Cookie-Scan

Die Regel hinter jedem Cookie-Banner

Ein Cookie ist ein kleiner, beschrifteter Wert, den eine Website den Browser aufbewahren und bei späteren Besuchen zurückschicken lässt. So merkt sich ein Shop Ihren Warenkorb. So erkennt aber auch ein Werbenetzwerk dieselbe Person auf Tausenden von Websites wieder.

In der Europäischen Union und im Vereinigten Königreich besagen die ePrivacy-Regeln (die britische Fassung heißt PECR), dass das Speichern oder Auslesen von irgendetwas auf dem Gerät eines Besuchers vorher eine Einwilligung braucht, außer es ist für den Dienst, den die Person angefordert hat, unbedingt erforderlich. Die DSGVO legt dann fest, was eine Einwilligung ist: eine eindeutige Handlung, freiwillig, für einen genannten Zweck und so leicht zu widerrufen, wie sie erteilt wurde. Ein vorab angekreuztes Kästchen zählt nicht, ebenso wenig einfaches Weiterscrollen.

Anderswo geht man anders vor. Mehrere US-Bundesstaaten, allen voran Kalifornien, lassen Analyse und Werbung standardmäßig laufen, geben den Menschen aber ein Widerspruchsrecht, auch über das Signal Global Privacy Control, das der Browser sendet. In beiden Modellen zählt der Moment der ersten Ankunft, und genau diesen Moment betrachtet der Scan.

Was der Scan liest

• Vom Server gesendete Cookies. Jeder Set-Cookie-Header entlang der Weiterleitungskette, mit seiner Lebensdauer. Die Namen werden in drei Gruppen sortiert: bekannte Tracker (_ga, _gid, _fbp, _hjSessionUser, _clck, hubspotutk…), Cookies, die eine Website zum Funktionieren braucht (PHPSESSID, csrftoken, __cf_bm, Warenkörbe, Sprache, das Gedächtnis des Banners selbst), und unbekannte. Bei einem unbekannten Namen sucht der Scan Ihre Datenschutzerklärung und prüft, ob das Cookie dort beschrieben ist.
• Externe Dienste im HTML. Skriptadressen, eingebettete Codeschnipsel wie gtag('config', 'G-…') oder fbq('init'), iframes, Stylesheets, preconnect-Hinweise und Bilder werden mit einer Liste von rund vierzig Diensten verglichen.
• Anzeichen von Blockierung. Ein Skript mit type="text/plain" oder ein iframe, das seine Adresse in data-src aufbewahrt, tut nichts, bis ein Einwilligungstool es umschreibt. Diese werden mit „Wartet auf Einwilligung“ markiert.
• Das Einwilligungstool. Über zwanzig werden namentlich erkannt, darunter Cookiebot, OneTrust, CookieYes, Complianz, Didomi, Usercentrics, iubenda und Klaro, dazu selbstgebaute Banner mit Buttons zum Akzeptieren und Ablehnen.

Wie jede Zeile bewertet wird

Eine rote Zeile färbt das ganze Ergebnis rot. Zwei Fälle werden auf Gelb abgeschwächt, weil das Skript zwar lädt, sich aber womöglich zurückhält: Google-Tags, wenn die Seite den Consent Mode mit analytics_storage oder ad_storage auf denied erklärt, und jeder Tracker, wenn Cookiebot im automatischen Blockiermodus läuft.

Tracker auf ein Ja warten lassen

Jedes Einwilligungstool nutzt denselben Trick. Das Tag bleibt in einer Form in der Seite, die der Browser ignoriert, und das Tool schaltet es nach dem Klick ein.

<script type="text/plain" data-category="analytics"
        src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Der Attributname ändert sich von Tool zu Tool (data-cookieconsent, data-category, data-service). Wenn Ihre Tags im Google Tag Manager liegen, lassen Sie jedes beim Einwilligungsereignis Ihres Banners auslösen statt bei „Alle Seiten“. Für die gelben Zeilen: Liefern Sie Schriftdateien von Ihrer eigenen Domain aus, ersetzen Sie Videoplayer durch eine Vorschau, die erst per Klick lädt, und starten Sie das Chat-Widget erst, wenn jemand auf den Chat-Button drückt.