Ratgeber · Stand: 27. Oktober 2026

Cookie-Banner rechtssicher? Der Reject-All-Test in 5 Schritten

Ein Cookie-Banner ist schnell eingebaut. Ob er funktioniert, zeigt sich erst, wenn jemand „Alle ablehnen“ klickt: Feuern danach trotzdem Google Analytics, Meta Pixel oder ein Tag Manager? Diese Anleitung zeigt, was das Gesetz verlangt und wie Sie es in fünf Schritten prüfen. Vorweg: Kein Werkzeug kann einen Banner „rechtssicher“ machen oder das garantieren – ein Test liefert Belege, keine Rechtsberatung.

Was das Gesetz verlangt

Einwilligung vor dem Zugriff: Informationen auf dem Endgerät speichern oder auslesen (Cookies, Local Storage, Fingerprinting-Daten) ist nur mit Einwilligung auf Grundlage klarer und umfassender Informationen zulässig; Information und Einwilligung richten sich nach der DSGVO (§ 25 Abs. 1 TDDDG). Das Gesetz hieß bis Mai 2024 TTDSG.
Ausnahme: keine Einwilligung, wenn der Zugriff unbedingt erforderlich ist, damit ein ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (§ 25 Abs. 2 Nr. 2 TDDDG) – z. B. Warenkorb- oder Login-Cookie, nicht aber Reichweitenmessung oder Werbung.
Wirksame Einwilligung: freiwillig, für den bestimmten Fall, informiert und unmissverständlich, durch eine eindeutige bestätigende Handlung (Art. 4 Nr. 11 DSGVO). Ein vorausgefülltes Ankreuzkästchen genügt nicht (EuGH, Planet49, C-673/17, 1. Oktober 2019).
Widerruf so einfach wie Erteilung: Die Einwilligung muss jederzeit widerrufbar sein, und zwar so einfach, wie sie erteilt wurde (Art. 7 Abs. 3 DSGVO).
Ablehnen auf der ersten Ebene: Laut Bericht der Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses vom 17. Januar 2023 hält die große Mehrheit der Aufsichtsbehörden es für einen Verstoß, wenn die erste Ebene des Banners keine Ablehnen-Option bietet (EDSA-Bericht, PDF).

Der Reject-All-Test in 5 Schritten

Sauber starten. Privates Browserfenster öffnen, Entwicklertools (F12) → Tab „Netzwerk“, „Protokoll beibehalten“ aktivieren.
Laden, nichts klicken. Seite aufrufen und den Banner ignorieren. Alle Anfragen an Drittanbieter und alle gesetzten Cookies (Tab „Anwendung“ → Cookies) passieren jetzt vor jeder Einwilligung. Typische Funde: google-analytics.com/g/collect, facebook.com/tr, googletagmanager.com/gtm.js, Cookies wie _ga oder _fbp.
„Alle ablehnen“ klicken. Prüfen Sie dabei: Gibt es die Schaltfläche auf der ersten Ebene, gleichwertig zu „Alle akzeptieren“?
Neu laden und vergleichen. Netzwerkprotokoll leeren, Seite neu laden. Was jetzt noch an Werbe-, Analyse- oder Social-Tracker geht, läuft trotz Ablehnung. Achtung: Google beschreibt für den „erweiterten“ Consent Mode, dass Google-Tags auch bei Ablehnung cookielose Pings senden – das sollten Sie bewusst entscheiden und dokumentieren.
Widerruf testen. Lässt sich die Auswahl später ebenso leicht ändern, etwa über einen dauerhaft erreichbaren Link „Cookie-Einstellungen“?

Häufige Ursachen für Tracker trotz Ablehnung

Der Tag Manager lädt Tags direkt beim Seitenaufruf statt erst nach dem Consent-Ereignis.
Ein Plugin oder Theme bindet Google Analytics oder ein Pixel zusätzlich am Banner vorbei ein.
Externe Einbettungen (YouTube, Google Maps, Google Fonts) übertragen die IP-Adresse schon beim Laden.
Der Banner speichert die Ablehnung, aber das Consent-Tool ist nicht mit den Tags verknüpft.

Schritt 2 automatisch – und Schritt 3 und 4 auch

Der kostenlose PrivaScan-Scan erledigt Schritt 2: Er lädt Ihre Seite in echtem Chrome, ohne zu klicken, und listet jeden Tracker vor der Einwilligung. Ab dem Tarif Monitor klickt PrivaScan im Website-Crawl zusätzlich „Alle ablehnen“ – über die Schnittstelle gängiger Consent-Tools oder die Schaltfläche –, lädt neu und dokumentiert im PDF-Bericht, welche Tracker trotzdem feuern. Das ist ein technischer Nachweis, keine rechtliche Bewertung.

Kostenlos Seite prüfen

Quellen: § 25 TDDDG (gesetze-im-internet.de), Verordnung (EU) 2016/679 (EUR-Lex), EuGH C-673/17, Bericht der Cookie-Banner-Taskforce des EDSA (17.01.2023); abgerufen am 27.10.2026. Dieser Ratgeber ist eine allgemeine Information und keine Rechtsberatung.