{"id":13473,"date":"2026-10-07T12:50:00","date_gmt":"2026-10-07T10:50:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=13473"},"modified":"2026-09-25T09:45:53","modified_gmt":"2026-09-25T07:45:53","slug":"consent-banner-prufen-welche-tracking-skripte-laden-bevor-jemand-klickt","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/data-privacy-de\/tutorials-de-data-privacy-de\/consent-banner-prufen-welche-tracking-skripte-laden-bevor-jemand-klickt\/","title":{"rendered":"Consent-Banner pr\u00fcfen: Welche Tracking-Skripte laden, bevor jemand klickt"},"content":{"rendered":"

Ein Einwilligungsbanner sieht aus wie ein Tor. Es legt sich \u00fcber die Seite, es stellt eine Frage, und bis ein Knopf gedr\u00fcckt wird, scheint nichts zu geschehen.<\/p>\n

Dieser Anschein ist gezeichnet, nicht erzwungen. Das Banner ist ein Element auf der Seite wie jedes andere, eingef\u00fcgt von einem Skript, das mit allen \u00fcbrigen Skripten l\u00e4uft. Ob die Mess-Tags auf die Antwort warten, ist eine getrennte Vorkehrung – und es ist durchaus m\u00f6glich, die Frage zu haben und das Warten nicht.<\/p>\n

\n\"Zwei
Dasselbe Banner, derselbe Klickmoment – der Unterschied liegt dazwischen.<\/figcaption><\/figure>\n

Ein Banner ist keine Schranke<\/h2>\n

Die Reihenfolge der Ereignisse auf einer Seite liegt fest und ist kurz. Der Browser holt das HTML, arbeitet es von oben nach unten durch und startet jedes Skript, das ihm dabei begegnet. Irgendwo in dieser Abfolge steht das Skript, das das Banner zeichnet.<\/p>\n

Alles dar\u00fcber hat bereits begonnen. Alles darunter beginnt ohnehin, sofern es nicht eigens verhindert wird. Dass das Banner den Bildschirm bedeckt, h\u00e4lt die Seite dahinter nicht an – eine sichtbare \u00dcberlagerung hat keine Wirkung auf das, was darunter l\u00e4dt.<\/p>\n

Die Frage lautet deshalb nie, ob ein Banner vorhanden ist. Die Frage lautet, was in den Sekunden vor der ersten Ber\u00fchrung mit den Tags geschieht.<\/p>\n

Die drei Wege, ein Skript wirklich zur\u00fcckzuhalten<\/h2>\n

Nur drei Vorkehrungen verz\u00f6gern ein Skript tats\u00e4chlich, und jede hinterl\u00e4sst eine andere Spur im Quelltext.<\/p>\n

Der Typ wird ge\u00e4ndert.<\/strong> Ein Skript mit type=\"text\/plain\"<\/code> f\u00fchrt der Browser \u00fcberhaupt nicht aus – es gilt ihm als Text. Das Einwilligungswerkzeug schreibt den Typ nach einer Entscheidung um, und erst dann l\u00e4uft das Skript. Das ist der h\u00e4ufigste Weg und der am leichtesten erkennbare.<\/p>\n

Die Adresse wird verschoben.<\/strong> Die echte Adresse steht in einem Attribut, das der Browser \u00fcbergeht, etwa data-src<\/code>, und wandert nach der Entscheidung nach src<\/code>. Dasselbe Prinzip, ein anderes Attribut.<\/p>\n

Das Skript steht gar nicht in der Seite.<\/strong> Vom Tag ist im ausgelieferten HTML nichts zu sehen; das Einwilligungswerkzeug f\u00fcgt es nach der Antwort ein. Das ist die sauberste Vorkehrung und die von au\u00dfen am schwersten nachweisbare, denn eine Seite in diesem Zustand sieht genauso aus wie eine ohne jede Messung.<\/p>\n

Allen dreien ist eines gemeinsam: es sind Entscheidungen beim Bau der Seite, keine Einstellungen im Banner. Ein Einwilligungswerkzeug, das eingebaut, aber nicht mit den Tags verdrahtet wurde, erzeugt ein tadelloses Banner und h\u00e4lt nichts zur\u00fcck.<\/p>\n

Was Consent Mode vor dem ersten Tag festlegt<\/h2>\n

Die Tags von Google haben daf\u00fcr einen eigenen Mechanismus, und der arbeitet andersherum: das Tag l\u00e4dt sofort und bekommt vorher gesagt, was es darf.<\/p>\n

Diese Anweisung ist eine Consent-Vorgabe. Vor dem Laden des Tags gesetzt, sagt sie, ob Speichern erlaubt ist, und das Tag verh\u00e4lt sich vom ersten Moment an entsprechend. Ohne Vorgabe wendet das Tag seine eigene an – und misst danach, bis das Einwilligungswerkzeug den Zustand richtigstellt.<\/p>\n

Die L\u00fccke zwischen Seitenaufruf und Richtigstellung ist meist kurz. Immer kurz ist sie nicht, und null ist sie nie.<\/p>\n

Eine Vorgabe, die auf granted<\/code> steht, lohnt einen zweiten Blick. Damit gilt eine Besucherin als einverstanden, bevor gefragt wurde – eine Entscheidung also und kein Versehen, auch wenn es in der Praxis oft ein Versehen ist, abgeschrieben aus einem Beispiel f\u00fcr eine Region mit anderen Regeln.<\/p>\n

\n\"Zwei
\n<\/figure>\n

Die Cookies, die mit der ersten Antwort kommen<\/h2>\n

Skripte sind nur ein Weg. Der Server kann Cookies schon in der Antwort selbst setzen, bevor eine einzige Zeile der Seite gezeichnet wurde.<\/p>\n

Diese Cookies stehen in den Antwort-Headern, und sie werden gesetzt, was das Banner sp\u00e4ter auch sagt, denn sie wurden verschickt, bevor es das Banner gab. Sitzungscookies f\u00fcr einen Warenkorb geh\u00f6ren in diese Gruppe und sind meist unbedenklich. Analyse-Cookies, die auf demselben Weg gesetzt werden, sind es nicht.<\/p>\n

Ob ein Cookie eine Einwilligung braucht, h\u00e4ngt daran, was es tut, nicht daran, wann es gesetzt wird. Aber der Zeitpunkt des Setzens entscheidet, ob ein Einwilligungswerkzeug es \u00fcberhaupt h\u00e4tte verhindern k\u00f6nnen – und bei einem Cookie aus der ersten Antwort lautet die Antwort nein.<\/p>\n

Was der Quelltext zeigt, und was nicht<\/h2>\n

Hier geh\u00f6rt eine ehrliche Grenze hin, denn sie entscheidet dar\u00fcber, wie ein Ergebnis zu lesen ist.<\/p>\n

Das ausgelieferte HTML ist das, was der Server schickt. Es enth\u00e4lt nicht, was ein Skript sp\u00e4ter nachl\u00e4dt. Eine Seite, die alle ihre Tags nach der Entscheidung einf\u00fcgt, zeigt deshalb fast nichts – was das richtige Verhalten ist und genauso aussieht wie eine Seite ganz ohne Tags.<\/p>\n

Diese Mehrdeutigkeit l\u00e4sst sich aus dem Quelltext allein nicht aufl\u00f6sen, und ein Werkzeug, das etwas anderes vorgibt, r\u00e4t. Was der Quelltext dagegen verl\u00e4sslich zeigt, ist der umgekehrte Fall: ein Tag, das ungebremst im HTML steht, ist ein Tag, das ohnehin l\u00e4dt.<\/p>\n

Und das ist der Befund, auf den es ankommt. Eine Seite mit Banner und ungebremsten Tags hat den Anschein einer Entscheidung und das Verhalten ohne eine.<\/p>\n

Vier Dinge, die ein Blick in den Quelltext kl\u00e4rt<\/h2>\n

Welche Mess- und Werbedienste eingebaut sind und unter welchen Kennungen. Ob \u00fcberhaupt ein Einwilligungswerkzeug vorhanden ist. Ob irgendein Skript in der Seite zur\u00fcckgehalten wird, auf einem der drei Wege. Und welche Cookies schon die allererste Antwort setzt.<\/p>\n

Der Tracking- und Consent-Scan<\/a> beantwortet alle vier f\u00fcr eine beliebige Adresse. Er holt die Seite einmal, liest den ausgelieferten Quelltext und trennt, was eingebaut ist, von dem, was zur\u00fcckgehalten wird – und er sagt deutlich, wenn ein Ergebnis \u201ehier ist nichts zu sehen” bedeutet und nicht \u201eda ist nichts”.<\/p>\n

Das brauchbare Urteil ist keine Note. Es ist der Satz, der aus den vier Antworten folgt: ob das Banner auf dieser Seite eine Frage mit Folgen ist oder eine ohne.<\/p>\n

\n

Fragen und Antworten<\/h2>\n

Wartet ein Skript mit async oder defer auf die Einwilligung?<\/h3>\n

Nein. Beide Attribute \u00e4ndern nur, wann ein Skript l\u00e4uft, nicht, ob es l\u00e4uft: async f\u00fchrt es aus, sobald es geladen ist, defer nach dem Einlesen des HTML. In beiden F\u00e4llen geschieht das in der Regel lange vor dem ersten Klick auf das Banner, und im Quelltext z\u00e4hlt ein solches Skript deshalb als ungebremst.<\/p>\n

Ein Google-Tag steht ungebremst im Quelltext, Consent Mode ist aber eingerichtet. Ist das ein Befund?<\/h3>\n

Zun\u00e4chst ist es eine Bauweise. Consent Mode h\u00e4lt das Tag nicht zur\u00fcck: Es l\u00e4dt sofort und richtet sich nach der Vorgabe, die vorher gesetzt wurde. Ein ungebremstes Tag ist dort also zu erwarten, und es l\u00e4dt in jedem Fall. Entscheidend ist, was davor im Quelltext steht.<\/p>\n

Drei Dinge lassen sich dort ablesen:<\/p>\n

    \n
  1. Ob \u00fcberhaupt eine Consent-Vorgabe gesetzt wird, \u00fcblicherweise mit einem Aufruf gtag('consent', 'default', \u2026)<\/code>. Fehlt sie, gilt die Vorgabe des Tags selbst, bis das Einwilligungswerkzeug den Zustand richtigstellt.<\/li>\n
  2. Ob sie vor dem Tag steht. Eine Vorgabe, die erst nach dem Tag ausgef\u00fchrt wird, kommt f\u00fcr die ersten Anfragen zu sp\u00e4t.<\/li>\n
  3. Welche Werte sie setzt, etwa f\u00fcr analytics_storage und ad_storage. Steht dort granted, gilt eine Besucherin als einverstanden, bevor gefragt wurde.<\/li>\n<\/ol>\n

    Offen bleibt auch bei richtiger Vorgabe, ob schon das Laden des Tags und die Anfragen, die es ohne Cookies sendet, ohne Einwilligung zul\u00e4ssig sind. Das ist eine rechtliche Frage, die ein Blick in den Quelltext nicht beantwortet.<\/p>\n

    Zeigt ein einzelner Abruf, was jede Besucherin und jeder Besucher bekommt?<\/h3>\n

    Nicht unbedingt. Ein Abruf sieht die Seite so, wie sie f\u00fcr genau diese Anfrage ausgeliefert wurde: ohne gespeicherte Entscheidung, von einem bestimmten Ort aus und wom\u00f6glich aus einem Seitencache. Manche Einwilligungswerkzeuge liefern je nach Herkunft der Anfrage unterschiedliche Fassungen aus, und Consent Mode kennt Vorgaben je Region; eine Vorgabe mit Regionsangabe steht im Quelltext und l\u00e4sst sich dort lesen, eine Weiche auf dem Server nicht. Ein unauff\u00e4lliges Ergebnis gilt deshalb streng genommen nur f\u00fcr die Region, aus der gepr\u00fcft wurde.<\/p>\n<\/div>\n

    \n

    Quellen<\/h2>\n