Consent Management Platform einrichten: Anleitung

Eine Consent Management Platform (CMP) richtest Du richtig ein, wenn sie drei Dinge gleichzeitig leistet: Sie blockiert alle einwilligungspflichtigen Dienste bis zum Klick, sie speichert die Entscheidung nachweisbar und sie lässt sich jederzeit widerrufen. Das Banner, das Besucher sehen, ist dabei nur die sichtbare Oberfläche.

Genau hier scheitern viele Websites: Das Tool ist installiert, das Banner erscheint, aber Google Analytics, YouTube oder ein Meta-Pixel laden im Hintergrund trotzdem. In dieser Anleitung gehen wir aus Agentursicht Schritt für Schritt durch, wie Du eine CMP auswählst, konfigurierst und testest, ohne dass Deine Seite am Ende nur so aussieht, als wäre sie rechtssicher.

Falls Du erst klären willst, ob Du überhaupt ein Banner brauchst, lies zuerst unseren Artikel zur Cookie-Banner-Pflicht für kleine Unternehmen. Hier geht es um die technische Einrichtung.

Was eine CMP macht (und was nicht)

Eine CMP ist die Software, die Einwilligungen einholt, verwaltet und an Deine Website und Deine Marketing-Tools weitergibt. Sie erfüllt im Kern vier Aufgaben:

• Einwilligung einholen: Banner mit Auswahl nach Kategorien (notwendig, Statistik, Marketing, externe Medien).
• Dienste steuern: Skripte und eingebettete Inhalte werden erst geladen, wenn die passende Kategorie freigegeben wurde.
• Entscheidung speichern: Wer hat wann was gewählt, in welcher Version des Banners? Das hilft beim Nachweis.
• Widerruf ermöglichen: Besucher können ihre Wahl jederzeit ändern.

Was eine CMP nicht kann: Sie macht Deine Datenschutzerklärung nicht vollständig und sie erkennt nicht automatisch jeden Dienst, den ein Plugin oder ein Entwickler heimlich eingebaut hat. Auch ersetzt sie keine rechtliche Prüfung. Wir sind eine Webdesign-Agentur und kein Anwaltsbüro, die folgenden Hinweise sind technische Praxis und keine Rechtsberatung.

Schritt 1: Bestandsaufnahme vor der Auswahl

Bevor Du ein Tool wählst, brauchst Du eine Liste dessen, was Deine Website tatsächlich lädt. Öffne die Seite im Inkognito-Fenster, schau in den Entwicklertools (Reiter “Netzwerk”) nach Anfragen an fremde Domains und notiere:

• Statistik- und Tracking-Dienste (z. B. Google Analytics, Matomo, Meta-Pixel)
• Eingebettete Medien (YouTube, Vimeo, Google Maps, Social-Feeds)
• Externe Schriften, Chat-Widgets, Buchungstools, Bewertungs-Widgets
• Cookies und Local-Storage-Einträge, die direkt nach dem Laden gesetzt werden

Diese Liste ist Dein Arbeitsplan: Jeder Eintrag landet später in genau einer Kategorie der CMP. Was nicht auf der Liste steht, wird auch nicht geblockt, und genau daran scheitert die Einrichtung in der Praxis am häufigsten.

Schritt 2: Die passende CMP auswählen

Es gibt keine “beste” CMP, nur die passende für Deine Website und Dein Setup. Diese Kriterien entscheiden:

Kriterium	Frage dazu
System	Läuft die Seite auf WordPress, Shopify, einem Baukasten oder auf eigenem Code? Plugins gibt es nur für CMS, Cloud-Dienste funktionieren überall.
Skript-Blocking	Blockiert das Tool Skripte und iFrames wirklich vor dem Klick, oder zeigt es nur ein Banner?
Consent Mode	Unterstützt es den Google Consent Mode v2, falls Du Google Ads oder Analytics nutzt?
Kostenmodell	Einmalige Lizenz, Jahresabo oder nutzungsabhängig? Das ist je nach Anbieter sehr unterschiedlich und ändert sich, prüf die aktuellen Preise beim Anbieter.
Datenhaltung	Wo werden Einwilligungsdaten gespeichert, und gibt es einen Auftragsverarbeitungsvertrag?
Pflegeaufwand	Aktualisiert das Tool seine Dienste-Datenbank automatisch oder musst Du jede Änderung selbst nachtragen?

Als grobe Orientierung: Bei einer überschaubaren WordPress-Seite ist ein gepflegtes Plugin oft die pragmatische Wahl. Bei mehreren Domains, Shops mit vielen Marketing-Tools oder Teams ohne technische Betreuung kann eine Cloud-CMP mit automatischem Scan den Pflegeaufwand senken. Wenn eine CMP Daten bei einem externen Anbieter verarbeitet, brauchst Du dafür einen Vertrag, mehr dazu in unserem Artikel zum AV-Vertrag beim Hosting.

Schritt 3: Kategorien und Dienste sauber zuordnen

Jetzt überträgst Du Deine Bestandsliste in die CMP. Bewährt hat sich diese Einteilung:

1. Technisch notwendig: Warenkorb, Login, Sicherheitsfunktionen und das Cookie, das die Banner-Entscheidung speichert. Diese Kategorie braucht keine Einwilligung.
2. Statistik: Reichweitenmessung, Heatmaps, A/B-Tests.
3. Marketing: Remarketing, Conversion-Tracking für Werbeanzeigen, Social-Pixel.
4. Externe Medien: Videos, Karten, Feeds, die Daten an Drittanbieter übertragen.

Wichtig ist die ehrliche Zuordnung. Ein Tool wird nicht “notwendig”, nur weil Du es gern ohne Klick laden würdest. Notwendig ist, was für die ausdrücklich gewünschte Funktion der Seite technisch erforderlich ist. Beschreibe jeden Dienst im Banner verständlich: Anbieter, Zweck, Speicherdauer und, wo relevant, den Hinweis auf eine Datenübermittlung in Drittländer. Diese Texte müssen zu Deiner Datenschutzerklärung passen.

Schritt 4: Skript-Blocking einrichten

Das ist der entscheidende technische Schritt. Es gibt drei gängige Wege:

• Automatisches Blocking: Die CMP erkennt bekannte Skripte und iFrames und hält sie zurück. Bequem, aber nicht lückenlos, besonders bei individuell eingebundenem Code.
• Manuelles Blocking: Skripte werden im Code so markiert (z. B. als type="text/plain" mit Kategorie-Angabe), dass sie erst nach Freigabe ausgeführt werden. Das ist präzise, braucht aber Entwicklerhand.
• Tag-Manager-Steuerung: Statt jedes Skript einzeln zu markieren, steuerst Du Tags im Google Tag Manager über Consent-Bedingungen. Das funktioniert gut, wenn die Tags dort sauber gepflegt sind.

Eingebettete Videos und Karten lassen sich oft mit einem Platzhalter (“Inhalt laden, Daten werden an YouTube übertragen”) lösen. Das ist nutzerfreundlicher als ein pauschales Banner und hält die Ladezeit niedrig. Alles, was ohne Einwilligung geladen werden darf, solltest Du möglichst lokal hosten, zum Beispiel Schriften. Wie das bei Google Fonts funktioniert, steht im Artikel zu Google Fonts und DSGVO.

Schritt 5: Google Consent Mode v2 anbinden

Nutzt Du Google Analytics oder Google Ads, kommt der Consent Mode ins Spiel. Er übermittelt den Einwilligungsstatus Deiner Besucher an Google-Dienste und steuert, ob und wie diese Dienste Daten verarbeiten. Seit März 2024 verlangt Google ihn für Werbetreibende im Europäischen Wirtschaftsraum, wenn personalisierte Werbung und Conversion-Messung genutzt werden sollen.

Für die Einrichtung gilt:

• Standardwerte müssen vor dem Laden der Google-Tags auf “abgelehnt” stehen.
• Nach der Entscheidung im Banner aktualisiert die CMP die vier Signale: ad_storage, analytics_storage, ad_user_data und ad_personalization.
• Prüfe im Tag Assistant von Google, ob die Signale in der richtigen Reihenfolge ankommen.

Der Consent Mode ersetzt dabei keine Einwilligung. Er regelt nur, wie Google-Tags auf Deine Entscheidung reagieren. Wenn Du Anzeigen schaltest, lohnt sich die saubere Verbindung doppelt, denn ohne korrekte Signale sind Conversion-Daten lückenhaft. Mehr zur Werbeseite findest Du in unserem Beitrag zu Google Ads für kleine Unternehmen und auf der Seite zu Online-Werbung.

Schritt 6: Banner gestalten und Widerruf einbauen

Das Design ist keine Nebensache, denn es beeinflusst, ob eine Einwilligung als freiwillig gilt. Diese Punkte gehören in jede Konfiguration:

• “Ablehnen” und “Akzeptieren” sind auf der ersten Ebene gleich auffällig und gleich leicht erreichbar.
• Keine vorausgewählten Kategorien außer “notwendig”.
• Links zu Impressum und Datenschutzerklärung bleiben ohne Klick erreichbar.
• Ein dauerhafter Link oder Button “Cookie-Einstellungen” im Footer ermöglicht den Widerruf.
• Text und Kontraste sind lesbar, das Banner ist per Tastatur bedienbar. Das zahlt auch auf die Barrierefreiheit ein.

Schritt 7: Testen, bevor Du live gehst

Eine CMP ist erst fertig, wenn sie getestet ist. Mach diese Prüfung im Inkognito-Fenster mit geöffneten Entwicklertools:

1. Vor dem Klick: Im Netzwerk-Reiter dürfen keine Anfragen an Analytics-, Werbe- oder Social-Domains erscheinen. Auch keine Cookies außer den notwendigen.
2. Nach “Ablehnen”: Der Zustand bleibt unverändert, auch nach dem Wechsel auf andere Unterseiten.
3. Nach “Akzeptieren”: Die freigegebenen Dienste laden jetzt, und zwar nur die der gewählten Kategorien.
4. Nach Widerruf: Die Dienste werden wieder gestoppt, gesetzte Cookies werden entfernt oder laufen nicht weiter.
5. Mobil und in mehreren Browsern: Das Banner darf Inhalte nicht verdecken und muss auf kleinen Bildschirmen bedienbar bleiben.

Wiederhole den Test nach jedem Relaunch, Plugin-Update oder neuen Marketing-Tool. Genau dort schleichen sich neue Skripte ein, an denen die Konfiguration vorbeigeht. Wer seine Seite regelmäßig pflegen lässt, hat diesen Check idealerweise im Wartungsplan stehen.

Häufige Fragen

Brauche ich zwingend eine CMP oder reicht ein selbstgebautes Banner?

Gesetzlich vorgeschrieben ist die wirksame Einwilligung, kein bestimmtes Tool. Ein selbstgebautes Banner kann funktionieren, wenn es Blocking, Protokollierung und Widerruf sauber löst. In der Praxis ist eine etablierte CMP meist weniger fehleranfällig und leichter zu pflegen.

Was ist der Unterschied zwischen Cookie-Banner und CMP?

Das Banner ist die Oberfläche, die Besucher sehen. Die CMP umfasst zusätzlich die Logik dahinter: Dienste steuern, Entscheidungen speichern, Widerruf verwalten und Signale an Tools wie den Google Consent Mode weitergeben.

Muss ich den Google Consent Mode nutzen?

Nur wenn Du Google-Dienste für Analyse oder Werbung im Europäischen Wirtschaftsraum nutzt und dabei Daten wie Conversions auswerten willst. Ohne Google-Tags brauchst Du ihn nicht. Er ersetzt aber nie die Einwilligung selbst.

Wie oft muss ich die CMP-Einstellungen überprüfen?

Immer wenn sich etwas an der Website ändert, etwa ein neues Plugin, Video oder Marketing-Tool, und zusätzlich mindestens einmal im Jahr. Ein kurzer Test im Inkognito-Fenster reicht oft, um Lücken zu finden.

Kann ich die CMP selbst einrichten oder sollte das eine Agentur machen?

Bei einer kleinen Seite mit wenigen Diensten ist die Selbsteinrichtung machbar. Bei Shops, Werbung mit Conversion-Tracking, Tag Manager oder historisch gewachsenen Seiten lohnt sich Hilfe, weil Fehler im Blocking schwer zu erkennen sind.

Wenn Du es nicht selbst aufsetzen willst

Wir richten Consent-Lösungen im Rahmen unserer DSGVO-Optimierung ein: von der Bestandsaufnahme über Skript-Blocking und Consent Mode bis zum dokumentierten Abschlusstest. Wenn Du wissen möchtest, was auf Deiner Website tatsächlich vor dem Klick lädt, melde Dich für ein unverbindliches Erstgespräch. Wir schauen gemeinsam drauf und sagen Dir ehrlich, was zu tun ist.