Cookie-Scanner: Welche Cookies setzt Ihre Website?

Was ein Cookie-Scanner zeigt

Ein Cookie ist eine kleine Textdatei, die eine Website im Browser Ihrer Besucher ablegt. Manche Cookies setzt Ihre eigene Domain, etwa für den Warenkorb oder die Anmeldung. Andere setzen Drittanbieter, deren Skripte Ihre Seite einbindet: Analyse-Tools, Werbe-Pixel, eingebettete Videos oder Chat-Widgets. Jedes Cookie hat einen Namen, eine Domain und eine Speicherdauer. Manche verschwinden mit dem Schließen des Browsers, andere bleiben Monate oder Jahre gespeichert.

Für Website-Betreiber zählt dabei vor allem eine Frage: Wann wird ein Cookie gesetzt? Nach § 25 TDDDG dürfen Informationen auf dem Endgerät nur mit Einwilligung gespeichert oder ausgelesen werden, es sei denn, das ist für den gewünschten Dienst unbedingt erforderlich. Und wo über Cookies personenbezogene Daten an Drittanbieter fließen, gehören diese Empfänger nach Art. 13 DSGVO in Ihre Datenschutzerklärung. Ein Cookie-Scanner macht beides sichtbar: welche Cookies es gibt und ob sie vor oder nach der Zustimmung entstehen.

So scannt Vigilex Ihre Cookies

Vigilex ruft Ihre Seite so auf, wie ein neuer Besucher sie sieht:

1. Leeres Browserprofil. Jeder Scan startet in einem frischen Chromium-Browser ohne gespeicherte Cookies aus früheren Besuchen.
2. Startseite vor der Einwilligung. Der Scanner lädt Ihre Startseite und scrollt bis zum Ende, damit auch nachgeladene Inhalte ausgeführt werden. Alle Cookies, die bis hierhin gesetzt sind, markiert er als „vor Consent“.
3. Cookie-Banner bestätigen. Findet der Scanner einen Banner, klickt er „Alle akzeptieren“. Gezielt erkennt er die Banner von Usercentrics, OneTrust, Cookiebot, Didomi, consentmanager, Borlabs Cookie, Complianz, Klaro und Osano. Andere bestätigt er über die Beschriftung der Schaltfläche, etwa „Alle akzeptieren“ oder „Allen zustimmen“. Danach lädt er die Startseite neu und erfasst den Zustand erneut.
4. Weitere Seiten. Anschließend folgt er dem Link zu Ihrer Datenschutzerklärung im Footer und öffnet, wenn verlinkt, eine Produktseite. Auch dort setzt er neue Cookies auf die Liste.

Das Ergebnis ist eine Tabelle mit allen gefundenen Cookies: Name, Domain, Partei (eigene Domain oder Drittanbieter), Speicherdauer (Session, Tage, Monate oder Jahre) und der Spalte Gesetzt mit „vor Consent“ oder „nach Consent“. Bekannte Cookie-Namen helfen außerdem, den Anbieter zu erkennen: _ga gehört zu Google Analytics, _gcl_au zu Google Ads, _fbp zum Meta Pixel, _ttp zum TikTok Pixel.

Typische Befunde

Ein Cookie-Scan bringt fast immer etwas zutage, das im Tagesgeschäft untergeht. Diese Muster sieht man besonders oft:

• Analyse-Cookies vor der Einwilligung. Steht _ga schon in der Phase „vor Consent“, lädt Google Analytics, bevor Ihr Banner gefragt hat. Meist liegt das an einem Tag Manager, der nicht an die Einwilligung gekoppelt ist.
• Werbe-Pixel mit langer Laufzeit. Cookies von Meta, Google Ads, TikTok oder Pinterest bleiben oft viele Monate gespeichert. Diese Dauer gehört in Ihre Datenschutzerklärung.
• Cookies ohne erkennbaren Zweck. Ein Plugin oder eingebettetes Video setzt Cookies, die niemand bewusst eingebaut hat.
• Kein Consent-Tool erkannt. Ohne bestätigten Banner gibt es keine Phase „nach Consent“. Erkennt der Scan einwilligungspflichtige Dienste, aber kein Consent-Tool, nennt der Entwurf Ihrer Datenschutzerklärung das als Pflicht-Punkt.

Nicht jedes Cookie „vor Consent“ ist ein Problem. Das Cookie, in dem Ihr Consent-Tool die Auswahl speichert, oder ein Warenkorb-Cookie darf es ohne Zustimmung geben. Der Scanner bewertet deshalb nicht jedes Cookie einzeln, sondern zeigt Ihnen, wann es entstanden ist. Die Einordnung treffen Sie.

Was der Scan nicht sieht

Ein ehrlicher Cookie-Scanner nennt seine Grenzen:

• Er prüft nur den Weg „Alle akzeptieren“. Ob Ihre Seite ein Ablehnen respektiert, testet er nicht.
• Local Storage und Session Storage liest er nicht aus, nur Cookies.
• Er besucht Startseite, Datenschutzerklärung und eine Produktseite. Checkout, Kundenkonto und weitere Unterseiten sieht er nicht.
• Die Speicherdauer ist die Restlaufzeit zum Zeitpunkt des Scans.

Vom Cookie-Scan zur Datenschutzerklärung

Aus demselben Scan erstellt Vigilex einen Entwurf Ihrer Datenschutzerklärung nach Art. 13 DSGVO. Der Abschnitt „Cookies und vergleichbare Technologien“ enthält eine Tabelle der gefundenen Cookies mit Name, Domain, Partei und Speicherdauer. Die Dienste dahinter erscheinen im Abschnitt zu Empfängern und Auftragsverarbeitern, sortiert nach Rechtsgrundlage. Den Entwurf laden Sie als Word-Datei herunter oder kopieren ihn als Markdown oder HTML. Das Ergebnis bleibt eine Stunde lang abrufbar.

So gehen Sie mit dem Ergebnis um

1. Cookies „vor Consent“ durchgehen. Für jedes Cookie, das nicht unbedingt erforderlich ist, sorgen Sie im Consent-Tool dafür, dass der zugehörige Dienst erst nach der Zustimmung lädt.
2. Unbekannte Cookies klären. Finden Sie heraus, welches Plugin oder welcher Dienst sie setzt, und entfernen Sie, was niemand braucht.
3. Erneut scannen. Ein zweiter Scan zeigt, ob die Änderungen greifen.
4. Datenschutzerklärung aktualisieren. Übernehmen Sie die Cookie-Tabelle und die Dienste in Ihre Erklärung und lassen Sie den Text vor der Veröffentlichung anwaltlich prüfen.

Keine Rechtsberatung

Der Cookie-Scanner liefert Information, keine Rechtsberatung. Er zeigt, was ein Browser beim Aufruf Ihrer Seite beobachtet. Ob Ihre Einwilligungslösung im Einzelfall rechtmäßig ist, kann er nicht beurteilen. Vigilex ist in der Beta-Phase, Scan und Entwurf können unvollständig sein.