Cookie-Consent 2026: Was hat sich geändert, was ist erlaubt, was muss weg?

Die Cookie-Gesetzgebung wird seit 2023 streng durchgesetzt. Viele alte Cookie-Banner erfüllen die Anforderungen nicht mehr. Hier die aktuellen Regeln und das Drei-Säulen-Modell.

Die Regeln rund um Cookies sind seit der Durchsetzungswelle 2023–2024 deutlich strenger. Alte Banner nach dem Motto „Alles auf Akzeptieren setzen" funktionieren nicht mehr.

Das Drei-Säulen-Modell

1. Notwendige Cookies: kein Consent erforderlich. Session-Cookies, Warenkorb, Login.
2. Funktionale Cookies: wichtig für die User Experience (Spracheinstellung, Dark Mode). Consent ist oft nicht nötig, sofern kein Tracking stattfindet.
3. Analyse- / Marketing-Cookies: Consent PFLICHT. Opt-in, kein Opt-out. „Alle ablehnen" muss genauso prominent platziert sein wie „Alle akzeptieren".

Was darf ein Cookie-Banner nicht mehr?

• Nur eine „Akzeptieren"-Schaltfläche anbieten.
• Weiterscrollen = Consent.
• Vorausgewählte Marketing-Kategorien.
• Unbegrenzte „berechtigte Interessen" für Tracking-Cookies.
• Cookies setzen, BEVOR der Consent erteilt wurde.

Was muss im Cookie-Banner enthalten sein?

• Erläuterung der Kategorien.
• Auswahl pro Kategorie (Minimum: notwendige Cookies aktiviert, Marketing/Analytics separat).
• „Alle akzeptieren", „Alle ablehnen" und „Einstellungen verwalten" mit gleicher visueller Gewichtung.
• Link zur vollständigen Cookie-Erklärung.
• Möglichkeit, den Consent nachträglich zu ändern (z. B. über einen Footer-Link).

Tools

Google Analytics 4, Meta Pixel, LinkedIn Insight — für alle ist Consent erforderlich. Nutzen Sie Google Consent Mode V2, wenn Sie GA4 einsetzen.

Sanktionsrisiko

Die Datenschutzbehörden haben 2023–2024 mehrere Bußgelder wegen mangelhafter Cookie-Banner verhängt. Typischerweise 25.000–100.000 € für KMU, die aufgefallen sind. Das ist kein Thema mehr, das man ignorieren kann.

Siehe auch: DSGVO-Übersicht, Datenschutzerklärung.