Cookie-Banner ohne Ablehnen-Button: Warum das teuer werden kann

Wir haben 2.490 Betriebswebsites in einem echten Browser geprüft: 48,8 % zeigen ein Einwilligungsbanner. Davon bieten 14,2 % kein gleichwertiges „Ablehnen" auf der ersten Ebene, und bei 10,8 % läuft die Messung schon, bevor überhaupt geklickt wurde. Zur Studie 2026.

Fast jede Website hat ein Cookie-Banner. Viele davon erfüllen ihren Zweck nicht — weil dort zwar groß „Alle akzeptieren“ steht, aber kein gleichwertiges Ablehnen. Aus Sicht der Aufsichtsbehörden ist die so eingeholte Einwilligung unwirksam. Und ohne wirksame Einwilligung ist jedes Tracking-Cookie ein Verstoß.

Worum es rechtlich geht

Seit dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) gilt: Wer Informationen auf dem Gerät eines Besuchers speichert oder ausliest, braucht dessen Einwilligung — vorher. Das ist § 25 Abs. 1 TDDDG, und es gilt unabhängig davon, ob personenbezogene Daten im Spiel sind. Ausgenommen sind nur Cookies, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 TDDDG).

Was eine wirksame Einwilligung ist, steht in der DSGVO: freiwillig, für den bestimmten Fall, informiert und unmissverständlich (Art. 4 Nr. 11). Am Wort freiwillig entscheidet sich die Sache mit dem Ablehnen-Button.

Warum ein fehlendes Ablehnen die Freiwilligkeit zerstört

Ein Banner, das nur „Alle akzeptieren“ anbietet und das Ablehnen hinter „Einstellungen“ versteckt, stellt Zustimmen und Ablehnen ungleich schwer. Wer es eilig hat — und das sind fast alle — klickt auf den Knopf, der ihn weiterbringen. Die Aufsichtsbehörden werten das als Drängen zur Zustimmung.

Die Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses hat das 2023 in einem gemeinsamen Bericht festgehalten: Fehlt auf der ersten Ebene eine Ablehnungsmöglichkeit, ist die Einwilligung nicht freiwillig. Die deutschen Aufsichtsbehörden sehen das ebenso.

Seit 2025 gibt es dazu ein Urteil

Am 19. März 2025 hat das Verwaltungsgericht Hannover entschieden (Az. 10 A 5385/22): Wer „Alle akzeptieren“ anbietet, muss „Alle ablehnen“ genauso sichtbar anbieten. Geklagt hatte die niedersächsische Datenschutzaufsicht gegen ein großes Medienunternehmen, dessen Banner nur „Alle akzeptieren“ und „Einstellungen“ zeigte. Das Gericht wertete diese Gestaltung als unzulässiges „Dark Pattern“ — als Technik also, die Nutzer zur Zustimmung drängt.

Einordnung: Das ist ein erstinstanzliches Urteil, keine höchstrichterliche Klärung. Die Richtung ist damit aber deutlich: Was vorher nur Auffassung der Aufsichtsbehörden war, hat jetzt ein Gericht bestätigt. Wer weiter ohne gleichwertige Ablehnung arbeitet, argumentiert gegen Behörde und Rechtsprechung zugleich.

Was „unbedingt erforderlich“ wirklich heißt

An dieser Abgrenzung hängt alles, und sie wird regelmäßig zu weit ausgelegt. Maßstab ist nicht, was dem Betreiber nützt, sondern was der Besucher ausdrücklich angefordert hat.

Zwei Missverständnisse tauchen dabei besonders oft auf. Erstens: Reichweitenmessung ist nicht erforderlich, auch wenn sie dem Betreiber wichtig ist — der Besucher hat sie nicht angefordert. Zweitens: § 25 TDDDG greift unabhängig vom Personenbezug. Es kommt nicht darauf an, ob die gespeicherte Information jemanden identifiziert; es kommt darauf an, dass etwas auf dem Endgerät gespeichert oder von dort ausgelesen wird. Deshalb fällt auch das Auslesen von Geräteeigenschaften zur Wiedererkennung — Fingerprinting — darunter, obwohl gar kein Cookie im Spiel ist.

Drei Fehler, die immer wieder vorkommen

1. Cookies werden gesetzt, bevor jemand geklickt hat

Das ist der häufigste und zugleich klarste Verstoß. Viele Analyse-Werkzeuge starten, sobald die Seite lädt — das Banner erscheint dann zwar, kommt aber zu spät. Prüfen lässt sich das nur mit einem echten Browser: Seite öffnen, nichts anklicken, nachsehen, was schon gespeichert wurde.

2. Das Kreuz statt einer Ablehnung

Ein Schließen-Kreuz beendet das Banner, trifft aber keine Entscheidung. Läuft danach Tracking, gibt es dafür überhaupt keine Rechtsgrundlage. Das ist schlechter als ein fehlender Ablehnen-Knopf, nicht besser.

3. Voreingestellte Häkchen

Schon 2019 hat der Europäische Gerichtshof im Fall Planet49 entschieden, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung ist. Der Besucher muss aktiv tätig werden. Wer heute noch mit Voreinstellungen arbeitet, bewegt sich gegen eine seit Jahren geklärte Rechtslage.

Dark Patterns: die feineren Varianten

Der fehlende Ablehnen-Knopf ist der offensichtliche Fall. In der Praxis kommen subtilere Gestaltungen häufiger vor — und werden von Aufsichtsbehörden genauso beanstandet:

• Farbe und Kontrast. Zustimmen als kräftig gefüllter Knopf, Ablehnen als blasser Text auf grauem Grund. Formal beide da, praktisch nicht gleichwertig.
• Ablehnen erst nach Scrollen oder auf einer zweiten Ebene, während Zustimmen sofort erreichbar ist.
• „Berechtigtes Interesse“ voreingestellt. In manchen Consent-Tools sind zusätzlich zur Einwilligung Zwecke auf „berechtigtes Interesse“ gesetzt und laufen auch nach einem Klick auf Ablehnen weiter. Für Zugriffe auf das Endgerät nach § 25 TDDDG gibt es diesen Weg aber nicht — dort ist die Einwilligung ohne Alternative.
• Wiederholtes Nachfragen bei jedem Seitenaufruf, wenn jemand abgelehnt hat. Wer bei einer Entscheidung so lange nachbohrt, bis sie kippt, holt keine freiwillige Einwilligung ein.
• Endlose Anbieterlisten ohne Möglichkeit, alles auf einmal abzuwählen.

Ein einfacher Selbsttest: Decke die Beschriftungen ab und schau nur auf die Gestaltung. Wenn ein Fremder aus zwei Metern Entfernung erkennen kann, welcher Knopf der gewünschte ist, ist das Banner wahrscheinlich nicht neutral.

Und das Pur-Modell?

Immer mehr Seiten bieten „Zustimmen oder bezahlen“ an. Der Europäische Datenschutzausschuss hat sich dazu im April 2024 geäußert (Stellungnahme 08/2024): Bei großen Online-Plattformen sei eine Einwilligung in der Regel nicht freiwillig, wenn die einzige Alternative ein kostenpflichtiges Abo ist. Gefordert wird eine echte dritte Möglichkeit — etwa Werbung ohne Tracking.

Die Stellungnahme betrifft ausdrücklich große Plattformen, nicht jede Website. Für kleinere Anbieter ist die Lage weniger klar, und es gibt Entscheidungen in beide Richtungen. Wer über ein solches Modell nachdenkt, sollte das anwaltlich klären lassen — es ist einer der wenigen Punkte in diesem Bereich, bei denen sich das wirklich lohnt.

Wie ein tragfähiges Banner aussieht

• Zwei gleichwertige Knöpfe auf der ersten Ebene — „Alle akzeptieren“ und „Alle ablehnen“ beziehungsweise „Nur notwendige“. Gleiche Größe, gleiche Farbwirkung, gleiche Erreichbarkeit.
• Nichts läuft vor der Entscheidung — Analyse, Werbung und eingebettete Dienste starten erst nach der Zustimmung.
• Keine Voreinstellungen außer bei technisch notwendigen Cookies.
• Widerruf jederzeit möglich und genauso leicht wie die Erteilung (Art. 7 Abs. 3 DSGVO) — üblicherweise über einen kleinen Dauer-Link im Fußbereich.
• Verständlich benannt, welche Dienste eingesetzt werden — und dieselben Dienste müssen auch in der Datenschutzerklärung stehen.
• Bedienbar ohne Maus. Das Banner muss per Tastatur erreichbar sein und den Fokus sichtbar anzeigen. Ein Banner, das sich nur anklicken lässt, sperrt einen Teil der Besucher aus — und ist seit dem BFSG auch ein Barrierefreiheitsthema.

Die Nachweispflicht — der Teil, den fast alle übersehen

Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass eine Einwilligung erteilt wurde. Ein Banner, das die Entscheidung nur im Browser des Besuchers ablegt, reicht dafür nicht — der Besucher kann den Speicher jederzeit leeren.

Dokumentiert werden sollte je Einwilligung:

• wann sie erteilt wurde,
• welche Fassung des Banners und welche Zwecktexte damals angezeigt wurden,
• worin genau eingewilligt wurde (welche Kategorien, welche Anbieter),
• ein Kennzeichen, das die Entscheidung wiederfindbar macht, ohne mehr Daten zu speichern als nötig.

Gängige Consent-Werkzeuge übernehmen das. Wer ein selbst gebautes Banner einsetzt, muss es selbst lösen — und das ist der Punkt, an dem Eigenbau meist teurer wird als ein fertiges Werkzeug.

Zur Gültigkeitsdauer gibt es keine feste gesetzliche Frist. Die deutschen Aufsichtsbehörden halten eine erneute Abfrage nach etwa einem Jahr für angemessen; ändern sich Zwecke oder kommen Anbieter hinzu, muss ohnehin neu gefragt werden.

Consent-Werkzeuge: was sie leisten und was nicht

Ein Cookie-Banner-Werkzeug einzubauen ist nicht dasselbe wie das Problem zu lösen. Der entscheidende Punkt ist, ob die Skripte tatsächlich blockiert werden, bis eingewilligt wurde. Viele Werkzeuge bieten dafür zwei Betriebsarten:

• Automatische Blockade — das Werkzeug erkennt bekannte Dienste und hält sie zurück. Bequem, aber unvollständig: Was es nicht kennt, lässt es durch.
• Manuelle Einbindung — jedes Skript wird ausdrücklich einer Kategorie zugeordnet und erst nach Zustimmung geladen. Aufwendiger, aber zuverlässig.

Ein verbreitetes Missverständnis betrifft Googles Consent Mode. Er sorgt dafür, dass Google seine Dienste je nach Einwilligungsstatus unterschiedlich behandelt — er ersetzt aber weder das Banner noch die Einwilligung, und in der Grundeinstellung werden weiterhin Signale an Google gesendet. Wer Consent Mode einsetzt, braucht trotzdem eine wirksame Einwilligung vorher.

Ein Ausblick: die Einwilligungsverwaltung

Seit dem 1. April 2025 gilt die Einwilligungsverwaltungsverordnung (EinwV) auf Grundlage von § 26 TDDDG. Die Idee: anerkannte Dienste verwalten die Einwilligungen zentral im Browser des Nutzers, Websites fragen dort ab, und die Bannerflut wird kleiner. Der erste Dienst wurde im Oktober 2025 anerkannt; das Register führt die Bundesdatenschutzbeauftragte.

Praktisch ändert das heute noch wenig — die Teilnahme ist für Websites freiwillig, und solange kaum jemand einen solchen Dienst nutzt, muss das eigene Banner weiterhin funktionieren. Es lohnt sich aber, die Entwicklung im Blick zu behalten.

Selbst prüfen — Schritt für Schritt

1. Seite in einem privaten Fenster öffnen (sonst sieht man alte Einwilligungen).
2. Nichts anklicken. Auch nicht das Kreuz.
3. Entwicklerwerkzeuge öffnen (F12), Reiter Anwendung → Cookies. Steht dort mehr als eine Sitzungskennung und der Einwilligungs-Cookie selbst, läuft etwas zu früh.
4. Reiter Netzwerk, Seite neu laden: Werden bereits Verbindungen zu Analyse- oder Werbediensten aufgebaut?
5. Auch Lokaler Speicher ansehen — viele Werkzeuge weichen dorthin aus, weil dort seltener nachgesehen wird. Rechtlich macht das keinen Unterschied.
6. Jetzt „Ablehnen“ klicken und dieselbe Prüfung wiederholen. Bleibt danach etwas übrig, wirkt die Ablehnung nicht.
7. Zum Schluss prüfen, ob sich die Entscheidung widerrufen lässt, ohne den Browserspeicher zu leeren.

Ob das Banner eine gleichwertige Ablehnung anbietet, siehst du mit bloßem Auge. Ob im Hintergrund schon etwas läuft, siehst du nur so.

Häufige Fragen

Muss der Ablehnen-Button auf der ersten Ebene stehen?

Die deutschen Aufsichtsbehörden und die Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses sagen ja: Ablehnen muss genauso leicht sein wie Zustimmen. Wer sich das Ablehnen erst über „Einstellungen“ suchen muss, wird faktisch zur Zustimmung gedrängt — und dann ist sie nicht mehr freiwillig im Sinne von Art. 4 Nr. 11 DSGVO. Das Verwaltungsgericht Hannover hat das am 19.03.2025 bestätigt (Az. 10 A 5385/22) — ein erstinstanzliches Urteil, aber eine klare Richtung.

Reicht ein X zum Wegklicken?

Nein. Ein Schließen-Kreuz ist keine Ablehnung, sondern gar keine Entscheidung. Werden danach trotzdem Cookies gesetzt, fehlt die Einwilligung nach § 25 Abs. 1 TDDDG vollständig.

Dürfen die Buttons unterschiedlich aussehen?

Unterschiedliche Farben allein sind nicht automatisch unzulässig. Kritisch wird es, wenn der Unterschied so groß ist, dass die Ablehnung praktisch übersehen wird — etwa ein leuchtender Zustimmen-Button neben grauer Schrift ohne Rahmen. Die Aufsichtsbehörden sprechen hier von „Dark Patterns“.

Was ist mit Cookies, die technisch nötig sind?

Für die braucht es keine Einwilligung (§ 25 Abs. 2 TDDDG) — der Warenkorb im Shop oder die Sitzungskennung nach dem Login zum Beispiel. Ein Banner ist dafür nicht erforderlich. Die Einwilligung betrifft alles darüber hinaus: Analyse, Werbung, eingebettete Dienste.

Ist Reichweitenmessung nicht technisch notwendig?

Nein. Maßstab ist, was der Besucher ausdrücklich angefordert hat — und das ist die Seite, nicht die Statistik darüber. Das gilt auch für Werkzeuge, die mit „anonymer“ Messung werben: Solange etwas auf dem Endgerät gespeichert oder von dort ausgelesen wird, greift § 25 Abs. 1 TDDDG. Wer ohne Einwilligung messen will, kann auf serverseitige Auswertung der Zugriffsprotokolle ausweichen.

Gilt § 25 TDDDG auch ohne personenbezogene Daten?

Ja. Der Paragraf knüpft nicht an den Personenbezug an, sondern an den Zugriff auf das Endgerät. Deshalb fällt auch das Auslesen von Geräteeigenschaften zur Wiedererkennung darunter, obwohl dabei kein Cookie gesetzt wird.

Wie lange gilt eine einmal erteilte Einwilligung?

Eine feste gesetzliche Frist gibt es nicht. Die deutschen Aufsichtsbehörden halten eine erneute Abfrage nach etwa einem Jahr für angemessen. Unabhängig davon muss neu gefragt werden, sobald sich Zwecke ändern oder Anbieter dazukommen.

Ersetzt Googles Consent Mode das Banner?

Nein. Der Consent Mode steuert nur, wie Google-Dienste sich je nach Einwilligungsstatus verhalten. Die Einwilligung selbst muss weiterhin vorher wirksam eingeholt werden — mit einem Banner, das die Dienste bis dahin tatsächlich zurückhält.

Muss ich nachweisen können, dass jemand eingewilligt hat?

Ja, das verlangt Art. 7 Abs. 1 DSGVO. Ein Banner, das die Entscheidung nur im Browser des Besuchers ablegt, genügt dafür nicht — dieser Speicher lässt sich jederzeit leeren. Dokumentiert werden sollten Zeitpunkt, angezeigte Fassung und Umfang der Einwilligung.

Wie finde ich heraus, ob mein Banner das erfüllt?

Der kostenlose Scan von Apexly öffnet die Seite in einem echten Browser und sieht nach, ob auf der ersten Ebene neben dem Zustimmen auch eine Ablehnung angeboten wird — und ob schon vor jeder Entscheidung Cookies gesetzt werden.

Stand: 6. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.