WooCommerce-Bestellungszuordnung mit Sourcebuster richtig nutzen
Was Sourcebuster kann, warum es eine Einwilligung braucht – und wie Sie beides verbinden
Sourcebuster ist eine schlanke Bibliothek, mit der WooCommerce anzeigt, über welchen Kanal eine Bestellung kam – Google, Newsletter, Social Media oder Direktaufruf. Eine nützliche Information, ganz ohne großes Analytics-Setup. Der Haken liegt im Detail: Die dafür gesetzten Cookies sind nach gängiger Rechtsauslegung einwilligungspflichtig. Bindet man Sourcebuster korrekt in das Consent-Management ein, bekommt man die einfache Attribution datenschutzkonform.
Die folgenden Ausführungen haben wir ausführlich recherchiert; sie stellen jedoch keine Rechtsberatung dar. Die datenschutzrechtliche Bewertung hängt häufig vom konkreten Einsatz ab und bedarf stets der Einschätzung des im Projekt eingebundenen Datenschutzbeauftragten. Statistische Angaben beziehen sich auf die von uns in automatisierten Tests durchgeführten über 3 Mio. Audits.
Was Sourcebuster ist
Sourcebuster.js ist eine quelloffene JavaScript-Bibliothek zur Erkennung der Traffic-Quelle (Entwickler Alex Fedoseev, MIT-Lizenz). Sie liest aus, woher ein Besucher kommt – aus UTM-Parametern, organischer Suche, Verweis-Links oder als Direktaufruf – und merkt sich diese Information für die spätere Zuordnung. Seit Version 8.5 nutzt WooCommerce eine eingebettete Variante davon für die Funktion „Bestellungszuordnung" (Order Attribution), die in neuen wie bestehenden Shops standardmäßig aktiv ist.
Wozu sich die Bestellungszuordnung lohnt
Für viele kleine und mittlere Shops ist das ein echter Gewinn: Im Backend sehen Sie auf einen Blick, welcher Kanal eine Bestellung gebracht hat – ohne ein vollständiges Analytics-System aufzusetzen. Wer nur wissen will, ob sich der Newsletter oder die Social-Media-Anzeige auszahlt, bekommt hier eine schnelle, code-freie Antwort.
- Kanal-Überblick ohne Setup – die Herkunft steht direkt an der Bestellung, kein zusätzliches Tool nötig.
- Marketing-Entscheidungen mit Bezug zum Umsatz – Sie verknüpfen Kanäle mit echten Bestellungen, nicht nur mit Klicks.
- Leichtgewichtig – die Bibliothek ist klein und belastet die Ladezeit kaum.
Tipp zur Umsetzung: Nutzen Sie die Bestellungszuordnung als ersten Indikator und ergänzen Sie für mehrstufige Customer Journeys später eine vollwertige Attribution. Für die Frage „Welcher Kanal bringt Bestellungen?" reicht Sourcebuster oft schon aus.
Warum Sourcebuster eine Einwilligung braucht
Die entscheidende Frage ist, ob die Cookies technisch notwendig für den Betrieb des Shops sind. Das sind sie nicht – die Bestellung funktioniert auch ohne sie. Damit greift § 25 TDDDG, der für nicht notwendige Cookies eine Einwilligung verlangt, bevor sie gesetzt werden.
Automattic, das Unternehmen hinter WooCommerce, verweist darauf, dass die Daten erst beim Kauf zugeordnet und nicht an Dritte übertragen werden. Die Mehrheit der deutschsprachigen Datenschutz-Fachleute legt § 25 TDDDG dennoch streng aus: Er fragt nach technischer Notwendigkeit, nicht nach Personenbezug, und die Cookies werden bereits vor einem Kaufabschluss gesetzt. In Deutschland gilt die strenge Lesart als die sichere. Die endgültige Bewertung für Ihren Shop trifft Ihr Datenschutzbeauftragter.
So nutzen Sie Sourcebuster datenschutzkonform
Die gute Nachricht: Sie müssen nicht auf die Attribution verzichten. Wer Sourcebuster sauber in das Consent-Management einbindet, behält den Nutzen und erfüllt die Einwilligungspflicht.
- Als Statistik-Cookie registrieren – führen Sie die sieben
sbjs_-Cookies in Ihrem Consent-Tool und in der Cookie-Richtlinie auf. - Erst nach Einwilligung laden – das Skript darf erst starten, wenn der Besucher zugestimmt hat. Viele Consent-Tools blockieren Sourcebuster nicht automatisch, weil WooCommerce die üblichen Consent-Hooks umgeht – hier ist eine manuelle Konfiguration nötig.
- In der Datenschutzerklärung benennen – mit Zweck (Herkunftszuordnung) und Speicherdauer.
Tipp zur Umsetzung: Prüfen Sie nach der Einrichtung im privaten Browserfenster, ob die sbjs_-Cookies wirklich erst nach dem Klick auf „Akzeptieren" erscheinen. Genau diesen Schritt überspringen die meisten Shops. Wie der Selbsttest funktioniert, zeigt der Ratgeber Cookie-Banner prüfen.
Wenn Sie die Attribution ohne Einwilligung möchten
Möchten Sie ganz ohne Einwilligungsabfrage auskommen, gibt es cookielose Wege zur Herkunftszuordnung – etwa die Übergabe der Quelle als verstecktes Feld im Bestellformular oder cookielose Analytics. Diese Alternativen liefern oft sogar belastbarere Daten als die reine Last-Click-Sicht. Sie ersetzen die WooCommerce-Funktion, sind aber etwas aufwendiger einzurichten.
So prüfen Sie, ob Ihr Shop Sourcebuster lädt
- Öffnen Sie Ihren Shop in einem frischen Inkognito-Fenster.
- Öffnen Sie die Entwicklertools (F12) und wechseln Sie zu „Application" beziehungsweise „Speicher".
- Sehen Sie unter „Cookies" nach Einträgen mit dem Präfix
sbjs_– und zwar bevor Sie das Banner bedient haben.
Finden Sie die Cookies schon vor jeder Zustimmung, lädt Sourcebuster ohne Einwilligung. Alternativ erkennt unser Audit Sourcebuster automatisch und zeigt, ob es vor oder nach dem Consent aktiv wird.
Was unsere Audit-Daten zeigen
In unseren Audits deutschsprachiger Business-Websites erkennen wir Sourcebuster nahezu ausschließlich auf WooCommerce-Shops – seit der Standardaktivierung in Version 8.5 entsprechend häufig. Auffällig ist dabei: In den allermeisten Fällen setzt Sourcebuster seine Cookies bereits vor der Einwilligung, weil WooCommerce die üblichen Consent-Hooks umgeht. Wer die oben beschriebene Einbindung umsetzt, hebt sich davon ab und nutzt die Bestellungszuordnung sauber.
Sourcebuster ist nur einer von vielen Punkten, die bei WordPress unbemerkt mitlaufen. Den Gesamtüberblick gibt der Ratgeber WordPress und Datenschutz.
Quellen und Hinweise
- Technische Angaben zu Sourcebuster.js: Projektwebsite (sbjs.rocks) und GitHub-Repository des Entwicklers.
- Position von Automattic zur Bestellungszuordnung: WordPress-Support-Forum.
- Audit-Daten stammen aus eigenen exatics-Prüfungen deutschsprachiger Business-Websites (automatisierte technische Erkennung, kann Fehler enthalten).
- Die rechtliche Einordnung stellt keine Rechtsberatung dar.