Inhaltsverzeichnis
Das Wichtigste in Kürze
Eine moderne Consent Management Platform verbindet Information, Auswahl, Dokumentation und technische Steuerung. Für Betreiber ist dabei nicht die schönste Banner-Grafik allein entscheidend, sondern ob Ablehnung, Zustimmung, individuelle Auswahl und späterer Widerruf technisch tatsächlich wirken.
1. Entstehungsgeschichte der Cookies
HTTP ist grundsätzlich zustandslos: Ein Webserver erhält einzelne Anfragen, ohne automatisch zu wissen, welche davon zu derselben Sitzung gehören. Cookies wurden entwickelt, um einen solchen Zustand im Browser speichern und bei späteren Anfragen wiederverwenden zu können. In der Mitte der 1990er-Jahre etablierte Netscape diese Technik; später wurden Cookies in Standards dokumentiert und weiterentwickelt. RFC 6265 beschreibt den HTTP-State-Management-Mechanismus mit den Headern Set-Cookie und Cookie.
3. Welche Arten von Cookies und Speichertechniken gibt es?
Die zentrale Frage lautet daher nicht „Ist es ein Cookie?“, sondern: Was wird gespeichert oder ausgelesen, warum, durch wen und wann?
4. Was ist Cookie Consent – und warum reicht ein Banner nicht?
Cookie Consent bezeichnet die Einwilligung zur Nutzung bestimmter Cookies oder vergleichbarer Technologien. Ein Banner ist lediglich die Benutzeroberfläche. Eine professionelle CMP muss die Entscheidung in technische Zustände übersetzen: vor der Auswahl, nach Ablehnung, nach Zustimmung einzelner Kategorien und nach Widerruf.
- verständliche Informationen zu Zwecken, Kategorien und Diensten,
- eine aktive und differenzierte Auswahl,
- technisches Zurückhalten consent-pflichtiger Dienste,
- Speicherung beziehungsweise Nachweis der Auswahl,
- eine dauerhaft erreichbare Möglichkeit zur Änderung und zum Widerruf.
5. DSGVO und TDDDG: zwei rechtliche Ebenen
In Deutschland regelt § 25 TDDDG den Zugriff auf Informationen in Endeinrichtungen und das Speichern von Informationen dort. Grundsätzlich ist dafür eine Einwilligung auf Grundlage klarer und umfassender Informationen erforderlich; Ausnahmen bestehen insbesondere für technisch unbedingt erforderliche Vorgänge zur Bereitstellung eines vom Nutzer ausdrücklich gewünschten digitalen Dienstes.
Werden personenbezogene Daten verarbeitet, kommt zusätzlich die DSGVO hinzu. Bei einer Einwilligung sind insbesondere die Anforderungen an Freiwilligkeit, Informiertheit, Eindeutigkeit und Widerrufbarkeit relevant. Der EuGH hat im Verfahren C-673/17 (Planet49) klargestellt, dass ein voreingestelltes Ankreuzkästchen keine wirksame aktive Einwilligung darstellt.
6. Technische Einbindung: CMP früh im <head>
Die beste Einwilligungsoberfläche hilft wenig, wenn Analytics, Werbe-Pixel oder externe Embeds bereits vorher geladen wurden. Deshalb sollte die Consent-Initialisierung so früh erfolgen, dass sie die nachfolgenden einwilligungsabhängigen Dienste steuern kann.
<head>
<title>Beispielseite</title>
<meta name="description" content="...">
<!-- 1. CMP / Consent-Steuerung früh initialisieren -->
<script id="privacybox-cmp"
src="https://privacybox-cmp.de/privacybox/loader.php?id=IHRE-ID"></script>
<!-- 2. Erst danach externe / consent-pflichtige Dienste -->
<!-- Analytics, Marketing, externe Medien etc. -->
</head>Das konkrete Blockingschema hängt von der jeweiligen CMP ab. Wichtig ist das Prinzip: Consent-Status zuerst, consent-pflichtige Verarbeitung danach. Bei Tag-Management-Systemen müssen zusätzlich die einzelnen Tags geprüft werden; ein Container allein ist noch keine Consent-Steuerung.
async und defer
async kann die Ausführungsreihenfolge schwer vorhersehbar machen. defer verschiebt die Ausführung bis nach dem Parsen des HTML. Bei CMPs ist deshalb die vom Anbieter vorgesehene Einbindungsart entscheidend; consent-pflichtige Dienste dürfen die Steuerung nicht „überholen“.
7. Externe Dienste, iframes und Ressourcen richtig behandeln
Consent Management betrifft weit mehr als klassische Cookies. Typische Prüfbereiche sind:
Ein häufig sinnvoller Ansatz ist ein lokaler Platzhalter: Der externe Inhalt wird zunächst nicht geladen. Erst nach Zustimmung ersetzt die Website den Platzhalter durch das echte iframe oder Skript.
8. Consent Management Platforms im Detail: Plus & Preise
Für eine faire Vergleichbarkeit sind die Anbieter hier nach demselben Muster dargestellt: ein kurzer fachlicher Überblick, Plus und die öffentlich erkennbaren Preise bzw. Preismodelle. Die Reihenfolge beginnt mit den CMPs mit „C“, danach folgen PrivacyBox, Usercentrics, Borlabs Cookie und OneTrust. Preise können sich ändern; maßgeblich bleibt die jeweilige Herstellerseite.
CCM19
CCM19 ist eine deutsche Consent Management Platform mit Cloud- und On-Premise-Varianten. Die Lösung richtet sich an einzelne Websites, Unternehmen, Agenturen und größere Organisationen.
Preise
Quelle/Stand: öffentliche CCM19-Preistabelle, geprüft Oktober 2026. Enterprise und Agenturmodelle werden separat angeboten.
Cookiebot
Cookiebot Core von Usercentrics arbeitet mit automatischen Website-Scans und ordnet die Premium-Stufe vor allem nach der Anzahl der Unterseiten je Domain ein.
Preise
Quelle/Stand: Cookiebot-Preisseite, geprüft Oktober 2026. Die konkrete Stufe wird nach Anzahl der Unterseiten bestimmt.
CookieYes
CookieYes bietet eine Web-CMP mit Cookie-Scanner, Auto-Blocking, Banner-Konfiguration und gestaffelten Limits für Scan-Seiten und Seitenaufrufe.
Preise
Quelle/Stand: CookieYes-Preisseite, geprüft Oktober 2026; lokale Steuern können zusätzlich anfallen.
consentmanager
consentmanager ist eine Google-zertifizierte CMP mit Tarifen nach monatlichen Aufrufen und Funktionen für Crawling, Consent Mode, TCF und Optimierung.
Preise
Quelle/Stand: consentmanager-Preisseite, geprüft Oktober 2026.
PrivacyBox
PrivacyBox setzt auf eine zentrale JavaScript-Einbindung, eine klar strukturierte Consent-Oberfläche, sichtbare Statusanzeige und die technische Steuerung unterstützter externer Dienste. Die Abrechnung erfolgt nach Domains; laut aktueller Produktseite sind die Webseiten-Aufrufe nicht limitiert und der Funktionsumfang ist tarifübergreifend gleich.
Preise
Usercentrics
Usercentrics bietet Web-, App- und Enterprise-Lösungen. Bei der Web-CMP wird nach Sessions und Domains abgerechnet; für größere und komplexere Anforderungen gibt es höherwertige bzw. individuelle Pakete.
Preise
Quelle/Stand: Usercentrics-Preisseite, geprüft Oktober 2026.
Borlabs Cookie
Borlabs Cookie ist eine Consent-Lösung speziell für WordPress. Die Lizenzierung erfolgt nach Anzahl der Websites und enthält laut Anbieter in jeder Lizenz den vollen Funktionsumfang.
Preise
Quelle/Stand: Borlabs-Preisseite, geprüft Oktober 2026; Preise exkl. USt.
OneTrust
OneTrust richtet seine Consent Management Platform vor allem an größere, internationale und technisch komplexe Organisationen. Die CMP ist Teil der OneTrust-Plattform für Consent & Preferences und unterstützt die Verwaltung von Einwilligungen über Websites, mobile Apps, OTT-Anwendungen und Connected TVs. Neben dem Banner stehen automatische Erkennung, technische Durchsetzung von Einwilligungen und die Anbindung an weitere Daten- und Marketing-Systeme im Mittelpunkt.
Preise
OneTrust veröffentlicht für die umfassenden Enterprise-CMP-Pakete keine direkt mit Standardtarifen anderer Anbieter vergleichbare öffentliche Preisliste. Deshalb wird hier kein Preis geschätzt. Stand der Funktionsprüfung: Oktober 2026.
9. CMP-Vergleich auf einen Blick
Die Tabelle konzentriert sich auf das Preismodell und wenige technische Eckpunkte. Eine pauschale Bewertung „beste CMP“ wird bewusst vermieden, weil Website-Typ, Traffic, CMS, interne Prozesse und Integrationsbedarf unterschiedlich sind.
| Kriterium | CCM19 | Cookiebot | CookieYes | consentmanager | PrivacyBox | Usercentrics | Borlabs Cookie | OneTrust |
|---|---|---|---|---|---|---|---|---|
| Einstiegspreis | Free 0 € (reduzierter Leistungsumfang); Starter 7,90 €/Monat | Free (reduzierter Leistungsumfang); Premium ab ca. 7 €/Monat | Free 0 $ (reduzierter Leistungsumfang); Basic 10 $/Monat | Starter 23 €/Monat | Single 5,30 €/Monat | Plus 15 €/Monat | Personal 49 €/Jahr | auf Anfrage |
| Abrechnung | Domains/Apps + Impressions | Domains + Unterseiten | pro Domain + Seitenaufrufe | Aufrufe/Tarif | nach Domains | Sessions + Domains | nach Anzahl Websites/Jahr | individuell |
| Traffic | tarifabhängige Impressions | Premium ohne Traffic-Limit | tarifabhängig; Ultimate unbegrenzt | tarifabhängige Aufrufe | laut Produktseite unbegrenzt | sessionbasiert | unbegrenzt | individuell |
| Typischer Fokus | Web/App, Cloud/On-Premise | automatisierte Web-CMP | standardisierte Web-CMP | Websites, Publisher, Optimierung | Websites, KMU, Agenturprojekte | Web/App/Enterprise | WordPress | Enterprise, internationale Multi-Channel-Consent-Umgebungen |
Stand der öffentlich recherchierten Wettbewerberpreise: Oktober 2026. Preise, enthaltene Leistungen, USt. und Limits können sich ändern.
10. So prüfen Sie Cookie Consent technisch
- Privates Browserfenster öffnen und Entwicklerwerkzeuge vor dem Seitenaufruf starten.
- Ohne Auswahl Cookies, Local Storage, Netzwerkrequests und iframes prüfen.
- „Nur notwendige“ wählen und erneut laden: optionale Dienste müssen ausbleiben.
- Statistik einzeln zulassen und prüfen, welche Requests hinzukommen.
- Marketing oder Medien einzeln freigeben und wiederholen.
- Einwilligung widerrufen, neu laden und kontrollieren, ob die Sperre wieder greift.
- Ergebnisse mit Datum, CMP-Version und Konfiguration dokumentieren.
11. Häufige Cookie-Consent-Fehler
- Analytics oder Marketing startet vor der ersten Entscheidung.
- Ein Banner ist sichtbar, hat aber keine technische Blocking-Wirkung.
- Nur Cookies werden geprüft; externe Requests, iframes und Local Storage bleiben unbeachtet.
- Neue Plugins oder Kampagnentags werden eingebaut, ohne die CMP-Konfiguration zu aktualisieren.
- Die Ablehnung ist unnötig schwieriger als die Zustimmung.
- Der Widerruf ist versteckt oder ändert den technischen Zustand nicht zuverlässig.
- Datenschutzerklärung und tatsächlich eingesetzte Dienste stimmen nicht überein.
12. Weitere Fachinformationen
13. Häufige Fragen
Braucht jede Website ein Cookie-Banner?
Nicht automatisch. Entscheidend ist, welche Speicherungen oder Zugriffe auf Informationen im Endgerät stattfinden und welche personenbezogenen Daten anschließend verarbeitet werden. Technisch notwendige Vorgänge können anders zu beurteilen sein als Analyse-, Marketing- oder externe Mediendienste.
Muss die CMP wirklich vor Google Analytics laden?
Wenn Google Analytics erst nach einer Einwilligung aktiviert werden soll, muss die Consent-Steuerung technisch wirksam sein, bevor die relevante Verarbeitung startet. Bei einer tagbasierten Umsetzung bedeutet das typischerweise: Consent-Defaults und CMP-Logik müssen vor den betroffenen Tags greifen.
Warum reicht ein Scanner nicht aus?
Scanner können viele statische Ressourcen, Cookies und externe Requests erkennen, aber dynamische Inhalte, Zustände nach Interaktionen, Single-Page-Anwendungen oder geschützte Bereiche übersehen. Deshalb sollte immer zusätzlich im Browser mit Entwicklerwerkzeugen geprüft werden.
Was unterscheidet PrivacyBox im Vergleich?
Laut eigener Produktseite kombiniert PrivacyBox eine zentrale JavaScript-Einbindung, eine Registry mit über 90 bekannten Dienst-/Technologie-Einträgen, eine Statusanzeige, 12 Sprachen, unbegrenzte Seitenaufrufe und einen vollen Funktionsumfang in allen Tarifen mit persönlicher Einrichtung und Betreuung.
Was ist der Unterschied zwischen Cookie Consent und einer Consent Management Platform?
Cookie Consent bezeichnet die Einwilligungsentscheidung des Besuchers. Eine Consent Management Platform (CMP) ist die technische Lösung, die diese Entscheidung abfragt, speichert, an angebundene Dienste weitergibt und je nach Konfiguration Skripte, iframes oder andere externe Ressourcen vor einer Freigabe blockiert oder steuert.
Welche Cookies oder Speicherzugriffe können ohne Einwilligung zulässig sein?
§ 25 TDDDG sieht Ausnahmen insbesondere dann vor, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Ob eine konkrete Technologie darunter fällt, muss anhand ihres tatsächlichen Zwecks und ihrer technischen Funktion bewertet werden; die Bezeichnung „notwendig“ allein reicht nicht.
Reicht ein einfacher OK-Button für eine wirksame Einwilligung?
Ein pauschaler OK-Button ist problematisch, wenn daraus nicht klar hervorgeht, wozu der Nutzer einwilligt. Eine wirksame Einwilligung muss informiert, eindeutig und freiwillig erfolgen. Zweck, Kategorien beziehungsweise Dienste und eine echte Wahlmöglichkeit sollten nachvollziehbar dargestellt werden.
Muss Ablehnen genauso einfach sein wie Akzeptieren?
Die Einwilligung muss freiwillig sein. Eine Gestaltung, die die Zustimmung deutlich erleichtert und die Ablehnung versteckt oder unnötig erschwert, kann diese Freiwilligkeit beeinträchtigen. In der Praxis sollte die Ablehnung deshalb ohne Umwege erreichbar und technisch gleich wirksam sein.
Wann muss eine Einwilligung erneut eingeholt werden?
Die DSGVO nennt kein pauschales Ablaufdatum für jede Einwilligung. Eine erneute Abfrage kann jedoch erforderlich werden, wenn sich Zwecke, eingesetzte Dienste, Empfänger oder die Einwilligungslogik wesentlich ändern oder wenn eine frühere Einwilligung nicht mehr hinreichend aktuell oder nachweisbar ist. Änderungen sollten versioniert und dokumentiert werden.
Wie sollte eine CMP Einwilligungen dokumentieren?
Für die Nachweisbarkeit sollte die CMP zumindest festhalten können, wann eine Entscheidung getroffen wurde, welche Kategorien oder Dienste betroffen waren und auf welcher Banner- beziehungsweise Konfigurationsversion die Auswahl beruhte. Gleichzeitig sollte nur das gespeichert werden, was für den Nachweis tatsächlich benötigt wird.
Ersetzt Google Consent Mode v2 ein Cookie-Banner oder eine CMP?
Nein. Consent Mode übermittelt Consent-Signale an unterstützte Google-Tags und beeinflusst deren Verhalten. Er ersetzt weder die rechtliche Einwilligungsentscheidung noch die Benutzeroberfläche einer CMP. Zuerst braucht es eine belastbare Consent-Logik; Consent Mode kann diese technisch ergänzen.
Wie sollten YouTube, Google Maps oder andere externe iframes behandelt werden?
Wenn ein externer Dienst erst nach Einwilligung geladen werden soll, darf nicht bereits der ursprüngliche iframe oder ein gleichwertiger Request beim Seitenaufruf aktiv sein. Üblich ist ein Platzhalter, der den externen Inhalt erst nach entsprechender Freigabe nachlädt. Entscheidend ist der tatsächliche Netzwerkverkehr, nicht nur die sichtbare Oberfläche.
Was ist der Unterschied zwischen TDDDG und DSGVO beim Cookie Consent?
Das TDDDG betrifft insbesondere das Speichern von Informationen auf Endeinrichtungen und den Zugriff auf bereits gespeicherte Informationen. Die DSGVO regelt dagegen die anschließende Verarbeitung personenbezogener Daten. Bei Tracking-Technologien können deshalb beide Regelwerke gleichzeitig relevant sein und unterschiedliche Prüfschritte auslösen.
Kann eine Einwilligung für mehrere Websites oder Domains gemeinsam genutzt werden?
Technisch ist ein Cross-Domain-Consent möglich, aber nicht automatisch sinnvoll oder zulässig. Die betroffenen Websites, Verantwortlichen, Zwecke und Dienste müssen für den Nutzer transparent sein. Außerdem muss die eingesetzte CMP die Weitergabe beziehungsweise Wiedererkennung der Entscheidung technisch korrekt und datenschutzgerecht umsetzen.
14. Quellen und weiterführende Informationen
- RFC 6265 – HTTP State Management Mechanism
- § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
- Datenschutz-Grundverordnung (DSGVO)
- EuGH C-673/17 – Planet49
- Google – Consent Mode
- PrivacyBox – Consent Management Platform
- PrivacyBox – bisheriger Cookie-Consent-Vergleich / Historie
- CCM19 – Preise
- Cookiebot – Preise
- CookieYes – Preise
- consentmanager – Preise
- Usercentrics – Preise
- Borlabs Cookie – Preise
- OneTrust – Consent Management Platform
- OneTrust – Preise und Pakete
