Cookie-Banner in WordPress — so wenig wie möglich, so korrekt wie nötig.
Viele Websites haben ein Banner, das rechtlich nichts bringt: „Diese Seite verwendet Cookies — OK“. Andere blockieren gar nichts, obwohl das Banner etwas anderes behauptet. Hier steht, wann du ein Banner brauchst, was es technisch leisten muss und wie du es in WordPress sauber umsetzt — oder vermeidest.
Ein Banner ist nötig, sobald nicht notwendige Cookies oder Dienste laufen: Analyse, Marketing, eingebettete Videos, Karten, externe Schriften. Das Banner muss eine echte Wahl bieten (Ablehnen so leicht wie Akzeptieren), Dienste vor der Einwilligung blockieren, die Entscheidung speichern und widerrufbar machen. Ohne solche Dienste braucht es kein Banner. Das ist keine Rechtsberatung — die Texte prüft dein Anwalt oder ein Rechtstexte-Dienst.
Brauchst du überhaupt ein Banner?
Die Regel aus TDDDG und DSGVO, vereinfacht: Für alles, was technisch notwendig ist — Sitzungs-Cookie beim Login, Warenkorb, Sprachauswahl, die Einwilligungsspeicherung selbst — braucht es keine Einwilligung. Für alles andere, was auf dem Gerät des Besuchers speichert oder Daten an Dritte sendet, schon. Eine reine Unternehmenswebsite mit Kontaktformular, ohne Tracking, ohne YouTube, mit lokal eingebundenen Schriften braucht kein Banner. Das ist oft die eleganteste Lösung.
Was ein korrektes Banner leisten muss.
- Blockieren vor Einwilligung: Kein Tracking-Skript, kein YouTube-Iframe, keine Karte lädt, bevor der Besucher zustimmt.
- Echte Wahl: „Ablehnen“ oder „Nur notwendige“ gleichwertig neben „Alle akzeptieren“ — nicht versteckt in Einstellungen, nicht grau.
- Granular: Kategorien (Statistik, Marketing, externe Medien) einzeln wählbar, Dienste benannt.
- Information: Welcher Dienst, welcher Anbieter, welcher Zweck, Speicherdauer, Link zur Datenschutzerklärung.
- Speichern und Widerruf: Entscheidung merken, jederzeit über einen Link im Footer änderbar.
- Nachweis: Einwilligungen protokollieren.
- Kein Dark Pattern: Keine vorangekreuzten Kästchen, kein Weiterscrollen als Zustimmung, kein „Cookie-Wall“ ohne Alternative.
Dienste wirklich blockieren.
Der häufigste Fehler: Das Banner zeigt Kategorien, aber die Skripte laden trotzdem. Prüfen: Seite im privaten Fenster öffnen, nicht zustimmen, in den Entwicklertools unter Netzwerk nach google-analytics, googletagmanager, youtube, facebook, fonts.googleapis suchen. Taucht etwas auf, blockiert das Banner nicht. Technisch geht Blockieren auf drei Wegen: das Consent-Plugin verwaltet die Skripte selbst (Standard-Dienste), Skripte werden per type="text/plain" mit Klasse markiert und erst nach Einwilligung aktiviert, oder Google Tag Manager mit Consent Mode übernimmt die Steuerung. Eingebettete Videos und Karten bekommen einen Platzhalter mit „Inhalt laden“.
Consent-Plugins für WordPress.
| Plugin | Charakter | Beachten |
|---|---|---|
| Real Cookie Banner | Deutsches Plugin, sehr vollständig, Dienstevorlagen, Blockierung inklusive | Kostenpflichtig für vollen Umfang |
| Borlabs Cookie | Deutscher Klassiker, Content-Blocker für Videos und Karten | Lizenz pro Website |
| Complianz | Umfangreich, Scan der Website, Rechtstexte-Generator | Konfiguration aufwendiger |
| CookieYes / Cookiebot | Cloud-Dienste mit Scan | Daten laufen über den Anbieter, monatliche Kosten |
| Eigene Lösung | Schlank, nur für wenige Dienste | Nur sinnvoll bei ein, zwei Diensten und Entwickler im Haus |
Die Auswahl hängt davon ab, welche Dienste du hast. Für „nur Google Analytics“ reicht ein schlankes Setup; für Shop mit Marketing-Pixeln, Videos und Karten braucht es ein Plugin mit Content-Blocker und Protokoll.
Häufige Dienste und ihre Einordnung.
| Dienst | Einwilligung nötig? | Alternative |
|---|---|---|
| Google Analytics, Matomo (Cloud) | Ja | Matomo selbst gehostet ohne Cookies, serverseitige Statistik |
| Google Tag Manager | Ja (lädt Dienste nach) | Consent Mode korrekt einrichten |
| YouTube, Vimeo eingebettet | Ja | Platzhalter mit Klick zum Laden, YouTube-nocookie |
| Google Maps | Ja | Statisches Kartenbild mit Link, OpenStreetMap mit Einwilligung |
| Google Fonts vom Google-Server | Umstritten, Abmahnrisiko | Schriften lokal einbinden — immer |
| Facebook-Pixel, Ads-Tags | Ja | — |
| reCAPTCHA | Ja, Datenübertragung an Google | Honeypot, Turnstile, {L('wordpress-formular-spam-stoppen','siehe Spam-Ratgeber')} |
| Login-, Warenkorb-, Sprach-Cookie | Nein | — |
Ohne Banner auskommen.
Für viele Unternehmenswebsites die beste Lösung: Schriften lokal, Karten als Bild mit Link, Videos nur nach Klick oder selbst gehostet, Statistik ohne Cookies (etwa selbst gehostetes Matomo ohne Cookies oder Server-Logs), kein Marketing-Tracking. Ergebnis: schneller, datenschutzfreundlicher, kein Banner, kein Abmahnrisiko wegen fehlerhafter Einwilligung. Was du dabei an Daten verlierst: Nutzerpfade und Kampagnen-Zuordnung — für viele kleine Unternehmen verzichtbar.
Typische Fehler.
- Banner vorhanden, aber Dienste laden vor der Zustimmung.
- Kein gleichwertiger Ablehnen-Button.
- Google Fonts vom Google-Server trotz Banner — das Banner deckt sie meist nicht ab.
- Datenschutzerklärung nennt Dienste, die es nicht mehr gibt — oder verschweigt neue.
- Kein Widerrufslink im Footer.
- Banner blockiert die Seite komplett (Cookie-Wall) ohne Alternative.
- Consent-Plugin verlangsamt die Seite massiv — schlanke Konfiguration wählen.
Technische Einrichtung mit Blockierung und Prüfung, dass wirklich nichts vorher lädt: WordPress-Hilfe. Die Rechtstexte kommen von deinem Anwalt oder Rechtstexte-Dienst — ich binde sie ein. Gesamtcheck: DSGVO-Checkliste für WordPress.
Wer hilft.
Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.
Echte Projekte — live ansehen.
WordPress-Websites, die ich gebaut habe oder laufend betreue.
KT Bodenteam
Professioneller Auftritt für einen Bodenleger — Vorher-Nachher-Slider und regionale SEO.
Website ansehen ↗
Babas Grill
Webauftritt für einen Schnellimbiss — warmes Branding, Speisekarte, direkte Bestellmöglichkeit.
Website ansehen ↗
Potassco Solutions
Klare Website für ein KI-Unternehmen, die komplexe Technologie verständlich macht.
Website ansehen ↗FAQ — Cookie-Banner DSGVO-konform.
Braucht jede WordPress-Website ein Cookie-Banner?
Nein. Ein Banner ist nur nötig, wenn nicht notwendige Cookies oder Dienste laufen, etwa Analyse, Marketing, eingebettete Videos, Karten oder extern geladene Schriften. Eine Website mit Kontaktformular, lokalen Schriften und ohne Tracking braucht keins.
Was muss ein DSGVO-konformes Cookie-Banner können?
Dienste vor der Einwilligung blockieren, Ablehnen gleichwertig zu Akzeptieren anbieten, Kategorien und Dienste einzeln wählbar machen, über Anbieter, Zweck und Dauer informieren, die Entscheidung speichern, jederzeit widerrufbar sein und Einwilligungen protokollieren.
Wie prüfe ich, ob mein Banner wirklich blockiert?
Die Seite im privaten Fenster öffnen, nicht zustimmen und in den Entwicklertools unter Netzwerk nach Adressen wie googletagmanager, google-analytics, youtube, facebook oder fonts.googleapis suchen. Erscheinen sie, lädt der Dienst trotz Banner.
Welches Cookie-Plugin ist für WordPress empfehlenswert?
Für deutsche Websites sind Real Cookie Banner und Borlabs Cookie verbreitet und bringen Content-Blocker und Dienstevorlagen mit, Complianz ist umfangreich mit Scan-Funktion. Die Wahl hängt von den eingesetzten Diensten ab; bei nur einem Analyse-Dienst reicht ein schlankes Setup.
Sind Google Fonts ein Problem für den Datenschutz?
Werden Schriften vom Google-Server geladen, wird die IP-Adresse übertragen, was zu Abmahnungen geführt hat. Die sichere Lösung ist, Schriften lokal auf dem eigenen Server einzubinden, unabhängig vom Cookie-Banner.
Kann ich Google Analytics ohne Banner nutzen?
Nein, Google Analytics setzt Cookies und überträgt Daten an Google und braucht eine Einwilligung. Alternativen ohne Einwilligung sind selbst gehostete Statistik-Lösungen ohne Cookies oder die Auswertung von Server-Logs.
Das bin ich – rechts im BildErzähl mir von deiner neuen Website.
Beschreib kurz, was du vorhast — du bekommst eine ehrliche Einschätzung zu Umfang, Zeit und Kosten.
Antwort meist innerhalb von 24 Stunden · hallo@manuelkillert.de