Ein praktischer Leitfaden zu Google Tag Manager vs. Google Analytics

Dieser Leitfaden erklärt Google Tag Manager vs. Google Analytics praxisnah und mit Fokus auf datenschutzfreundliche Analytics-Entscheidungen.

Google Tag Manager und Google Analytics werden oft zusammen installiert, erfüllen jedoch unterschiedliche Aufgaben.

Google Analytics misst Website- und App-Aktivitäten. Google Tag Manager ist ein Container, der Tags lädt und steuert, darunter GA4, Anzeigenpixel, Konvertierungsskripte, A/B-Testtools, Chat-Widgets und benutzerdefiniertes HTML.

Der Datenschutzfehler besteht darin, anzunehmen, dass GTM das Tracking sicherer macht. Dadurch kann die Nachverfolgung einfacher gesteuert werden, es kann aber auch die Bereitstellung unkontrollierter Nachverfolgung erheblich erleichtern.

Was Google Analytics macht

GA4 sammelt Ereignisse wie Seitenaufrufe, Sitzungen, Konvertierungen, Verkehrsquellen und Benutzereigenschaften. In der GA4 cookie-Dokumentation von Google wird erläutert, dass GA4 cookies wie _ga verwendet, um Benutzer und Sitzungen zu unterscheiden, sofern dies nicht durch das Einwilligungsverhalten anders konfiguriert ist.

Das bedeutet, dass ein Standard-GA4-Setup Fragen zu Folgendem aufwirft:

• cookie-Zustimmung gemäß den ePrivacy-Regeln
• GDPR Rechtsgrundlage und Transparenz
• internationale Übermittlungen
• Minimierung der Ereignisnutzlast
• verknüpfte Google Ads-Funktionen
• Aufbewahrung und Zugriffskontrolle

Was Google Tag Manager macht

Mit GTM können Nicht-Entwickler Tags über eine Weboberfläche bereitstellen und aktualisieren. Ein Tag kann basierend auf Auslösern wie Seitenladevorgang, Klick, Formularübermittlung, scroll depth, Einwilligungsstatus oder benutzerdefinierten Ereignissen ausgelöst werden. Es verfügt außerdem über ein eigenes Berechtigungsmodell, Arbeitsbereiche, Versionen, Umgebungen, benutzerdefinierte Vorlagen und ein eigenes Container-Exportformat.

Dies ist nützlich, wenn es gut regiert wird. Es ist gefährlich, wenn der Container zu einer Schattencodebasis wird. Marketingteams können Pixel ohne Codeüberprüfung hinzufügen. Bei alten Kampagnen können Tracker zurückbleiben. Einwilligungsauslöser sind möglicherweise falsch konfiguriert. Benutzerdefinierte HTML-Tags können third-party-Skripte laden, die niemand prüft. Ein GTM-Audit muss daher Personen, Berechtigungen, Vorlagen, Auslöser, Datenschichtwerte und Veröffentlichungsverlauf abdecken, nicht nur das GA4-Tag.

Auswirkungen auf die Privatsphäre: GTM als Multiplikator

GTM löst nicht die Datenschutzprobleme der darin enthaltenen Tags. Wenn GTM Meta Pixel vor der Einwilligung lädt, liegt das Problem immer noch bei Meta Pixel vor der Einwilligung. Wenn GA4, LinkedIn Insight Tag, TikTok Pixel und ein Heatmap-Tool auf jeder Seite geladen werden, erhöht sich Ihr Datenschutzrisiko.

GTM kann auch Komplexität verbergen. Ein Site-Prüfer sieht möglicherweise ein GTM-Skript im HTML, während der Container zehn Downstream-Tracker im Browser lädt.

Consent Mode ist kein vollständiges Compliance-Programm

Mit der Consent Mode-Dokumentation von Google können Tags das Verhalten basierend auf Zustimmungssignalen wie analytics_storage und werbebezogenen Einstellungen anpassen. Dies kann insbesondere zur Verhinderung einer Speicherung vor Einwilligung sinnvoll sein.

Aber Consent Mode allein schafft keine gültige Einwilligung. Sie benötigen weiterhin ein legales Banner oder Präferenzcenter, genaue Standardeinstellungen, regionale Regeln, Anbieterinformationen, Opt-out-Verarbeitung und Tests.

Testen Sie die Zustimmungszustände in der GTM-Vorschau und im Browser. Laden Sie die Seite vor einer Auswahl, nach der Ablehnung, nach der Einwilligung zur reinen Analyse und nach der Einwilligung zum Marketing. Bestätigen Sie, welche Tags ausgelöst werden, welche cookies- oder Speichereinträge angezeigt werden und welche Netzwerkanforderungen den Browser verlassen. Ein Tag, der besagt, dass es "einwilligungsbewusst" ist, reicht nicht aus, wenn sein Auslöser oder benutzerdefiniertes HTML den Einwilligungsstatus umgeht.

So prüfen Sie einen GTM-Container

Exportieren Sie den Container und klassifizieren Sie jedes Tag:

Tag-Typ	Fragen
GA4	Wird es vor der Einwilligung der Analyse ausgelöst? Sind Werbefunktionen aktiviert?
Werbepixel	Benötigen sie eine Marketingeinwilligung? Befinden sie sich auf sensiblen Seiten?
Conversion-Tags	Welche Identifikatoren und Ereignisparameter werden gesendet?
Benutzerdefiniertes HTML	Wem gehört es? Welche Remote-Skripte werden geladen?
Heatmaps/Sitzungswiedergabe	Werden vertrauliche Eingaben maskiert? Ist eine Einwilligung erforderlich?
Utility-Tags	Sind sie wirklich notwendig?

Überprüfen Sie dann die Auslöser. Ein Tag mit dem Namen "Consent Safe" kann weiterhin auf All Pages ausgelöst werden, wenn der Auslöser falsch ist.

Überprüfen Sie auch den Konto- und Containerzugriff. Entfernen Sie ehemalige Agenturen, Auftragnehmer und ungenutzte Dienstkonten. Beschränken Sie Veröffentlichungsrechte, verlangen Sie Genehmigungen für die Produktion und führen Sie Aufzeichnungen darüber, wem jedes Tag gehört. In den Tag Manager-Sicherheitsrichtlinien von Google wird der Schwerpunkt auf Zugriffskontrollen gelegt, da GTM ohne eine normale Bereitstellung ändern kann, was auf einer Site ausgeführt wird.

Auswirkungen auf die Leistung

Tag-Manager können auch die Leistung beeinträchtigen. Jedes third-party-Skript konkurriert um Netzwerk-, CPU- und Haupt-Thread-Zeit. Dies kann sich auf Core Web Vitals und die Konvertierung auswirken. Googles eigene Search Central-Dokumentation behandelt die Seitenerfahrung als eines von vielen Signalen, und Benutzer empfinden langsame Seiten unabhängig von der Rangfolge.

Entfernen Sie Tags, bevor Sie sie optimieren. Der schnellste Tracker ist der, den Sie nicht laden.

Sicherere Regeln für GTM

Wenn Sie GTM behalten:

• Für jedes Tag ist ein Besitzer erforderlich
• erfordern einen Verwendungszweck und ein Ablaufdatum
• Exportieren Sie den Container vor und nach größeren Änderungen
• Blockieren Sie Marketing-Tags vor der Marketing-Zustimmung
• Blockieren Sie Analytics-Tags vor der Analytics-Einwilligung, sofern erforderlich
• Benutzerdefiniertes HTML ohne Überprüfung verbieten
• Überprüfen Sie Vorlagenberechtigungen und Netzwerkendpunkte
• sensible Seiten ausschließen
• Dokumentereignisnutzlasten
• Testen Sie mit DevTools im akzeptierten und abgelehnten Zustand
• Überprüfen Sie den Container monatlich

Bei kleinen Websites kann das Entfernen von GTM einfacher sein. Wenn Sie nur ein Analyseskript benötigen, bei dem der Datenschutz an erster Stelle steht, kann es sicherer sein, es fest zu codieren, als eine Tag-Plattform zu pflegen.

GTM Audit-Checkliste

Exportieren Sie den Container und erstellen Sie ein Tag-Owner-Register:

• Tag-Name, Anbieter, Eigentümer, Zweck, Ablaufüberprüfungsdatum und Einwilligungskategorie.
• Auslösebedingungen, blockierte Seiten und Einwilligungsanforderungen.
• Datenschichtvariablen und URL-, cookie-, Speicher- oder Formularfeld-Lesevorgänge.
• Benutzerdefinierte Vorlagenberechtigungen und benutzerdefinierte HTML-Skriptquellen.
• Veröffentlichungsverlauf, Arbeitsbereichsänderungen und Benutzer mit Bearbeitungs- oder Veröffentlichungszugriff.
• Nachweise aus abgelehnten, akzeptierten und teilweise zustimmenden Browsertests.

Dies ist die GTM-spezifische Arbeit, die bei allgemeinen Analyseprüfungen fehlt. Wenn der Container nicht erklärt werden kann, sollte er nicht über die Fähigkeit zur Produktionsveröffentlichung verfügen.

Das Fazit

Google Analytics ist ein Messwerkzeug. Google Tag Manager ist ein Bereitstellungstool. GTM kann dabei helfen, die Einwilligung und die Einführung von Tags zu regeln, kann aber auch das Datenschutz-, Rechts- und Leistungsrisiko vervielfachen.

Verwenden Sie GTM nur, wenn Sie bereit sind, es wie Produktionscode zu behandeln.

Governance-Regeln für Container

Geben Sie jedem Tag einen Eigentümer, einen Zweck, eine Einwilligungskategorie, eine Datenfeldliste und ein Ablaufüberprüfungsdatum an. Blockieren Sie benutzerdefinierte HTML-Tags standardmäßig, es sei denn, die Technik oder die Sicherheit genehmigen sie. Halten Sie getrennte Arbeitsbereiche für Experimente und Produktion bereit. Erfordern eine Peer-Review für Tags, die Formularfelder, URL-Parameter, lokalen Speicher, cookies oder Datenschichtwerte lesen.

Bei Analysen, bei denen der Datenschutz an erster Stelle steht, ist Zurückhaltung oft die sicherste GTM-Regel. Wenn eine Site nur ein Analyseskript und einige Konvertierungsereignisse benötigt, ist die direkte Implementierung möglicherweise einfacher zu prüfen als ein Container mit jahrelangen Legacy-Tags. Wenn Sie GTM behalten, exportieren Sie den Container vierteljährlich und vergleichen Sie ihn mit Ihrem Lieferantenbestand. Entfernen Sie pausierte Experimente, doppelte Pixel, aufgegebene Heatmaps und Tags ehemaliger Agenturen. Ein sauberer Container verbessert die Einwilligungsgenauigkeit, die Seitengeschwindigkeit und die rechtliche Überprüfung.