Nur 3,5 % der deutschen Websites holen die Cookie-Einwilligung sauber ein: 53 % haben kein Banner, 9 von 10 Bannern sind mangelhaft

Über die Einwilligung wird seit 2018 gestritten, geklagt und gelacht. Was fehlt, ist eine einfache Zahl: Wie viele Websites holen sie eigentlich so ein, wie es gedacht ist? Wir haben zwei Millionen deutsche Websites in zwei Schritten geprüft. Erst: Gibt es überhaupt einen Consent-Manager? Dann, für die, die einen haben: Hält das Banner den Anforderungen stand, die Gerichte und Aufsichtsbehörden formuliert haben? Die Antwort passt in einen Satz. Auf 3,5 % der Websites funktioniert die Einwilligung. Auf dem Rest fehlt sie oder sie ist eine Fassade.

In eigener Sache

Diese Auswertung stammt von Complianty, einem Anbieter von DSGVO-Prüfsoftware. Wir verkaufen kein Cookie-Banner, aber wir prüfen welche, und wir haben ein wirtschaftliches Interesse daran, dass Websites geprüft werden. Deshalb: keine Einzelseiten, keine Bußgeldprognosen, Methodik offen, konservativ gezählt. Wo ein Check nicht sicher entscheiden konnte, haben wir nicht „mangelhaft" gezählt, sondern „manuell prüfen".

Schritt eins: Gibt es überhaupt ein Banner?

Grundlage sind 2.025.061 Websites aus dem .de-Bestand, den wir zwischen dem 8. August und dem 5. September 2026 komplett neu gescannt haben. Der Scanner erkennt 69 Consent-Manager namentlich und daneben generische Banner an ihren Merkmalen. Ergebnis: 52,5 % zeigen keinen Consent-Manager. Das ist derselbe Wert wie in unserer Stichprobe vom August (53,4 %) und nahe an der Juni-Auswertung (53,5 %); die Zahl ist stabil.

Ein fehlendes Banner ist nicht automatisch ein Verstoß. Wer keine einwilligungspflichtigen Dienste einsetzt, braucht keins. Aber es ist selten der Grund: Von den Websites ohne Banner laden 28,8 % trotzdem mindestens einen Drittanbieter-Dienst vor jeder Interaktion – Analyse-Werkzeuge, Werbung, Karten, Videos, Monitoring –, 18,8 % ein Analyse- oder Werbe-Werkzeug im engeren Sinn. Sauber „kein Banner nötig" ist nur ein Teil davon.

Schritt zwei: Hält das Banner, was es verspricht?

Für die Websites mit Consent-Manager läuft ein zweiter, unabhängiger Durchlauf: ein frischer Browser, Desktop und Mobil, einmal mit Akzeptieren, einmal mit Ablehnen. Vierzehn Prüfpunkte, die sich aus der Rechtsprechung des EuGH, den Orientierungshilfen der deutschen Aufsichtsbehörden und den Leitlinien des Europäischen Datenschutzausschusses ableiten: Gibt es eine Ablehnen-Option auf der ersten Ebene? Ist sie so prominent wie Akzeptieren? Sind Kästchen vorangehakt? Lässt sich die Einwilligung später widerrufen? Werden vor dem Klick schon Tracking-Cookies gesetzt? Bleiben Impressum und Datenschutzerklärung erreichbar, während das Banner offen ist?

Ausgewertet wurden 111.690 Banner, davon 56.289 aus dem .de-Bestand und 55.401 aus unseren Branchen-Korpora. 7,4 % der .de-Banner bestehen alle kritischen Prüfpunkte. 5,2 % haben Mängel, 87,4 % mindestens einen kritischen Fehler. Über beide Korpora sind es 8,7 % konform. Das Bild hängt nicht am Anbieter: Die Mängel verteilen sich über alle gängigen Consent-Manager, vom WordPress-Plugin bis zur Enterprise-Lösung.

Die fünf häufigsten Fehler

Kein Widerruf (49,4 %). Wer einmal zugestimmt hat, findet keinen Weg zurück: kein Link im Footer, kein schwebendes Symbol, keine Einstellung. Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf so einfach ist wie die Einwilligung. Auf jeder zweiten Website ist er unmöglich.

Keine Ablehnungsoption (40,3 %). Das Banner bietet „Akzeptieren" und „Einstellungen", aber kein „Ablehnen" auf der ersten Ebene. Die Aufsichtsbehörden und der EuGH sind hier eindeutig: Ablehnen muss so leicht sein wie Zustimmen. Vier von zehn Bannern ignorieren das.

Cookie-Laufzeiten über 13 Monate (35,1 %). Ein Consent-Cookie, das zwei Jahre gilt, oder ein Analytics-Cookie, das 2038 abläuft. Die französische CNIL und die deutsche Datenschutzkonferenz sehen 13 Monate als Obergrenze für die Speicherung einer Einwilligung.

Keine Einwilligungskategorien (30,4 %). Alles oder nichts: keine Trennung nach Statistik, Marketing, externen Medien. Die EDPB-Leitlinien 05/2020 verlangen eine granulare Einwilligung.

Impressum und Datenschutzerklärung blockiert (29,3 %). Das Banner legt sich über die Seite, und die Pflichtangaben sind erst nach einer Entscheidung erreichbar. Wer sich vor der Zustimmung informieren will, kann es nicht – dabei ist genau das der Sinn der Information nach Art. 13 DSGVO.

Dahinter folgen: Ablehnen weniger prominent als Akzeptieren (19,8 % eindeutig, weitere 45,9 % im Graubereich, die wir nicht als Fehler zählen), vorangehakte Kästchen (15,2 %, seit dem Planet49-Urteil des EuGH von 2019 unstrittig unzulässig) und Tracking-Cookies, die schon vor dem Klick gesetzt werden (12,5 % eindeutig).

Warum 3,5 % die richtige Zahl ist

Die beiden Schritte multiplizieren sich. 47,5 % der Websites haben ein Banner, von diesen sind 7,4 % konform. 47,5 % mal 7,4 % sind 3,5 %. Über den gesamten Bestand einschließlich der 1,6 Millionen neu erfassten Domains sind es 3,7 %. Die Zahl ist robust gegen jede Bereinigung, die wir versucht haben: Ohne geparkte, tote und ausländische Domains ändert sie sich um wenige Zehntel.

Man kann einwenden, dass ein Teil der Websites ohne Banner keins braucht. Selbst wenn man großzügig jede zweite dieser Seiten als „sauber ohne Banner" zählt, landet man bei rund 30 % Websites, auf denen die Einwilligung entweder korrekt eingeholt wird oder korrekt unnötig ist. Die anderen 70 % haben ein Problem, das sie meistens nicht kennen.

Und dann ist da noch das Tracking

Ein konformes Banner ist die halbe Miete. Die andere Hälfte ist, ob die Seite sich daran hält. Unter den Websites mit Banner laden 39,5 % mindestens einen Drittanbieter-Dienst schon vor dem Klick – Analyse-Werkzeuge, Werbung, Karten, Videos, Monitoring –, und 24,0 % ein Analyse-, Werbe- oder Retargeting-Werkzeug im engeren Sinn (die strenge Zählung unserer Studie zum Tracking vor der Einwilligung). Das Banner sagt „erst nach Zustimmung", die Seite tut es vorher. Diese Fälle sind in den 3,5 % bereits enthalten, weil der entsprechende Prüfpunkt Teil des Audits ist; sie erklären aber, warum die Zahl so klein ist. Ein Banner, das gut aussieht und nichts steuert, ist die häufigste Form des Scheiterns.

Was diese Zahlen nicht sagen

• Nicht „96,5 % handeln rechtswidrig". Ein Teil der Websites ohne Banner braucht keins. Ein Prüfpunkt wie „Ablehnen gleich prominent" ist eine Auslegung der Aufsichtsbehörden, kein Gesetzestext. Wir messen technische Sachverhalte, keine Rechtsfolgen.
• Das Audit ist konservativ. Bei 45,9 % der Banner konnte die Prominenz nicht sicher entschieden werden, bei 55,6 % die Frage nach Cookies vor dem Klick. Diese Fälle zählen nicht als Fehler. Die reale Fehlerquote liegt deshalb eher über als unter unseren Werten.
• Das Audit lief nicht auf allen Seiten. Es ist ein eigener Durchlauf, der aus Kapazitätsgründen für 111.690 Websites vorliegt, nicht für alle zwei Millionen. Die Banner-Quote (52,5 %) stammt dagegen aus dem vollständigen Scan.
• Bestand, keine Zufallsstichprobe. Kleine und mittlere Unternehmensseiten dominieren; Großunternehmen mit eigenen Datenschutzabteilungen sind unterrepräsentiert.
• Momentaufnahme. Scans vom 8. August bis 5. September 2026, Banner-Audits vom 30. Juli bis 11. August 2026.

Für Agenturen: die Reihenfolge

Die Fehlerliste ist gleichzeitig eine Arbeitsliste, und sie ist kurz. Widerrufsweg einbauen (ein Footer-Link genügt), Ablehnen-Button auf die erste Ebene, Laufzeiten begrenzen, Kategorien anbieten, das Banner so bauen, dass Impressum und Datenschutzerklärung darunter erreichbar bleiben. Das sind Einstellungen im Consent-Manager, keine Umbauten. Danach der Teil, den kein Consent-Manager von allein erledigt: prüfen, ob die Seite vor dem Klick wirklich still ist. Wie ein DSGVO-konformes Cookie-Banner im Detail aussieht, haben wir gesondert beschrieben; welche Consent-Manager für Agenturen taugen, steht im Vergleich.

Häufige Fragen