Was ist ein Cookie-Banner-Audit? (Checkliste 2026)
Ein Cookie-Banner-Audit prüft Design, Voreinstellungen, Dark Patterns und alles, was vor jeder Consent-Geste lädt. Die Pfade nach Akzeptieren und Ablehnen müssen Sie selbst durchgehen. Die Checkliste 2026.
Das Cookie-Banner ist die meist-geprüfte Compliance-Oberfläche. Erstes, was eine Aufsicht sieht; einfachstes, was ein Beschwerdeführer screenshotet; Quelle der meisten öffentlichen DSGVO-Bußgelder.
Ein Cookie-Banner-Audit ist die Prüfung, ob Ihres standhalten würde. Hier die 2026-Checkliste, was Auditoren ansehen, welche Dark Patterns Aufsichten genannt haben, und das Design, das durchgängig besteht.
Was ein Auditor prüft, der Reihe nach
1. Erster Eindruck
- Banner erscheint vor jedem nicht-essentiellen Skript.
- Banner ist ohne Scrollen sichtbar, auch auf schmalem Mobile. Das prüfen Sie von Hand in echter Handybreite: automatisierte Scanner, unserer eingeschlossen, rendern in einem einzigen Desktop-Viewport und sehen ein Banner nie, das erst bei 375px bricht.
- Banner schließt sich nicht automatisch. Schließen, scrollen, weiternutzen ist keine Einwilligung.
2. Auswahl auf der ersten Ebene
- Akzeptieren und Ablehnen auf derselben Ebene, mit vergleichbarem Gewicht.
- Dritte Option für granulare Einstellungen sichtbar.
- Keine vorausgewählten Kategorien.
3. Granulare Ebene
- Mindestens: strikt notwendig, funktional, Statistik, Marketing.
- Plain-Language-Beschreibung pro Kategorie.
- Kein „berechtigtes Interesse" für Werbung.
- „Auswahl speichern"-Button respektiert Teilauswahlen.
4. Widerruf
- Persistenter „Cookie-Einstellungen"-Link in der Fußzeile öffnet dasselbe Banner.
- Widerruf so einfach wie Einwilligung, ein Klick.
5. Verhaltens-Verifikation (von Hand)
Diesen Schritt nimmt Ihnen kein Scanner ab, und der Grund ist wichtig: Zu prüfen, was nach Akzeptieren oder nach Ablehnen passiert, heißt, Akzeptieren oder Ablehnen zu klicken. Ein Klick ist eine Consent-Geste. Ein Crawler, der den Button drückt, zerstört genau die Messung, auf die es zuerst ankommt, nämlich was Ihre Site einem Besucher lädt, der noch nichts gewählt hat. Veracly trifft diese Entscheidung bewusst: wir nehmen die Messung vor der Einwilligung, die Pfade danach gehen Sie selbst durch. Im frischen privaten Fenster nach jedem Pfad neu laden, Akzeptieren, Ablehnen, granulare Teilauswahl, und prüfen, ob die Skripte die Wahl respektieren. Häufiger Fehler: GTM-Container, der unabhängig vom Consent lädt.
Dark Patterns, die Aufsichten benannt haben
- Kein Ablehnen auf der ersten Ebene.
- Vorausgewählte Häkchen.
- Ablehnen ausgegraut, Akzeptieren grün.
- Irreführende Sprache.
- Berechtigtes-Interesse-Toggle für Werbung.
- Cookie-Wall ohne Alternative.
- Erneutes Prompten nach Ablehnen.
Veracly besucht Ihre Site als frischer Nutzer und erfasst die Drittanbieter-Netzwerkrufe, Cookies und Storage-Schlüssel, die vor jeder Consent-Geste erscheinen. Aufrufe an Ihren eigenen Hostnamen werden nicht erfasst, und Storage wird als Schlüssel- und Datenbankname gelesen, nie als Wert. Anschließend prüft Veracly das Banner-Markup selbst, Ablehnen-Parität, hinter einem Untermenü versteckte oder aus dem Viewport geschobene Ablehnen-Optionen, vorangekreuzte Kategorien. Banner-Findings tragen ein Zitatpaar, CNIL-Beschluss 2020-091 und den Bericht der EDPB Cookie Banner Taskforce; wir passen die Zitate nicht an Ihre nationale Aufsicht an. Lassen sich die Buttons des Banners gar nicht auslesen, wird das Paritäts-Urteil zurückgehalten statt geraten. Scan starten.
Häufige Fragen
Ist ein Cookie-Banner gesetzlich vorgeschrieben?
Ja, sobald nicht-essentielle Cookies oder Tracker eingesetzt werden und EU-/UK-Besucher die Site erreichen können. Rechtsgrundlage: Art. 5(3) ePrivacy-Richtlinie und in Deutschland § 25 TDDDG (bis 14. Mai 2024 § 25 TTDSG), plus Art. 7 DSGVO. Das Banner ist der Mechanismus, der die Einwilligung erfasst.
Was macht ein Banner unzulässig?
Häufigste Fehler: „Alle ablehnen" hinter Settings-Link, vorausgewählte Kategorien, Tracking vor Interaktion, keine granularen Toggles, „Durch Weiternutzung akzeptieren", kein einfacher Widerruf.
Brauche ich Akzeptieren UND Ablehnen auf derselben Ebene?
In Frankreich ja: CNIL-Beschluss 2020-091 verlangt, dass Ablehnen auf der ersten Ebene mit einem Klick möglich ist, wenn Einwilligen es ist. Die EDPB Cookie Banner Taskforce berichtet, dass eine große Mehrheit, nicht alle, der nationalen Aufsichtsbehörden eine Ablehnen-Option auf jeder Ebene erwartet, die einen Einwilligungs-Button trägt. Italien ist eine bekannte Teilausnahme: der Garante (provvedimento 231/2021) akzeptiert das X-Schließen-Element als wirksame Ablehnung auf der ersten Ebene. In Deutschland sind für Unternehmenswebsites die Landesdatenschutzbehörden zuständig, nicht der BfDI. Praxis, die überall trägt: gleichgewichtige Buttons auf der ersten Banner-Ebene, plus granularer Settings-Link.
Was ist mit der Farbe des Ablehnen-Buttons?
Eine EU-weite Farbregel gibt es nicht. Die EDPB Cookie Banner Taskforce hat ausdrücklich abgelehnt, einen allgemeinen Standard für Farbe oder Kontrast vorzugeben; beanstandet wird nur Kontrast, bei dem der Text praktisch unlesbar wird. Italien ist der strenge Ausreißer. Überall sicher ist ein Design, bei dem beide Elemente wie Buttons wirken, in vergleichbarer Größe und Gewichtung, und sich in der Farbe unterscheiden statt in der Auffälligkeit. Ablehnen ausgrauen oder als Fließtext stylen ist das Muster, das Beschwerden auslöst.
Sehen Sie, wo Ihre Website steht.
Starten Sie einen kostenlosen Veracly-Scan und erhalten Sie einen Multi-Jurisdiktionsbericht, EAA, DSGVO, ADA, UK Equality Act, AODA, mit Copy-Paste-Fixes für Entwickler.
Kostenlosen Scan starten