# So führen Sie ein Cookie-Audit für Ihre Website durch

> Schritt für Schritt zum Cookie- und Tracker-Audit: Umfang festlegen, Geladenes erfassen, alles kategorisieren, Einwilligungsverhalten testen, Lücken schließen.

Source: https://www.cookiesh.eu/de/blog/how-to-run-a-cookie-audit  
Published: 2026-05-07

## Key takeaways

- Ein Cookie-Audit ist eine strukturierte Bestandsaufnahme aller Cookies und ähnlichen Technologien, die Ihre Website verwendet, mit Angaben dazu, wer sie setzt, warum und für wie lange.
- Führen Sie das Audit in einem sauberen Browser ohne gespeicherte Einwilligung durch, denn genau diesen Zustand sehen neue Besucher und Aufsichtsbehörden zuerst.
- Schauen Sie über Cookies hinaus: Auch Local Storage, Session Storage und Tracking-Pixel fallen unter die Regeln für das Speichern auf dem Endgerät und den Zugriff darauf.
- Testen Sie jedes wichtige Seiten-Template in drei Zuständen: vor jeder Entscheidung, nach „Alle ablehnen“ und nach „Alle akzeptieren“.
- Wiederholen Sie das Audit regelmäßig und nach jedem Release, das Drittanbieter-Tags hinzufügt oder ändert.

Ein Cookie-Audit ist eine strukturierte Überprüfung aller Cookies und ähnlichen Tracking-Technologien, die Ihre Website verwendet: was sie sind, wer sie setzt, warum, für wie lange und ob sie auf die Einwilligung warten. Dazu legen Sie den Umfang fest, laden die Website in einem sauberen Browser, erfassen alles, was gespeichert oder ausgelesen wird, ordnen jedes Element einer Kategorie zu, testen das Verhalten vor und nach der Einwilligung und schließen dann die Lücken.

## Warum ist ein Cookie-Audit wichtig?

Ohne zu wissen, was Ihre Website tatsächlich tut, können Sie weder eine wirksame Einwilligung einholen noch eine korrekte Cookie-Richtlinie schreiben oder die Fragen einer Aufsichtsbehörde beantworten. Ein Audit ersetzt Annahmen durch ein überprüftes Inventar.

Nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie erfordert das Speichern von Informationen auf dem Endgerät eines Nutzers oder der Zugriff darauf grundsätzlich eine Einwilligung, es sei denn, es ist für einen vom Nutzer angeforderten Dienst unbedingt erforderlich. Diese Regel erfasst Cookies, aber auch Local Storage, Pixel und vergleichbare Techniken. Auf den meisten Websites sammeln sich mit der Zeit Tags an, über Marketing-Tools, eingebettete Videos, Chat-Widgets und A/B-Test-Skripte, und nur wenige Teams wissen genau, was jedes davon setzt.

Ein Audit bringt außerdem Ballast ans Licht. Verwaiste Tags, die noch immer geladen werden, doppelte Analyse-Tools und Anbieter, an deren Einbindung sich niemand erinnert, kosten Ladezeit und schaffen Risiken ohne jeden Nutzen.

## Was sollten Sie vor dem Start vorbereiten?

Legen Sie den Umfang fest und sammeln Sie Kontext, bevor Sie die Entwicklertools Ihres Browsers öffnen. Eine kurze Vorbereitungsphase verhindert den häufigsten Fehler: nur die Startseite zu prüfen.

- **Domains und Subdomains auflisten**, einschließlich Marketing-Websites, App-Subdomains, Hilfe-Center und extern gehosteter Checkout-Abläufe.
- **Repräsentative Seiten-Templates auswählen**: Startseite, Artikel, Produkt, Suche, Warenkorb, Checkout, Registrierung und ein Dashboard im eingeloggten Bereich.
- **Regionale Unterschiede notieren.** Wenn Sie je nach Standort unterschiedliche Banner anzeigen, planen Sie Tests aus jeder relevanten Region ein.
- **Den Tag-Manager-Container exportieren** und Ihre Anbieterverträge auflisten, damit Sie jeden Fund einem bekannten Verantwortlichen zuordnen können.
- **Die aktuelle Cookie-Richtlinie bereitlegen**, damit Sie sie am Ende mit der Realität vergleichen können.

## Wie führen Sie ein Cookie-Audit Schritt für Schritt durch?

Gehen Sie die Website in einem sauberen Zustand durch, erfassen Sie alles und halten Sie es dann in einem Inventar fest. Die folgenden Schritte beschreiben ein manuelles Audit; ein automatisierter Scanner folgt derselben Logik in größerem Maßstab.

1. **Sauber starten.** Öffnen Sie ein neues Browserprofil oder ein privates Fenster mit deaktivierten Erweiterungen und ohne gespeicherte Einwilligung. Wenn Sie Banner per Geo-Targeting ausspielen, verbinden Sie sich aus der Region, die Sie testen.
2. **Jedes Template laden, ohne das Banner anzurühren.** Dieser Zustand ist der wichtigste: Alles Nicht-Notwendige, das hier gesetzt wird, wird vor der Einwilligung gesetzt.
3. **Speicher erfassen.** Prüfen Sie in den Entwicklertools Ihres Browsers die Cookie-Liste für jede Domain sowie Local Storage, Session Storage und IndexedDB.
4. **Netzwerkanfragen erfassen.** Filtern Sie das Netzwerk-Panel nach Drittanbieter-Domains und notieren Sie Tracking-Pixel, Beacons und Skripte, auch wenn sie kein Cookie setzen.
5. **Wichtige Abläufe durchspielen.** Suchen Sie, legen Sie etwas in den Warenkorb, senden Sie ein Formular ab, melden Sie sich an und spielen Sie ein eingebettetes Video ab, denn viele Tags lösen erst bei einer Interaktion aus.
6. **Nach „Alle ablehnen“ und dann nach „Alle akzeptieren“ wiederholen.** Leeren Sie den Speicher zwischen den Durchläufen, damit jedes Ergebnis genau einen Einwilligungszustand widerspiegelt.
7. **Jedes Element erfassen**, und zwar mit den Feldern aus dem nächsten Abschnitt.

Ein kurzes Konsolen-Snippet kann Schritt 3 beschleunigen. Beachten Sie, dass `document.cookie` weder `HttpOnly`-Cookies noch Cookies anderer Domains sieht. Prüfen Sie die vollständige Liste daher immer in den Entwicklertools.

```js
// In der Browserkonsole bei einem neuen Besuch ausführen, bevor Sie das Banner anrühren
console.log('Cookies:', document.cookie.split('; ').filter(Boolean).map((c) => c.split('=')[0]));
console.log('localStorage:', Object.keys(localStorage));
console.log('sessionStorage:', Object.keys(sessionStorage));
```

## Was sollte Ihr Cookie-Inventar enthalten?

Jede Zeile sollte beantworten, wer, was, warum und wie lange. Diese Felder entsprechen direkt dem, was Ihr Banner und Ihre [Cookie-Richtlinie](/de/blog/how-to-write-a-cookie-policy) offenlegen müssen.

| Feld | Beispiel | Warum es wichtig ist |
| --- | --- | --- |
| Name | `_ga` | Kennzeichnet das Element in Ihren Angaben |
| Domain und Anbieter | Google Analytics | Zeigt, ob First- oder Third-Party, und wer Daten erhält |
| Typ | Cookie, Local Storage, Pixel | Alle fallen unter die Regeln für das Speichern auf dem Endgerät |
| Zweck | Unterscheidet Besucher für Analysezwecke | Bestimmt die Kategorie |
| Kategorie | Analyse | Entscheidet, ob eine Einwilligung nötig ist |
| Speicherdauer | Ablaufdatum oder Sitzung | Muss offengelegt werden und angemessen sein |
| Vor der Einwilligung gesetzt? | Ja oder nein | Zeigt Compliance-Lücken auf |
| Verantwortlich | Growth-Team | Jemand muss begründen, warum es bleibt |

## Wie kategorisieren Sie, was Sie gefunden haben?

Ordnen Sie jedes Element genau einer Zweckkategorie zu, und zwar anhand der engsten zutreffenden Beschreibung dessen, was es tut. Die meisten Consent-Tools verwenden vier Kategorien: notwendig, Präferenzen, Analyse und Marketing.

Die schwierigen Entscheidungen betreffen meist die Kategorie „notwendig“. Dorthin gehören nur Elemente, die für einen vom Nutzer ausdrücklich gewünschten Dienst erforderlich sind, etwa ein Sitzungscookie für den Warenkorb oder ein Cookie für die Lastverteilung. Analyse-, A/B-Test- und Werbe-Cookies erfüllen diese Voraussetzung in der Regel nicht, selbst wenn das Unternehmen sie für unverzichtbar hält. Die Grenzfälle behandelt unser Beitrag dazu, [was als unbedingt erforderliches Cookie gilt](/de/blog/strictly-necessary-cookies).

Wenn Sie für ein Element keinen Zweck oder Verantwortlichen finden, ist das bereits ein Befund. Unbekannte Tags sind Kandidaten für die Entfernung, nicht für die Kategorie „notwendig“. Zur Auffrischung zu First-Party-, Third-Party-, Sitzungs- und persistenten Cookies lesen Sie unsere Übersicht der [Cookie-Arten](/de/blog/types-of-cookies).

## Wie schließen Sie Lücken und halten das Audit aktuell?

Machen Sie aus den Befunden eine kurze Liste von Maßnahmen, setzen Sie die Korrekturen um und testen Sie dann dieselben Seiten erneut in denselben drei Zuständen. Typische Korrekturen lassen sich in vier Gruppen einteilen.

- **Entfernen** Sie Tags ohne Verantwortlichen oder Zweck.
- **Bis zur Einwilligung blockieren** Sie alles Nicht-Notwendige, das beim ersten Besuch geladen wird. Unser Leitfaden zum [Blockieren von Drittanbieter-Skripten bis zur Einwilligung](/de/blog/block-scripts-until-consent) erklärt die Techniken.
- **Verkürzen** Sie Speicherdauern, die länger sind, als der Zweck es erfordert.
- **Aktualisieren** Sie die Angaben in Banner und Cookie-Richtlinie, damit sie genau mit dem Inventar übereinstimmen.

Machen Sie Audits anschließend zur Routine. Wiederholen Sie das Audit in einem festen Rhythmus, etwa vierteljährlich, und immer dann, wenn ein Release ein Tag, einen Anbieter oder eine Einbindung hinzufügt. Bewahren Sie die Ergebnisse jedes Audits mit Datum auf, damit Sie zeigen können, wie sich Ihr Setup im Laufe der Zeit verändert hat und wann Probleme behoben wurden.

## Fazit

Ein Cookie-Audit ist die Grundlage für jede weitere Einwilligungsentscheidung, denn Kategorien, Banner-Text, Ihre Cookie-Richtlinie und die Skript-Blockierung hängen alle davon ab. Starten Sie in einem sauberen Zustand, erfassen Sie mehr als nur Cookies, testen Sie jeden Einwilligungszustand und wiederholen Sie den Prozess regelmäßig. Tools wie Cookiesh können den Scan-Schritt automatisieren, doch Entscheidungen über Zweck und Erforderlichkeit brauchen weiterhin einen menschlichen Verantwortlichen.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Wie lange dauert ein Cookie-Audit?

Bei einer kleinen Website mit einer Handvoll Templates kann ein manuelles Audit einige Stunden dauern. Große Websites mit vielen Tags, Regionen und Login-Bereichen brauchen in der Regel automatisierte Scans plus manuelle Stichproben, verteilt über mehrere Tage.

### Kann ich mich allein auf einen automatisierten Cookie-Scanner verlassen?

Scanner sind hervorragend für Abdeckung und Wiederholbarkeit, können aber Elemente übersehen, die erst nach einem Login, über Formulare oder durch bestimmte Nutzeraktionen gesetzt werden. Kombinieren Sie automatisierte Scans mit manuellen Tests wichtiger Abläufe wie Checkout, Registrierung und Kontoseiten.

### Wer sollte für das Cookie-Audit verantwortlich sein?

Am besten funktioniert es als gemeinsame Aufgabe. Die Entwicklung erfasst und korrigiert, was geladen wird, das Marketing erklärt, warum es jedes Tag gibt, und eine verantwortliche Person für Datenschutz gibt die Kategorien und die endgültige Cookie-Richtlinie frei.

### Brauche ich ein Cookie-Audit, wenn meine Besucher überwiegend aus den USA kommen?

Ja. Gesetze wie der kalifornische CCPA verlangen, dass Sie offenlegen, was Sie erheben, und Menschen dem Verkauf oder der Weitergabe ihrer Daten widersprechen lassen. Das gelingt nicht korrekt, wenn Sie nicht wissen, welche Tracker laufen.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [MDN: Using HTTP cookies](https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies)