Gemeinde-Websites: kaum Werbe-Tracking, aber jede dritte mit TLS-Mängeln und 84 % mangelhafte Cookie-Banner

Gemeinden haben mit ihren Websites eine besondere Rolle: Sie sind für alle da, sie unterliegen neben der DSGVO auch den Barrierefreiheitsregeln für öffentliche Stellen, und sie haben selten ein Marketing, das Retargeting-Pixel verlangt. Wir haben 2.346 Gemeinde-Websites aus OpenStreetMap mit demselben Scanner geprüft wie den gewerblichen Bestand. Die Antwort auf die naheliegende Frage – tracken Gemeinden ihre Bürger? – lautet nein. Die Antwort auf die anderen Fragen ist weniger bequem.

Wie wir gemessen haben

Die 2.346 Websites stammen aus OpenStreetMap-Einträgen von Gemeinden, Städten und Verwaltungsgemeinschaften mit hinterlegter Website, gescannt zwischen dem 8. und 21. August 2026. Jede Seite wird in einem frischen Chromium-Browser geladen; der Scanner protokolliert jede Verbindung vor der ersten Interaktion mit dem Cookie-Banner und ordnet sie einem Katalog von über 2.600 Diensten zu. Dazu laufen der TLS-Check, der Impressum-Check und für Websites mit Consent-Manager das Banner-Audit. Wir vergleichen jede Zahl mit dem übrigen, überwiegend gewerblichen Bestand.

Wo Gemeinden besser sind

Werbung und Retargeting: praktisch nicht vorhanden. 23 Websites laden vor der Einwilligung einen Werbedienst (1,0 %), 22 ein Retargeting-Werkzeug (0,9 %), zusammen 1,8 %; im Unternehmensbestand laden allein 7,3 % einen Werbedienst. Der Meta-Pixel taucht auf zwölf Gemeinde-Websites auf. Das ist kein Verdienst der Datenschutzbeauftragten, sondern des fehlenden Anlasses: Wer nichts verkauft, bewirbt nichts.

Schriften: 9,5 % statt 24,9 %. Gemeinden laden ihre Schriftarten weit seltener von Google als der Rest. Das Münchner Urteil von 2022 wurde offenbar von den kommunalen Dienstleistern umgesetzt.

Impressum: 8,7 % nicht gefunden statt 28,9 %. Auch hier der beste Wert aller Branchen, gleichauf mit den Bestattern. Bei den übrigen Prozentpunkten dürfte die Erkennung ein Wort mitreden; Behörden nennen die Seite oft „Kontakt" oder „Anbieterkennzeichnung".

Cookie-Banner, wenn vorhanden: 16,3 % bestehen. Das klingt nach wenig, ist aber mehr als doppelt so viel wie im Unternehmensbestand (7,4 %). Wer als Gemeinde einen Consent-Manager einsetzt, hat ihn im Schnitt sorgfältiger konfiguriert.

Wo sie es nicht sind

Drittanbieter vor dem Klick: 37,5 %. In der weiten Zählung liegen Gemeinden über dem Bestand (33,8 %). Die Dienste sind aber andere. Der häufigste ist Matomo auf 337 Websites (14,4 %), fast immer selbst gehostet; bei 327 davon kann der Scanner nicht erkennen, ob es cookielos läuft, was ohne Einwilligung zulässig wäre. Der zweithäufigste ist Eye-Able, ein Barrierefreiheits-Overlay, auf 291 Websites (12,4 %), gefolgt von ReadSpeaker (Vorlesefunktion, 85) und conword (Leichte Sprache, 45). Diese Werkzeuge laden beim Seitenaufruf von fremden Servern und übertragen dabei die IP-Adresse – nicht aus Werbeinteresse, sondern weil die Gemeinde eine Pflicht erfüllen will, die sie ohne Overlay nicht erfüllt bekommt. Ob das eine Einwilligung braucht, ist umstritten; dass ein Overlay die Website nicht barrierefrei macht, ist es nicht (siehe unsere Auswertung zur Barrierefreiheit).

Kein Cookie-Banner: 45,7 %. Fast jede zweite Gemeinde zeigt keinen Consent-Manager. Ein Teil davon zu Recht: Ohne Werbung, ohne Analyse, mit selbst gehosteten Schriften braucht eine Website keinen. Aber von den Gemeinden ohne Banner laden 32,8 % vor dem Klick trotzdem Drittanbieter, meist genau die Overlays und Karten von oben.

TLS: 30,5 % mit Mängeln, 20,6 % kritisch. Besser als der Bestand (43,9 %), aber bei einer öffentlichen Stelle mit Bürgerformularen ist jede fünfte Website mit kritischem Befund zu viel. Wie überall sind es fast nie die Zertifikate, sondern fehlende Umleitungen von HTTP auf HTTPS und Domains, deren www-Variante und Variante ohne www nicht zusammenpassen (mehr dazu in unserer TLS-Auswertung). Für Behörden kommt hinzu, dass viele noch über alte Domains erreichbar sind, die nie umgezogen wurden.

Cookie-Banner mangelhaft: 83,7 %. 426 der 509 auditierten Banner bestehen das Audit nicht, fast alle an einem kritischen Punkt, meist demselben wie überall: kein Widerrufsweg, keine Ablehnen-Option auf der ersten Ebene, Impressum und Datenschutzerklärung hinter dem Banner nicht erreichbar. Das ist besonders unglücklich, weil gerade Gemeinden ihr Banner oft für Dienste zeigen, die keins bräuchten, und es dann falsch bauen.

Warum das trotzdem zählt

Die DSGVO gilt für Gemeinden wie für jedes Unternehmen. Der Unterschied liegt in den Folgen: Bußgelder gegen Behörden sind nach den meisten Landesgesetzen ausgeschlossen, Beanstandungen, Anordnungen und Beschwerden von Bürgern nicht. Für den Dienstleister, der die Website betreibt, ändert das wenig – er haftet vertraglich für das, was er gebaut hat. Und das Bürgerportal, das über HTTP erreichbar bleibt, ist am Ende dasselbe Problem wie das Kontaktformular des Handwerkers, nur mit mehr Menschen davor.

Was diese Zahlen nicht sagen

• Nicht „Gemeinden verstoßen". Ein Overlay, eine Karte oder ein cookieloses Matomo vor dem Klick ist ein Datenfluss an Dritte, dessen rechtliche Einordnung im Einzelfall umstritten ist. Die strenge Zählung (21,1 %) besteht bei Gemeinden fast vollständig aus Matomo; ohne die Fälle, in denen der Scanner die Cookie-Nutzung nicht klären kann, bleiben 5,5 %.
• 2.346 ist eine Auswahl, kein Vollbestand. Deutschland hat knapp 11.000 Gemeinden; erfasst sind die mit Website-Eintrag in OpenStreetMap, tendenziell die größeren und gepflegteren. Das Bild ist eher zu gut als zu schlecht.
• Das Banner-Audit lief für 509 Gemeinden, nicht für alle 1.274 mit Consent-Manager.
• Barrierefreiheit wurde hier nicht gemessen. Die BITV-Pflicht der öffentlichen Stellen wäre eine eigene Auswertung; unsere Barrierefreiheits-Auswertung hat Gemeinden nicht getrennt betrachtet.
• Momentaufnahme vom 8. bis 21. August 2026.

Für Agenturen und kommunale Dienstleister

Die Reihenfolge ergibt sich aus den Zahlen: erst die Umleitungen (zwei Zeilen Konfiguration, jede fünfte Gemeinde), dann das Banner (Widerruf, Ablehnen, erreichbare Pflichtseiten), dann die Frage, ob das Overlay wirklich vor dem Klick laden muss oder ob die Barrierefreiheit nicht besser im Code gelöst wird. Was Gemeinden beim Tracking richtig machen, machen sie seit Jahren richtig. Der Rest ist Handwerk, kein Datenschutzrecht.

Häufige Fragen