Werkzeug AT-W15REV. 2026-A
Cookie-Banner nötig? Google Fonts und Fremddienste prüfen
Ein Cookie-Banner braucht eine Website nur, wenn sie Dienste einbindet, die eine Einwilligung verlangen: Statistik mit Cookies, Werbepixel, sofort ladende Videos und Karten. Für Google Fonts vom Google-Server hat ein Gericht das ebenso gesehen. Der Check ruft Ihre Seite ab, nennt jeden fremden Server mit Fundstelle und sagt, wie es ohne Banner geht.
- kostenlos
- ohne Anmeldung
- Adresse wird nicht gespeichert
01 / SEITENABRUF
Adresse eingeben, Fremddienste sehen
Seitenabruf · Fremddienste und Cookies
Der Check liest den Quelltext einer Seite und ordnet die gefundenen Dienste ein. Das ist eine technische Einschätzung, keine Rechtsberatung; was davon für Ihre Seite gilt, klärt im Zweifel eine Anwältin oder ein Anwalt.
02 / FUNKTIONSWEISE
Wie arbeitet der Drittanbieter-Check?
Sie geben eine Adresse ein, und unser Server ruft die Seite einmal ab, so wie ein Browser, der kein JavaScript ausführt. Ihr eigener Browser spricht dabei nur mit aureum-tech.com. Der Server liest den Quelltext und sucht jede Stelle, an der die Seite etwas von einem fremden Server holt. Dazu öffnet er bis zu acht Stylesheets der Seite, denn Schriften von Google stecken oft in einer CSS-Datei und nicht im HTML.
Jeden gefundenen Server gleicht der Check mit einem Katalog von 59 Diensten ab. Er erkennt Dienste auch am Skriptcode, etwa am Aufruf gtag() von Google Analytics oder fbq() vom Meta Pixel. Zusätzlich liest er, welche Cookies der Server direkt setzt und ob ein Einwilligungswerkzeug wie Cookiebot, Usercentrics oder Borlabs eingebaut ist. Server, die der Katalog nicht kennt, zeigt er trotzdem an.
Entscheidend ist, wann etwas lädt. Ein Skript, das beim Aufruf sofort startet, zählt anders als eines, das ein Einwilligungswerkzeug bis zur Zustimmung zurückhält. Daraus entsteht das Gesamtbild: Banner wahrscheinlich nötig, unklar oder vermutlich nicht nötig. Ein Banner, das die Dienste nicht zurückhält, meldet der Check eigens. Selten ist das nicht: In einer Messung setzten 49 % der Websites Profil-Cookies, bevor jemand eingewilligt hatte Trevisan 2019.
03 / HINTERGRUND
Wann braucht eine Website ein Cookie-Banner?
Der Name führt in die Irre. Es geht nicht um Cookies an sich, sondern um zwei Regeln. Die erste steht in § 25 TDDDG, bis Mai 2024 hieß das Gesetz TTDSG: Wer Informationen auf dem Gerät des Besuchers speichert oder dort ausliest, braucht seine Einwilligung. Ausgenommen ist, was unbedingt nötig ist, damit der Besucher den Dienst bekommt, den er ausdrücklich angefordert hat, also etwa Warenkorb und Anmeldung. Für Statistik und Werbung lässt sich das kaum begründen; Microsoft nennt die Cookies seines Statistikdienstes Clarity selbst nicht notwendig.
Die zweite Regel ist die DSGVO. Jeder Abruf bei einem fremden Server überträgt die IP-Adresse des Besuchers, und die gilt als personenbezogenes Datum. Dafür braucht es eine Rechtsgrundlage. Das Landgericht München I hat 2022 entschieden, dass eine Website die IP-Adresse eines Besuchers nicht über Google Fonts an Google weitergeben durfte: Ein berechtigtes Interesse fehle, weil sich die Schrift auch ohne Verbindung zu Google nutzen lasse. Dieses Argument trifft auf jede Datei zu, die genauso gut vom eigenen Server kommen könnte.
Zwei Urteile des Europäischen Gerichtshofs gehören dazu. Nach Planet49 ist ein vorab gesetztes Häkchen keine Einwilligung, und zwar auch dann, wenn keine personenbezogenen Daten gespeichert werden. Nach Fashion ID ist der Betreiber einer Website, die einen Facebook-Button einbindet, für das Erheben und Übermitteln der Daten mitverantwortlich. Wer fremde Dienste einbindet, kann die Verantwortung also nicht beim Anbieter abladen.
Für die Praxis heißt das: Das Banner ist keine Pflicht, die jede Website trifft. Es ist die Folge der eingebundenen Technik. Diese Website stellt ohne Ihre Zustimmung keine Anfrage an fremde Server außer an Cloudflare, das sie ausliefert; fragen muss sie nur auf der Terminseite, weil dort ein Kalender von Google lädt. Der Ratgeber Website ohne Cookie-Banner erklärt das Vorgehen ausführlich. Was hier steht, ist eine technische Einordnung und keine Rechtsberatung.
Quellen: § 25 TDDDG (Wortlaut) · LG München I, 3 O 17493/20 · EuGH C-673/17 · EuGH C-40/17
04 / DIENSTE
Welche Dienste eine Einwilligung brauchen
Die Tabelle fasst den Katalog des Checks nach Art der Dienste zusammen. In Klammern steht, wo ein einzelner Dienst von der Regel seiner Gruppe abweicht.
| Art | Beispiele | Banner-Frage | Was stattdessen geht |
|---|---|---|---|
| Schriften | Google Fonts (Einwilligung nötig, so wie meist eingebunden), Adobe Fonts (Typekit), Font Awesome | kein Cookie nötig, aber IP-Adresse an Dritte | Schriftdateien herunterladen und vom eigenen Server ausliefern. Für Besucher sieht die Seite danach genauso aus. |
| Statistik | Google Tag Manager, Google Analytics, Matomo Cloud, Matomo auf eigenem oder beauftragtem Server, Hotjar, Microsoft Clarity | Einwilligung nötig, so wie meist eingebunden | Am eigenen Server zählen, ohne Skript im Browser, oder ein Statistikprogramm ohne Cookies auf dem eigenen Server betreiben. So hält es diese Website. |
| Karten | Google Maps, OpenStreetMap (kein Cookie nötig, aber IP-Adresse an Dritte) | Einwilligung nötig, so wie meist eingebunden | Ein Kartenausschnitt als Bild vom eigenen Server und ein Link zum Routenplaner. Oder die Karte erst nach einem Klick laden (Zwei-Klick-Lösung). |
| Video | YouTube im erweiterten Datenschutzmodus (Anbieter nennt sein Cookie notwendig, nicht entschieden), YouTube-Vorschaubild (kein Cookie nötig, aber IP-Adresse an Dritte), YouTube, Vimeo | Einwilligung nötig, so wie meist eingebunden | Ein Vorschaubild vom eigenen Server mit dem Hinweis, dass beim Abspielen Daten an den Anbieter gehen; das Video lädt erst nach dem Klick. Kurze Filme lassen sich auch selbst ausliefern. |
| Soziale Netzwerke | Instagram-Einbettung, Facebook-Plugins und -Einbettungen, X (Twitter) | Einwilligung nötig, so wie meist eingebunden | Ein einfacher Link auf das Profil, mit eigenem Symbol vom eigenen Server. Beiträge als Bildschirmfoto mit Link oder erst nach Klick laden. |
| Formularschutz | Google reCAPTCHA, hCaptcha, Cloudflare Turnstile | Anbieter nennt sein Cookie notwendig, nicht entschieden | Ein unsichtbares Zusatzfeld (Honeypot), eine Zeitprüfung und eine Ratenbremse am eigenen Server halten viele Spam-Bots ab, ohne fremden Server. |
| Werbung und Pixel | Google Ads und Werbenetzwerk, Meta Pixel (Facebook), LinkedIn Insight Tag, TikTok Pixel, Microsoft Advertising (UET) | Einwilligung nötig, so wie meist eingebunden | Weglassen oder erst nach Einwilligung laden. Den Erfolg von Anzeigen messen Sie auch ohne Pixel, etwa über eine eigene Zielseiten-Adresse je Kampagne. |
| Chat und Widgets | Calendly, Trustpilot-Widget (kein Cookie nötig, aber IP-Adresse an Dritte), ProvenExpert-Siegel (kein Cookie nötig, aber IP-Adresse an Dritte), tawk.to-Chat, Intercom-Chat, Zendesk-Widget | Einwilligung nötig, so wie meist eingebunden | Ein Knopf oder Link, der das Widget erst nach einem Klick lädt oder den Dienst in einem neuen Fenster öffnet. |
| Fremde Bibliotheken (CDN) | Google Hosted Libraries, cdnjs, jsDelivr, unpkg, jQuery-CDN, BootstrapCDN | kein Cookie nötig, aber IP-Adresse an Dritte | Die Datei herunterladen, dabei auf den aktuellen Stand bringen und vom eigenen Server ausliefern. Im Quelltext ändert sich meist nur eine Zeile, und die Seite hängt nicht mehr am fremden Server. |
| Einwilligungsdialog | Cookiebot, Usercentrics, OneTrust, Borlabs Cookie, Complianz, Real Cookie Banner | kein eigener Banner-Grund | Prüfen, welche Dienste darin eingetragen sind. Bleibt nach dem Umbau nichts übrig, was eine Einwilligung braucht, kann der Dialog weg. |
| Baukasten und Shop-System | Wix, Jimdo, Shopify, Squarespace, Webflow | kein eigener Banner-Grund | Den Vertrag zur Auftragsverarbeitung im Konto des Anbieters abschließen und in der Datenschutzerklärung nennen. |
Die Tabelle beschreibt den Normalfall. Es kommt darauf an, wie ein Dienst eingebunden ist. Ein Video, das erst nach einem Klick mit kurzem Hinweis lädt, holt die Zustimmung mit diesem Klick ein. Lädt dasselbe Video sofort beim Seitenaufruf, braucht es dafür ein Banner. Deshalb zeigt der Check zu jedem Fund, ob er sofort, verzögert oder erst nach Einwilligung lädt.
05 / UMBAU
So kommt Ihre Website ohne Banner aus
- Schriften auf den eigenen Server. Google Fonts, Symbolschriften wie Font Awesome und Adobe-Schriften mit passender Lizenz herunterladen und selbst ausliefern. Danach in den Stylesheets nach
fonts.googleapis.comsuchen, denn Themes binden Schriften gern ein zweites Mal ein. - Bibliotheken aus dem CDN holen. jQuery, Bootstrap und Ähnliches als Datei ablegen und dabei auf den aktuellen Stand bringen. In einer Messung band mehr als ein Drittel der Websites eine Bibliothek mit bekannter Lücke ein Lauinger 2017.
- Statistik ohne Cookies. Seitenaufrufe am eigenen Server zählen oder Matomo selbst betreiben und die Cookies abschalten. Google Analytics, Hotjar und Clarity brauchen eine Einwilligung.
- Karten und Videos erst nach Klick. Ein Vorschaubild vom eigenen Server, darunter ein Satz, dass beim Abspielen Daten an den Anbieter gehen. Für die Anfahrt reicht oft ein Kartenbild mit Link zum Routenplaner.
- Formularschutz ohne fremden Server. Ein unsichtbares Zusatzfeld und eine Zeitprüfung am eigenen Server statt reCAPTCHA, das auf jeder Seite mitlädt.
- Pixel und Tag Manager ausmisten. Was bleiben soll, lädt erst nach der Einwilligung. Was niemand mehr auswertet, kommt raus.
- Neu prüfen, dann über das Banner entscheiden. Zeigt der Check keinen Dienst mit Einwilligungspflicht mehr, kann das Banner weg. Die Datenschutzerklärung beschreibt danach, was die Seite tatsächlich tut.
Wie eine Erklärung aussieht, wenn kaum fremde Dienste übrig sind, zeigt unsere eigene Datenschutzerklärung. Läuft die Seite auf einem Baukasten oder Shop-System, ist dessen Anbieter Ihr Dienstleister; dafür brauchen Sie einen Vertrag zur Auftragsverarbeitung. Den Umbau übernehmen wir als Teil von Webdesign oder als Einzelauftrag an einer bestehenden Seite. Ein Nebeneffekt: Fremde Dienste verlängerten in einer Messung die Ladezeit im Extremfall um bis zu 50 % Goel 2017.
06 / GRENZEN
Was der Check nicht sieht, und wie Sie selbst nachsehen
- Geprüft wird nur die eingegebene Seite, keine Unterseiten. Ein Video auf der Kontaktseite sieht der Check nur, wenn Sie die Kontaktseite eingeben.
- JavaScript wird nicht ausgeführt. Was ein Skript erst im Browser nachlädt, etwa über den Google Tag Manager, sieht der Check nur, soweit die Adresse im Quelltext steht.
- Cookies sieht der Check nur, wenn der Server sie direkt setzt. Die meisten Tracking-Cookies legen Skripte im Browser an.
- Manche Server liefern einem Prüfprogramm andere Inhalte als einem Browser oder sperren es aus.
- Die rechtliche Einordnung ist eine technische Einschätzung nach § 25 TDDDG und DSGVO, keine Rechtsberatung.
Besonders die erste Grenze ist wichtig. Rund die Hälfte der Websites zeigt Inhalte, die sie nicht selbst geladen hat, sondern ein eingebundener Dritter Ikram 2019. Ein grünes Ergebnis heißt deshalb: Im Quelltext steht nichts Zustimmungspflichtiges. Eine Garantie für alles, was im Browser passiert, ist es nicht.
Selbst nachsehen in den Entwicklerwerkzeugen
- Seite in Chrome, Edge oder Firefox öffnen und F12 drücken (Mac: Wahl + Befehl + I).
- Den Reiter „Netzwerk" (Network) wählen und dort „Cache deaktivieren" ankreuzen.
- Die Seite neu laden, ohne im Banner etwas anzuklicken.
- Die Spalte „Domain" einblenden (Rechtsklick auf die Spaltenköpfe) und danach sortieren. Jede Zeile mit einer fremden Domain ist ein Abruf bei einem Dritten.
- Unter „Anwendung" (Application) bzw. „Web-Speicher" stehen die Cookies und der Browserspeicher der Seite.
Dieser Check schaut nur auf Fremddienste und antwortet sofort, ohne E-Mail-Adresse. Wie gut Ihre Seite bei Google und in KI-Assistenten gefunden wird, prüft SpotLens mit einem ausführlichen Bericht.
07 / FORSCHUNG
Was die Forschung dazu sagt
Cookie-Banner und eingebundene Fremddienste sind gut vermessen. Die Studien zeigen vor allem, wie groß der Abstand zwischen „Banner vorhanden" und „Einwilligung wirksam" ist. Sechs Befunde, die in den Check eingeflossen sind:
- Vieles lädt vor der Entscheidung. 49 % der gemessenen Websites setzten Profil-Cookies vor der Einwilligung Trevisan 2019. In einer späteren Messung fanden über 75 % der Tracking-Vorgänge statt, bevor Besucher wählen konnten oder nachdem sie abgelehnt hatten Papadogiannakis 2021. Darum bewertet der Check den ersten Aufruf.
- Ein Banner ist noch keine Einwilligung. Nur 11,8 % der untersuchten Dialoge erfüllten Mindestanforderungen des europäischen Rechts Nouwens 2020, und bei einem verbreiteten Banner-Standard zeigten 54 % der genauer geprüften Seiten mindestens einen mutmaßlichen Verstoß Matte 2020.
- Die Gestaltung lenkt die Antwort. Feldversuche mit über 80.000 Besuchern zeigten große Unterschiede je nach Lage und Vorauswahl Utz 2019; fehlte „Ablehnen" auf der ersten Ebene, stiegen die Zustimmungen um 22 bis 23 Prozentpunkte Nouwens 2020. Wer keine Dienste mit Einwilligungspflicht hat, muss diese Fragen gar nicht erst stellen.
- Tracking braucht keine Cookies. Neben Cookies kommen Fingerprinting und der Abgleich von Kennungen zum Einsatz Englehardt 2016. Deshalb sucht der Check auch Spuren im Skriptcode.
- Kein Katalog ist vollständig. Gängige Filterlisten übersahen 25 bis 30 % der Tracker, die eine Studie über unsichtbare Zählpixel fand Fouad 2020. Unbekannte fremde Server zeigt der Check deshalb mit Fundstelle an.
- Fremder Code ist ein Risiko. Über 90 % der Websites luden Inhalte von fremden Servern Kumar 2017, und 37 % banden mindestens eine Bibliothek mit bekannter Lücke ein Lauinger 2017. Selbst ausliefern löst die Banner-Frage und dieses Problem in einem Zug.
08 / FÜR KI-ASSISTENTEN
Dieses Werkzeug aus einem KI-Assistenten nutzen
Assistenten wie Claude oder ChatGPT, die das Model Context Protocol (MCP) sprechen, können die Rechnung dieser Seite direkt aufrufen, statt sie nachzubauen. Der Server ist öffentlich, braucht keine Anmeldung und speichert nichts. Die Antwort enthält immer den Link auf diese Seite, den Stand der Daten und die Grenzen des Ergebnisses.
- Endpunkt
- https://aureum-tech.com/mcp
- Werkzeug
- werkzeug_drittanbieter_check
- Transport
- Streamable HTTP, nur lesend
| Name | Pflicht | Bedeutung |
|---|---|---|
| url | ja | Adresse der Webseite, z. B. ihre-firma.de oder https://www.ihre-firma.de/kontakt. Ohne http:// wird https:// angenommen. Nur öffentliche Websites, Port 80 oder 443. |
Fragen, bei denen ein Assistent es aufrufen sollte
- „Braucht meine Website handwerk-muster.de ein Cookie-Banner?"
- „Lädt www.beispiel-praxis.de Google Fonts von Google-Servern?"
- „Welche Drittanbieter bindet die Startseite unseres Vereins ein?"
- „Unser Banner nervt die Besucher. Kann es weg?"
Wie die Anbindung funktioniert und was MCP im eigenen Betrieb leisten kann, steht auf der Seite zu MCP-Integrationen.
09 / HÄUFIGE FRAGEN
Häufige Fragen zu Cookie-Banner und Fremddiensten
Braucht jede Website ein Cookie-Banner?
Nein. Eine Einwilligung braucht eine Website, wenn sie Informationen im Browser speichert oder ausliest, die für den gewünschten Dienst nicht unbedingt nötig sind (§ 25 TDDDG), oder Daten ohne andere Rechtsgrundlage an Dritte gibt. Warenkorb und Anmeldung brauchen keine. Eine Seite mit eigenen Schriften, ohne Tracking und ohne sofort ladende Videos kommt ohne Banner aus.
Darf ich Google Fonts verwenden?
Ja, wenn die Schriften vom eigenen Server kommen. Lädt die Seite sie beim Aufruf von Google, geht die IP-Adresse jedes Besuchers an Google. Das LG München I hat das am 20.01.2022 ohne Einwilligung für unzulässig gehalten und 100 Euro Schadensersatz zugesprochen (3 O 17493/20). Google-Schriften sind frei lizenziert und dürfen auf dem eigenen Server liegen.
Reicht YouTube im erweiterten Datenschutzmodus (youtube-nocookie.com)?
Er hilft, löst die Frage aber nicht ganz. Google sagt zu dem Modus nur, dass Aufrufe nicht beeinflussen, was der Besucher später auf YouTube sieht, und dass die Werbung nicht personalisiert ist. Der Player lädt trotzdem beim Seitenaufruf von Google-Servern, die IP-Adresse geht also hin. Sicher ist ein Vorschaubild vom eigenen Server, und das Video lädt erst nach dem Klick.
Mein Banner ist eingebaut. Warum meldet der Check trotzdem Rot?
Weil Dienste schon beim ersten Aufruf laden, bevor jemand im Banner etwas gewählt hat. Das Banner hält sie dann nicht zurück. Das ist kein Einzelfall: In einer Messung fanden über 75 % der Tracking-Vorgänge statt, bevor Besucher wählen konnten oder nachdem sie abgelehnt hatten. Abhilfe: die Dienste im Einwilligungswerkzeug blockieren lassen oder ganz entfernen.
Warum findet der Check einen Dienst nicht, den ich im Browser sehe?
Der Check liest den Quelltext einer einzigen Seite und führt kein JavaScript aus. Was ein Skript erst im Browser nachlädt, etwa über den Google Tag Manager, sieht er nur, soweit die Adresse im Quelltext steht. Rund die Hälfte der Websites zeigt Inhalte, die ein eingebundener Dritter nachgeladen hat. Dienste auf Unterseiten prüfen Sie, indem Sie deren Adresse eingeben.
Brauche ich für Matomo ein Banner?
Mit Cookies ja, nach § 25 TDDDG. Matomo lässt sich laut Hersteller aber ohne Cookies betreiben, mit _paq.push(['disableCookies']) vor dem Zählaufruf. Läuft es dazu auf dem eigenen Server, gehen die Daten an niemanden sonst. In die Datenschutzerklärung gehört die Messung trotzdem. Der Check erkennt am Skriptcode, ob die Cookies abgeschaltet sind.
Was passiert mit der Adresse, die ich eingebe?
Sie geht an unseren Server, der die Seite einmal abruft wie ein Browser ohne JavaScript, dazu bis zu acht Stylesheets. Gespeichert wird die Adresse nicht, auch nicht im Protokoll. Das Ergebnis liegt fünf Minuten im Arbeitsspeicher, damit ein zweiter Aufruf schneller geht. Gegen Missbrauch zählt der Server Abrufe je Besucher als anonymen Prüfwert. Interne Adressen ruft er nicht ab.
10 / STUDIEN UND QUELLEN
Worauf sich das Werkzeug stützt
Die Richtwerte und Hinweise oben beruhen auf diesen 14 wissenschaftlichen Arbeiten. Jede ist über ihren DOI bzw. die Seite des Verlags geprüft (zuletzt am 13. November 2026): Es gibt sie, sie ist nicht zurückgezogen, und ihr Befund trägt für die Frage heute noch.
Trevisan, M.; Traverso, S.; Bassi, E.; Mellia, M. (2019): 4 Years of EU Cookie Law: Results and Lessons Learned. Proceedings on Privacy Enhancing Technologies 2019 (2), S. 126–145
Befund In einer großen Messung europäischer Websites hielten 49 % die Cookie-Richtlinie nicht ein: Sie setzten Profil-Cookies, bevor der Besucher eingewilligt hatte.
Im Werkzeug Darum unterscheidet der Check, ob ein Dienst sofort lädt oder auf die Einwilligung wartet, und meldet „lädt vor der Einwilligung" eigens.
doi.org/10.2478/popets-2019-0023 · Fachzeitschrift
Papadogiannakis, E.; Papadopoulos, P.; Kourtellis, N.; Markatos, E. P. (2021): User Tracking in the Post-cookie Era: How Websites Bypass GDPR Consent to Track Users. Proceedings of the Web Conference 2021 (WWW), S. 2130–2141
Befund Mehr als 75 % der gemessenen Tracking-Vorgänge fanden statt, bevor Besucher im Banner wählen konnten, oder nachdem sie alles abgelehnt hatten. Neben Cookies kamen ID-Weitergabe und Fingerprinting zum Einsatz.
Im Werkzeug Der Check bewertet deshalb, was beim ersten Aufruf lädt, und nicht, ob ein Banner da ist.
doi.org/10.1145/3442381.3450056 · Konferenzbeitrag
Matte, C.; Bielova, N.; Santos, C. (2020): Do Cookie Banners Respect my Choice? Measuring Legal Compliance of Banners from IAB Europe's Transparency and Consent Framework. 2020 IEEE Symposium on Security and Privacy (S&P), S. 791–809
Befund Unter 1.426 Websites mit einem verbreiteten Banner-Standard speicherten 141 eine Zustimmung, bevor der Besucher überhaupt gewählt hatte. Von 560 genauer geprüften zeigten 54 % mindestens einen mutmaßlichen Verstoß.
Im Werkzeug Ein erkannter Einwilligungsdialog gilt im Check nicht als Entwarnung; entscheidend ist, was er tatsächlich zurückhält.
doi.org/10.1109/SP40000.2020.00076 · Konferenzbeitrag
Nouwens, M.; Liccardi, I.; Veale, M. u. a. (2020): Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence. Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems, S. 1–13
Befund Nur 11,8 % der untersuchten Einwilligungsdialoge auf britischen Websites erfüllten Mindestanforderungen des europäischen Rechts. Fehlte „Ablehnen" auf der ersten Ebene, stieg die Zustimmung um 22 bis 23 Prozentpunkte.
Im Werkzeug Der Text rät, zuerst die Dienste umzubauen; wo ein Dialog bleibt, gehört Ablehnen gleichwertig auf die erste Ebene.
doi.org/10.1145/3313831.3376321 · Konferenzbeitrag
Utz, C.; Degeling, M.; Fahl, S.; Schaub, F.; Holz, T. (2019): (Un)informed Consent: Studying GDPR Consent Notices in the Field. Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security (CCS), S. 973–990
Befund Feldexperimente mit über 80.000 Besuchern einer deutschen Website: Lage, Art der Auswahl und vorgegebene Häkchen verändern die Entscheidung stark. Über 60 % der populären europäischen Websites zeigten Einwilligungshinweise.
Im Werkzeug Belegt, warum eine Seite ohne einwilligungspflichtige Dienste besser fährt als mit dem bestgestalteten Banner.
doi.org/10.1145/3319535.3354212 · Konferenzbeitrag
Degeling, M.; Utz, C.; Lentzsch, C. u. a. (2019): We Value Your Privacy ... Now Take Some Cookies: Measuring the GDPR's Impact on Web Privacy. Network and Distributed System Security Symposium (NDSS) 2019
Befund Nach Inkrafttreten der DSGVO zeigten 62,1 % der untersuchten europäischen Websites Cookie-Hinweise. Technisch hängt das Abschalten von Drittanbieter-Cookies davon ab, dass der Dritte mitspielt.
Im Werkzeug Darum empfiehlt der Check, den fremden Dienst wegzulassen oder selbst auszuliefern, statt ihn nur per Banner zu verwalten.
doi.org/10.14722/ndss.2019.23378 · Konferenzbeitrag
Sanchez-Rola, I.; Dell'Amico, M.; Kotzias, P. u. a. (2019): Can I Opt Out Yet? GDPR and the Global Illusion of Cookie Control. Proceedings of the 2019 ACM Asia Conference on Computer and Communications Security (AsiaCCS), S. 340–351
Befund Auf über 90 % von 2.000 vielbesuchten Websites fanden sich Cookies, mit denen sich Besucher wiedererkennen lassen; viele Seiten machten irreführende Angaben dazu.
Im Werkzeug Der Check listet die Cookies, die der Server direkt setzt, mit Laufzeit, statt sich auf die Angaben im Banner zu verlassen.
doi.org/10.1145/3321705.3329806 · Konferenzbeitrag
Englehardt, S.; Narayanan, A. (2016): Online Tracking: A 1-million-site Measurement and Analysis. Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security (CCS), S. 1388–1401
Befund Die Messung über die meistbesuchte Million Websites fand Tracking über Cookies und ohne Cookies (Fingerprinting), darunter Verfahren, die vorher nie im Einsatz gemessen worden waren, und Abgleich von Kennungen zwischen Anbietern.
Im Werkzeug Darum sucht der Check auch Signaturen wie gtag() oder fbq() im Skriptcode und nicht nur Cookies.
doi.org/10.1145/2976749.2978313 · Konferenzbeitrag
Fouad, I.; Bielova, N.; Legout, A.; Sarafijanovic-Djukic, N. (2020): Missed by Filter Lists: Detecting Unknown Third-Party Trackers with Invisible Pixels. Proceedings on Privacy Enhancing Technologies 2020 (2), S. 499–518
Befund Unsichtbare Zählpixel fremder Server fanden sich auf über 94 % der untersuchten Domains. Gängige Filterlisten übersahen 25 bis 30 % der Tracker, die die Studie erkannte.
Im Werkzeug Der Katalog kann nicht vollständig sein; deshalb zeigt der Check jeden unbekannten fremden Server mit Fundstelle, statt ihn zu verschweigen.
doi.org/10.2478/popets-2020-0038 · Fachzeitschrift
Ikram, M.; Masood, R.; Tyson, G. u. a. (2019): The Chain of Implicit Trust: An Analysis of the Web Third-party Resources Loading. The World Wide Web Conference (WWW) 2019, S. 2851–2857
Befund Rund die Hälfte der Websites zeigte Inhalte, die sie nicht selbst geladen hatten, sondern ein eingebundener Dritter nachlud; einzelne Ketten reichten über 30 Stufen.
Im Werkzeug Begründet die Grenze des Checks: Was ein fremdes Skript im Browser nachlädt, steht nicht im Quelltext und braucht den Blick in die Entwicklerwerkzeuge.
doi.org/10.1145/3308558.3313521 · Konferenzbeitrag
Kumar, D.; Ma, Z.; Durumeric, Z. u. a. (2017): Security Challenges in an Increasingly Tangled Web. Proceedings of the 26th International Conference on World Wide Web (WWW), S. 677–684
Befund Über 90 % der untersuchten Websites luden 2016 Inhalte von fremden Servern; jede solche Abhängigkeit vergrößert die Angriffsfläche, weil der fremde Inhalt ungeprüft vertraut wird.
Im Werkzeug Stützt den Rat, Bibliotheken und Schriften vom eigenen Server auszuliefern.
doi.org/10.1145/3038912.3052686 · Konferenzbeitrag
Lauinger, T.; Chaabane, A.; Arshad, S. u. a. (2017): Thou Shalt Not Depend on Me: Analysing the Use of Outdated JavaScript Libraries on the Web. Network and Distributed System Security Symposium (NDSS) 2017
Befund 37 % von über 133.000 Websites banden mindestens eine Bibliothek mit bekannter Sicherheitslücke ein; Bibliotheken, die über Werbe- oder Tracking-Code kamen, waren öfter betroffen.
Im Werkzeug Wer eine Bibliothek aus einem CDN auf den eigenen Server holt, sollte sie dabei auf den aktuellen Stand bringen; das sagt der Check in der Alternative.
doi.org/10.14722/ndss.2017.23414 · Konferenzbeitrag
Goel, U.; Steiner, M.; Wittie, M. P.; Flack, M.; Ludin, S. (2017): Measuring What is Not Ours: A Tale of 3rd Party Performance. Passive and Active Measurement (PAM 2017), Lecture Notes in Computer Science, S. 142–155
Befund Fremde Dienste verlängerten die Ladezeit von Webseiten im Extremfall um bis zu 50 %. Wurden ihre Dateien über die eigene Infrastruktur ausgeliefert, luden die Seiten bis zu 25 % schneller.
Im Werkzeug Belegt den Nebeneffekt der Alternative „selbst ausliefern": weniger fremde Server, oft auch schnellere Seiten.
doi.org/10.1007/978-3-319-54328-4_11 · Konferenzbeitrag
Hils, M.; Woods, D. W.; Böhme, R. (2020): Measuring the Emergence of Consent Management on the Web. Proceedings of the ACM Internet Measurement Conference (IMC) 2020, S. 317–332
Befund Der Einsatz fertiger Einwilligungswerkzeuge verdoppelte sich von Juni 2018 bis Juni 2019 und bis Juni 2020 noch einmal; wer viel ablehnen wollte, brauchte in den Dialogen spürbar länger.
Im Werkzeug Der Check erkennt gängige Einwilligungswerkzeuge und sagt, wenn eines eingebaut ist, ohne dass im Quelltext etwas zu verwalten wäre.
doi.org/10.1145/3419394.3423647 · Konferenzbeitrag
Normen, Behörden und Herstellerangaben
- § 25 TDDDG (Wortlaut) · Bundesministerium der Justiz
- LG München I, Urteil vom 20.01.2022, 3 O 17493/20 · Bayern.Recht
- EuGH, Urteil vom 01.10.2019, C-673/17 (Planet49), Pressemitteilung · Gerichtshof der Europäischen Union
- EuGH, Urteil vom 29.07.2019, C-40/17 (Fashion ID), Pressemitteilung · Gerichtshof der Europäischen Union
- Google: Cookies von Google Analytics · Google
- Google: reCAPTCHA FAQ · Google
- YouTube: Erweiterter Datenschutzmodus · Google
- Microsoft: Cookies von Clarity · Microsoft
- Meta: Cookies _fbp und _fbc · Meta
- Vimeo: Player-Parameter · Vimeo
- Matomo: Tracking ohne Cookies · Matomo
- Cloudflare: Cookies · Cloudflare
11 / WEITERE WERKZEUGE
Noch eine Frage offen?
Wer die Website ohnehin anfasst, klärt am besten zwei Fragen mit: Muss sie barrierefrei sein? Das beantwortet der BFSG-Check. Und kommen Mails von Ihrer Domain an? Dafür ist der E-Mail-Check da.
- AT-W2 · Privat & Betriebe
Windows-10-Check
Bekommt dieser PC noch Sicherheitsupdates, und was ist bis Oktober 2027 zu tun? - AT-W3 · Privat & Betriebe
WLAN-Planer
Wie viele Access Points oder Mesh-Punkte braucht Ihr Haus, Büro oder Ihre Halle? - AT-W4 · Betriebe
IT-Notfall-Check
Wie schnell wäre Ihr Betrieb nach einem Ausfall wieder arbeitsfähig? - AT-W5 · Betriebe
E-Mail-Check
Landen Ihre E-Mails im Spam? SPF, DKIM und DMARC Ihrer Domain im Klartext. - AT-W6 · Betriebe
USV-Rechner
Welche USV hält Server, Router und Kasse bei einem Stromausfall lange genug am Laufen? - AT-W8 · Betriebe
XRechnung-Viewer
Eine XRechnung als XML-Datei bekommen? Hier wird sie lesbar, ohne dass die Datei Ihren Rechner verlässt.
Sie möchten wissen, ob Ihr Banner ersatzlos gehen kann? Wir sehen uns die Seite mit Ihnen an, holen Schriften und Bibliotheken auf den eigenen Server und bauen Videos und Karten so um, dass sie erst nach einem Klick laden.
+49 3744 4399760[email protected]Mo–Fr 8–17 Uhr · Straße der Jugend 5, 08228 Rodewisch