Jeder kennt den Moment: Eine Website lädt, ein Banner schiebt sich ins Bild, „Dürfen wir Cookies verwenden?". Man klickt — und hat das Gefühl, gerade eine Entscheidung getroffen zu haben. Auf einem großen Teil der deutschen Websites ist diese Entscheidung in dem Augenblick, in dem sie fällt, aber längst gegenstandslos: Daten sind schon an Dritte geflossen, bevor überhaupt jemand geklickt hat. Das Banner fragt dann um Erlaubnis für etwas, das bereits passiert ist. Für dieses Muster hat sich ein Begriff eingebürgert — Consent-Theater: die Inszenierung einer Wahl, die technisch gar nicht mehr zur Debatte stand.
Was „Consent-Theater" bedeutet
Eine Einwilligung im Sinne der DSGVO soll vorher eingeholt werden — bevor personenbezogene Daten zu Tracking- oder Werbezwecken erhoben werden. Das Cookie-Banner ist die sichtbare Bühne dafür. Consent-Theater beschreibt den Fall, in dem diese Bühne zwar aufgebaut ist, das eigentliche Stück aber schon läuft: Analytics- und Werbedienste laden beim Seitenaufruf, die „Ja/Nein"-Frage kommt erst danach. Die Interaktion mit dem Banner ändert am bereits erfolgten Datenabfluss nichts mehr.
Das Tückische ist die Beruhigung, die ein sichtbares Banner erzeugt — bei Nutzern und bei Betreibern. Ein Banner suggeriert Ordnung. Ob dahinter tatsächlich etwas zurückgehalten wird, sieht man ihm nicht an.
Das Muster ist nicht die Ausnahme
Dass es sich nicht um ein paar Ausreißer handelt, zeigt eine Auswertung von rund 1,2 Millionen deutschen Websites. Streng gezählt — nur echtes Tracking wie Analytics, Werbung und Retargeting — laden 17,9 % der Seiten Daten an Dritte, bevor eingewilligt wurde. Und auffällig oft geschieht das dort, wo eigentlich ein Schutz vorhanden sein sollte: 21,0 % aller Seiten mit Cookie-Banner — 116.822 Seiten — tracken trotzdem vorab. Über die Hälfte aller Befunde entfällt damit auf Seiten, die ein Banner zeigen.
Anders gesagt: Das Problem liegt seltener am fehlenden Banner als am Banner, das seine eigentliche Funktion — das Zurückhalten von Tracking bis zur Zustimmung — technisch nicht erfüllt. Das Vorhandensein eines Banners ist kein verlässlicher Indikator dafür, dass die Einwilligung auch respektiert wird.
Warum das passiert — Struktur, nicht Vorsatz
Es wäre zu einfach, dahinter Absicht zu vermuten. In den meisten Fällen ist Consent-Theater ein Struktur- und Standardproblem:
- Das Banner ist nur Oberfläche. Es steuert oft nicht, was im Hintergrund an Skripten lädt. Beides muss technisch verkoppelt werden — und genau das unterbleibt häufig.
- Standardeinstellungen stehen auf „an". Baukästen, Themes und Plugins liefern Tracking und eingebettete Inhalte oft vorkonfiguriert aus. Der Auslieferungszustand ist „lädt sofort", nicht „lädt nach Einwilligung".
- Tag-Management ohne Consent-Bedingung. Tags feuern nach Zeit oder Seitenaufruf, nicht nach Zustimmung — wenn niemand die Einwilligung als Bedingung hinterlegt.
- Geteilte Verantwortung. Betreiber, Agentur und Tool-Anbieter gehen jeweils davon aus, ein anderer kümmere sich um das Consent-Setup.
Das Ergebnis ist ein System, in dem das Banner ehrlich gemeint sein kann und die Einwilligung trotzdem ins Leere läuft. Wer für die technische Umsetzung geradesteht, ist übrigens eine eigene, für Dienstleister unbequeme Frage — dazu: Wer haftet, wenn die gebaute Website vor der Einwilligung trackt?
Warum die Einwilligung dann zu spät kommt
Der Kern ist ein zeitlicher: Eine Einwilligung, die nach der Datenübertragung eingeholt wird, kann die Übertragung nicht mehr legitimieren. Die Entscheidung des Nutzers kommt zu spät, um noch etwas zu bewirken. Für den Nutzer bedeutet das eine Wahl, die keine ist — die Kontrolle, die das Banner verspricht, existiert an dieser Stelle nicht.
Für die Debatte um Datenschutz ist das relevant, weil es das Vertrauen in das gesamte Consent-Modell untergräbt: Wenn das sichtbare Symbol der Einwilligung regelmäßig folgenlos bleibt, wird aus einem Schutzmechanismus eine Beruhigungspille. Das ist keine rechtliche Bewertung des Einzelfalls — ob ein Verstoß vorliegt, hängt von Dienst, Rechtsgrundlage und Ausgestaltung ab —, aber es ist ein strukturelles Warnsignal.
Was ausdrücklich kein Consent-Theater ist
Zur Redlichkeit gehört die Gegenrichtung — nicht jeder frühe Datenverkehr ist ein Skandal:
- Funktionale Dienste (Schriften, Auslieferungsnetze, Zahlung, Captcha), die eine Seite zum Laufen braucht, sind in der Regel unkritisch.
- Cookielose Consent-Signale — manche Dienste melden vor der Einwilligung nur, dass eben keine Zustimmung vorliegt. Das sieht nach Tracking aus, überträgt aber keine Tracking-Daten.
- Eingebettete Karten und Videos sind ein rechtlicher Graubereich, je nach Auslegung.
Genau deshalb ist die zugrunde liegende Auswertung bewusst konservativ gerechnet: Solche Graufälle wurden für die strenge Kernzahl herausgenommen, und eine blinde Stichprobe wies eine klare False-Positive-Rate von 13,2 % aus (offen dokumentiert). Es geht nicht darum, das Problem größer zu zeichnen, als es ist — sondern um das belastbare strukturelle Bild.
Was sich ändern müsste
Consent-Theater endet nicht an einem einzelnen Schalter, sondern an drei Stellen:
- Technisch korrekte Umsetzung — Tracking konsequent an die Einwilligung koppeln, Embeds erst nach Zustimmung laden, das Consent-Management vor allen anderen Skripten initialisieren.
- Bessere Standards — Baukästen und Plugins, die „consent-gegated" als Voreinstellung ausliefern statt „an".
- Überprüfbarkeit — der Zustand ist messbar, und die Methode ist offen: Jeder kann in einem frischen Browser-Kontext selbst sehen, was vor der Einwilligung lädt.
Wie man das mit ein paar Minuten und den Browser-Entwicklertools selbst nachprüft, steht hier: Tracking vor dem Cookie-Consent erkennen. Und die vollständige Datengrundlage — Methodik, Zahlen, Grenzen und Validierung — findet sich in der Studie zum Tracking vor der Einwilligung.
Ein Cookie-Banner ist kein Selbstzweck. Es ist ein Versprechen: dass der Nutzer entscheidet, bevor etwas passiert. Ein Banner, das dieses Versprechen technisch nicht einlöst, ist schlimmer als keines — weil es Sicherheit vortäuscht, wo keine ist. Das Ziel ist nicht, Banner abzuschaffen, sondern sie halten zu lassen, was sie versprechen.