Tracking vor der Einwilligung: So prüfst du deinen Shop selbst

Der häufigste Fund in den Shops, die ich bisher gemessen habe, ist immer derselbe. Das Cookie-Banner steht sauber da, die Auswahl funktioniert, und trotzdem hat der Browser schon mit Google oder Meta gesprochen, bevor irgendjemand etwas angeklickt hat. Meistens weiß der Betreiber davon nichts. In diesem Artikel steht, warum das passiert und wie du es in fünf Minuten selbst nachmisst.

Was "vor der Einwilligung" technisch bedeutet

Wenn jemand deinen Shop aufruft, lädt der Browser eine Reihe von Dateien. Einen Teil davon von deiner eigenen Domain, den Rest von fremden Servern. Jede dieser Anfragen hat einen Zeitstempel, gemessen ab dem Moment, in dem die Navigation startet.

Interessant ist der Zeitraum zwischen dem Start und dem Klick auf das Banner. Alles, was in dieser Zeit passiert, passiert ohne jede Entscheidung des Besuchers. Wenn in diesem Fenster ein Analyse- oder Werbedienst geladen wird, steht dessen Skript im Browser und hat in der Regel bereits eine Kennung gesetzt oder ausgelesen.

Die Vorgabe dazu steht in § 25 Abs. 1 TDDDG. Die Speicherung von Informationen auf dem Endgerät des Nutzers und der Zugriff auf bereits dort gespeicherte Informationen setzen eine Einwilligung voraus. Ausgenommen sind nach Absatz 2 nur Vorgänge, die für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Ein Warenkorb-Cookie fällt darunter, eine Kennung für Werbezuordnung nach allgemeinem Verständnis nicht.

Wichtig dabei: die Vorschrift hängt nicht am Wort Cookie. Sie greift auch bei localStorage, bei Kennungen im Session Storage und bei allem anderen, was auf dem Gerät abgelegt oder von dort gelesen wird.

Warum ein Cookie-Banner das nicht automatisch löst

Ein Consent-Tool blockiert nur das, was es kennt und was durch seine Hand geht. In der Praxis gibt es fünf Wege daran vorbei, und in fast jedem Shop, den ich messe, ist mindestens einer davon offen.

1. Direkt ins Theme geschriebene Snippets. Irgendwann wurde ein Pixel schnell in theme.liquid geklebt, weil es eilig war. Das Consent-Tool kam später und weiß von diesem Snippet nichts.
2. Apps mit eigenen Skripten. Bewertungs-Apps, Upsell-Apps, Popup-Tools und Wechselkurs-Anzeigen bringen eigene Einbindungen mit. Deinstallierte Apps hinterlassen manchmal totes Markup, das trotzdem noch lädt.
3. Schriften und Symbole von fremden Servern. fonts.googleapis.com und fonts.gstatic.com werden selten als Tracking wahrgenommen, übertragen aber beim Abruf die IP-Adresse des Besuchers. Das LG München I hat dazu am 20.01.2022 unter dem Aktenzeichen 3 O 17493/20 entschieden und einem Kläger 100 Euro Schadensersatz zugesprochen. Zu dieser Frage liegt inzwischen ein Vorlagebeschluss des BGH an den EuGH vor, Beschluss vom 28.08.2025, VI ZR 258/24.
4. Falsche Reihenfolge im Head. Das Consent-Skript wird nach dem Tag Manager geladen. Dann hat der Tag Manager seine Container schon ausgeführt, bevor das Consent-Tool überhaupt Gelegenheit hatte, etwas zu blockieren.
5. Advanced Consent Mode ohne zusätzliche Blockierung. Hier lohnt sich das Hinsehen, weil die beiden Betriebsarten sich genau an diesem Punkt unterscheiden. Im Basic Mode bleiben die Google-Tags bis zur Einwilligung blockiert. Im Advanced Mode werden sie vorher geladen und senden cookielose Signale, damit Google modellieren kann. Wer Advanced fährt und annimmt, damit lade vor der Einwilligung nichts, irrt sich. Im Netzwerk-Tab ist der Unterschied in zwei Sekunden sichtbar.

Der Selbsttest in fünf Minuten

Du brauchst nur Chrome. Wichtig ist, dass du sauber misst, sonst misst du deine eigene Browser-Einrichtung mit.

1. Öffne ein neues Inkognito-Fenster. Prüfe unter chrome://extensions, dass keine Erweiterung im Inkognito-Modus zugelassen ist. Werbeblocker und Passwortmanager erzeugen eigene Anfragen, die im Ergebnis auftauchen und nicht von deinem Shop stammen.
2. Öffne die Entwicklertools mit F12 und wechsle auf den Tab Network.
3. Setze den Haken bei Disable cache und stelle den Filter auf All.
4. Tippe jetzt erst deine Shop-Adresse ein und drücke Enter. Klicke das Banner nicht an. Nicht akzeptieren, nicht ablehnen, nicht wegklicken.
5. Warte etwa zehn Sekunden, ohne zu scrollen und ohne die Maus zu bewegen. Manche Skripte laden verzögert nach.
6. Klicke mit der rechten Maustaste auf eine Spaltenüberschrift in der Anfrageliste und blende die Spalte Domain ein. Klicke auf die Überschrift, um danach zu sortieren.
7. Wechsle zusätzlich auf den Tab Application, dort links unter Storage auf Cookies, und sieh dir an, was ohne einen einzigen Klick bereits gesetzt ist. Sieh auch unter Local Storage nach, dort landen Kennungen, die kein Cookie sind.
8. Mach von beiden Ansichten einen Screenshot. Ohne Screenshot ist das Ergebnis in zwei Wochen nicht mehr nachvollziehbar.

Wie du die Liste liest

Sortiert nach Domain siehst du zwei Gruppen. Hosts, die deinen Shop ausliefern, und Hosts, die messen oder Werbung zuordnen. Nur die zweite Gruppe ist für diese Frage interessant.

Neben jedem Eintrag steht in der Spalte Time beziehungsweise im Wasserfall, wann die Anfrage begonnen hat. Diese Zahl ist der eigentliche Messwert. "Google Analytics lädt vor dem Banner" ist eine Behauptung. "google-analytics.com wurde 612 ms nach Navigationsstart angefragt, Einwilligung zu diesem Zeitpunkt nicht erteilt" ist ein Befund, den jeder nachstellen kann.

Was der Test nicht leistet

Er zeigt die Startseite in einem Durchgang, in einem Browser, an einem Tag. Er sagt nichts über den Checkout, nichts über Produktseiten mit anderen Apps und nichts über das Verhalten nach einer Ablehnung. Genau der letzte Punkt ist interessant: eine Untersuchung von rund 14.000 Websites aus der EU, den USA und den international meistbesuchten Domains kommt zu dem Ergebnis, dass Cookies verbreitet vor der Einwilligung oder trotz ausdrücklicher Ablehnung gesetzt werden.

Und er sagt nichts darüber, wie das rechtlich zu bewerten ist. Der Test liefert einen Host und einen Zeitstempel. Was daraus folgt, entscheidet im Zweifel ein Anwalt.

Was du mit dem Ergebnis machst

Wenn Hosts aus der zweiten Gruppe auftauchen, ist der nächste Schritt nicht, das Consent-Tool neu einzustellen, sondern herauszufinden, woher die Einbindung kommt. Drei Fragen führen meistens zum Ursprung:

1. Steht das Skript im Theme? Suche im Code-Editor nach dem Host, nach gtag, fbq und ttq.
2. Kommt es aus einer App? Vergleiche die Hosts mit deiner App-Liste, auch mit den Apps, die du deinstalliert hast.
3. Kommt es aus dem Tag Manager? Dann liegt es an der Reihenfolge und nicht an der Blockierliste.

Diese Verdrahtung anzufassen, ohne danach sauber nachzumessen, ist der Punkt, an dem regelmäßig die Kampagnenmessung mit abgeschaltet wird. Wer daran arbeitet, sollte vorher und nachher messen und die Zahlen nebeneinanderlegen.

Häufige Fragen

Reicht ein Cookie-Banner aus, damit vor der Einwilligung nichts lädt?

Nein. Das Banner steuert die Skripte, die durch seine Hand gehen. Direkt ins Theme geschriebene Snippets, App-Einbindungen und Schriften von fremden Servern laufen daran vorbei, solange sie nicht ausdrücklich blockiert sind.

Zählt cdn.shopify.com als Dienst vor der Einwilligung?

Nein. Das ist die Auslieferung deines eigenen Shops. Wer diese Hosts mitzählt, produziert Falschmeldungen. Zu trennen ist zwischen Ausliefern und Messen.

Warum muss ich Erweiterungen ausschalten?

Weil sie eigene Netzwerkanfragen erzeugen. Die stehen dann in deiner Liste, stammen aber nicht von deinem Shop. Das ist die häufigste Fehlerquelle beim Selbsttest.

Ich habe Consent Mode aktiviert, reicht das?

Das hängt von der Betriebsart ab. Im Basic Mode bleiben die Google-Tags bis zur Einwilligung blockiert. Im Advanced Mode werden sie vorher geladen und senden cookielose Signale, damit Google modellieren kann. Im Netzwerk-Tab siehst du, welche der beiden Varianten bei dir läuft.

Wie oft sollte ich das prüfen?

Nach jeder Theme-Änderung, nach jeder App-Installation und nach jedem Wechsel des Consent-Tools. Das sind die drei Momente, in denen sich das Verhalten ändert, ohne dass jemand es merkt.

Ich bin kein Anwalt. Das hier ist eine technische Anleitung, keine Rechtsberatung. Ich beschreibe, was ein Shop im Browser tut und wo das von den geltenden Vorgaben abweicht, jeweils mit Fundstelle und Quelle. Die rechtliche Bewertung im Einzelfall gehört zu einem Anwalt. Die Angaben erheben keinen Anspruch auf Vollständigkeit.