# Dark Patterns in Cookie-Bannern: Darauf achten Aufsichtsbehörden

> Vorausgewählte Kästchen, versteckte Ablehnen-Buttons und Cookie-Walls können Einwilligungen entwerten. Welche Dark Patterns Behörden ahnden und wie Sie sie beheben.

Source: https://www.cookiesh.eu/de/blog/cookie-banner-dark-patterns  
Published: 2026-04-07

## Key takeaways

- Eine über ein manipulatives Banner eingeholte Einwilligung ist nicht wirksam. Cookies, die darauf gestützt gesetzt werden, haben daher keine Rechtsgrundlage.
- Aufsichtsbehörden erwarten, dass das Ablehnen von Cookies genauso einfach ist wie das Akzeptieren, was in der Praxis eine Ablehnungsoption auf der ersten Ebene bedeutet.
- Vorab angekreuzte Kästchen, stillschweigende Einwilligung durch Scrollen und Cookie-Walls gehören zu den Mustern, die EU-Behörden am konsequentesten zurückweisen.
- Auch der kalifornische CPRA stellt klar, dass eine durch Dark Patterns erlangte Zustimmung nicht als Einwilligung gilt.

Dark Patterns in Cookie-Bannern sind Gestaltungsentscheidungen, die Besucher zur Zustimmung zu Cookies lenken: die Ablehnungsoption verstecken, Kästchen vorab ankreuzen, einen auffälligen Button „Akzeptieren“ mit einem blassen Link „Einstellungen“ kombinieren oder Scrollen als Zustimmung werten. EU-Aufsichtsbehörden betrachten eine so eingeholte Einwilligung als unwirksam, denn die DSGVO verlangt, dass die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird und sich so einfach widerrufen lässt, wie sie erteilt wurde.

## Warum interessieren sich Aufsichtsbehörden für die Gestaltung von Bannern?

Weil die Wirksamkeit einer Einwilligung davon abhängt, wie Sie sie eingeholt haben. Artikel 4 Nr. 11 DSGVO definiert die Einwilligung als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer eindeutigen bestätigenden Handlung. Artikel 7 ergänzt, dass Sie die Einwilligung nachweisen können müssen und dass ihr Widerruf so einfach sein muss wie ihre Erteilung.

Ein Banner, das Menschen zum Klick auf „Akzeptieren“ drängt, erfüllt diese Bedingungen nicht. In diesem Fall wurde jedes danach gesetzte nicht notwendige Cookie ohne wirksame Einwilligung gesetzt, was gegen die ePrivacy-Vorschriften verstößt, und jeder auf diesen Daten aufbauenden Verarbeitung fehlt die Rechtsgrundlage. Schwere DSGVO-Verstöße können mit Geldbußen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Das bekannteste Beispiel sind die Entscheidungen der CNIL vom Dezember 2021 gegen Google (150 Mio. €) und Facebook (60 Mio. €). Die französische Aufsichtsbehörde stellte fest, dass das Ablehnen von Cookies auf ihren Websites schwieriger war als das Akzeptieren. Weitere Fälle und ihre Lehren finden Sie in unserem Beitrag dazu, [was Website-Betreiber aus Cookie-Bußgeldverfahren lernen können](/de/blog/cookie-enforcement-lessons).

## Welche Dark Patterns nehmen Aufsichtsbehörden am häufigsten ins Visier?

Die meiste Aufmerksamkeit ziehen Muster auf sich, die das Ablehnen schwieriger, weniger sichtbar oder weniger klar machen als das Akzeptieren. Diese Tabelle fasst die wichtigsten zusammen und zeigt, wie Sie sie beheben.

| Dark Pattern | So sieht es aus | Warum es unzulässig ist | Lösung |
|---|---|---|---|
| Keine Ablehnung auf der ersten Ebene | Nur „Alle akzeptieren“ und „Einstellungen verwalten“ | Ablehnen kostet mehr Aufwand als Akzeptieren | „Alle ablehnen“ neben „Alle akzeptieren“ platzieren |
| Vorab angekreuzte Kästchen | Schalter für Analyse und Marketing sind bereits aktiviert | Keine eindeutige bestätigende Handlung | Jeden nicht notwendigen Schalter standardmäßig deaktivieren |
| Optische Asymmetrie | Fetter farbiger Akzeptieren-Button, grauer Textlink zum Ablehnen | Lenkt die Entscheidung über die Gestaltung | Beiden Optionen gleiche Größe, Gewichtung und gleichen Kontrast geben |
| Stillschweigende Einwilligung | „Mit der weiteren Nutzung stimmen Sie zu“ | Surfen oder Scrollen ist keine eindeutige bestätigende Handlung | Nichts Nicht-Notwendiges setzen, bevor eine echte Wahl getroffen wurde |
| Cookie-Walls | Inhalte bleiben gesperrt, bis der Besucher zustimmt | Die Einwilligung ist in der Regel nicht freiwillig | Zugang ermöglichen, ohne dass nicht notwendige Cookies akzeptiert werden müssen |
| Vage oder irreführende Texte | „Ihre Privatsphäre ist uns wichtig“ mit einem einzigen „OK“ | Die Einwilligung ist nicht informiert | Die Zwecke in einfacher Sprache benennen |
| Versteckter Widerruf | Keine Möglichkeit, die Einstellungen nach der Wahl erneut zu öffnen | Der Widerruf muss so einfach sein wie die Einwilligung | Einen dauerhaft verfügbaren Link „Cookie-Einstellungen“ ergänzen |
| Ständiges Nachfragen | Das Banner erscheint nach jeder Ablehnung erneut | Setzt Menschen unter Druck, zuzustimmen | Ablehnungen für einen angemessenen Zeitraum speichern |

Die Regel zu vorab angekreuzten Kästchen stammt aus dem Planet49-Urteil des EuGH (C-673/17, 2019), wonach ein vorab angekreuztes Kästchen, das der Nutzer zum Ablehnen abwählen muss, keine wirksame Einwilligung begründet. Die Einwilligungsleitlinien des EDSA ergänzen, dass Scrollen oder Wischen durch eine Seite keine Einwilligung ist und dass eine Einwilligung in der Regel nicht freiwillig ist, wenn der Zugang zu Inhalten davon abhängt, dass Cookies akzeptiert werden.

## Ist ein Button „Alle ablehnen“ gesetzlich vorgeschrieben?

Die DSGVO erwähnt keine Buttons, doch die Aufsichtsbehörden verlangen, dass das Ablehnen so einfach ist wie das Akzeptieren, und am einfachsten erfüllen Sie diesen Maßstab mit einer Ablehnungsoption auf der ersten Ebene. Ein Banner, bei dem die Zustimmung einen Klick und die Ablehnung mehrere Schritte erfordert, ist das Muster, das am ehesten ein Verfahren nach sich zieht.

Der Button muss nicht wörtlich „Alle ablehnen“ heißen. „Ablehnen“, „Nicht notwendige ablehnen“ oder „Weiter ohne Zustimmung“ können funktionieren, sofern die Option gut sichtbar ist, auf derselben Ebene wie der Akzeptieren-Button steht und tatsächlich dazu führt, dass keine nicht notwendigen Cookies gesetzt werden. Ein winziger, kontrastarmer Link „Weiter ohne Zustimmung“ in einer Ecke dürfte kaum genügen.

## Was gilt für den Schließen-Button und die Einstellungsebene?

Ein Schließen-Button, oft ein „X“, darf niemals als Zustimmung gewertet werden. Wenn Sie einen anbieten, behandeln Sie das Schließen des Banners als Ablehnung oder zumindest als fehlende Entscheidung und setzen Sie nichts Nicht-Notwendiges.

Die zweite Ebene verdient dieselbe Aufmerksamkeit. Achten Sie auf diese subtileren Muster:

- Schalter mit der Beschriftung „berechtigtes Interesse“, die standardmäßig aktiviert sind und einen separaten Widerspruch erfordern.
- Ein prominenter Button „Alle akzeptieren“ im Einstellungsfenster, während „Auswahl speichern“ unter einer langen Anbieterliste steht.
- Kategoriebeschreibungen, die Tracking verharmlosen, etwa wenn Werbe-Cookies als „Performance“-Cookies bezeichnet werden.
- Bestätigungsdialoge, die nur dann „Sind Sie sicher?“ fragen, wenn jemand ablehnt.

## Wie prüfe ich mein eigenes Banner auf Dark Patterns?

Testen Sie das Banner wie ein skeptischer Besucher, auf dem Desktop und auf Mobilgeräten, und gehen Sie dann diese Checkliste durch:

1. Akzeptieren und Ablehnen befinden sich beide auf der ersten Ebene und erfordern gleich viele Klicks.
2. Beide Optionen haben eine gleichwertige Größe, farbliche Gewichtung und einen gleichwertigen Kontrast.
3. Kein nicht notwendiger Schalter ist standardmäßig aktiviert.
4. Vor einer Entscheidung wird kein nicht notwendiges Cookie gesetzt und kein solches Tag ausgelöst, überprüft in einer sauberen Browsersitzung.
5. Das Schließen oder Ignorieren des Banners gilt nicht als Zustimmung.
6. Die Zwecke werden konkret und in einfacher Sprache beschrieben.
7. Über einen dauerhaft verfügbaren Link können Besucher ihre Einwilligung jederzeit ändern oder widerrufen.
8. Ablehnungen werden gespeichert und nicht sofort erneut abgefragt.

Die vollständigen rechtlichen Bedingungen hinter diesen Prüfpunkten finden Sie in [Die Bedingungen für eine wirksame Cookie-Einwilligung nach DSGVO](/de/blog/valid-consent-checklist). Wenn Sie statt einer Liste mit Dingen, die Sie vermeiden sollten, konkrete Gestaltungsempfehlungen suchen, lesen Sie [So gestalten Sie ein konformes und nutzerfreundliches Cookie-Banner](/de/blog/cookie-banner-design-best-practices).

## Gelten die Regeln zu Dark Patterns auch außerhalb der EU?

Ja, in unterschiedlicher Form. Im Vereinigten Königreich setzt das ICO die UK GDPR und die PECR mit Einwilligungsstandards durch, die eng an denen der EU ausgerichtet sind, und hat Website-Betreiber öffentlich aufgefordert, das Ablehnen von Cookies so einfach zu machen wie das Akzeptieren. Auch das brasilianische LGPD verlangt, dass eine Einwilligung frei, informiert und eindeutig erteilt wird.

Kalifornien verfolgt einen Opt-out-Ansatz, doch der CPRA stellt klar, dass eine durch Dark Patterns erlangte Zustimmung keine Einwilligung darstellt, und die Vorschriften der California Privacy Protection Agency verlangen Symmetrie bei den Auswahlmöglichkeiten. Ein Opt-out-Ablauf, der schwerer abzuschließen ist als die Alternative, wirft dieselben Bedenken auf wie ein EU-Banner ohne Ablehnen-Button. Details finden Sie in [CCPA und CPRA: Was das US-Datenschutzrecht für Cookies bedeutet](/de/blog/ccpa-cpra-cookies).

## Fazit

Aufsichtsbehörden beurteilen ein Banner nach seiner Wirkung: Kann ein Besucher genauso einfach ablehnen wie zustimmen, und stoppt eine Ablehnung das Tracking tatsächlich? Entfernen Sie jede Gestaltung, die dieses Gleichgewicht verschiebt, prüfen Sie, ob das technische Verhalten zu den Buttons passt, und dokumentieren Sie, was Sie geändert haben und warum. Tools wie Cookiesh können Cookie-Scans automatisieren und unveränderliche Einwilligungsprotokolle führen, mit denen Sie belegen können, was Besucher tatsächlich gewählt haben.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Ist es ein Dark Pattern, unsere Markenfarbe für den Akzeptieren-Button zu verwenden?

Das kann es sein, wenn die Ablehnungsoption dadurch sichtbar weniger prominent wirkt. Markenfarben sind in Ordnung, solange Akzeptieren und Ablehnen in Größe, Kontrast und Platzierung vergleichbar sind und keine der beiden Optionen optisch bevorzugt wird.

### Darf ich das Banner erneut anzeigen, nachdem jemand Cookies abgelehnt hat?

Nicht auf jeder Seite und nicht bei jedem Besuch. Wer nach einer klaren Ablehnung immer wieder fragt, setzt Menschen unter Druck, doch zuzustimmen. Fragen Sie erst nach einem angemessenen Zeitraum erneut oder wenn sich Ihre Zwecke oder Anbieter wesentlich ändern.

### Gelten die Regeln zu Dark Patterns auch für kleine Websites?

Ja. Die Anforderungen an die Einwilligung gelten unabhängig von der Unternehmensgröße. Die spektakulärsten Bußgelder trafen bisher vor allem große Plattformen, doch jede Website kann verpflichtet werden, ihr Banner zu korrigieren und die Verarbeitung von Daten einzustellen, die ohne wirksame Einwilligung erhoben wurden.

## Sources

- [EuGH, Rechtssache C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [California Privacy Protection Agency](https://cppa.ca.gov/)