Methode
So läuft der Test ab.
Ein echter Chrome-Browser lädt die Startseite Ihrer Website wie ein Besucher, ohne etwas anzuklicken, spielt dann drei Abläufe nach und vergleicht, was passiert.
Die drei Zustände
- Vor jeder Entscheidung. Seite geladen, 6 bis 15 Sekunden Wartezeit (manche Banner erscheinen spät), kein Klick. Erfasst werden die Cookies, der lokale Speicher, die kontaktierten Adressen und die Schaltflächen des Banners.
- Nach „Ablehnen“. Klick auf die Ablehnen-Schaltfläche der ersten Ebene; andernfalls werden die Einstellungen geöffnet, um die Ablehnung zu suchen. Dann Erfassung, Neuladen der Seite, Besuch von zwei Seiten der Website, erneute Erfassung.
- Nach „Akzeptieren“. Neue Sitzung, Klick auf „Akzeptieren“, Erfassung.
Die neun Prüfungen
| Prüfung | Was verglichen wird |
|---|---|
| Einwilligungsbanner | Wird ein Banner erkannt? Falls nicht, sind Tracker aktiv? |
| Vor jeder Entscheidung | Tracking-Cookies und Aufrufe von Tracking-Diensten ganz ohne Klick. |
| Ablehnen so einfach wie Akzeptieren | Ablehnen auf der ersten Ebene, hinter „Einstellungen“, an Bedingungen geknüpft („ablehnen und abonnieren“, „zahlen oder akzeptieren“) oder nicht vorhanden. |
| Gleiches visuelles Gewicht | Größe und Stil der Schaltflächen „Ablehnen“ und „Akzeptieren“. |
| Die Ablehnung blockiert das Tracking | Nach Ablehnung, Neuladen und Navigation: neue Tracking-Cookies und Aufrufe von Werbenetzwerken. |
| Die Entscheidung wird gespeichert | Das Banner erscheint nach einem Neuladen nicht erneut. |
| Nach „Akzeptieren“ | Die Werkzeuge werden geladen; sonst sind sie nicht mit dem Banner verbunden oder waren schon vorher aktiv. |
| Google Consent Mode v2 | Standardwerte „verweigert“, Aktualisierung bei der Entscheidung, Google-Aufrufe, die eine verweigerte oder erteilte Einwilligung melden. |
| Cookie-Laufzeit | Tracking-Cookies mit mehr als 13 Monaten Laufzeit. |
Die drei Urteile
- OK Nichts Auffälliges bei diesem Punkt, soweit getestet.
- Zu prüfen Ein Hinweis, der geprüft werden sollte, aber nicht für ein Urteil reicht: Das Werkzeug erklärt, warum und worauf zu achten ist.
- Zu korrigieren Eine eindeutige Abweichung von dem, was erwartet wird.
Ein Punkt „nicht zutreffend“ bedeutet, dass die Prüfung nicht anwendbar ist (zum Beispiel Consent Mode auf einer Website ohne Google-Tag).
Wie Cookies eingeordnet werden
Jedes Cookie wird eingeordnet als: ausgenommen (technisch, Sicherheit, Lastverteilung oder bloßes Merken der Entscheidung des Nutzers), funktional, Reichweitenmessung, Werbung oder Profiling oder zu prüfen, wenn sein Name wie eine Kennung aussieht, ohne bekannt zu sein. Die Einordnung stützt sich auf die Open Cookie Database (Apache-2.0-Lizenz, auf wenige Spalten reduziert), auf für OpenCookies geschriebene Regeln und auf eine von OpenCookies gepflegte Liste von Tracking-Diensten.
Manche Fälle werden stets mit „zu prüfen“ statt „zu korrigieren“ bewertet, weil sich vom Browser aus nichts abschließend sagen lässt: Reichweitenmessung, die je nach Konfiguration einwilligungsfrei sein kann (zum Beispiel Piano Analytics, AT Internet), und Google-„Consent Mode“-Aufrufe ohne Cookie (gcs=G100), die nichts speichern, aber trotzdem die IP-Adresse an Google senden.
Was der Test nicht abdeckt
- Ein einziger Durchlauf, aus der im Bericht genannten Region, mit einem automatisierten Browser: Manche Websites passen ihr Banner dann an oder verbergen es. Ein nicht gesehenes Banner macht die Urteile zu „zu prüfen“.
- Die Startseite und höchstens zwei weitere Seiten; keine Anmeldung in einem Konto, kein Kaufvorgang.
- Die Listen der Tracking-Dienste und Cookies sind unvollständig: Ein Dienst, der nicht auf den Listen steht, wird nicht erkannt.
- Der Widerruf der Einwilligung (Einstellungen erneut öffnen, um die Entscheidung zurückzunehmen) wird noch nicht getestet.
- Es ist keine Rechtsberatung. Das Werkzeug sagt nie „konform“: Es sagt, was es beobachtet hat und was es nicht getestet hat.
Respekt gegenüber den getesteten Websites
Der Test beachtet die Datei robots.txt der Website und umgeht keinen Bot-Schutz. Er speichert nie den Wert eines Cookies, nur seinen Namen, seine Domain und seine Laufzeit. Er besucht nur wenige Seiten. Adressen, die auf ein privates Netzwerk verweisen, lehnt er ab.