Ein praktischer Leitfaden zu irreführende Cookie-Banner

Ein Banner soll echte Wahl bieten; irreführende Cookie-Banner bewirken das Gegenteil, mit heller Zustimmen-Schaltfläche, schwachem Einstellungslink, vorausgewählten Partnern und einem Ablehnungspfad über drei Bildschirme.

Ein Cookie-Banner soll den Menschen eine echte Wahl bieten. Viele Banner bewirken das Gegenteil: eine helle Schaltfläche „Alle akzeptieren“, ein schwacher Einstellungslink, vorab ausgewählte Partner und ein Ablehnungspfad, der drei Bildschirme umfasst.

Das ist nicht nur lästiges Design. Dies kann dazu führen, dass die Einwilligung ungültig wird.

Was gilt als irreführendes Design?

Die FTC beschreibt Dark Patterns als Schnittstellen, die Benutzer dazu verleiten oder manipulieren, Entscheidungen zu treffen, die sie sonst nicht treffen würden. Der Bericht „Bringing Dark Patterns to Light“ befasst sich mit Taktiken wie dem Verbergen von Schlüsselbegriffen, dem Erschweren einer Stornierung und der Verlockung von Verbrauchern, Daten weiterzugeben.

Cookie-Banner haben ihre eigenen gemeinsamen Muster:

• Akzeptieren ist ein Klick, Ablehnen ist begraben.
• Ablehnen-Schaltflächen weisen einen geringen Kontrast oder irreführende Bezeichnungen auf.
• Nicht wesentliche Zwecke sind vorausgewählt.
• Die Schalter sind verwirrend oder vertauscht.
• Auf dem Banner steht „Wir schätzen Ihre Privatsphäre“, während die Nachverfolgung aktiviert ist.
• Die Schaltfläche „Schließen“ bedeutet Zustimmung statt Entlassung.
• Anbieter verbergen sich hinter langen Listen ohne wirkliche Zusammenfassung.
• Die Site wiederholt das Banner nach der Ablehnung, bis der Benutzer aufgibt.

Was europäische Regulierungsbehörden gesagt haben

Die Cookie-Banner-Taskforce des EDPB überprüfte nach koordinierten Beschwerden gängige Bannerpraktiken. In dem Bericht werden Probleme wie das Fehlen einer Ablehnungsschaltfläche auf der ersten Ebene, vorab angekreuzte Kästchen, irreführende Schaltflächenfarben und legitime Interessendesigns erörtert, die Einspruchsrechte verschleiern. Siehe den Cookie-Banner-Taskforce-Bericht des EDPB.

In den Einwilligungsrichtlinien des EDSA wird außerdem erläutert, dass die Einwilligung freiwillig, spezifisch, informiert und eindeutig erfolgen muss und dass vorab angekreuzte Kästchen oder Inaktivität keine gültige Einwilligung begründen. Siehe Richtlinien 05/2020 zur Einwilligung.

Der praktische Standard ist einfach: Das Verweigern unwesentlicher Nachverfolgung sollte so einfach sein wie das Akzeptieren, und die Schnittstelle sollte keine wesentlichen Informationen belasten, verwirren oder verbergen.

Warum eine ungültige Einwilligung teuer ist

Wenn die Einwilligung ungültig ist, wird alles, was davon abhängt, offengelegt. Dazu können Analysecookies, Werbepixel, Zielgruppensynchronisierung, Personalisierung, A/B-Tests und nachgelagerter Datenaustausch gehören.

Eine ungültige Einwilligung birgt mehrere Risiken:

• Regulierungsbeschwerden und Durchsetzung.
• Löschungspflichten für unrechtmäßig erhobene Daten.
• Gebrochenes Vertrauen bei Besuchern.
• Probleme mit Lieferantenverträgen.
• Verunreinigte Analysen basierend auf Daten, die Sie nicht hätten sammeln sollen.

Für Analyseteams gibt es auch ein Problem mit der Datenqualität. Ein manipulatives Banner kann die Opt-Ins erhöhen, die Zahl ist jedoch kein Maß für die tatsächliche Präferenz des Benutzers. Es ist ein Maß für den Druck.

Eine konforme Banner-Checkliste

Nutzen Sie dies als praktischen Rückblick:

Bessere Kopie

Schlechte Kopie: „Um Ihr Erlebnis zu verbessern, verwenden wir und 742 Partner Cookies. Akzeptieren Sie, um fortzufahren.“

Besserer Text: „Wir verwenden notwendige Cookies, um diese Website zu betreiben. Mit Ihrer Erlaubnis verwenden wir auch Analyse-Cookies, um die aggregierte Website-Nutzung zu verstehen, und Marketing-Cookies für Werbung. Sie können Zwecke akzeptieren, ablehnen oder auswählen.“

Die bessere Version gibt an, was notwendig ist, was optional ist, warum optionale Cookies existieren und welche Wahlmöglichkeiten der Benutzer hat.

Das beste Banner ist das, das Sie nicht brauchen

Viele Websites verfügen nur deshalb über ein Cookie-Banner, weil sie Analyse- und Werbetools installiert haben, die Kennungen festlegen. Wenn Sie diese Tools entfernen oder durch cookielose, nicht identifizierende Analysen ersetzen, können Sie das Banner je nach Ihrer Gerichtsbarkeit und den verbleibenden Technologien vereinfachen oder entfernen.

Das ist oft für alle besser:

• Besucher werden nicht gestört.
• Analytics wird weniger durch Einwilligungsentscheidungen beeinflusst.
• Rechtsvorgänge sind einfacher.
• Seiten werden schneller geladen.
• Die Marke verlangt nicht mehr Daten, als sie benötigt.

Überprüfen Sie Ihr aktuelles Banner

Öffnen Sie Ihre Website in einem sauberen Browserprofil und zeichnen Sie auf, was passiert:

1. Überprüfen Sie vor jeder Auswahl, ob nicht unbedingt erforderliche Cookies oder Pixel ausgelöst werden.
2. Versuchen Sie, jegliche Nachverfolgung abzulehnen, und stellen Sie sicher, dass die Auswahl berücksichtigt wird.
3. Laden Sie das Banner erneut und stellen Sie sicher, dass es nicht sofort wieder angezeigt wird.
4. Öffnen Sie die Einstellungen und bestätigen Sie, dass die Schalter standardmäßig deaktiviert sind.
5. Überprüfen Sie Netzwerkanfragen für Analysen, Anzeigen, Heatmaps, Chat-Widgets und Tag-Manager.
6. Überprüfen Sie, ob im mobilen Design Ablehnungs- oder Einstellungskontrollen ausgeblendet sind.
7. Bestätigen Sie, dass die Datenschutzrichtlinie mit den tatsächlich geladenen Tools übereinstimmt.

Die Cookie-Einwilligung ist keine Dekoration. Es handelt sich um eine rechtliche Schnittstelle. Wenn das Design darauf ausgelegt ist, Menschen dazu zu bringen, Tracking zu akzeptieren, ist die von Ihnen eingeholte Einwilligung schwach und der Vertrauenspreis ist sehr real.

Mobile Design ist wichtig

Viele Banner sehen auf dem Desktop akzeptabel und auf Mobilgeräten manipulativ aus. Ablehnen-Steuerelemente liegen unterhalb des sichtbaren Bereichs, Einstellungsdialoge sind schwer zu scrollen und winzige Schließen-Symbole werden mit Ablehnen verwechselt. Testen Sie echte mobile Ansichtsfenster, Bildschirmlesegeräte, Tastaturnavigation und kontrastreiche Einstellungen. Zugänglichkeit und gültige Einwilligung hängen zusammen: Eine Wahl, die nicht gefunden oder bedient werden kann, ist keine sinnvolle Wahl.

Was nach dem Anbringen eines Banners zu messen ist

Erwarten Sie, dass sich die Opt-In-Raten ändern, wenn die Benutzeroberfläche ehrlicher wird. Das ist kein Misserfolg. Überwachen Sie die Seitengeschwindigkeit, den Absprung, die aggregierten Conversions und Support-Beschwerden. Wenn die Analyseabdeckung abnimmt, verwenden Sie für die aggregierte Berichterstattung eine datenschutzorientierte Messung, anstatt erneut Druck auf den Einwilligungsfluss auszuüben.

Banner-Audit-Follow-Through

Überprüfen Sie nach der Neugestaltung eines Banners das Verhalten, anstatt der Benutzeroberfläche zu vertrauen. Testen Sie vor jeder Wahl, nach der Ablehnung und nach der Annahme. Untersuchen Sie Cookies, lokale und Sitzungsspeicher, Pixel, Tag-Manager-Trigger, Netzwerkaufrufe und serverseitige Ereignisse.

Wenn vor einer gültigen Auswahl immer noch optionale Analysen oder Werbung ausgelöst werden, ist das Banner kosmetisch. Wenn Sie sich auf eine Ausnahmeregelung für Analysen verlassen, dokumentieren Sie die genaue Konfiguration: begrenzte Zielgruppenmessung, kein Cross-Site-Tracking, keine Wiederverwendung von Werbung, kurze Retention, klare Benutzerinformationen und keine Umnutzung durch Anbieter, die über den Messbedarf des Herausgebers hinausgeht.

Häufig gestellte Fragen

Was macht ein Cookie-Banner zu irreführendem statt nur schlechtem Design?

Der Dark-Patterns-Bericht der FTC beschreibt Oberflächen, die Menschen zu Entscheidungen verleiten oder manipulieren, die sie sonst nicht treffen würden. Cookie-Banner, die Ablehnen-Buttons verstecken oder Tracking vorauswählen, passen genau in dieses Muster. Entscheidend ist die Absicht hinter dem Design, nicht nur die optische Politur.

Zählt eine vorab angehakte Cookie-Box als gültige Einwilligung?

Nein. Die EDPB-Leitlinien 05/2020 zur Einwilligung stellen fest, dass vorab angehakte Boxen und Untätigkeit den Standard von freiwillig, spezifisch, informiert und unmissverständlich nicht erfüllen. Eine Box, die niemand aktiv angeklickt hat, kann keine echte Entscheidung darstellen.

Warum verstecken manche Cookie-Banner den Ablehnen-Button?

Ein versteckter oder vergrabener Ablehnen-Button lenkt Nutzer zur Standardoption "Alle akzeptieren". Genau das nannte die Cookie-Banner-Taskforce der EDPB in ihrer Prüfung von Beschwerden, zusammen mit irreführenden Button-Farben und fehlenden Ablehnen-Optionen auf der ersten Ebene. Das erhöht die Zustimmungsquote, ohne den tatsächlichen Willen der Nutzer widerzuspiegeln.

Welche Daten sind betroffen, wenn sich eine Cookie-Einwilligung als ungültig herausstellt?

Alles, was von dieser Einwilligung abhing, wird betroffen, darunter Analyse-Cookies, Werbe-Pixel, Audience-Syncing, Personalisierung, A/B-Tests und die Weitergabe von Daten an Dritte. Das kann Löschpflichten für Daten auslösen, die ohne Rechtsgrundlage erhoben wurden.

Verändert ein manipulatives Banner tatsächlich, wie viele Menschen zustimmen?

Ein manipulatives Banner kann die Zustimmungsquote erhöhen, aber im Beitrag zählt diese Zahl als Maß für Druck, nicht für echte Präferenz. Analysen, die auf solchen Zustimmungen aufbauen, sind verzerrt, weil die zugrunde liegende Einwilligung keine echte Wahl widerspiegelt.

Was sollte ein konformes Cookie-Banner richtig machen?

Die Checkliste verlangt gleiche Sichtbarkeit von Akzeptieren und Ablehnen, keine vorausgewählten Zwecke, klare Sprache und getrennte Wahlmöglichkeiten für Analyse, Werbung, Personalisierung und funktionale Cookies. Sie verlangt außerdem einfachen Widerruf, benannte Anbieter, keine Nachteile bei Ablehnung und keine erzwungene Wiederholung des Banners. Fehlt einer dieser Punkte, handelt es sich um ein Muster, das Regulierungsbehörden bereits kritisiert haben.

Kann eine Website das Cookie-Banner rechtlich ganz weglassen?

Das Entfernen von Tools, die Kennungen setzen, oder deren Ersatz durch cookielose, nicht identifizierende Analyse kann das Banner vereinfachen oder ganz erübrigen, abhängig von der Rechtsordnung und den verbleibenden Technologien. Eine Website ohne nicht notwendige Kennungen hat von vornherein weniger Grund, um Einwilligung zu bitten.

Wie sollte eine Ablehnungsoption formuliert sein im Vergleich zur Zustimmung?

Das Beispiel für bessere Formulierungen nennt klar, was notwendig ist, was optional ist, warum die optionalen Cookies existieren und welche Wahlmöglichkeiten Besucher haben. Es stellt Zustimmung nicht als einzigen Weg zum Weiterkommen dar. Schlechte Formulierungen wie "Akzeptieren, um fortzufahren" neben "742 Partnern" üben Druck aus, statt zu informieren.

Warum spielt mobiles Design für die Cookie-Einwilligung eine Rolle?

Auf kleinen Bildschirmen können Ablehnen-Schaltflächen unterhalb des sichtbaren Bereichs liegen, Einstellungsdialoge schwer zu scrollen sein und winzige Schließen-Symbole mit Ablehnung verwechselt werden. Jeder dieser Fälle macht die Wahl schwerer auffindbar oder bedienbar. Eine Wahl, die man nicht finden oder bedienen kann, ist keine echte Wahl, ob mobil oder anderswo.

Was sollte sich ändern, nachdem ein Cookie-Banner fair gestaltet wurde?

Es ist zu erwarten, dass sich Zustimmungsquoten verschieben, sobald die Oberfläche keinen Druck mehr ausübt, und das ist kein Fehlschlag. Der Beitrag empfiehlt, Seitengeschwindigkeit, Absprungrate, aggregierte Conversions und Support-Beschwerden zu beobachten und bei sinkender Analyseabdeckung auf datenschutzfreundliche Messung für aggregierte Auswertungen zu setzen.