Viele WordPress-Websites, die ich im Rahmen von Audits unter die Lupe nehme, haben dasselbe Problem: einen Cookie-Banner, der gut aussieht, aber rechtlich nicht funktioniert. Tracking-Skripte laden sofort beim Seitenaufruf, Google Analytics läuft im Hintergrund, und der Banner ist reine Dekoration - ein schöner Button, der nichts blockiert.

Das war vielleicht 2018 noch eine Grauzone. Heute ist es ein konkretes rechtliches Risiko. Seit dem TDDDG (früher TTDSG) und der gefestigten Rechtsprechung gibt es keine bequemen Ausreden mehr: Wer Tracking-Cookies ohne aktive Einwilligung setzt, verstößt gegen geltendes Recht. Und das Argument "Berechtigtes Interesse" schützt Sie dabei nicht, egal was Ihnen jemand anderes geraten hat.

Das frühere TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) wurde am 13. Mai 2024 in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Der Grund war eine umfassendere Gesetzesreform, die auch das TMG ablöste und durch das DDG (Digitale-Dienste-Gesetz) ersetzt wurde. Der für Websites entscheidende Kern, §25 TDDDG, blieb dabei inhaltlich identisch.

§25 regelt den Zugriff auf Endgeräte der Nutzer, also das Setzen oder Auslesen von Cookies, Fingerprinting und ähnliche Technologien. Die Grundregel ist klar: Ohne Einwilligung geht nichts, es sei denn, der Cookie ist technisch zwingend notwendig für einen Dienst, den der Nutzer ausdrücklich angefordert hat. Klassische Beispiele für erlaubte Ausnahmen: Warenkorb-Cookies, Session-Cookies für das Login, oder ein Cookie, der die Sprachauswahl speichert.

Ich bin Webentwickler, kein Rechtsanwalt. Dieser Artikel gibt eine technische Einordnung der aktuellen Rechtslage, ersetzt aber keine individuelle Rechtsberatung für Ihr konkretes Projekt.

Warum Berechtigtes Interesse hier nicht funktioniert

Das ist der häufigste Irrtum, den ich bei Kunden sehe - und er ist nachvollziehbar. In der DSGVO gibt es Art. 6 Abs. 1 lit. f, das Berechtigte Interesse als Rechtsgrundlage für die Datenverarbeitung. Manche Website-Betreiber schlussfolgern daraus: "Wir haben ein berechtigtes Interesse an der Analyse unserer Website-Performance, also brauchen wir keine Cookie-Einwilligung."

Das ist falsch, und zwar aus einem simplen strukturellen Grund: §25 TDDDG regelt nicht die Datenverarbeitung, sondern den Zugriff auf das Gerät des Nutzers. Das sind zwei verschiedene Regelungsgegenstände. Und §25 TDDDG kennt das Berechtigte Interesse als Ausnahme schlicht nicht. Er erlaubt den Gerätezugriff entweder mit ausdrücklicher Einwilligung oder wenn der Zugriff technisch unbedingt notwendig ist. Andere Möglichkeiten gibt es nicht.

Selbst wenn Ihre nachgelagerte Datenverarbeitung nach DSGVO auf Berechtigtes Interesse gestützt werden könnte, hilft das beim initialen Cookie-Setzen nicht weiter. Beide Regelwerke greifen nacheinander: erst §25 TDDDG für den Gerätezugriff, dann Art. 6 DSGVO für die Verarbeitung der gewonnenen Daten. Beide Hürden müssen Sie nehmen, nicht nur eine davon.

300.000 EURmaximales Bußgeld nach §28 TDDDG bei Verstoss
13. Mai 2024Umbenennung von TTDSG in TDDDG (Inhalt unveraendert)
30 EUR/MonatCookiebot-Einstiegspreis fuer groessere Websites (Stand 2026)
1. April 2025Einwilligungsverwaltungsverordnung (EinwV) in Kraft getreten

Ein Banner, der die gesetzlichen Anforderungen erfüllt, muss mehr sein als ein optisches Element mit zwei Knöpfen. Die folgenden Kriterien sind nicht verhandelbar, wenn Sie auf der sicheren Seite sein wollen:

  • Keine Tracking-Skripte laden, bevor der Nutzer aktiv zugestimmt hat (technische Blockierung)
  • Keine vorausgewaehlten Haekchen fuer nicht-notwendige Cookies
  • Ablehnen muss genauso einfach sein wie Zustimmen (kein versteckter Ablehnen-Button)
  • Granulare Auswahl nach Kategorien (Notwendig / Statistik / Marketing) anbieten
  • Einwilligung jederzeit widerrufbar, z.B. ueber ein Icon in der Ecke der Website
  • Zweck jedes Cookie-Dienstes verstaendlich und konkret erklaert
  • Einwilligungen mit Zeitstempel protokollieren und nachweisbar speichern
  • Keine Dark Patterns: kein kleinerer Ablehn-Button, keine manipulative Farbgebung

Der kritischste Punkt ist die technische Blockierung - und genau hier scheitern die meisten selbstgebauten Lösungen. Bei einem Kundenprojekt aus Hamburg, einem mittelgroßen B2B-Dienstleister aus der Logistikbranche, hatte die Voragentur einen optisch schönen Banner eingebaut. Das Problem: Google Tag Manager lud trotzdem sofort beim ersten Seitenaufruf. Der GTM-Snippet stand direkt im <head> des Themes, außerhalb jeder CMP-Kontrolle. Rechtlich wertlos, technisch leider ein Klassiker.

CMP-Tools im Vergleich: Was passt zu welcher WordPress-Website

Für die meisten meiner Kundenprojekte empfehle ich eine der etablierten Consent Management Platforms (CMP). Der manuelle Aufwand, einen TDDDG-konformen Banner selbst zu entwickeln und alle Skriptblockierungen korrekt zu implementieren, lohnt sich kaum - zumal die Tools automatische Updates einspielen, wenn Google, Meta oder andere Dienste ihre Cookie-Strukturen ändern.

CMP-Vergleich fuer WordPress-Projekte 2026

KriteriumCookiebot (Usercentrics)Usercentrics CMP
Kosten (Einstieg)kostenlos bis 50 Unterseiten, dann ab ~30 EUR/Monatab 50 EUR/Monat
WordPress-Integrationoffizielles Plugin (1-Klick-Setup)offizielles Plugin
Automatischer Cookie-Scanja, bei jedem Crawlja
Google Consent Mode v2jaja
Geeignet fuerkleine bis mittlere Websitesgroessere Websites und Shops
Protokollierung der Einwilligungenjaja, mit erweitertem Audit-Log
Design-Anpassungbegrenztumfangreich

Cookiebot ist für kleine Unternehmenswebsites der pragmatische Einstieg: kostenlos, schnell eingerichtet, ausreichend für einfache Tracking-Setups mit Google Analytics und einem Facebook-Pixel. Wer einen WooCommerce-Shop mit Meta Pixel, Google Ads Conversion-Tracking, Klarna, Hotjar und Newsletter-Tool betreibt, ist mit Usercentrics CMP besser aufgehoben. Der höhere Preis rechtfertigt sich durch die bessere Verwaltung vieler Dienste und das umfangreichere Audit-Log.

Cookiebot hat im August 2025 seine Preise fuer bezahlte Tarife erheblich erhoeht. Wer eine Seite mit mehr als 50 Unterseiten betreibt, zahlt jetzt rund 30 EUR/Monat statt vorher etwa 15 EUR. Bestandskonten wurden automatisch auf hoehere Tarifstufen verschoben.

Technische Einbindung in WordPress: Schritt für Schritt

Die Einrichtung von Cookiebot in WordPress dauert in der Praxis unter 30 Minuten, wenn das Theme sauber gebaut ist. Hier der Ablauf:

1. Konto auf cookiebot.com anlegen, Domain hinterlegen, automatischen Scan starten
2. WordPress-Plugin "Cookiebot by Usercentrics" installieren (offiziell im Plugin-Verzeichnis verfügbar)
3. API-Schlüssel aus dem Cookiebot-Dashboard ins Plugin eintragen
4. Im WordPress-Plugin die Skript-Kategorisierung prüfen - welche Dienste werden welcher Einwilligungskategorie zugeordnet
5. Alle manuell eingebundenen Skripte (z.B. direkt im Theme) mit dem Attribut data-cookieconsent versehen, damit das CMP sie blockieren kann
6. Google Tag Manager über das Plugin steuern lassen, nicht direkt im <head> einbinden
7. Testlauf: Website im Inkognito-Modus öffnen, Netzwerk-Tab im Browser (F12) prüfen - vor der Einwilligung darf kein Tracking stattfinden

Schritt 5 und 6 werden am häufigsten vergessen oder übersprungen. Wenn der GTM-Snippet oder ein Facebook-Pixel direkt im Theme-Code oder functions.php steht, hilft auch das beste CMP-Plugin nichts. Für Websites, die ich neu aufsetze oder relaunch, ist die CMP-Integration fester Bestandteil des Webseiten-Setups.

Seit März 2024 verlangt Google für die Nutzung von Google Analytics 4 und Google Ads Conversion-Tracking mit personenbezogenen Daten die Implementierung von Consent Mode v2. Ohne ihn werden Nutzerdaten von Personen, die die Einwilligung abgelehnt haben, in Google Analytics schlicht nicht mehr verarbeitet.

Praktisch bedeutet das: Bei einem gut gestalteten Banner, bei dem Ablehnen wirklich einfach ist, lehnen 30 bis 60 Prozent der Besucher ab. Ohne Consent Mode v2 sind diese Besucher in Ihren Analytics-Daten komplett unsichtbar. Mit Consent Mode v2 kann Google zumindest aggregierte, nicht personenbezogene Modellierungsdaten liefern, die das Gesamtbild halbwegs vollständig halten.

Die gute Nachricht: Cookiebot und Usercentrics implementieren Consent Mode v2 automatisch, sobald das Plugin korrekt konfiguriert ist. Manueller Nachbau ist nicht nötig.

Was ändert sich mit PIMS und der EinwV ab 2025

Seit April 2025 ist die Einwilligungsverwaltungsverordnung (EinwV) in Kraft. Sie schafft die rechtliche Grundlage für sogenannte PIMS (Personal Information Management Services): zentrale Dienste, bei denen Nutzer ihre Cookie-Präferenzen einmal browserübergreifend festlegen, und einzelne Websites diese Einstellungen dann automatisch abrufen - kein Banner mehr nötig.

Der erste anerkannte PIMS-Dienst "Consenter" wurde im Oktober 2025 vom BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit) in das öffentliche Register eingetragen. Die praktische Verbreitung ist aktuell noch sehr gering. Für die meisten Website-Betreiber bleibt der klassische Cookie-Banner auf absehbare Zeit die einzig realistische Option. Es lohnt sich aber, die Entwicklung zu verfolgen - PIMS könnten in zwei bis drei Jahren tatsächlich relevant werden.

Vorteile

  • Klassischer Cookie-Banner bewaehrt und rechtlich gut dokumentiert
  • CMP-Tools sind erschwinglich, einfach einzubinden und werden regelmaessig aktualisiert
  • Granulare Einwilligungen verbessern das Nutzervertrauen, wenn der Banner sauber gestaltet ist
  • Korrekte Implementierung schutzt vor Abmahnungen und Bussgeldern
  • Google Consent Mode v2 erhaelt Analytics-Daten trotz ablehnender Nutzer (modelliert)

Nachteile

  • Schlecht gestaltete Banner erhoehen die Absprungrate und nervosen Nutzer
  • Cookiebot-Preise sind 2025 deutlich gestiegen
  • PIMS sind noch nicht verbreitet, bieten aktuell keine praktische Alternative
  • Fehlerhafte technische Umsetzung macht den Banner rechtlich wertlos, egal wie er aussieht

Ihren bestehenden Banner selbst prüfen

Wenn Sie sich fragen, ob Ihre aktuelle Lösung ausreicht, können Sie das in fünf Minuten selbst überprüfen. Öffnen Sie Ihre Website im Inkognito-Modus (damit kein vorheriger Consent-Status geladen wird), aktivieren Sie die Browser-Entwicklertools mit F12, und wechseln Sie auf den Reiter "Netzwerk". Laden Sie die Seite neu, ohne im Cookie-Banner irgendetwas anzuklicken.

Wenn Sie in der Netzwerkliste Anfragen an google-analytics.com, facebook.com, doubleclick.net, hotjar.com oder ähnliche Tracking-Dienste sehen, bevor Sie irgendetwas geklickt haben, ist Ihr Banner technisch nicht korrekt eingebunden. Tracking findet statt, bevor eine Einwilligung vorliegt - genau das ist der Verstoß.

Für eine professionelle Überprüfung und Neueinrichtung des Consent-Setups helfe ich gerne weiter - schauen Sie sich dazu mein Angebot für WordPress-Websites an. Bei komplexeren WooCommerce-Shops mit mehreren Tracking-Diensten lohnt sich in der Regel eine individuelle Abstimmung, bevor Sie in ein CMP-Tool investieren.

Setzen Sie nach der CMP-Einrichtung Google Consent Mode v2 korrekt auf. Ohne diesen Schritt verlieren Sie in Google Analytics einen Grossteil der Daten von Nutzern, die die Einwilligung abgelehnt haben - was bei gut gestalteten Bannern 30-60% der Besucher sein koennen.

Fazit: Einwilligung ist keine Option, sondern Pflicht

Die Rechtslage beim cookie banner ttdsg einwilligung ist eindeutig und hat sich in den letzten Jahren nicht entspannt, sondern verschärft: §25 TDDDG verlangt aktive Zustimmung für alle Cookies, die nicht technisch notwendig sind. Berechtigtes Interesse zählt hier nicht. Wer das ignoriert, riskiert Bußgelder bis 300.000 EUR nach §28 TDDDG und Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände.

Die gute Nachricht: Die Umsetzung ist mit einem etablierten CMP-Tool kein besonders großer Aufwand. Eine saubere Einrichtung von Cookiebot oder Usercentrics auf einer WordPress-Website dauert wenige Stunden und schützt dauerhaft. Wichtiger als die Tool-Wahl ist die korrekte technische Integration - insbesondere die vollständige Blockierung aller Tracking-Skripte, bevor der Nutzer zugestimmt hat.

Nehmen Sie sich 20 Minuten, öffnen Sie Ihre Website im Inkognito-Modus mit Entwicklertools, und prüfen Sie, was tatsächlich vor dem ersten Klick geladen wird. Was Sie dort sehen, sagt mehr über Ihre rechtliche Situation als jede Datenschutzerklärung.

Häufige Fragen

Was ist der Unterschied zwischen TTDSG und TDDDG?

Das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) wurde am 13. Mai 2024 in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Der Inhalt von §25, der die Einwilligung für Cookies und vergleichbare Technologien regelt, blieb dabei unverändert. Für die Praxis ändert sich dadurch nichts an den Anforderungen an einen rechtssicheren Cookie-Banner.

Kann ich Tracking-Cookies auf Berechtigtes Interesse stützen?

Nein. §25 TDDDG regelt den Zugriff auf Endgeräte der Nutzer und kennt das Berechtigte Interesse als Rechtsgrundlage nicht. Es gibt nur zwei Ausnahmen: technisch notwendige Cookies und Cookies, für die eine ausdrückliche Einwilligung vorliegt. Marketing- und Analyse-Cookies fallen grundsätzlich unter die Einwilligungspflicht.

Welche CMP-Tools eignen sich für kleine WordPress-Websites?

Cookiebot by Usercentrics ist für Websites mit weniger als 50 Unterseiten kostenlos und lässt sich per WordPress-Plugin in wenigen Minuten einbinden. Für größere Projekte oder Shops mit vielen Tracking-Diensten ist Usercentrics CMP (ab 50 EUR/Monat) die leistungsfähigere Wahl. Wichtig ist in beiden Fällen, dass die Skriptblockierung korrekt konfiguriert ist.

Was bedeutet technische Blockierung von Cookies und wie setze ich das um?

Technische Blockierung heißt: Tracking-Skripte (z.B. Google Analytics, Meta Pixel) dürfen erst dann laden, wenn der Nutzer aktiv zugestimmt hat. In der Praxis ändert das CMP-Plugin den Typ der Script-Tags von type='text/javascript' zu type='text/plain' und gibt sie erst nach Zustimmung frei. Ohne diese Blockierung ist der Banner rechtlich wertlos, egal wie schön er aussieht.

Reicht ein einfaches Cookie-Hinweisbanner ohne Opt-in aus?

Nein, das reicht nicht. Ein reines Hinweisbanner ohne aktiven Zustimmungsknopf ist seit dem BGH-Urteil von 2020 und dem EuGH-Urteil Planet49 (C-673/17) unzulässig. Nutzer müssen aktiv einwilligen - ein vorausgewähltes Häkchen, ein reines 'OK'-Button oder das bloße Weitersurfen zählen nicht als gültige Einwilligung.

Was sind PIMS und was ändert sich durch die EinwV ab 2025?

PIMS (Personal Information Management Services) sind anerkannte Dienste zur zentralen Einwilligungsverwaltung, die Nutzer einmalig konfigurieren können. Die Einwilligungsverwaltungsverordnung (EinwV) ist seit April 2025 in Kraft; der erste anerkannte Dienst 'Consenter' wurde im Oktober 2025 vom BfDI registriert. Langfristig könnten PIMS den klassischen Cookie-Banner auf einzelnen Websites vereinfachen oder ersetzen, sind aber aktuell noch kaum verbreitet.


, , , , ,