Die meisten deutschen Websites geben etwas über deinen Besuch weiter, bevor du irgendetwas anklicken kannst. Die wenigsten wollen das.
Wenn du eine Website aufrufst, passiert in der ersten Sekunde mehr, als du siehst. Wir wollten wissen, wie viel davon ohne dein Zutun an fremde Firmen geht. Dafür haben wir 10.389 deutsche Websites automatisch besucht: Arztpraxen, Handwerksbetriebe, Vereine, Kanzleien, Läden, Behörden. Jede haben wir dreimal aufgerufen. Einmal, ohne etwas anzuklicken. Einmal nach einem Klick auf „Alle akzeptieren“. Und einmal nach einem Klick auf „Ablehnen“.
Das Ergebnis hat uns überrascht. Der größte Teil der Daten, die ungefragt abfließen, wird für niemanden ausgewertet. Er entsteht, weil eine Schriftart von einem fremden Server nachgeladen wird.
Denselben Test wie in dieser Studie kannst du jederzeit selbst durchführen: drei Zustände, alle Empfänger, alle Cookies, die Sicherheitseinstellungen. Als Bericht, den man ohne Vorkenntnisse lesen kann.
Damit du weißt, was deine Voreinstellung tut, bevor es jemand anderes wissen will.
Cookie-Banner nerven fast alle. Deshalb arbeitet die Europäische Union an neuen Regeln. Geplant sind vor allem zwei Änderungen. Erstens soll es ein paar klar umrissene Zwecke geben, für die eine Website gar nicht mehr fragen muss. Zweitens soll gelten: Wer einmal „Nein“ gesagt hat, darf ein halbes Jahr lang nicht erneut gefragt werden.
Beides klingt vernünftig. Beides funktioniert allerdings nur, wenn ein „Nein“ auf der Website technisch überhaupt ankommt. Genau das haben wir gemessen. Bei rund drei von vier Websites kommt es nicht an.
Über einen dritten Punkt wird noch gestritten. Man könnte das „Nein“ einmal im Browser einstellen, und alle Websites müssten sich daran halten. Dann bräuchte es die Banner nicht mehr. Mehrere Regierungen, darunter die deutsche, und Teile der Werbewirtschaft arbeiten darauf hin, diesen Punkt zu streichen. Entschieden ist im September 2026 noch nichts.
Ein paar Begriffe braucht es, damit die Zahlen in diesem Bericht verständlich sind. Wenn du sie kennst, spring direkt zu Kapitel 2.
Wenn du eine Adresse eingibst, holt dein Browser die Seite vom Server des Betreibers. In dieser Seite steht aber meistens nicht der ganze Inhalt. Dort stehen Anweisungen wie „hol die Schriftart von dieser anderen Adresse“ oder „zeig hier die Karte von jenem Anbieter“. Dein Browser befolgt diese Anweisungen sofort und ohne Rückfrage. Er baut also Verbindungen zu weiteren Firmen auf. Diese Firmen nennt man Dritte.
Jede dieser Verbindungen verrät der fremden Firma etwas: deine IP-Adresse, also die Nummer, unter der du gerade im Netz erreichbar bist, welche Seite du gerade ansiehst, und technische Angaben zu deinem Gerät. Für sich genommen ist das wenig. Über viele Websites hinweg ergibt es ein Bild.
Ein Cookie ist ein Text, den eine Website in deinem Browser ablegt und später wieder auslesen kann. Manche Cookies sind harmlos und notwendig, etwa der Merker für den Inhalt deines Warenkorbs. Andere enthalten eine Kennnummer, mit der ein Anbieter dich über viele Seiten hinweg wiedererkennt. Solche Cookies brauchen nach deutschem Recht deine Zustimmung, bevor sie gesetzt werden dürfen.
Genau hier setzt unsere Messung an. Für jede Website haben wir drei getrennte Besuche gemacht und jedes Mal aufgeschrieben, welche fremden Server kontaktiert und welche Cookies gesetzt wurden:
Der Vergleich dieser drei Zustände ist der Kern dieses Berichts. Für Deutschland gab es ihn in dieser Breite unseres Wissens bisher nicht.
Die Seite, die du gerade liest, lädt nichts von fremden Servern. Die Schriftart liegt im Dokument, die Grafiken sind im Dokument gezeichnet, die Daten ebenfalls. Oben rechts siehst du einen Zähler. Er steht auf null und dein Browser hat ihn selbst berechnet. So kann eine Website aussehen.
Wir prüfen jede Website an fünf Punkten. Daraus ergeben sich 32 mögliche Ergebnisse. In der Wirklichkeit kommen davon nur 24 vor.
Die fünf Prüfungen lauten:
Ein Ergebnis kommt besonders oft vor. 23,1 % aller Websites fallen in dasselbe Muster: Sie haben eine Datenschutzerklärung. Sie setzen kein Werbe- oder Analysewerkzeug ein. Und sie kontaktieren trotzdem fremde Server, bevor jemand klicken konnte. Der Ablehnen-Klick ändert daran nichts, die Sicherheitseinstellungen fehlen.
Diese Websites wollen niemanden beobachten. Sie geben trotzdem etwas preis. Das ist der Normalfall im deutschen Web, und er ist der Grund, warum dieser Bericht anders ausfällt, als wir erwartet hatten.
Das Muster reicht über dieses eine Ergebnis hinaus. Zählt man alle Websites zusammen, die fremde Server kontaktieren, ohne selbst ein Werbe- oder Analysewerkzeug einzusetzen, kommt man auf gut die Hälfte aller untersuchten Websites (5.490 von 10.389).
Gut die Hälfte aller deutschen Websites gibt Daten an fremde Firmen weiter, obwohl sie gar kein Werbe- oder Analysewerkzeug einsetzt.
Um die fünf Prüfungen zu einer Zahl zusammenzufassen, vergeben wir Punkte. Wer alle Prüfungen besteht, kommt auf 100. Wer alle verfehlt, auf 0. Der Durchschnitt aller Websites liegt bei 50,0 Punkten.
Dieser Durchschnitt beschreibt allerdings kaum eine reale Website. Die Verteilung hat zwei Häufungen. Eine große Gruppe liegt bei 30 bis 40 Punkten. Eine zweite, kleinere Gruppe liegt bei 80 bis 90 Punkten. Dazwischen ist es dünn.
Der Grund dafür ist einfach. Wenn eine Website überhaupt etwas von fremden Servern lädt, dann meistens gleich mehrere Dinge, und dann auch schon vor dem Klick. Wenn sie es nicht tut, dann gar nicht. Es gibt wenig Mittelweg. 8,2 % der Websites bestehen alle fünf Prüfungen gleichzeitig.
Bisher wurde meistens gezählt, wie viel abfließt. Wir haben zusätzlich geprüft, wofür.
Die 10.389 Websites bauen vor dem ersten Klick Verbindungen zu 2.691 verschiedenen Empfängern auf. Die 300 häufigsten davon haben wir von Hand einer Firma, einem Land und einem Zweck zugeordnet. Damit sind rund 86 % aller Verbindungen erfasst. Der Rest ist ein klassischer Long Tail, also eine sehr lange Reihe von Empfängern, die jeweils kaum vorkommen: 69 % aller Empfänger tauchen auf genau einer einzigen Website auf.
Die Zuordnung verschiebt das Bild deutlich. Werbe- und Analysedienste, also genau das, wofür Cookie-Banner gedacht sind, machen 15,8 % aller ungefragten Verbindungen aus. Der größte einzelne Block ist ein anderer: 28,6 % gehen an Google, und zwar für Schriftarten, für eingebettete Karten oder für den Spamschutz reCAPTCHA.
Zählt man weitere Dinge dieser Art dazu, also Schriften anderer Anbieter, fertige Programmbausteine, eingebettete Videos und kleine Zusatzfenster wie Bewertungssterne, kommt man auf 40,4 % aller ungefragten Verbindungen. Diesen ganzen Block kann eine Website vermeiden, ohne dass Besucher einen Unterschied bemerken. Wie das geht, steht in Kapitel 10.
37,1 % der Websites nehmen vor dem ersten Klick Kontakt zu einem Google-Server auf. Bei den meisten davon steckt keine Auswertung dahinter. 21 % aller untersuchten Websites, das sind 57 % aller Websites mit Google-Kontakt, verbinden sich allein wegen Schriftarten, Karten oder reCAPTCHA. Niemand wollte dort etwas messen. Google erfährt trotzdem, dass du diese Seite aufgerufen hast.
Warum das kein Randthema ist, hat ein deutsches Gericht bereits entschieden. Das Landgericht München I sprach am 20. Januar 2022 einer Klägerin 100 Euro Schadensersatz zu, weil eine Website die Schriftart direkt von Google geladen und dabei ihre IP-Adresse übertragen hatte (Aktenzeichen 3 O 17493/20). Das Gericht begründete das genau mit dem, was auch unsere Messung zeigt: Der Betreiber hätte die Schriftart ohne jede Verbindung zu Google ausliefern können. Auf das Urteil folgte eine Welle von Abmahnschreiben, die Gerichte später überwiegend als missbräuchlich einstuften. An der technischen Feststellung ändert das nichts. (Überblick der IHK Berlin)
Jede fünfte deutsche Website meldet den Besuch an Google, nur weil sie dort eine Schriftart oder eine Karte lädt. Ausgewertet wird davon nichts.
Diese Frage lässt sich für jede einzelne Website genau beantworten.
Wir wissen für jede der 10.389 Websites, welche Empfänger sie vor dem ersten Klick kontaktiert und zu welcher Zweckgruppe jeder davon gehört. Also können wir eine Gruppe gedanklich streichen und nachzählen, wie viele Websites danach vollständig ruhig wären. Vollständig ruhig heißt: kein einziger fremder Server, bevor der Besucher entschieden hat.
Vor der Rechnung sind das 32,2 % aller Websites. Streicht man nur eine einzige Gruppe, nämlich die Schriften, Karten und reCAPTCHA von Google, sind es 41,3 %. Ein einziger Handgriff, und 9,1 % aller Websites wechseln die Seite.
Streicht man alles, was ohne Funktionsverlust vermeidbar ist, sind es 47,2 %. Anders gerechnet: Bei 22,1 % der Websites, die heute überhaupt etwas weitergeben, besteht der gesamte ungefragte Datenabfluss aus solchen Dingen. Kein Geschäftsmodell hängt daran. Niemand hätte einen Nachteil.
Zur Erinnerung an die erste Zahl dieses Berichts: Heute geben 68 % aller Websites etwas weiter, bevor du klicken kannst. Nach dem Aufräumen wären es 52,8 %.
Bei diesen verbleibenden Websites geht es um Dinge, die wirklich etwas bewirken: Werbe- und Analysewerkzeuge, Baukästen, die ohne fremde Server nicht laufen, Zahlungsanbieter, Terminportale. Für sie sind Einwilligung und Cookie-Banner gedacht. Das Problem schrumpft damit von einer breiten Nachlässigkeit auf einen harten Kern.
Gut jede fünfte Website, die heute Daten weitergibt, könnte damit sofort komplett aufhören, ohne dass Besucher einen Unterschied merken.
Diese Rechnung zeigt, was technisch möglich ist. Sie sagt nicht, dass es für jeden leicht ist. Wer eine Website bei einem Baukasten-Anbieter gemietet hat, kann die Schriftquelle oft gar nicht selbst ändern. Diese Entscheidung trifft der Anbieter. Genau darum geht es in diesem Bericht.
Wir haben vier naheliegende Erklärungen geprüft: Branche, Bundesland, Firmengröße und eingesetzte Software. Ein Modell, das alle vier gleichzeitig berücksichtigt, erklärt 3,4 % der Unterschiede.
Was heißt das? Stell dir vor, du sollst für eine dir unbekannte Website raten, wie viele Punkte sie erreicht. Du darfst vorher eine Frage stellen. Wenn du fragst, in welchem Bundesland die Firma sitzt, verbessert die Antwort deine Schätzung so gut wie gar nicht. Dasselbe gilt für die Branche, für die Firmengröße und, etwas abgeschwächt, für die eingesetzte Software.
Das ist der unbequemste Befund dieses Berichts, weil er der beliebtesten Darstellungsform widerspricht, nämlich dem Ranking. Unterschiede zwischen Branchen und Bundesländern gibt es durchaus, und wir weisen sie weiter unten vollständig aus. Sie sind nur klein im Vergleich zu den Unterschieden innerhalb jeder Gruppe.
Der anschaulichste Test: Wir ziehen zufällig zwei Websites aus derselben Branche und messen, wie weit ihre Punktzahlen auseinanderliegen. Im Durchschnitt sind das 30,2 Punkte. Dann vergleichen wir Websites aus zwei verschiedenen Branchen. Ergebnis: 30,2 Punkte. Die beiden Werte sind identisch.
Ganz konkret: Zwei Arztpraxen liegen im Schnitt 30,0 Punkte auseinander. Eine Arztpraxis und ein Onlineshop liegen 30,5 Punkte auseinander. Zu wissen, in welcher Branche du gelandet bist, hilft dir für die Einschätzung also kaum.
Am deutlichsten zeigt sich das beim meistgenutzten System. 57 % unserer Stichprobe laufen auf WordPress. Ihr Durchschnitt liegt bei 50,0 Punkten und trifft damit genau den Bundesdurchschnitt. Die Streuung innerhalb dieser Gruppe ist sogar etwas größer als die des gesamten Datensatzes.
35 % der WordPress-Seiten sind vor dem ersten Klick vollständig ruhig. 14 % liegen bei 20 Punkten oder darunter. Gleiche Software, gegensätzliches Ergebnis. Was eine WordPress-Seite tut, hängt also nicht von WordPress ab. Es hängt davon ab, welches Design installiert wurde, welche Erweiterungen mitgeliefert wurden und was in deren Voreinstellungen steht. Solche Entscheidungen trifft in der Regel niemand bewusst. Sie kommen bei der Installation mit und werden danach nie wieder angefasst.
Wenn irgendetwas das Verhalten einer Website beeinflussen müsste, dann die Frage, wie empfindlich das ist, was ein Besuch verrät. Wer die Website einer Psychotherapeutin aufruft, gibt damit einen Hinweis auf seine Gesundheit. Wir haben deshalb die Websites der Berufe mit Schweigepflicht gegen alle übrigen gestellt, also Ärzte, Zahnärzte, Psychotherapie, Apotheken, Rechtsanwälte und Steuerberatung.
Die Abstände sind so klein, dass sie praktisch keine sind. Der Besuch beim Therapeuten wird im deutschen Web ungefähr so weitergereicht wie der Besuch im Möbelhaus. Auf 9,9 % der Gesundheits-Websites läuft vor jeder Einwilligung eine Verbindung zu einem Werbe- oder Analysekonzern.
In eine andere Richtung fällt eine Gruppe auf. Bei den Rechtsanwälten ist auf 8,8 % der Websites keine Datenschutzerklärung auffindbar. Bei Einzelanwälten trifft das auf 12,8 % zu, also auf ungefähr jede achte Website. Der Durchschnitt aller Branchen liegt bei 5,7 %.
Zwei Arztpraxen unterscheiden sich beim Datenschutz im Schnitt genauso stark wie eine Arztpraxis und ein Onlineshop.
Bei 76 % der Websites mit fremden Diensten bleibt er ohne messbare Wirkung.
Das ist der Befund, der von diesem Bericht am ehesten hängen bleiben wird. Nach den vorigen Kapiteln liest er sich allerdings anders als gewohnt. Der Ablehnen-Knopf ist selten eine bewusste Täuschung. Er ist meistens ein Bedienelement, das nie mit etwas verbunden wurde, so wie die Schriftquelle nie umgestellt und die Erweiterung nie eingerichtet wurde.
Statt einer einzelnen Prozentzahl zeigen wir vier Gruppen. Sie machen sichtbar, was wirklich passiert, wenn jemand „Ablehnen“ drückt.
Zwei Zahlen daraus verdienen eine eigene Erwähnung. 19,8 % aller Websites kontaktieren nach dem Nein mehr fremde Server als beim bloßen Aufruf ohne jeden Klick. Wer also gar nichts anklickt, steht dort besser da als jemand, der ablehnt. Und über alle Websites gerechnet senkt der Ablehnen-Klick die Zahl der Serverkontakte um 12,4 %.
Auf fast zwei Dritteln der Websites mit fremden Diensten passiert nach einem Klick auf „Ablehnen“ genau dasselbe wie nach „Alle akzeptieren“. Der Knopf ist da, angeschlossen ist er nicht.
9,2 % der untersuchten Websites setzen ein erkennbares Consent-Werkzeug ein, also die Software hinter dem Cookie-Banner. Man würde erwarten, dass diese Websites sauberer sind als der Rest. Gemessen ist es umgekehrt. Sie kontaktieren vor dem Klick im Schnitt 8,4 fremde Server, Websites ohne Banner nur 3,9. Ein Werbe- oder Analysewerkzeug läuft bei ihnen auf 29,4 % der Seiten vor der Einwilligung, ohne Banner sind es 13,5 %.
Daraus folgt nicht, dass Banner schaden. Es ist ein Auswahleffekt: Wer ein Banner einbaut, hat meistens auch etwas eingebaut, wofür man eines braucht. Aufschlussreich bleibt es trotzdem. Auf 81,5 % der Websites mit Banner laufen bereits fremde Dienste, während das Banner um Erlaubnis bittet. Für dich als Besucher heißt das: Ein Cookie-Banner zeigt nicht, dass eine Seite sich kümmert. Es zeigt, dass es dort etwas zu kümmern gäbe.
Wie oft das Nein wirkungslos bleibt, schwankt stark nach eingesetztem Werkzeug. Interessanter als die Rangfolge ist ein Muster dahinter. Es gibt zwei Bauarten. Die einen laufen als Erweiterung auf dem eigenen Server, die anderen werden als Dienst von einem fremden Server geladen. Beide Bauarten versagen an unterschiedlichen Stellen. Die Erweiterungen lassen kaum etwas vor die Einwilligung, ignorieren das Nein danach aber besonders oft. Die eingebundenen Dienste schalten häufiger wirklich etwas ab, lassen dafür aber fast durchweg schon vorher andere Dienste laufen.
Den besten Beleg dafür, dass niemand hinschaut, liefern die Werkzeuge, die längst ins Leere laufen.
Beim Durchsehen der Cookie-Namen, die vor jeder Einwilligung gesetzt werden, stößt man
auf Fossilien. 31 Websites setzen noch Cookies mit Namen wie __utma
oder __utmz. Das ist die erste Generation von Google Analytics, die Google
vor Jahren abgeschaltet hat. 248 Websites setzen _gid oder
_gat, die Kennzeichen der zweiten Generation. Google hat die Verarbeitung
dafür zum 1. Juli 2023 eingestellt und die Oberfläche 2024 abgeschaltet. Und
7 Websites laden noch AddThis, einen Dienst für Teilen-Knöpfe, der 2023
eingestellt wurde.
Diese Websites beobachten niemanden. Es holt niemand die Daten ab. Die Verbindung wird trotzdem aufgebaut und das Cookie trotzdem gesetzt. Rechtlich ist das derselbe Vorgang wie bei einem funktionierenden Werkzeug: ein Zugriff auf das Gerät des Besuchers ohne dessen Einwilligung. Es ist ein Datenschutzverstoß, von dem niemand etwas hat.
31 deutsche Websites senden Daten an einen Google-Dienst, den es seit Jahren nicht mehr gibt. Empfangen wird nichts mehr. Gespeichert wird beim Besucher trotzdem.
Es gibt eine zweite Einstellung, die fast überall unangetastet bleibt. Ein Server kann dem Browser ein paar Regeln mitgeben, die Angriffe erschweren. Diese Regeln kosten nichts und stören niemanden. Sie müssen nur einmal gesetzt werden.
65 % der Websites tragen bei uns die schlechteste Sicherheitsnote, weil diese Regeln fehlen. Selbst unter den Websites mit der besten Datenschutznote sind es 66 %. Die beiden Themen hängen also nicht zusammen, außer in einem Punkt: Beides ist eine Voreinstellung, die niemand geändert hat.
Bis hierher ging es um Websites. Jetzt geht es darum, was das für einen einzelnen Menschen bedeutet.
Dafür simulieren wir alltägliche Suchen. Wir ziehen zufällig Websites aus der passenden Branche unserer Stichprobe, so als würde jemand sie nacheinander aufrufen, und zählen, wie viele verschiedene Firmen dabei von dem Besuch erfahren. Geklickt wird dabei nirgends. Jede Zeile unten beruht auf 20.000 Durchläufen mit echten Messwerten.
Ein zweiter Blick auf dieselbe Frage. Wenn du eine beliebige Website aus unserer Stichprobe aufrufst, ist sie mit 32,2 % Wahrscheinlichkeit vollständig ruhig. Das klingt nach einer soliden Chance. Sie schrumpft aber schnell, sobald es mehr als eine Seite wird:
Umgekehrt gerechnet ergibt sich ein Zahlenpaar, das den ganzen Bericht zusammenfasst. Bis Google zum ersten Mal von dir erfährt, brauchst du im Mittel 2,7 Seitenaufrufe. Bis du auf eine Website stößt, die alle fünf Prüfungen dieses Berichts besteht, brauchst du im Mittel 12,1.
Nach drei besuchten Websites weiß Google im Schnitt, dass du unterwegs bist. Fünf Websites hintereinander ohne jede Datenweitergabe erlebst du mit einer Wahrscheinlichkeit von 0,35 Prozent.
Die Verbindungen verteilen sich auf 2.691 verschiedene Empfänger. Das klingt nach Vielfalt und ist keine. 69 % dieser Empfänger tauchen auf genau einer einzigen Website auf. Am anderen Ende steht ein einzelner Konzern: 42,4 % aller ungefragten Verbindungen im deutschen Web führen zu Google. Der Grund dafür ist banal. Google betreibt die Standardbibliothek des Webs: die Schriften, die Karten, den Spamschutz, die Videos.
Diese Bündelung hat eine Folge, die man leicht übersieht. Kein einzelner Website-Betreiber sieht mehr als seine eigene Seite. Google sieht bei zehn beliebigen deutschen Websites im Schnitt 3,7 davon.
Das Gesetz kennt keine Kategorie „aus Versehen“. Es richtet sich an den Betreiber der Website, auch dort, wo faktisch der Baukasten-Anbieter oder eine Erweiterung entschieden hat.
Maßgeblich ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Er sagt vereinfacht: Wer etwas auf dem Gerät eines Besuchers speichert oder etwas ausliest, was dort schon liegt, braucht dessen Einwilligung. Ausgenommen ist nur, was für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Für die Übertragung der IP-Adresse an eine fremde Firma, etwa beim Nachladen einer Schriftart, gilt zusätzlich die Datenschutz-Grundverordnung.
In Deutschland läuft die Durchsetzung selten über Bußgelder. Sie läuft über Anordnungen der Aufsichtsbehörden und über Abmahnungen von Mitbewerbern und Verbänden.
Die EU-Kommission hat im November 2025 ein Paket vorgeschlagen, das die Cookie-Regeln in die Datenschutz-Grundverordnung überführt. Für Website-Betreiber sind zwei Punkte wichtig, ein dritter ist umstritten:
Unsere Messung hat zu allen drei Punkten etwas zu sagen. Zur Sperrfrist: Sie hilft wenig, solange das erste Nein bei 76 % der betroffenen Websites technisch nicht ankommt. Sechs Monate lang nicht gefragt zu werden, während sechs Monate lang weiter geladen wird, verbessert die Lage nicht. Zum Browser-Signal: Es würde genau dort wirken, wo das Banner heute versagt, weil es keine korrekte Einrichtung auf jeder einzelnen Website voraussetzt.
Zur Liste der Ausnahmen: Keine der vier vorgesehenen Ausnahmen deckt Google-Schriften, eingebettete Karten oder Videos ab. Der größte Block ungefragter Verbindungen im deutschen Web bräuchte also auch nach der Reform eine Einwilligung. Die Debatte über die Form des Banners lässt den häufigsten Verstoß unberührt.
Die EU streitet darüber, wie Websites um Erlaubnis fragen sollen. Auf drei von vier Websites wird die Antwort technisch gar nicht ausgewertet.
Weil das Problem eine Voreinstellung ist, ist die Lösung eine Einstellung. Die Wirkungsangaben stammen aus der Gegenrechnung in Kapitel 4.
Google Fonts, Font Awesome und ähnliche Schriftpakete lassen sich herunterladen und auf dem eigenen Server ablegen. Für Besucher sieht die Seite genau gleich aus. Die Ladezeit bleibt gleich oder wird besser. Der Aufwand liegt bei einem halben Tag.
9,1 % aller Websites würden allein dadurch ruhigStatt die Karte sofort einzubetten, zeigt man ein Vorschaubild. Erst wenn jemand darauf klickt, wird der Dienst geladen. Für alle gängigen Systeme gibt es dafür fertige Bausteine.
wirkt zusätzlich, im Gegenrechner nachzuvollziehenEin Banner, das Skripte nicht zurückhält, macht Arbeit ohne Schutz. Prüfen lässt sich das in fünf Minuten: die eigene Seite in einem privaten Fenster öffnen, „Ablehnen“ klicken, dann in den Entwicklerwerkzeugen des Browsers den Reiter „Netzwerk“ öffnen und nachsehen, welche fremden Adressen trotzdem auftauchen.
betrifft 76 % der Websites mit fremden DienstenStillgelegte Analyse-Konten, abgeschaltete Dienste, Reste alter Website-Umbauten. Sie liefern niemandem mehr Daten und erzeugen trotzdem ein rechtliches Risiko.
31 Websites senden noch an ein längst abgeschaltetes SystemVier bis fünf Zeilen in der Server-Konfiguration. Das ist die Prüfung, an der die meisten ansonsten sauberen Websites in unserer Erhebung gescheitert sind.
65 % der Websites fallen hier heute durchWer ein Design, eine Erweiterung oder einen Homepage-Baukasten ausliefert, entscheidet über Zehntausende Websites auf einmal. Ein Baukasten, der Schriften vom eigenen Server ausliefert und Karten erst auf Klick lädt, behebt an einem Tag mehr Verstöße als jede Abmahnwelle. Umgekehrt gilt: Ein Kunde, der die Schriftquelle seines gemieteten Baukastens nicht ändern kann, haftet für eine Entscheidung, die er gar nicht treffen darf.
Die Durchsetzung richtet sich heute an einzelne Betreiber, also an Praxen, Vereine und Betriebe, die weder wissen noch beeinflussen können, was ihre Software voreingestellt tut. Wirksamer wäre, verbreitete Systeme, Designs und Baukästen in die Pflicht zu nehmen. Ein verbindliches Signal aus dem Browser hätte denselben Vorteil: Es wirkt unabhängig davon, ob die einzelne Website richtig eingerichtet ist. Und das ist sie, wie dieser Bericht zeigt, meistens nicht.
Ausgangspunkt sind rund 39.000 deutsche Impressumsseiten aus dem offenen Common-Crawl-Index. Aus ihnen haben wir Branche, Betriebsgröße, Bundesland und eingesetztes System abgeleitet. Die Betriebsgröße stammt aus Rechtsform und Registereinträgen, das Bundesland aus der Postleitzahl. Daraus haben wir eine nach Branchen geschichtete Stichprobe von 10.500 Websites gezogen. 10.389 davon konnten wir vollständig messen.
Jede Website wurde mit einem echten, automatisch gesteuerten Browser in drei getrennten Sitzungen aufgerufen: ohne jede Interaktion, nach einem Klick auf „Alle akzeptieren“ und nach einem Klick auf „Ablehnen“. Erfasst haben wir je Zustand die kontaktierten fremden Server und die gesetzten Cookies, dazu die Sicherheitseinstellungen, den HTTPS-Status und die Auffindbarkeit einer Datenschutzerklärung. Erhebungszeitraum war der 25. Juni bis 9. August 2026, der Großteil entfällt auf den 4. bis 9. August.
Sebastian Schenk
googleapis.com im Einzelfall eine Schriftart, eine Karte oder reCAPTCHA war,
lässt sich daraus nicht trennen. Für unsere Rechnung spielt das keine Rolle, weil alle
drei in dieselbe Gruppe fallen und alle drei vermeidbar sind. Alles, was wir nicht sicher
zuordnen konnten, haben wir als nicht vermeidbar gewertet. Die Gegenrechnung fällt damit
eher zu vorsichtig aus._ga liegt auf
49 % der Desktop-Seiten. Bei uns sind es 6,1 %. Der Abstand zeigt den
Unterschied zwischen den großen kommerziellen Websites und dem Long Tail.
Kapitel „Privacy“Nach unserer Kenntnis ist dies die erste deutschlandweite Messung dieser Breite, die alle drei Einwilligungszustände je Website vergleicht und die Empfänger zusätzlich nach Zweck aufschlüsselt. Sollte es eine frühere geben, korrigieren wir das gern.
Wir nennen keine Domains, keine Betreiber und keine Agenturen. Das gilt für den Text, für die Grafiken und für alle Daten, die wir herausgeben. Veröffentlicht werden nur zusammengefasste Kennzahlen mit einer Mindestgruppengröße. Die Namen der Empfänger dürfen wir nennen, weil deren Nennung niemanden aufdeckt.
Alle Zahlen dieses Berichts dürfen mit Quellenangabe frei verwendet werden. Zitiervorschlag: simply Legal GmbH (2026): Bevor du klickst. Datenschutzreport 2026, 10.389 deutsche Websites im Drei-Zustands-Scan. Erhebung 25. Juni bis 9. August 2026. Lizenz: CC BY 4.0 (Namensnennung). Online: https://www.dieter-datenschutz.de/magazin/datenschutzreport-2026
Rohdaten-Auszüge und Sonderauswertungen auf Anfrage bei [email protected].
Denselben Test wie in dieser Studie kannst du jederzeit selbst durchführen.
Drei Zustände, alle Empfänger, alle Cookies, die Sicherheitseinstellungen. Als Bericht, den man ohne Vorkenntnisse lesen kann. Damit du weißt, was deine Voreinstellung tut, bevor es jemand anderes wissen will.