Ein Cookie-Banner ist nicht dazu da, eine Meldung anzuzeigen: Er muss verhindern, dass Tracker laden, solange der Besucher nichts gewählt hat, die Ablehnung so einfach machen wie die Zustimmung und einen Nachweis dieser Wahl aufbewahren. WordPress-Plugins und Consent-Management-Plattformen (CMP) lösen das nicht alle gleich. Dieser Vergleich ordnet die verbreitetsten Lösungen nach dem, was wirklich zählt: wo das Skript läuft, Googles Consent Mode, das IAB-TCF-Framework für Werbung, der Einwilligungsnachweis und der tatsächliche Preis.
Transparenz: Dieser Artikel enthält keine Affiliate-Links. Die Preise stammen von den Websites der Anbieter, ohne Aktionen; sie ändern sich oft, prüfen Sie sie vor dem Kauf. Dieser Artikel ist keine Rechtsberatung: Lassen Sie die Einrichtung einer wichtigen Website von Ihrem Datenschutzbeauftragten oder einer Anwältin prüfen.
Unsere Empfehlung in Kürze
- Unternehmenswebsite oder Blog ohne Werbung: Complianz, Real Cookie Banner oder CookieYes in der kostenlosen Version, in einer Stunde eingerichtet.
- Google Ads oder GA4 mit Consent Mode v2: Die kostenlosen Versionen von CookieYes, WPConsent und Cookie Notice enthalten ihn; Complianz und Real Cookie Banner behalten ihn der Bezahlversion vor.
- Website, die von Werbung lebt (AdSense, Werbenetzwerke): eine IAB-TCF- und Google-zertifizierte CMP wie Complianz Premium, Borlabs Cookie, Real Cookie Banner Pro, Axeptio oder iubenda.
- Alles auf dem eigenen Server: tarteaucitron.js als freie Version, Borlabs Cookie, Real Cookie Banner, WPConsent.
- Konzern mit mehreren Marken: Didomi oder OneTrust, auf Anfrage.
Was ein Cookie-Banner in Europa leisten muss
Die Regeln stammen aus der ePrivacy-Richtlinie (in Deutschland § 25 TDDDG, früher TTDSG) und der DSGVO, so wie die Aufsichtsbehörden sie auslegen. In Deutschland ist die Orientierungshilfe der Datenschutzkonferenz maßgeblich; als Referenz nehmen wir hier die französische Behörde CNIL, deren Vorgaben zu den genauesten gehören, und die Grundsätze sind dieselben. Nicht jedes Cookie ist betroffen: Cookies für Anmeldung, Warenkorb, Sicherheit oder zum Speichern der Besucherwahl sind ausgenommen, ebenso streng konfigurierte Reichweitenmessung. Alles andere (Werbung, klassische Statistik, eingebettete Videos und soziale Netzwerke, Pixel) wartet auf die Einwilligung.
- Nichts vor der Wahl: Kein einwilligungspflichtiger Tracker lädt beim Aufruf der Seite. Hier scheitern die meisten Websites, denn ein von Hand ins Theme eingefügter Code umgeht den Banner.
- Ablehnen so einfach wie Zustimmen: eine Schaltfläche „Alle ablehnen“ auf derselben Ebene wie „Alle akzeptieren“, kein unauffälliger Link in den Einstellungen.
- Keine vorausgewählten Kästchen: Die Einwilligung ist eine aktive Handlung; Weitersurfen gilt nicht als Zustimmung.
- Widerruf jederzeit: Ein dauerhafter Link (Fußzeile) öffnet das Panel erneut und muss so einfach sein wie die erste Wahl.
- Nachweis der Einwilligung: Sie müssen zeigen können, welcher Banner angezeigt wurde und was der Besucher gewählt hat. Ein vom Tool geführtes Protokoll mit Zeitstempel ist die einfachste Lösung.
- Fristen: Die CNIL empfiehlt, die Wahl (Zustimmung oder Ablehnung) sechs Monate zu speichern, bevor erneut gefragt wird; ausgenommene Tracker der Reichweitenmessung dürfen höchstens 13 Monate gelten.
Diese Regeln werden durchgesetzt: Im September 2025 verhängte die CNIL gegen SHEIN 150 Millionen Euro wegen Cookies ohne Einwilligung und mangelhafter Ablehnungsmechanismen, am selben Tag wie eine Strafe von 325 Millionen Euro gegen Google. Die Animation zeigt den Ablauf, den ein gutes Tool garantieren muss.
Consent Mode v2 und IAB TCF: zwei verschiedene Themen
Anbieter werfen die beiden Abkürzungen in ihrer Werbung gern durcheinander. Sie lösen nicht dasselbe Problem.
Google Consent Mode v2 übermittelt den Google-Tags (GA4, Google Ads, Tag Manager) den Einwilligungsstatus über vier Signale: ad_storage, analytics_storage, ad_user_data und ad_personalization. Ohne diese Signale schränkt Google Ads Zielgruppen und Conversion-Messung für Besucher aus dem Europäischen Wirtschaftsraum ein. Es gibt zwei Varianten: Im einfachen Modus bleiben die Tags bis zur Wahl blockiert; im erweiterten Modus laden sie sofort und senden auch nach einer Ablehnung cookielose Signale, was die Conversion-Modellierung verbessert. Der einfache Modus ist rechtlich die vorsichtigere Wahl; den erweiterten Modus besprechen Sie mit Ihrem Datenschutzbeauftragten.
Das IAB TCF (Transparency and Consent Framework) ist das Standardformat, das die Einwilligung an Werbenetzwerke und ihre Hunderte von Partnern weitergibt. Es betrifft nur Websites mit programmatischer Werbung. Für AdSense, Ad Manager und AdMob in Europa verlangt Google eine von Google zertifizierte, ins TCF integrierte CMP. Die TCF-Version 2.3 ist seit dem 28. Februar 2026 für neue Einwilligungen Pflicht: Wenn Sie von Werbung leben, prüfen Sie, ob Ihr Tool sie unterstützt. Für eine Unternehmenswebsite ohne Werbung bringt das TCF nur einen schwereren Banner ohne jeden Nutzen.
Die Vergleichstabelle
| Lösung | Wo das Skript läuft | Consent Mode v2 | IAB TCF | Einstiegspreis |
|---|---|---|---|---|
| tarteaucitron.js | Ihr Server (frei) oder gehosteter Dienst Pro | Ja | Nein | Kostenlos; Pro 190 € netto pro Jahr, unbegrenzt viele Websites |
| Complianz | Plugin, Ihr Server | Premium | Premium | Kostenlos; Premium 59 € pro Jahr (1 Website) |
| CookieYes | Plugin allein oder Web-App | Ja, auch kostenlos | Tarife Pro und Ultimate | Kostenlos; ab 9 € pro Monat |
| Cookie Notice and Compliance | Plugin oder Hu-manity-Plattform (verbundener Modus) | Ja | Nicht angegeben | Kostenlos; Bezahltarife nach Traffic |
| Borlabs Cookie | Plugin, Ihr Server | Ja | Ja | Ab 49 € netto, keine kostenlose Version |
| Real Cookie Banner | Plugin, Ihr Server | Pro-Funktion | Pro-Funktion | Kostenlos; Pro 59 € brutto pro Jahr (1 Website) |
| WPConsent | Plugin, Ihr Server | Ja, auch kostenlos | Pro-Funktion | Kostenlos; Pro ab 99 $ (1 Website) |
| Axeptio | Gehosteter Dienst | Ja | Ab Small | Kostenlos bis 200 Besucher; ab 7,50 € pro Monat |
| iubenda | Gehosteter Dienst | Ja, auch kostenlos | Ja | Begrenzt kostenlos; ab 4,99 € pro Monat |
| Didomi, OneTrust | Gehosteter Dienst | Ja | Ja | Auf Anfrage |
Die Lösungen im Einzelnen
tarteaucitron.js: die freie Lösung aus Frankreich, für alle, die selbst konfigurieren
Ein in Frankreich gepflegtes Open-Source-Skript, kostenlos und ohne Zeitlimit. In der freien Version hosten Sie es selbst, tragen jeden Dienst von Hand ein und aktualisieren es selbst; Googles Consent Mode wird unterstützt. Die Pro-Version (25 € netto pro Monat oder 190 € pro Jahr, unbegrenzt viele Websites, auch Kundenseiten) ergänzt die automatische Diensterkennung, ein Dashboard und Einwilligungsstatistiken; das offizielle WordPress-Plugin „tarteaucitron.io“ verbindet die Website mit diesem Pro-Konto. Für wen: Entwickler und Agenturen, die ein Tool ohne kommerzielle Bindung wollen. Grenze: kein TCF, und in der freien Version organisieren Sie den Einwilligungsnachweis selbst.
Complianz: der umfassendste Assistent auf rechtlicher Seite
Über eine Million aktive Installationen. Der Assistent stellt die richtigen Fragen (Statistik, Werbung, eingebettete Inhalte), blockiert bekannte Skripte, erzeugt die Cookie-Richtlinie und ersetzt YouTube-Videos durch ein Vorschaubild, bis der Besucher zustimmt. Für eine Unternehmenswebsite reicht die kostenlose Version. Premium (59 € pro Jahr für eine Website, 179 $ für fünf, 399 $ für fünfundzwanzig) ergänzt das Einwilligungsprotokoll, Googles Consent Mode, das TCF und Geolokalisierung. Für wen: KMU und Selbstständige, die geführt werden möchten. Grenze: viele Optionen, und bei jedem neuen Tracking-Tool muss nachjustiert werden.
CookieYes: der großzügigste Gratistarif
Über eine Million Installationen. Das Plugin funktioniert eigenständig, mit Consent Mode v2 und einem als CSV exportierbaren Einwilligungsprotokoll, auch kostenlos. Die Verbindung zur CookieYes-Web-App ist optional: Sie bringt den automatischen Cookie-Scan und in den Tarifen Pro und Ultimate das TCF. Der Gratistarif der App ist auf 5.000 Seitenaufrufe pro Monat begrenzt; danach folgen Basic (9 € pro Monat), Pro und Ultimate. Für wen: kleine Websites mit GA4 oder Google Ads. Grenze: Das Traffic-Preismodell wird bei viel besuchten Websites teuer.
Cookie Notice and Compliance (Hu-manity): einfach, aber der Nachweis läuft über die Plattform
Rund 800.000 Installationen. Im Modus „nur Banner“ zeigt das Plugin einen Banner ohne Konto an, speichert aber keinen Nachweis. Der verbundene Modus koppelt die Website an die Plattform von Hu-manity, die das Einwilligungsprotokoll führt und Consent Mode v2 in allen Tarifen unterstützt; der Gratistarif ist bei den Besuchen gedeckelt, die Bezahltarife richten sich nach dem Traffic. Für wen: eine Website, die schnell starten will. Grenze: Ohne verbundenen Modus haben Sie keinen Nachweis.
Borlabs Cookie: die deutsche Referenz, alles auf Ihrem Server
Nur als Bezahl-Plugin erhältlich (ab 49 € netto), in Deutschland und Österreich sehr verbreitet. Die Besucherdaten bleiben auf Ihrem Server; es unterstützt Googles Consent Mode (einfach und erweitert), ist für das TCF zertifiziert und bietet eine Bibliothek fertiger Dienste. Für wen: Websites mit hohen Anforderungen an den Speicherort der Daten, Werbe-Websites. Grenze: keine kostenlose Testversion und eine dichte Oberfläche.
Real Cookie Banner: das beste Preis-Leistungs-Verhältnis beim Selbsthosting
Über 100.000 Installationen. Alle Einwilligungen werden auf Ihrem Server verarbeitet und gespeichert, und der Anbieter devowl.io gibt an, dass schon die kostenlose Version eine rechtskonforme Einrichtung abdeckt. Pro (59 € brutto pro Jahr für eine Website, bis 299 € für 25 Websites) ergänzt Dienstvorlagen, Googles Consent Mode und das TCF; jede Lizenz deckt so viele Staging-Websites ab wie Produktivseiten. Für wen: Websites, die alles im Haus behalten wollen, ohne viel zu zahlen. Grenze: Der meiste Komfort steckt in Pro.
WPConsent: am einfachsten einzurichten
Über 200.000 Installationen. Die kostenlose Version enthält Consent Mode v2 und speichert die Daten in Ihrer WordPress-Datenbank. Pro (99 $ für eine Website zum Listenpreis, häufige Einführungsangebote, Verlängerung zum vollen Preis) ergänzt das Einwilligungsprotokoll, den automatischen Scan, Geolokalisierung und TCF 2.3. Für wen: klassische WordPress-Websites, die schnell fertig sein wollen. Grenze: kein Einwilligungsprotokoll in der kostenlosen Version.
Axeptio und iubenda: Einwilligung als gehosteter Dienst
Axeptio (Frankreich) setzt auf einen gestalteten, freundlichen Banner. Kostenlos bis 200 Besucher pro Monat, dann Extra Small für 7,50 € pro Monat (jährliche Zahlung), Small für 29 € (TCF und Cookie-Scan inklusive), Medium für 69 €, Large für 129 €. iubenda (Italien) verkauft den Banner zusammen mit generierten Datenschutzerklärungen und AGB: Gratistarif mit Consent Mode v2, dann Essentials ab 4,99 € pro Monat (25.000 Seitenaufrufe), Advanced und Ultimate. Für wen: Websites, die einen verwalteten Dienst mit Support bevorzugen. Grenze: Preise nach Traffic, Skript von einer Drittdomain.
Didomi und OneTrust: für Großkunden
Unternehmensplattformen auf Anfrage: mehrere Marken und Domains, mobile Apps, A/B-Tests des Banners, Präferenzverwaltung über Cookies hinaus, Anbindung an Marketing-Tools. Sinnvoll für ein Medienhaus oder einen Konzern; für eine einzelne WordPress-Website überdimensioniert.
Selbst gehostet oder SaaS: Leistung und Kontrolle
Der Banner erscheint auf jeder Seite für jeden Besucher: Gewicht und Ladeweise wirken sich auf die Core Web Vitals aus. Ein selbst gehostetes Skript kommt von Ihrem Server und Ihrem Cache, ohne zusätzliche Verbindung. Ein gehosteter Dienst fügt eine Verbindung zu einer Drittdomain hinzu, und Ihre Website hängt von dessen Verfügbarkeit ab. Messen Sie in beiden Fällen vorher und nachher mit PageSpeed Insights: Der Banner darf weder zum Hauptelement der Seite werden (LCP) noch den Inhalt verschieben (CLS).
Zur Sicherheit: Ein Drittanbieter-Skript hat auf jeder Seite dieselben Rechte wie Ihr eigener Code. Wenn Sie eine Content Security Policy (CSP) nutzen, müssen Sie die Domain der Plattform in script-src und connect-src erlauben; unser Leitfaden zu HTTP-Sicherheitsheadern erklärt, wie das geht, ohne alles zu öffnen. Ein selbst gehostetes Plugin vermeidet diese zusätzliche Domain, muss aber wie jedes Plugin aktuell gehalten werden.
So wählen Sie für Ihre Website
| Profil | Hauptbedarf | Empfehlung | Jahresbudget |
|---|---|---|---|
| Blog, Unternehmenswebsite ohne Werbung | Statistik und Videos blockieren, einfache Ablehnung | Complianz, Real Cookie Banner oder CookieYes kostenlos | 0 € |
| KMU mit GA4 und Google Ads | Consent Mode v2 und Nachweis | CookieYes, WPConsent Pro, Complianz Premium | 60 bis 120 € |
| WooCommerce-Shop | Werbepixel, Nachweis, Leistung | Complianz Premium, Real Cookie Banner Pro, Borlabs | 50 bis 100 € |
| Werbefinanzierte Website | TCF 2.3 und von Google zertifizierte CMP | Borlabs, Real Cookie Banner Pro, Axeptio, iubenda | 50 bis 1.500 € |
| Agentur mit vielen Kundenseiten | Mehrseitige Lizenz, schnelle Einrichtung | tarteaucitron Pro, Complianz Agency, Real Cookie Banner Agency | 190 bis 400 € |
| Konzern mit mehreren Marken | Governance, Apps, Support | Didomi, OneTrust | Auf Anfrage |
Testen Sie jedes Tool selbst: Öffnen Sie die Website in einem privaten Fenster, akzeptieren Sie nichts und prüfen Sie in den Entwicklertools des Browsers (Tabs Anwendung und Netzwerk), dass kein Werbe- oder Statistik-Cookie gesetzt wird und keine Anfrage an Google, Meta oder ein Werbenetzwerk geht. Wiederholen Sie diese Prüfung nach jedem neuen Plugin oder Tag.
Fehler, die einen Banner nutzlos machen
- Skripte am Banner vorbei: Ein ins Theme oder in ein Header-Plugin eingefügter Tracking-Code lädt vor der Wahl. Leiten Sie alle Tags über das Einwilligungstool oder über einen damit verbundenen Tag Manager.
- Zwei Banner: Ein Theme oder Statistik-Plugin mit eigenem Hinweis erzeugt zwei widersprüchliche Einwilligungen.
- Seiten-Cache: Eine gecachte Seite kann einen schon geschlossenen Banner oder die falsche Sprache ausliefern. Gute Plugins berücksichtigen den Cache, leeren Sie ihn trotzdem nach jeder Banneränderung.
- Eingebettete Videos und Karten: YouTube, Vimeo oder Google Maps setzen Tracker, sobald sie angezeigt werden. Nutzen Sie den Platzhalter Ihres Tools oder einen Player, der YouTube erst beim Klick lädt.
- Veraltete Cookie-Richtlinie: Die Dienstliste muss mit der Website mitwachsen. Scannen Sie nach jedem neuen Tool erneut.
WP Masquerade und die Privatsphäre der Besucher
WP Masquerade ist kein Einwilligungstool und ersetzt keine der oben genannten Lösungen. Es setzt für Besucher Ihrer öffentlichen Seiten kein Cookie. Die Pro-Version nutzt Cookies nur für Konten, die sich anmelden (bekanntes Gerät, Zwei-Faktor-Authentifizierung): Das sind Sicherheits-Cookies für die Authentifizierung, die von der Einwilligungspflicht ausgenommen sind. Die Bot-Fallen von Pro führen ein Protokoll mit gekürzten IP-Adressen, das 30 Tage aufbewahrt wird; unser Artikel über DSGVO und Sicherheitsprotokolle erläutert die Rechtsgrundlage solcher Verarbeitungen.
Einen Berührungspunkt gibt es: Ein Cookie-Banner hinterlässt eigene Spuren im Quelltext (Plugin-Ordnernamen, Stylesheets), mit denen Bots WordPress und seine Plugins erkennen. WP Masquerade entfernt die Kommentare und Tags, die WordPress und seine Plugins verraten, und Pro kann die Dateiadressen der Plugins umbenennen. Das erschwert die automatische Erkennung; es behebt keine Lücke im Einwilligungstool, das aktuell bleiben muss. Für Sicherheit allgemein siehe unseren Vergleich der WordPress-Sicherheitsplugins.
Häufige Fragen
Braucht eine Website ohne Google Analytics einen Cookie-Banner?
Nicht unbedingt. Nutzt die Website nur ausgenommene Cookies (Anmeldung, Warenkorb, Sicherheit, nach den Vorgaben der Behörde eingerichtete Reichweitenmessung) und bindet weder Videos noch Karten oder Social-Buttons ein, die Tracker setzen, ist keine Einwilligung nötig. Eine Information in der Datenschutzerklärung bleibt Pflicht.
Reicht ein kostenloses Plugin für die Rechtskonformität?
Für eine Unternehmenswebsite oft ja: Complianz, Real Cookie Banner und CookieYes blockieren in der kostenlosen Version Skripte und bieten die Ablehnung gleichwertig an. Prüfen Sie nur den Einwilligungsnachweis: CookieYes protokolliert kostenlos, Complianz und WPConsent behalten das vollständige Protokoll der Bezahlversion vor.
Ist der erweiterte Consent Mode von Google zulässig?
Er sendet cookielose Signale vor der Wahl und sogar nach einer Ablehnung. Die rechtliche Bewertung hängt von Ihrer Einrichtung ab: Der einfache Modus, der vor der Zustimmung nichts lädt, ist der vorsichtigste. Lassen Sie den erweiterten Modus von Ihrem Datenschutzbeauftragten freigeben.
Wie lange wird die Wahl des Besuchers gespeichert?
Die CNIL empfiehlt sechs Monate, für Zustimmung wie Ablehnung, bevor erneut gefragt wird. Ausgenommene Tracker der Reichweitenmessung dürfen 13 Monate nicht überschreiten.
Bremst der Banner die Website?
Etwas, da er auf jeder Seite erscheint. Ein selbst gehostetes, gecachtes Skript vermeidet eine Verbindung zu einer Drittdomain. Messen Sie vorher und nachher mit PageSpeed Insights und prüfen Sie, dass der Banner den Inhalt nicht verschiebt.
Das Wichtigste
- Ein konformer Banner blockiert Tracker vor der Wahl, bietet „Alle ablehnen“ gleichwertig zu „Alle akzeptieren“ und speichert einen Nachweis.
- Consent Mode v2 betrifft Google-Tags; TCF 2.3 nur Websites, die von Werbung leben.
- Für eine Unternehmenswebsite reicht oft ein kostenloses Plugin; prüfen Sie den Einwilligungsnachweis.
- Selbst gehostet: Datenkontrolle, keine Drittdomain; SaaS: Komfort, aber Preis nach Traffic.
- Testen Sie im privaten Fenster ohne Zustimmung, nach jedem neuen Tool.
Weniger Spuren, kein zusätzliches Cookie
Die kostenlose Version von WP Masquerade verlegt den Login, blockiert XML-RPC und entfernt WordPress-Spuren, ohne Ihren Besuchern ein Cookie zu setzen. Pro ergänzt Zwei-Faktor-Authentifizierung, Login-Begrenzung und Warnungen zu verwundbaren Plugins.
Quellen
- CNIL: Cookies und Tracker, was sagt das Gesetz? (auf Französisch) (externer Link, öffnet in neuem Tab)
- CNIL: 150 Millionen Euro Strafe gegen SHEIN (auf Englisch) (externer Link, öffnet in neuem Tab)
- Google: Überblick über den Consent Mode (externer Link, öffnet in neuem Tab)
- IAB Europe: Transparency and Consent Framework (externer Link, öffnet in neuem Tab)
