Cookie-Banner nerven Besucher und kosten Conversion. Doch es gibt legale Alternativen: technisch notwendige Cookies, server-seitiges Tracking und cookielose Analytics. CERTISCAN verzichtet auf Drittanbieter-Cookies.
Cookie-Banner sind allgegenwärtig – und laut Studien klicken über 60 % der Nutzer genervt auf „Alle ablehnen" oder verlassen die Seite direkt. Das kostet Conversion und Umsatz. Eine Studie von Cookiebot aus 2024 zeigt, dass Cookie-Banner die Absprungrate um bis zu 15 % erhöhen. Doch gibt es einen legalen Weg, ganz auf den Cookie-Banner zu verzichten? Die Antwort: Ja, unter bestimmten Voraussetzungen. CERTISCAN selbst verwendet keine Drittanbieter-Cookies und zeigt, wie eine moderne Web-Anwendung ohne Cookie-Banner funktioniert.
Seit Dezember 2021 regelt §25 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) das Setzen von Cookies in Deutschland. Das Gesetz setzt die ePrivacy-Richtlinie der EU um.
Grundregel (§25 Abs. 1 TTDSG): Das Speichern von Informationen auf dem Endgerät des Nutzers (= Cookies, aber auch Local Storage, Fingerprinting etc.) oder der Zugriff darauf ist nur mit Einwilligung zulässig.
Ausnahme (§25 Abs. 2 TTDSG): Keine Einwilligung nötig, wenn die Speicherung/der Zugriff:
Nein. Technisch notwendige Cookies (Session-Cookies, Warenkorb, Login-Status) sind nach §25 Abs. 2 TTDSG ohne Einwilligung zulässig. Sie müssen aber trotzdem in der Datenschutzerklärung darüber informieren.
Nein. Google Analytics setzt Cookies und überträgt Daten in die USA, was eine ausdrückliche Einwilligung erfordert. Alternativen wie Plausible Analytics oder Matomo (selbst gehostet) können ohne Cookie-Banner betrieben werden.
Diese Ausnahme ist eng auszulegen – nur wirklich technisch notwendige Cookies fallen darunter. „Nützlich" oder „praktisch" reicht nicht.
| Cookie-Typ | Einwilligung nötig? | Begründung |
|---|---|---|
| Session-Cookie (Login) | Nein | Technisch notwendig für Login-Funktion |
| CSRF-Token | Nein | Sicherheitsfunktion gegen Cross-Site-Request-Forgery |
| Warenkorb-Cookie | Nein | Vom Nutzer ausdrücklich gewünschter Dienst |
| Spracheinstellung | Nein | Vom Nutzer gewünschte Funktion |
| Cookie-Consent-Cookie | Nein | Speichert die Einwilligungsentscheidung |
| Load-Balancer-Cookie | Nein | Technisch notwendig für die Infrastruktur |
| Google Analytics | Ja | Tracking, nicht technisch notwendig |
| Facebook Pixel | Ja | Werbung, nicht technisch notwendig |
| YouTube-Embed (Standard) | Ja | Setzt Google-Cookies (DoubleClick etc.) |
| YouTube-Embed (no-cookie) | Nein | youtube-nocookie.com setzt keine Tracking-Cookies |
| Google Fonts (extern) | Ja (umstritten) | Überträgt IP-Adresse an Google (LG München I, 20.01.2022) |
| Google Maps (extern) | Ja | Setzt Tracking-Cookies |
| Newsletter-Tracking | Ja | Nicht technisch notwendig |
| A/B-Testing-Cookie | Ja | Nicht technisch notwendig |
Die einfachste und sicherste Lösung: Verzichten Sie komplett auf alle Tracking-Cookies und eingebetteten Drittanbieter-Inhalte.
Checkliste:
CERTISCAN folgt genau dieser Strategie: Keine Drittanbieter-Cookies, lokale Fonts, keine externen Tracking-Dienste. Das Ergebnis: Kein Cookie-Banner notwendig.
Wenn Sie nicht auf Website-Analytics verzichten möchten, gibt es datenschutzfreundliche Alternativen, die ohne Cookies auskommen:
| Tool | Cookies? | Hosting | Preis | DSGVO-konform? | Features |
|---|---|---|---|---|---|
| Plausible Analytics | Nein | EU (oder self-hosted) | Ab 9 EUR/Mo | Ja | Seitenaufrufe, Referrer, UTM |
Empfehlung: Plausible Analytics oder selbst gehostetes Matomo bieten aussagekräftige Besucherstatistiken ohne Cookies – und damit ohne Cookie-Banner. Plausible ist besonders empfehlenswert, da es leichtgewichtig ist (unter 1 KB Script-Größe) und keine persönlichen Daten verarbeitet.
Eine technisch anspruchsvollere Lösung: Das Tracking findet serverseitig statt, ohne Cookies auf dem Client zu setzen.
Der Vorteil: Kein JavaScript-Tracking, keine Cookies, keine Adblocker-Probleme. Der Nachteil: Weniger granulare Daten als clientseitiges Tracking und höherer technischer Aufwand bei der Einrichtung.
CERTISCAN demonstriert, dass eine professionelle B2B-SaaS-Plattform ohne Cookie-Banner funktioniert und dabei keinerlei Funktionalität einbüßt:
Das Ergebnis: Schnellere Seite, bessere User Experience, weniger Absprünge – und trotzdem 100 % DSGVO-konform. Mehr zur Barrierefreiheit von CERTISCAN erfahren Sie auf der Barrierefreiheits-Seite.
Seit dem Urteil des LG München I (20.01.2022, Az. 3 O 17493/20) ist klar: Die externe Einbindung von Google Fonts ohne Einwilligung verstößt gegen die DSGVO, da die IP-Adresse des Besuchers an Google (USA) übertragen wird. Das Gericht sprach dem Kläger 100 EUR Schadenersatz zu. In der Folge gab es eine regelrechte Abmahnwelle, bei der Anwaltskanzleien massenhaft Websites abmahnten.
Lösung: Google Fonts lokal einbinden:
Dieser Schritt ist einfach umzusetzen und eliminiert sowohl die Datenschutzproblematik als auch die Abhängigkeit von einem externen Dienst.
| Kriterium | Alles erlauben (mit Banner) | Nur notwendige Cookies | Cookielose Analytics | CERTISCAN-Ansatz |
|---|---|---|---|---|
| Cookie-Banner | Ja (aufwendig, CMP nötig) | Nein | Nein | Nein |
| Google Analytics | Ja (mit Consent) |
Selbst wenn Sie sich für einen Cookie-Banner entscheiden, gibt es zahlreiche Fehlerquellen, die zu Bußgeldern führen können:
Eine Website ohne Cookie-Banner ist nicht nur legal möglich, sondern in vielen Fällen die bessere Wahl: schnellere Ladezeiten, bessere User Experience, geringeres Abmahnrisiko und kein Conversion-Verlust durch genervte Besucher. Der Verzicht auf Drittanbieter-Tracker ist dabei der einfachste und effektivste Weg. Prüfen Sie Ihre Website mit dem Barrierefreiheits-Check von CERTISCAN auf Datenschutz und Accessibility.
Dies ist ein Verstoß gegen §25 TTDSG und die DSGVO. Die Aufsichtsbehörden können Bußgelder verhängen. Häufig werden auch Abmahnungen von Wettbewerbern ausgesprochen. Die Kosten liegen typischerweise bei 1.500-3.000 EUR.
Ja. Session-Cookies, die den Login-Status speichern, sind technisch notwendig und fallen unter die Ausnahme des §25 Abs. 2 TTDSG. Gleiches gilt für CSRF-Token und Spracheinstellungen.
Cookielose Analytics-Tools wie Plausible nutzen statt Cookies eine Kombination aus anonymisierter IP-Adresse, User-Agent und Website-Domain. Die Daten werden täglich rotiert und können keiner Person zugeordnet werden.
| Optional |
| Eigener Server |
| Kostenlos |
| Ja (self-hosted) |
| Vollständiges Analytics |
| Fathom Analytics | Nein | EU | Ab 14 USD/Mo | Ja | Einfach, Seitenaufrufe |
| Umami | Nein | Self-hosted | Kostenlos | Ja | Open Source, leichtgewichtig |
| Simple Analytics | Nein | Niederlande | Ab 9 EUR/Mo | Ja | Minimalistisch |
| Google Analytics | Ja | USA | Kostenlos | Nein (ohne Einwilligung) | Vollständiges Analytics |
| Nein |
| Nein |
| Besucherstatistiken | Ja (vollständig) | Nein | Ja (aggregiert) | Server-Logs |
| Conversion-Tracking | Ja | Nein | Eingeschränkt | Intern |
| Ladezeit | Langsam (+300-500ms) | Schnell | Schnell | Schnell |
| Abmahnrisiko | Mittel (bei fehlerhaftem Banner) | Gering | Gering | Gering |
| Kosten CMP | 10-50 EUR/Mo (Cookiebot etc.) | 0 EUR | 9-14 EUR/Mo | 0 EUR |
| Opt-in-Rate | 40-60 % (Datenverlust) | – | – | – |