Jede fünfte Website mit Cookie-Banner lädt Tracking schon vor der Einwilligung.
Wir haben rund 1,2 Millionen deutsche Websites automatisiert geprüft: Lädt die Seite echtes Tracking (Analytics, Werbung), bevor der Nutzer ins Cookie-Banner einwilligt? Ergebnis: bei 21,0 % der Seiten mit Banner fließen messbar bereits vor dem Klick Daten an Dritte — meist nicht wegen eines fehlenden Banners, sondern wegen der technischen Einbindung.
Jeder Punkt steht für tausende Seiten mit Cookie-Banner. Rot heißt: trackt trotzdem schon vor der Einwilligung — rund jede fünfte.
In eigener Sache: Diese Auswertung stammt von Complianty, einem Anbieter von DSGVO-Prüfsoftware für Websites — wir haben ein wirtschaftliches Interesse am Thema. Genau deshalb halten wir die Daten bewusst zurückhaltend: keine Einzelseiten, keine Bußgeld-Drohung, Methodik vollständig offengelegt, konservativ gezählt.
Das Wichtigste in Kürze
17,9 % der Seiten tracken vor der Einwilligung — streng gezählt.
21,0 % der Seiten mit Cookie-Banner tracken trotzdem vorab.
Der ganze Markt ist betroffen — kein Produkt-, sondern ein Einbindungsproblem.
13,2 % FP-Rate blind gegengeprüft (95-%-KI 9,6–18,0 %), eher über- als unterschätzt.
Fair & transparent — technischer Befund statt Rechtsbewertung, keine Einzelseiten genannt, Methodik vollständig offen.
Ein Banner allein hält das Tracking nicht auf.
Von den 1.193.438 fehlerfrei geprüften Seiten zeigen 555.185 (46,5 %) ein Cookie-Banner. Bei 116.822 davon wird trotzdem echtes Analytics-/Werbe-Tracking geladen, bevor eingewilligt wird — das sind 21,0 % aller Seiten mit Banner und 54,6 % aller Befunde.
Lesart: Mehr als jede fünfte Seite, die ein Cookie-Banner zeigt, überträgt schon vor der Einwilligung Tracking-Daten an Dritte. Ursache ist in der Regel die technische Einbindung der Tags, nicht das Banner-Produkt selbst.
Top-Dienste (weite Zählung)
Diese Liste zeigt, welche Dienste auf den geprüften Seiten vor der Einwilligung Netzwerk-Requests auslösten. Sie ist nicht additiv (eine Seite kann mehrere Dienste tragen). Ob ein Dienst vor oder nach dem Consent lädt, hängt allein von der Einbindung ab — nicht vom Dienst selbst. Mehrere der genannten Dienste (u. a. Google Analytics, Matomo) lassen sich nachweislich erst nach der Einwilligung betreiben.
Welche Banner-Lösungen verbreitet sind
Über alle geprüften Seiten hinweg ist der Cookie-Banner-Markt stark fragmentiert — kein Anbieter dominiert. Die Verteilung zeigt, welche Lösungen wie häufig erkannt wurden.
Warum die Größenordnung zählt
Mit 1.193.438 ausgewerteten Seiten ist dies eine der breitesten Bestandsaufnahmen ihrer Art im deutschsprachigen Raum — üblich sind deutlich kleinere Stichproben. Was diese Breite bedeutet:
Ausgewertet wurde der gesamte erfolgreich geprüfte Bestand — der jüngste fehlerfreie Scan je Domain, nicht eine kleine Zufallsauswahl.
Bei über 1,2 Millionen Seiten ist der Befund kein Ausreißer, sondern ein strukturelles Bild über die Breite des deutschen Webs.
Streng gezählt, Graufälle ausgeschlossen, Fehlerspanne offengelegt — die Zahl ist eher zu niedrig als zu hoch angesetzt.
Was die Daten außerdem zeigen
Neben der Kernzahl steckt in den Scans mehr — drei Befunde, die das Bild schärfen.
176.715 Seiten bauen schon vor der Einwilligung eine Verbindung zu Google-Diensten auf — zusammen mit Meta sind es 16,7 %. Beides US-Konzerne: Daten verlassen damit vor dem Consent die EU.
Auf 108.493 Seiten werden bereits vor dem Consent Cookies oder Browser-Storage gesetzt — nicht nur Requests, sondern tatsächlich Daten im Gerät abgelegt.
199.219 Seiten zeigen gar kein Cookie-Banner und laden trotzdem Dritt-Tracking — hier fehlt die Einwilligungsabfrage komplett.
Echter Browser. Frischer Kontext. Zwei Phasen.
Kein oberflächlicher HTML-Scan und kein Schnellcheck in wenigen Sekunden: Jede Seite wird mit einem echten Browser geladen, der Consent-Layer wird tatsächlich erkannt und bedient.
Jede Seite wird ohne gespeicherte Einwilligung, ohne Cookies und ohne Cache geladen — so, wie ein Erstbesucher sie sieht.
Der Netzwerkverkehr wird getrennt mitgeschnitten — vor dem Klick auf „Akzeptieren" und danach. Nur die Vorher-Phase zählt als Befund.
30+ Consent-Manager werden namentlich erkannt (plus generische Erkennung) und tatsächlich angeklickt — kein bloßes Auslesen des HTML.
Karten-/Video-Embeds, Monitoring und Consent-Mode-Pings bleiben im Kernwert bewusst ausgeschlossen — ihre Einordnung ist im Einzelfall umstritten.
Gezählt wird der jüngste fehlerfreie Scan je Domain (technische Erfolgsquote ~62 %). Es wird nicht auf eine größere Ausgangsmenge hochgerechnet.
Öffentlich erreichbare Seiten, ein Aufruf je Seite, kein Login und kein Umgehen von Schutzmaßnahmen, keine personenbezogenen Enddaten gespeichert.
Streng vs. weit gezählt
Veröffentlicht wird die strenge Spalte (nur echtes Tracking: Analytics, Werbung, Retargeting, Session-Recording, A/B-Testing). Die weite Spalte — inklusive Karten-/Video-Embeds und Monitoring — nennen wir nur zur Methoden-Transparenz.
| Befund | Streng (echtes Tracking) | Weit (inkl. Maps/Video/Monitoring) |
|---|---|---|
| Tracking vor Einwilligung | 213.915 (17,9 %) | 371.385 (31,1 %) |
| Banner da & trackt trotzdem | 116.822 (21,0 % der Banner-Seiten) | 203.005 (36,6 % der Banner-Seiten) |
| Kein Banner + Dritt-Tracking geladen | — | 199.219 (16,7 %) |
Strenge Kernkategorien (distinct Seiten): Analytics 159.814 · Advertising 62.090 · Retargeting 35.187 · A/B-Testing 2.273 · Session-Recording 1.335.
Die strenge Zahl ist die konservative.
Eine geschichtete Stichprobe (n = 250) wurde blind nachbeurteilt — das Scanner-Verdict war dabei verdeckt. Diese Re-Beurteilung erfolgte automatisiert durch ein separates Sprachmodell anhand der rohen Netzwerk-Evidenz, nicht durch ein menschliches Experten-Panel.
- 59,6 % klar echtes Trackingeindeutige Treffer in der Stichprobe
- 27,2 % auslegungsabhängigv. a. Karten-/Video-Embeds, Monitoring
- 13,2 % klare False Positives95-%-Konfidenzintervall 9,6–18,0 %
Die strenge Kategorie-Filterung behält 57,6 % der weiten Zählung — in derselben Größenordnung wie die 59,6 % klar bestätigten Treffer. Sie entfernt also weitgehend dieselben Fälle, die die Stichprobe als Graufälle/FP einstuft. Da nur die obersten Dritt-Hosts beurteilt wurden, ist die FP-Rate eher über- als unterschätzt.
Was die Zahlen bedeuten — und was nicht
Grenzen der Untersuchung
- Server-seitiges Tracking ist im Browser nicht sichtbar → die reale Quote liegt eher höher.
- Erfolgsquote ~62 % — Seiten mit Bot-Blocking oder Timeouts fehlen und können die Zusammensetzung leicht verschieben.
- Graubereich (Karten/Video, Monitoring, Consent-Mode-Pings) ist rechtlich umstritten und aus der strengen Zahl herausgenommen.
- Validierung per Sprachmodell, kein menschliches Experten-Panel.
- Momentaufnahme (Stand Juni 2026) — Websites ändern sich.
Was diese Studie nicht sagt
- Nicht „17,9 % handeln illegal" — es ist ein technischer Befund, keine Rechtsbewertung.
- Nicht „Cookie-Banner sind sinnlos" — richtig eingebunden halten sie, was sie versprechen.
- Nicht „Anbieter X ist schuld" — die Befunde verteilen sich über den ganzen Markt.
- Nicht hochgerechnet auf alle deutschen Websites — gezählt wird nur der erfolgreich geprüfte Bestand.
Zitieren & einbetten
Die Daten dürfen mit Quellenangabe frei verwendet werden — Zitat, aggregierte Daten und ein einbettbares Chart stehen bereit. Für Rückfragen und die vollständige Methodik sind wir erreichbar.
Complianty (2026): Tracking vor der Einwilligung auf deutschen Websites. Datenauswertung von 1.193.438 erfolgreich geprüften .de-Websites, Stand Juni 2026. complianty.de/studie
<a href="https://complianty.de/studie/dsgvo-verstoesse-deutsche-websites-2026/"><img src="https://complianty.de/assets/studie/chart-kernbefund.svg" alt="21 % der Websites mit Cookie-Banner tracken trotzdem vor der Einwilligung – Complianty-Studie 2026" width="800" style="max-width:100%;height:auto;border:0"></a>Für rund 1,2 Millionen erreichbare .de-Websites wurde geprüft, ob echtes Tracking (Analytics, Werbung, Retargeting, Session-Recording, A/B-Testing) bereits vor der Einwilligung in das Cookie-Banner geladen wird. Jede Seite wurde mit einem echten Browser ohne gespeicherte Einwilligung geladen, der Netzwerkverkehr vor und nach dem Klick auf „Akzeptieren" getrennt mitgeschnitten und gegen einen Signaturkatalog klassifiziert.
Ausgewertet wurde der gesamte erfolgreich geprüfte Korpus von 1.193.438 Websites (jüngster fehlerfreier Scan je Domain), keine kleine Stichprobe. Zur Qualitätskontrolle wurde zusätzlich eine geschichtete Stichprobe von n=250 blind nachbeurteilt (das Scanner-Verdict war verdeckt). Ergebnis: 59,6 % klar echtes Tracking, 27,2 % auslegungsabhängig, 13,2 % klare False Positives (95-%-Konfidenzintervall 9,6–18,0 %). Diese Re-Beurteilung erfolgte automatisiert durch ein separates Sprachmodell, nicht durch ein menschliches Experten-Panel.
Nein. „Befund" bezeichnet einen messbaren technischen Sachverhalt — dass vor dem Consent-Klick Tracking-Daten an Dritte fließen. Ob im Einzelfall eine Rechtsgrundlage greift, ist damit nicht entschieden und nicht Gegenstand der Auswertung. Es werden keine Bußgelder oder Abmahnungen prognostiziert.
Nein. Veröffentlicht werden ausschließlich aggregierte Zahlen. Es werden keine einzelnen Seiten, Betreiber oder Domains benannt. Auch werden keine personenbezogenen Enddaten gespeichert.
In der Regel nicht. Die Befunde verteilen sich über alle gängigen Banner-Lösungen hinweg. Ursache ist meist die technische Einbindung der Tags auf der Seite: Ein Banner kann das Feuern von Tags nur dann nach der Einwilligung steuern, wenn diese korrekt an es angebunden sind. Mehrere der häufig geladenen Dienste — etwa Google Analytics und Matomo — lassen sich nachweislich erst nach der Einwilligung betreiben.
Die strenge Zählung schließt Karten-/Video-Embeds, Monitoring und Consent-Mode-Pings aus, deren rechtliche Einordnung im Einzelfall umstritten ist. Sie behält 57,6 % der weiten Zählung — in derselben Größenordnung wie die 59,6 % klar bestätigten Treffer der Blind-Stichprobe. Das macht 17,9 % bzw. 21,0 % zur konservativen, faktencheck-festen Untergrenze.
Complianty, ein Anbieter von DSGVO-Prüfsoftware für Websites. Das wirtschaftliche Interesse am Thema ist offengelegt. Genau deshalb werden keine Einzelseiten genannt, keine Bußgelder prognostiziert und die Methodik vollständig offengelegt.
Vor der Einwilligung feuern am häufigsten Dienste aus den Bereichen Analytics und Werbung — darunter Google Analytics, Google Tag Manager und Meta Pixel — sowie eingebettete Karten und Videos (die im strengen Kernwert allerdings ausgeschlossen sind). Ob ein Dienst vor oder nach dem Consent lädt, hängt an der Einbindung, nicht am Dienst selbst.
Ja. Die aggregierten Ergebnisse dürfen mit Quellenangabe frei verwendet werden. Für Rückfragen, die vollständige Methodik oder aggregierte Auswertungen für redaktionelle Zwecke stehen wir bereit — Kontakt siehe Abschnitt „Diese Auswertung zitieren".