CMP Check: Prüfung von Cookie-Banner und Datenfluss
CMP Check prüft regelmäßig, ob beides übereinstimmt. Das Verfahren misst, welche Daten Ihre Website an wen sendet, hält das gegen die Texte Ihrer Consent-Management-Plattform und weist Sie darauf hin, sobald sich der Datenfluss ändert. Jede Prüfung ist dokumentiert.
Links ein Cookie-Banner mit der Aussage über Statistik- und Werbedienst, rechts eine Website mit Pfeilen zu drei Empfängern, in der Mitte der Abgleich: zwei Empfänger sind gemessen und genannt, einer ist gemessen, aber im CMP-Text nicht genannt (Beispieldarstellung)
Ausgangslage
Ihre Consent-Management-Plattform (CMP) ist das System hinter dem Cookie-Banner: Sie zeigt die Auswahl an, speichert die Entscheidung und steuert, was geladen werden darf. Doch die Texte im Banner pflegt der Datenschutz, Tags und Kampagnen das Marketing, Code und Plugins die Agentur oder die IT. Und Toolanbieter aktualisieren ihre Skripte auf eigenen Servern. Alle arbeiten zu eigenen Zeitpunkten. Ob das Ergebnis noch zusammenpasst, schaut sich selten jemand regelmäßig an.
Reguläre CMPs prüfen oft vor allem Cookies oder Einträge im lokalen Browserspeicher (Local Storage). Ob der Fließtext der CMP tatsächlich zum technischen Datenfluss passt, bleibt offen: Stimmen die genannten Empfänger, Zwecke und Speicherdauern mit dem überein, was der Browser wirklich tut?
Schon kleine Änderungen bei Toolanbietern können zu anderem Verhalten führen. In den öffentlichen Änderungsprotokollen von Consent-Plugins finden sich Korrekturen, weil Einbindungen vor der Einwilligung geladen wurden oder ein Einwilligungssignal falsch gesetzt war. Im schlimmsten Fall wird daraus eine meldepflichtige Datenpanne: Daten werden ohne gültige Einwilligung (Consent) gesammelt und gegebenenfalls an Dritte wie Google und Meta weitergegeben.
Lösung
CMP Check prüft regelmäßig mehrere Seiten Ihrer eigenen Domain, und zwar wie ein echter Besucher: mit echtem Chrome-Browser, leerem Profil und echten Klicks auf Ihren Banner. Jede Netzwerkanfrage wird erfasst und protokolliert: an welchen Empfänger sie geht, welche Daten sie trägt, welches Skript sie auslöst und ob sie vor oder nach dem Klick erfolgt. Zugleich liest CMP Check die Texte und Angaben Ihrer CMP, vom Banner bis zu den Anbieter-Details, und prüft, ob alles zusammenpasst. Ändert sich der Datenfluss so, dass er nicht mehr zu den Inhalten Ihrer CMP passt, weist CMP Check Sie proaktiv darauf hin. Jede Prüfung wird mit Nachweisen dokumentiert.
Das Produktversprechen in einem Satz
Text und Datenfluss stimmen überein, und Sie erfahren es, wenn das nicht mehr so ist.
Die CMP weiß, was Besucher gewählt haben.
CMP Check zeigt, was Ihre Seite daraus macht.
Einsatzbeispiele
Stellen Sie sich vor ...
Beispiel 01
Die Einwilligungsbedingung fehlt. Beim nächsten Prüflauf zeigt die Veränderung zum letzten Lauf einen neuen Empfänger vor dem Klick, mit Seite, Anfrage und auslösendem Skript. Sie können korrigieren, bevor sich der Fehler über Wochen aufsummiert.
Beispiel 02
Ein im CMP-Text aufgeführtes Tool lädt nach einem Update einen weiteren Dienst nach. Ihre Website wurde nicht angefasst. Der Abgleich meldet: „gemessen, aber in den CMP-Texten nicht genannt“.
Beispiel 03
Der Banner verspricht „keine Datenübertragung ohne Einwilligung“. Der Bericht zeigt Anfragen an einen Empfänger vor dem Klick, mit der passenden Textstelle daneben.
Beispiel 04
Nach dem Ablehnen sendet die Seite mehr als ohne jede Interaktion. Der Vergleich der beiden Durchgänge macht es sichtbar.
Beispiel 05
Der CMP-Text nennt für ein Cookie eine Speicherdauer, die Messung zeigt eine andere Laufzeit. Der Abgleich stellt beide Angaben nebeneinander, mit dem betroffenen Cookie und der Textstelle.
Beispiel 06
Der Fingerabdruck über alle CMP-Texte zeigt die Änderung, auch wenn das Verhalten Ihrer Seite gleich bleibt.
Beispiel 07
Die Protokolle vergangener Prüfungen liegen vor, mit Prüfsummen und Zeitstempel.
Beispiel 08
Nach jedem Release gibt es eine Rückmeldung, ob Text und Datenfluss noch zusammenpassen, und einen Verlauf, den Sie Ihrem Auftraggeber zeigen können. Für jede Domain gibt es eine eigene Prüfkonfiguration.
Vorteile
Nicht Cookies zählen, sondern prüfen, wohin Daten gesendet werden und ob der CMP-Text das beschreibt. Jeder gemessene Empfänger wird mit den Texten Ihrer CMP abgeglichen: „gemessen und genannt“ oder „gemessen, aber im CMP-Text nicht genannt“, jeweils mit der passenden Textstelle.
Sie erfahren beim nächsten Prüflauf von einer Abweichung, nicht erst Monate später. Die Meldung zeigt, was sich seit dem letzten Lauf geändert hat: neue und entfallene Empfänger, geänderte Cookies und Speichereinträge je Seite, geänderte CMP-Texte. Niemand muss einen ganzen Bericht lesen, um die eine Änderung zu finden.
Netzwerkmitschnitt, Video, Screenshots, Prüfsummen und Zeitstempel: Nachträgliche Änderungen sind erkennbar, der Messzeitpunkt ist belegbar. Aneinandergereihte Protokolle zeigen nicht nur den Stand, sondern auch, seit wann etwas so ist.
Die gemessene Laufzeit jedes Cookies wird mit der Speicherdauer verglichen, die Ihre CMP dafür angibt. Dazu wird jedes Cookie gegen die Cookie-Liste und die Kategorie-Zuordnung Ihrer CMP gehalten. Zahlen im Banner sind damit nicht bloß behauptet, sondern gegen die Messung geprüft.
Jede Meldung hängt an Empfänger, Seite und einzelner Anfrage, mit auslösendem Skript und Zeitpunkt vor oder nach dem Klick. Das verkürzt die Klärung mit Agentur, Marketing oder Toolanbieter von „irgendetwas stimmt nicht“ auf „diese Anfrage, diese Seite“.
Kein Code-Schnipsel, kein Zugriff auf Tag-Manager oder CMP. Geprüft wird, was der Browser tatsächlich tut, unabhängig davon, wer Ihre Seite pflegt: Agentur, IT oder Marketing.
Ablauf
Ablauf einer Prüfung mit frischem Browserprofil in vier Durchgängen: Inventar, ohne Interaktion, Alle akzeptieren, Alle ablehnen. Die drei letzten Durchgänge laufen je dreimal. Danach folgt der Abgleich von Datenfluss und CMP-Text.
Gemeinsam mit Ihnen wird die Seitenliste abgestimmt. Startseite, Checkout, Kontaktformular und weitere wichtige Seiten sind bei jeder Prüfung fest dabei, auch Kampagnenseiten lassen sich fest aufnehmen. Für jede Domain gibt es eine eigene Prüfkonfiguration. Sie benennen die Ansprechpartner, die Meldungen erhalten. Die erste Prüfung bildet die Vergleichsbasis für alle folgenden.
Jede Messung startet mit einem frischen, leeren Browserprofil. Vier Durchgänge: Zuerst werden alle Ebenen und Texte Ihrer CMP gesichert (Inventar). Dann wird beobachtet, was passiert, bevor der Besucher etwas klickt. Danach folgen „Alle akzeptieren“ und „Alle ablehnen“. Die Durchgänge ohne Interaktion, Akzeptieren und Ablehnen laufen standardmäßig je dreimal, damit sich Zufall von Änderung trennen lässt. Die Einwilligung wird immer per echtem Klick auf den Banner gegeben oder verweigert, nie technisch gesetzt, und über die CMP selbst gegengeprüft. Aus einem Seitenpool von bis zu 100 Adressen wird eine Stichprobe gemessen. Ist die Ausgangslage nicht sauber, etwa weil der Banner nicht auffindbar ist oder die Entscheidung nicht nachweisbar, bricht die Messung ab, statt ein Scheinergebnis zu liefern.
Die Texte und Angaben Ihrer CMP werden wortgetreu den einzelnen Anbietern zugeordnet und mit dem gemessenen Datenfluss verglichen (Prüfumfang siehe unten).
Jeder Lauf wird mit dem vorherigen verglichen. Bei Abweichungen und Veränderungen gehen Meldungen per E-Mail oder Messenger (zum Beispiel Slack oder Microsoft Teams) an Ihre benannten Ansprechpartner, mit Belegverweisen. Geprüft wird regelmäßig im vereinbarten Rhythmus, zusätzlich auf Abruf, zum Beispiel direkt nach einem Release.
Sie erhalten einen Kurzbericht in Klartext für Geschäftsführung und Datenschutz, darunter den vollständigen Bericht mit Drill-down bis zur einzelnen Anfrage. Rohdaten und Protokolle erhalten Sie auf Wunsch (Details im Block „Dokumentation“ unten).
19 Punkte in 4 Gruppen
Jeder Befund trägt eine Einstufung (hoch, mittel, niedrig) mit Begründung, zum Beispiel „in 3 von 3 Wiederholungen gemessen“. Was nicht ermittelbar ist, steht als „nicht ermittelbar“ im Bericht, statt geraten zu werden.
Die Vollmessung (Standard: drei Wiederholungen, mehrere Seiten) liefert den belastbaren Befund. Die Schnellprüfung (eine Seite, ein Durchgang) gibt eine erste Orientierung und ist im Bericht als Prüfung mit eingeschränkter Aussagesicherheit gekennzeichnet.
Dokumentation
Jede Prüfung hinterlässt ein Protokoll, das auch Monate später beantwortet, was Ihre Website an einem bestimmten Tag getan hat.
Ihre CMPDie Einwilligungsprotokolle Ihrer CMP dokumentieren die Entscheidung einzelner Besucher.
CMP CheckDie Protokolle von CMP Check dokumentieren das Verhalten Ihrer Website.
Beides ergänzt sich.
Wofür Sie die Dokumentation einsetzen für Ihre interne Dokumentation, für Gespräche mit Agenturen und Toolanbietern, bei Nachfragen von Auftraggebern oder Geschäftspartnern und für Audits.
Abgrenzung
Prüfungen rund um den Cookie-Banner gibt es viele, vom Cookie-Scan bis zum Jahrescheck. CMP Check setzt an anderer Stelle an:
| Häufig | CMP Check |
|---|---|
| Cookies und Speichereinträge werden gelistet. | Der Datenfluss wird gemessen und gegen den CMP-Text gehalten, für jeden gemessenen Empfänger. |
| Eine einmalige Prüfung zeigt den Stand eines Tages. | Regelmäßige Läufe mit Veränderung zum letzten Lauf: Sie sehen, was sich geändert hat, und seit wann. |
| Von Hand im Browser nachsehen: ein Moment, eine Seite. | Gleiche Messung bei jedem Lauf: frisches Profil, echte Klicks, drei Wiederholungen. Änderungen sind vergleichbar und kein Zufall. |
| Ein Screenshot gilt als Beleg. | Netzwerkmitschnitt, Video, Prüfsummen und Zeitstempel. |
| Die Konfiguration sagt, was gewollt ist. | Die Messung zeigt, was der Browser tatsächlich tut. |
Ob der Banner ehrlich ist, entscheidet sich nicht an der Cookie-Liste, sondern daran, wohin die Seite Daten sendet. Auch die Zahlenangabe im Banner, die Speicherdauer, wird gegen die Messung geprüft.
Das Verhalten ändert sich bei gleichem Text (Tag- oder Anbieter-Update) oder der Text ändert sich bei gleichem Verhalten (CMP-Update). CMP Check erkennt beides.
Ist die Ausgangslage nicht sauber, bricht die Messung ab, statt ein grünes Ergebnis aus einer fehlerhaften Messung zu liefern. Jeder Befund trägt seine Aussagesicherheit.
Ihre CMP bleibt, was sie ist. CMP Check zeigt, ob das, was sie anzeigt, zu dem passt, was Ihre Seite tut. Ebenso entlastet CMP Check die Menschen, die ohnehin Verantwortung tragen: Datenschutz, Marketing, IT und Agentur arbeiten mit derselben belegten Faktenbasis.
Sicherheit & Datenschutz
CMP Check braucht keinen Zugriff auf Tag-Manager oder CMP.
Es gibt keine Installation und kein Code-Schnipsel auf Ihrer Website. CMP Check braucht keinen Zugriff auf Tag-Manager oder CMP.
Messbesuche rufen Seiten auf und klicken auf den Banner. Es werden keine Formulare abgeschickt und keine Käufe ausgelöst.
Frisches, leeres Browserprofil. Die Einwilligung wird ausschließlich per echtem Klick gegeben oder verweigert und anschließend über die CMP selbst nachgewiesen. Die Messung läuft mit deutscher Browsersprache und Zeitzone.
Bei unsauberer Ausgangslage bricht die Messung ab.
Ob ein Cookie etwa eine IP-Adresse, eine Ortsangabe oder eine Kennung enthält, wird geprüft. Im Bericht stehen Name, Laufzeit, Zweck und das Ergebnis, nicht der Cookie-Wert.
Nachträgliche Änderungen an den Rohdaten sind erkennbar, die Rohdaten bleiben unverändert.
Empfänger der Meldungen sind die Personen, die Sie benennen.
FAQ
Ein Cookie-Scan listet, was gespeichert wird, und dient häufig der Pflege der eigenen CMP. CMP Check prüft zusätzlich, an wen Ihre Seite Daten sendet und ob der CMP-Text das beschreibt, mit echtem Klick auf „Alle akzeptieren“ und „Alle ablehnen“. Außerdem von außen und unabhängig von Ihrer Konfiguration: Geprüft wird, was der Browser tut, nicht, was eingestellt ist.
Ja. Die gemessene Laufzeit jedes Cookies wird mit der Speicherdauer abgeglichen, die Ihre CMP angibt. Gibt die CMP keine Dauer an, steht das so im Bericht. Der Abgleich gilt für Cookies, denn Einträge im lokalen Browserspeicher haben kein Ablaufdatum. Dazu kommen der Abgleich der Empfänger mit den CMP-Texten, der Abgleich mit der Cookie-Liste und die Prüfung der Kategorie-Zuordnung.
Bei serverseitigem Tagging laufen Anfragen zuerst an einen eigenen Server Ihrer Website. Die Messung zeigt die Anfragen des Browsers bis dorthin und liefert Hinweise auf serverseitiges Tagging. Was ein eigener Server danach weitergibt, ist von außen nicht sichtbar. Beim Consent Mode, dem Verfahren, mit dem Google-Tags den Einwilligungsstatus erfahren, werden die Statusparameter der Google-Anfragen je Durchgang gelesen und vor und nach dem Klick verglichen. Gemessen wird, ob und wie viele Anfragen nach dem Ablehnen an Google gehen.
CMP Check erkennt die verbreiteten Consent-Management-Plattformen im deutschsprachigen Markt (elf Erkennungsprofile), weitere Banner lassen sich individuell anbinden. Fehlt „Ablehnen“ auf der ersten Ebene des Banners, wird das als Befund ausgewiesen. Haben Sie noch keine CMP, misst CMP Check ohne Interaktion über bis zu 10 Unterseiten und gibt eine regelbasierte Empfehlung samt Liste der Dienste, die in eine CMP gehören.
Regelmäßig im vereinbarten Rhythmus, zusätzlich auf Abruf, zum Beispiel direkt nach einem Release. Gemessen wird eine Stichprobe aus einem Seitenpool von bis zu 100 Adressen. Wichtige Seiten wie Startseite, Checkout und Kontaktformular sind bei jeder Prüfung dabei. Die Seitenliste stimmen wir mit Ihnen ab, Kampagnen- und Landingpages können fest aufgenommen werden. Mehrere Domains sind möglich, jede mit eigener Prüfkonfiguration.
Nein. CMP Check misst von außen wie ein Besucher, ohne Installation und ohne Code-Schnipsel.
Nein. Messbesuche sind Seitenaufrufe mit Klick auf den Banner. Es werden keine Formulare abgeschickt und keine Käufe ausgelöst.
Sie erhalten eine Meldung per E-Mail oder Messenger (zum Beispiel Slack oder Microsoft Teams) mit der Veränderung zum letzten Lauf und mit Belegverweisen. Dazu gibt es einen Bericht in Klartext, in dem jeder Befund bis zur einzelnen Anfrage nachvollziehbar ist. Auf Wunsch unterstützt consilom bei der Einordnung und Behebung.
Netzwerkmitschnitt, Video, Screenshots, Cookie- und Speicherstände sowie die Messkonfiguration werden je Durchgang gesichert. Prüfsummen (SHA-256) und ein Zeitstempel nach RFC 3161 eines externen Dienstes machen nachträgliche Änderungen erkennbar und den Messzeitpunkt belegbar. Die Rohdaten bleiben unverändert, Auswertungen lassen sich neu erzeugen.
Nein. CMP Check gibt beiden eine laufende, belegte Faktenbasis und entlastet die Menschen, die ohnehin Verantwortung tragen.
Kontakt
Im Gespräch klären wir, welche Seiten Ihrer Domain geprüft werden, in welchem Rhythmus und wer die Meldungen erhält. Die erste Prüfung bildet dann Ihre Vergleichsbasis.
