen Server ausliefern.
4. CMP-Kategorien prüfen: Ist jeder Dienst der richtigen Kategorie zugeordnet?
5. Consent Mode v2 aktivieren: Für alle Google-Dienste den Consent Mode implementieren.
6. Regelmäßig testen: Nach jedem Website-Update erneut prüfen – neue Plugins oder Einbettungen können das Setup brechen.

Quellen und Methodik

• Alle Zahlen basieren auf exatics-Audits deutscher Websites (Stand: Februar 2026, über 180.000 CMP-Bewertungen)
• Prüfung durch automatisierte Chromium-Browser mit echtem Banner-Klick (Ablehnung, wo möglich)
• Erkennung über technische Signaturen: JavaScript-Requests, Cookies, DOM-Elemente
• exatics: Ist Ihr Cookie-Banner wirklich korrekt eingerichtet?
• exatics: Dark Patterns in Cookie-Bannern erkennen

Weiterführende Artikel

• Welche Consent-Tools nutzt Deutschland?
• Cookie-Banner-Vergleich: So schneiden die Top-CMPs ab
• Häufigste Datenschutz-Verstöße auf deutschen Websites
• Google Analytics und der Consent Mode
• CMS-Marktanteile: Welche Systeme schneiden beim Datenschutz am besten ab?
• Was ist exatics Audit? – Alle Prüfkategorien

* Aufgrund einer notwendigen Änderung in den Bewertungen verschiedener Services und der Korrektur von Bewertungen für die Effizienz von Consent-Bannern haben sich unsere Ratings korrigiert.

Jetzt Ihre Website prüfen