WordPress Cookie-Banner richtig einrichten

Der entscheidende Punkt ist nicht der Banner, sondern was hinter ihm passiert. Ein Cookie-Banner erfüllt seinen Zweck ausschließlich dann, wenn er einwilligungspflichtige Skripte blockiert, bis eine Zustimmung vorliegt. Wird der Banner angezeigt, während Analytics längst lädt und das Meta-Pixel bereits gefeuert hat, ist er wirkungslos.

Genau hier liegt bei WordPress das typische Problem. Tracking-Codes stecken oft an mehreren Stellen gleichzeitig: im Theme, in der functions.php, in einem separaten Header-Skript-Plugin, in einem Page-Builder-Element oder in einem Marketing-Plugin. Das Cookie-Plugin kennt diese Stellen nicht automatisch – es blockiert nur, was ihm bekannt ist.

Für WordPress haben sich einige Lösungen etabliert, die technisches Blockieren beherrschen statt nur einen Hinweis einzublenden.

• Real Cookie Banner – deutschsprachig, umfangreiche Dienste-Vorlagen, blockiert bekannte Skripte automatisch. Kostenlose Variante mit begrenztem Funktionsumfang, Vollversion kostenpflichtig.
• Borlabs Cookie – aus Deutschland, verbreitet in Agenturprojekten, gute Kontrolle über Content-Blocker für eingebettete Inhalte. Kostenpflichtig.
• Complianz – niederländisch, mit Assistent zur Ersteinrichtung und Generator für Datenschutzerklärungen. Kostenlose Basisversion vorhanden.
• CookieYes – international verbreitet, kostenloser Einstieg. Beim Blockieren im deutschen Kontext genauer prüfen, ob alle Dienste erfasst werden.

1. Bestandsaufnahme: Notieren Sie zuerst, welche externen Dienste die Seite tatsächlich lädt – Analytics, Pixel, Videos, Karten, Schriften, Chat. Ohne diese Liste können Sie nicht beurteilen, ob das Plugin vollständig konfiguriert ist.
2. Plugin installieren und Dienste anlegen: Jeden gefundenen Dienst im Plugin mit Zweck, Anbieter und Speicherdauer eintragen. Vorlagen erleichtern das, ersetzen aber die Prüfung nicht.
3. Blockierung aktivieren: Für jeden Dienst festlegen, welches Skript blockiert wird. Bei selbst eingefügten Codes im Theme müssen Sie das Skript-Tag manuell kennzeichnen, damit das Plugin es zurückhalten kann.
4. Eingebettete Inhalte umstellen: YouTube-Videos und Google Maps über den Content-Blocker des Plugins ausliefern, sodass sie erst nach Zustimmung nachgeladen werden.
5. Google Fonts lokal einbinden: Damit entfällt eine ganze Einwilligungskategorie. Die Schriften werden einmal heruntergeladen und vom eigenen Server ausgeliefert.
6. Ablehnung gleichwertig gestalten: „Ablehnen" gehört auf die erste Ebene, gleich sichtbar neben „Akzeptieren" – nicht hinter „Einstellungen" versteckt.
7. Caching leeren und prüfen: Caching-Plugins liefern häufig noch die alte Seitenversion aus. Ohne Leeren des Caches testen Sie den Zustand von gestern.

Der Test ist einfach und braucht kein Werkzeug: Öffnen Sie Ihre Website in einem privaten Fenster, klicken Sie im Banner nichts an, und sehen Sie in den Entwicklerwerkzeugen des Browsers nach – unter „Anwendung" bei den Cookies, und unter „Netzwerk" bei den geladenen Verbindungen.

Finden Sie dort bereits Einträge von Google, Meta oder anderen Drittanbietern, blockiert Ihr Banner nicht. Technisch notwendige Cookies des Systems und des Cookie-Plugins selbst dürfen vorhanden sein – alles andere nicht.

Prüfen Sie zusätzlich den Widerruf: Es muss einen dauerhaft erreichbaren Weg geben, die Einwilligung zu ändern, üblicherweise einen Link im Footer.

Die Datenschutzerklärung muss zum Banner passen. Wird im Banner ein Dienst abgefragt, der in der Erklärung nicht auftaucht – oder umgekehrt –, fällt das bei jeder genaueren Prüfung auf.

Und die Konfiguration ist kein einmaliger Vorgang. Jedes neu installierte Plugin, jedes eingebettete Video, jedes zusätzliche Marketing-Werkzeug kann neue Dienste mitbringen, die im Banner nicht erfasst sind. Eine Website, die vor einem Jahr sauber konfiguriert war, ist es heute womöglich nicht mehr.