Was CookieYes auf deiner Website macht
CookieYes zeigt direkt nach der Aktivierung ein Cookie-Banner an, ganz ohne Einrichtung: eine DSGVO-Vorlage mit Opt-in, fünf Kategorien (notwendig, funktional, Statistik, Leistung, Werbung), die standardmäßig abgelehnt sind, eine Präferenzzentrale und eine schwebende Schaltfläche, über die Besucher ihre Wahl ändern können. Solange ein Besucher eine Kategorie nicht akzeptiert hat, blockiert das Plugin die Skripte und iframes der Dienste, die es erkennt, und gibt sie beim Klick auf „Akzeptieren“ frei, ohne die Seite neu zu laden. Außerdem leitet es die Entscheidung an den Google Consent Mode v2 (Basic und Advanced), den Consent Mode von Microsoft UET und die WP Consent API weiter.
Das Plugin läuft in zwei Modi, und fast alles hängt davon ab, welchen du wählst. Eigenständig, ohne Konto, speichert es seine Einstellungen in WordPress: Du trägst deine Cookies selbst ein, nichts wird gescannt und keine Einwilligung wird protokolliert. Verbunden mit der Web-App von CookieYes übergibt es Banner, Cookie-Scan, Einwilligungsprotokoll und das Erstellen der Cookie-Richtlinie an die Server des Anbieters, und das Banner wird dann über dessen CDN geladen.
Anbieter ist CookieYes Limited, ein britisches Unternehmen; früher hieß das Plugin GDPR Cookie Consent. Das Geschäftsmodell ist ein Abo pro Domain: Der kostenlose Tarif der Web-App deckt eine Website pro Konto und 5.000 Seitenaufrufe im Monat ab, die Tarife Basic, Pro und Ultimate heben die Grenzen an und schalten Anpassungen, Geo-Targeting und das IAB-TCF-Framework frei.
Für welche Websites CookieYes eine gute Wahl ist
CookieYes passt, wenn du in wenigen Minuten ein ordentliches Banner online haben willst:
- Kleine Firmenwebsites und Blogs mit wenig Traffic: Der kostenlose verbundene Tarif reicht, solange die Website unter 5.000 Seitenaufrufen im Monat bleibt.
- Websites mit Google-Werbung: Consent Mode v2 ist in jedem Tarif enthalten, auch bei der Nutzung ohne Konto.
- Websites mit wenigen Cookies, die in WordPress bleiben wollen: Der eigenständige Modus kommt ohne externes Konto aus, sofern du die Cookies von Hand einträgst.
- Agenturen: Die Web-App verwaltet mehrere Websites an einer Stelle, aber jede weitere Domain braucht einen bezahlten Tarif.
Weniger geeignet ist es für eine Website mit viel Traffic, die kostenlos bleiben soll, für Publisher, die IAB TCF ohne den Pro-Tarif brauchen, und für Websites, die Einwilligungsnachweise ohne externen Dienst aufbewahren wollen. Vergleiche es dann mit Complianz.
Stärken und Grenzen von CookieYes
Stärken
- Banner läuft ab der Aktivierung. Die DSGVO-Vorlage greift sofort, nicht notwendige Kategorien sind standardmäßig abgelehnt.
- Automatisches Blockieren, Freigabe per Klick. Erkannte Skripte, auch nachträglich eingefügte, warten auf die Einwilligung und starten, sobald der Besucher zustimmt.
- Consent Mode v2 in jedem Tarif. Die Signale erreichen Google Analytics, Google Ads und den Tag Manager, bevor die Tags feuern.
- Schlank in der Datenbank. Nur drei Tabellen; im verbundenen Modus laufen Scan und Protokoll auf den Servern des Anbieters, der die Einwilligungen in der EU speichert.
Grenzen
- Ohne Konto weder Scan noch Nachweis. Im eigenständigen Modus wird keine Einwilligung protokolliert, die Cookie-Liste füllst du von Hand und eine Cookie-Richtlinie wird nicht erstellt.
- Knapper Gratis-Tarif. 5.000 Seitenaufrufe im Monat, 100 Seiten pro Scan, 5 Scans im Monat und nur eine kostenlose Website pro Konto.
- Mehrsprachiges Banner und Farben kosten extra. In der Web-App brauchst du dafür mindestens Basic, für Geo-Targeting und IAB TCF den Pro-Tarif.
- Blockiert nur erkannte Dienste. Ein selbst gehostetes oder über einen Proxy ausgeliefertes Skript wird nur blockiert, wenn du es selbst markierst.
Die CookieYes-Einstellungen, die wir empfehlen
Diese Einstellungen gibt es im eigenständigen Modus im Menü CookieYes. Die deutsche Oberfläche ist nur teilweise übersetzt: Wir nennen die deutschen Bezeichnungen, wo es sie gibt, sonst die englischen in Anführungszeichen. Im verbundenen Modus stellst du das meiste in der Web-App ein.
| Einstellung | Empfohlener Wert | Warum |
|---|---|---|
| „Consent Template“ CookieYes > Cookie-Banner > Allgemeines | DSGVO (Standard) für ein europäisches Publikum | Die DSGVO-Vorlage blockiert vor der Einwilligung; welches Recht gilt, hängt von deinem Publikum ab, nicht vom Geschmack. |
| „Consent expiration (days)“ Gleicher Tab | 180 | Das Plugin weist selbst darauf hin, dass die französische Datenschutzbehörde CNIL sechs Monate empfiehlt; Standard sind 365 Tage. |
| „Load cookies prior to consent“ und „Hide categories from banner“ Gleicher Tab | Keine Kategorie angehakt | Laut Plugin macht das Laden oder Ausblenden einer Kategorie mit Cookies die Website nicht DSGVO-konform. |
| „Reject All“-Button CookieYes > Cookie-Banner > „Content“ | Aktiviert | Ablehnen muss genauso einfach sein wie Akzeptieren, direkt auf der ersten Ebene des Banners. |
| Schließen-Button [X] Gleicher Tab | Aktiviert, wenn du Besucher aus Italien hast | Laut Plugin verlangt die italienische Datenschutzbehörde diesen Button zum Schließen ohne Tracking. |
| „Revisit Consent“-Button Gleicher Tab, Abschnitt „Revisit Consent Button“ | Aktiviert | Besucher müssen ihre Einwilligung so leicht widerrufen können, wie sie sie erteilt haben. |
| Google Consent Mode (GCM) aktivieren CookieYes > Google Consent Mode (GCM) | Aktiviert, wenn du Google-Tags nutzt; deaktiviert, wenn ein anderes Plugin den Consent Mode schon übernimmt | CookieYes verlangt, von Hand eingefügte Consent-Mode-Skripte zu entfernen, und laut Doku bleibt die Option aus, wenn Site Kit das erledigt. |
| „Reload page on consent action“ CookieYes > Cookie-Banner > Allgemeines | Deaktiviert, außer ein Skript startet nur beim Laden der Seite | Blockierte Skripte starten schon beim Klick; ein Neuladen bremst den Besuch ohne Nutzen. |
- Leere alle Caches und öffne die Website in einem privaten Fenster: Das Banner muss erscheinen.
- Vor jeder Auswahl darf der Netzwerk-Tab der Entwicklertools keine Statistik- oder Werbeanfragen zeigen.
- Klicke ohne Neuladen auf „Akzeptieren“: Die blockierten Anfragen müssen sofort starten. Lehne in einem anderen privaten Fenster ab: Das Cookie
cookieyes-consentmussanalytics:noenthalten. - Trage im eigenständigen Modus jedes Cookie unter CookieYes > Cookie-Verwaltung ein, mit seinem Skript-URL-Muster, damit es blockiert wird.
- Prüfe bei Google-Tags im Tag Assistant, dass der Standard-Einwilligungsstatus vor dem ersten Tag ankommt.
Die Sicherheit von CookieYes: wenige Lücken, eine in 3.5.8 behoben
Zwei veröffentlichte Sicherheitslücken solltest du kennen:
- CVE-2020-20633, Versionen 1.8.2 und älter: Im früheren GDPR Cookie Consent erlaubte der Richtlinien-Generator angemeldeten Nutzern gespeichertes XSS und eine Rechteausweitung. Laut WPScan ist sie in 1.8.3 behoben.
- Gespeichertes XSS, behoben in 3.5.8: Anfang November 2026 von WPScan veröffentlicht, bisher ohne CVE-Kennung; die Lücke lief über die Skripte der Cookie-Kategorien und setzte mindestens ein Mitarbeiter-Konto voraus.
Was hilft: Aktiviere automatische Updates für CookieYes (siehe unseren Leitfaden zu automatischen Plugin-Updates) und vergib Mitarbeiter-Konten nur an Personen, die sie brauchen. Mit WP Masquerade Pro werden der Plugin-Ordner und die IDs seiner Tags umbenannt; das Cookie cookieyes-consent, die Klassen cky-* des Banners und im verbundenen Modus das Skript von cdn-cookieyes.com bleiben sichtbar, und nichts davon ersetzt das Update.
Was WP Masquerade bei CookieYes verbirgt
Gratisversion Von der Gratisversion von WP Masquerade abgedeckt
CookieYes gehört zu den 50 meistgenutzten Plugins, die die Gratisversion kennt. Pro geht weiter und benennt seine Dateien um.
Gratisversion
Nichts zu entfernen
Mit Pro
- Ordnername
- Tag-IDs
Bleibt sichtbar
- JavaScript-Variablen
cookieYes - CSS-Klassen
cky-*, cookie-law-info-bar - Cookies
cookieyes-consent - vom Anbieter ausgelieferte Dateien
cdn-cookieyes.com
Diese Spuren bleiben, weil das Plugin sie zum Funktionieren braucht (Skripte, Styles, Cookies) oder weil sie vom Server kommen.
Häufige Fragen zu CookieYes
Brauche ich ein CookieYes-Konto, um das Plugin zu nutzen?
Nein, die Verbindung zur Web-App ist optional und das Banner funktioniert auch ohne. Automatischer Cookie-Scan, Einwilligungsprotokoll und generierte Cookie-Richtlinie gibt es allerdings nur im verbundenen Modus.
Macht CookieYes meine Website DSGVO-konform?
Allein nicht, und der Anbieter sagt das selbst. Du musst jedes Cookie korrekt eintragen, prüfen, dass nichts vor dem Banner lädt, und deine Datenschutzerklärung schreiben. Zu Protokollen und Speicherfristen auf der Sicherheitsseite lies unseren Artikel über DSGVO und WordPress-Sicherheit.
Was kostet CookieYes für mehrere Websites?
Der Preis gilt pro Domain, und jedes Konto hat nur eine kostenlose Website. Basic kostet 9 € im Monat oder 90 € im Jahr pro Domain, Pro 23 € oder 230 € und Ultimate 50 € oder 500 €, jeweils zuzüglich lokaler Steuern.
Was bleibt nach dem Löschen des Plugins übrig?
Standardmäßig bleiben seine Tabellen und Einstellungen in der Datenbank. Für eine vollständige Entfernung setzt du vor dem Löschen die Konstante CKY_REMOVE_ALL_DATA in der wp-config.php auf true.