Es gibt einen Unterschied zwischen "eine Seite baut vor dem Cookie-Banner eine Verbindung auf" und "eine Seite hat schon ein Tracking-Cookie auf deinem Gerät abgelegt, bevor du zugestimmt hast". Das Erste ist ein Indiz. Das Zweite ist der wortgetreue Tatbestand von § 25 TDDDG — und es lässt sich messen, nicht nur vermuten. Wir haben in den Netzwerk- und Speicherdaten von 2.320.533 Websites nachgesehen, wie oft der Speichervorgang tatsächlich vor dem Klick passiert. Das Ergebnis ist die belastbarste Zahl unserer ganzen Auswertung.
je letzter erfolgreicher Scan, Stand Juli 2026
220.189 Websites
154.996 Websites
Was "nachweislich" hier heißt
Der Unterschied ist entscheidend, deshalb zuerst die Methode. Unser Scanner klickt das Cookie-Banner nicht sofort weg. Er liest den Zustand des Browser-Speichers vor jeder Interaktion aus — welche Cookies liegen da, welche localStorage-Einträge existieren. Findet er dort den Fingerabdruck eines Tracking-Dienstes (etwa das _ga-Cookie von Google Analytics oder _fbp vom Meta-Pixel), dann ist damit belegt: Der Dienst hat auf das Endgerät geschrieben, bevor der Nutzer einwilligen konnte.
Das ist eine Messung, kein Rückschluss. Und sie ist bewusst konservativ: Cookies, die als HttpOnly gesetzt werden, sieht ein Skript im Browser nicht; Speicher, der sofort wieder gelöscht wird, auch nicht. Die 9,5 % sind deshalb eine Untergrenze — die echte Zahl liegt höher. Und wie die gesamte Auswertung entsteht sie ohne einen einzigen neuen Scan, allein aus Daten, die unser Scanner ohnehin erhoben hat.
Google Analytics ist der größte Einzeltäter
Wer setzt diese Cookies? Ein Dienst überragt alles: Google Analytics 4 hat auf 154.996 Seiten — 6,7 % aller geprüften Websites — schon vor der Einwilligung ein Cookie gesetzt. Das ist mehr als alle anderen Dienste zusammen. Danach kommt eine gemischte Gruppe:
Anteil der Websites, auf denen der Dienst vor der Einwilligung nachweislich ein Cookie oder einen localStorage-Eintrag gesetzt hat. Google Analytics 4 liegt weit vorn.
| # | Dienst | Websites | Anteil |
|---|---|---|---|
| 1 | Google Analytics 4 | 154.996 | 6,7 % |
| 2 | Matomo * | 37.470 | 1,6 % |
| 3 | Meta Pixel | 30.309 | 1,3 % |
| 4 | Google DoubleClick | 25.446 | 1,1 % |
| 5 | Google Ads | 8.653 | 0,4 % |
| 6 | Hotjar | 5.169 | 0,2 % |
| 7 | HubSpot | 3.458 | 0,1 % |
| 8 | TikTok Pixel | 2.838 | 0,1 % |
| 9 | Pinterest Tag | 2.539 | 0,1 % |
| 10 | Microsoft Bing Ads | 1.593 | 0,1 % |
Bemerkenswert ist die Konzentration: Vier der zehn Positionen gehören zu Google. Wo Google Analytics ohne saubere Consent-Steuerung eingebunden ist, liegt das Cookie eben schon beim Seitenaufruf — und daran ändert auch der viel zitierte Consent Mode nichts, solange er die Skripte nur meldet, statt sie wirklich zurückzuhalten.
Warum das exakt § 25 TDDDG ist
§ 25 Abs. 1 TDDDG (bis 2024 als § 25 TTDSG bekannt) ist ungewöhnlich klar formuliert: Die Speicherung von Informationen in der Endeinrichtung des Nutzers oder der Zugriff auf bereits gespeicherte Informationen ist nur mit Einwilligung zulässig. Ein Cookie zu setzen ist der Paradefall dieser "Speicherung".
Die einzige Ausnahme (§ 25 Abs. 2) greift, wenn der Zugriff technisch unbedingt erforderlich ist — für den Warenkorb, das Login, die Sprachwahl. Analyse-, Werbe- und Retargeting-Cookies fallen eindeutig nicht darunter. Ein _ga- oder _fbp-Cookie, das vor dem Klick auf "Akzeptieren" gesetzt wird, ist damit der Lehrbuchfall: einwilligungspflichtiger Zugriff auf das Gerät, ohne dass eine Einwilligung vorliegt. Ob daraus im Einzelfall ein Verstoß wird, hängt von Konfiguration und Ausnahmetatbestand ab — der technische Befund selbst ist aber nicht interpretierbar, sondern gemessen.
Der Trichter der Beweiskraft
Diese Zahl steht nicht allein. Sie ist die strengste von drei Messungen, die wir am selben Datensatz vorgenommen haben — und je strenger die Messung, desto kleiner und unangreifbarer die Zahl:
Drei Blickwinkel auf denselben Datensatz, von der weichsten zur härtesten Messung. Es sind keine exakten Teilmengen, sondern zunehmend strenge Kriterien.
- 34,4 % laden vor der Einwilligung überhaupt einen Tracking-Dienst — hier genügt, dass ein Request feuert.
- 22,9 % davon senden an einen Anbieter mit US-Jurisdiktion (unsere Drittland-Transfer-Auswertung).
- 9,5 % setzen nachweislich Storage — hier reicht kein Indiz mehr, es muss das Cookie auf dem Gerät liegen.
Genau darin liegt der Wert der 9,5 %: Sie sind die Zahl, gegen die sich am schwersten argumentieren lässt. Der übliche Einwand gegen Tracking-Studien — "ihr überzeichnet, ein Request ist noch kein Verstoß" — läuft hier ins Leere. Wir zählen nicht Requests, wir zählen gesetzte Cookies.
Warum Matomo hier mitzählt — und das richtig ist
Ein ehrlicher Hinweis, weil er die Sauberkeit der Methode zeigt: In unserer US-Transfer-Studie haben wir Matomo bewusst nicht mitgezählt — es läuft oft self-hosted in der EU, und es als US-Transfer zu verbuchen wäre falsch gewesen. In dieser Auswertung zählt Matomo mit, und zwar zu Recht: Hier geht es nicht um die Jurisdiktion des Anbieters, sondern um den Speichervorgang auf dem Gerät. Ein Matomo, das vor der Einwilligung ein _pk_id-Cookie setzt, verletzt § 25 genauso — egal, ob der Server in Frankfurt oder in Kalifornien steht. Dieselbe Software kann in der einen Auswertung sauber und in der anderen auffällig sein. Das ist kein Widerspruch, sondern der Unterschied zwischen "wohin fließen Daten" und "wer greift auf mein Gerät zu".
Was Betreiber jetzt tun sollten
- Storage erst nach dem Klick. Kein Analyse- oder Werbe-Cookie darf gesetzt werden, bevor eingewilligt wurde. Das ist keine Feinheit, sondern der Kern von § 25.
- Consent Mode ist keine Freikarte. Prüfe, ob dein Consent-Tool die Skripte wirklich blockiert — oder ob Google Analytics parallel schon sein Cookie setzt und nur ein "denied"-Signal mitschickt. Das eine ist konform, das andere nicht.
- Vor und nach dem Klick messen. Nur wer den Speicherzustand beidseitig ausliest, sieht den Unterschied. Ein Pre-/Post-Consent-Scanner macht genau das sichtbar — welches Cookie vor, welches nach der Einwilligung entsteht.
- Auch EU-Tools befreien nicht. § 25 fragt nicht nach dem Serverstandort. Auch ein self-hosted Matomo muss sein Cookie hinter die Einwilligung legen.
* Matomo umfasst self-hosted-Installationen und Matomo Cloud. Da hier der Speichervorgang auf dem Gerät zählt (nicht der Serverstandort), sind beide Varianten enthalten.
Die unbequeme Frage zum Schluss: Liegt auf deiner Seite schon ein Cookie, bevor jemand zustimmt? Der kostenlose DSGVO-Scanner liest den Speicher vor und nach dem Klick aus und zeigt es dir Zeile für Zeile.