Kategorie-Manipulation: Wie CMPs Google Analytics als "unverzichtbar" miskategorisieren

Das Problem der falschen Einstufung ist systematisch, nicht zufällig

Bei Tausenden von geprüften Websites zeigt sich ein wiederkehrendes Muster: Google Analytics – ein von einer US-amerikanischen Infrastruktur betriebener Verhaltensanalysedienst eines Drittanbieters – erscheint in Einwilligungsmanagement-Plattformen (CMPs) unter der Kategorie „Essential“ oder „Strictly Necessary“. Dies ist kein Konfigurationsfehler. Es handelt sich um eine bewusste Umgehung der Einwilligungsanforderung gemäß § 25 Abs. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), Deutschlands Umsetzung von Art. 5 Abs. 3 der ePrivacy-Richtlinie. Die rechtlichen und technischen Argumente gegen diese Praxis sind eindeutig – dennoch bleibt die Durchsetzung lückenhaft, was einen Wettbewerbsdruck auf konforme Betreiber ausübt, diesem Beispiel zu folgen.

Was § 25 Abs. 2 TDDDG tatsächlich vorschreibt

§ 25 Abs. 2 TDDDG befreit die Speicherung von oder den Zugriff auf Informationen auf Endgeräten nur dann von der Einwilligungspflicht, wenn zwei kumulative Voraussetzungen erfüllt sind: (1) der einzige Zweck besteht in der Durchführung der Übertragung einer Kommunikation über ein öffentliches Netz, oder (2) die Speicherung oder der Zugriff ist für die Erbringung eines vom Nutzer ausdrücklich angeforderten Telemediendienstes unbedingt erforderlich. Dies spiegelt die Auslegung des EuGH in der Rechtssache C-673/17 (Planet49) wider, in der bestätigt wurde, dass die Ausnahme der Notwendigkeit in der ePrivacy-Richtlinie eng auszulegen ist. Die Leitlinien 05/2020 des EDPB zur Einwilligung (v1.1, verabschiedet am 4. Mai 2020) präzisieren weiter, dass Analyse-Cookies „nicht unbedingt erforderlich“ sind, da der Dienst auch ohne sie erbracht werden kann.

Entscheidender Test: Würde der vom Nutzer angeforderte Dienst ohne diesen Cookie- oder Speicherzugriff nicht mehr funktionieren? Für Google Analytics: nein. Sitzungsintegrität, Authentifizierung und Warenkörbe bestehen diesen Test. Verhaltensanalysen hingegen nicht.

Die Stellungnahme 5/2019 des EDPB zum Zusammenspiel zwischen der ePrivacy-Richtlinie und der DSGVO bekräftigt, dass die Rechtsgrundlage für Analyse-Tracker die Einwilligung gemäß Art. 6 Abs. 1 Buchstabe a DSGVO sein muss, nicht das berechtigte Interesse und schon gar nicht die Ausnahmeregelung der ePrivacy-Richtlinie zur Notwendigkeit. Klassifizierung _ga, _gidoder _ga_XXXXXXXX Cookies als unverzichtbar einzustufen, stellt daher einen doppelten Verstoß dar: Es umgeht § 25 Abs. 2 TDDDG und verarbeitet personenbezogene Daten ohne eine gültige DSGVO-Rechtsgrundlage.

Wie CMPs die Manipulation technisch umsetzen

Die Fehlkategorisierung manifestiert sich typischerweise in einem von drei technischen Mustern:

1. Statische Kategorisierung in der CMP-Konfiguration: Das Tag des CMP-Anbieters (z. B. Cookiebot, OneTrust, Usercentrics) speichert Cookie-Definitionen in einer JSON-Konfigurationsdatei. Ein Betreiber oder eine Agentur verschiebt einfach den _ga Cookie-Eintrag von "statistics" in "necessary" im CMP-Dashboard. Die Einwilligungsschicht löst dann niemals ein Einwilligungssignal für dieses Cookie aus, und das Analyseskript wird bedingungslos geladen.
2. Skripteinbindung vor der Einwilligungsabfrage: Das Google-Analytics-Snippet „gtag.js“ oder „analytics.js“ wird direkt <head> außerhalb eines CMP-gesteuerten Tag-Manager-Containers platziert, wodurch es ausgeführt wird, bevor der Einwilligungs-Callback des CMP aufgelöst ist. Die Benutzeroberfläche des CMP zeigt GA weiterhin als „unverzichtbar“ an, um das Laden vor der Einwilligung zu rechtfertigen.
3. Manipulation des Tag-Manager-Triggers: Im Google Tag Manager ist der Auslösetrigger des GA4-Konfigurations-Tags auf All Pages statt auf einen zustimmungsgesteuerten benutzerdefinierten Ereignis-Trigger. Die CMP-Integration existiert nur auf der UI-Ebene der Zustimmungsschicht, ohne dass ein tatsächliches Blockiersignal den GTM erreicht.

Automatisierte Erkennung: Ein technisches Handbuch

Manuelle Überprüfungen sind nicht skalierbar. Der folgende automatisierte Ansatz erkennt zuverlässig Fehlkategorisierungen von GA in der Produktion:

1. Abfangen der Einwilligung im Headless-Browser

Laden Sie die Seite mit Playwright oder Puppeteer, ohne mit dem CMP zu interagieren (simulieren Sie einen Nutzer, der noch keine Einwilligung erteilt hat). Fangen Sie alle ausgehenden Netzwerkanfragen über die page.on('request') . Markieren Sie alle Anfragen an *.google-analytics.com, analytics.google.comoder die den Pfad /g/collect (GA4-Messprotokoll-Endpunkt) enthält, der vor einer Einwilligungsinteraktion ausgelöst wird. Ein positiver Treffer ist ein starker Hinweis auf Tracking vor der Einwilligung.

2. Cookie-Jar-Analyse nach Ablehnung

Simulieren Sie eine explizite Ablehnung der Einwilligung (Klick auf „Alle ablehnen“) mithilfe der automatischen CMP-Schaltflächenerkennung und erstellen Sie anschließend einen Dump des Cookie-Speichers des Browsers. Das Vorhandensein von _ga, _gidoder _ga_* Cookies nach der Ablehnung – oder deren Fehlen in der vom CMP angegebenen Cookie-Liste – deutet auf eine falsche Kategorisierung hin. Vergleichen Sie die erkannten Cookies mit dem vom CMP veröffentlichten Endpunkt für die Cookie-Deklaration (z. B. stellt Cookiebot diesen unter https://consent.cookiebot.com/{CBID}/cc.js).

3. Überprüfung der HTTP-Antwort-Header

Analysieren Sie Set-Cookie die Antwort-Header während des ersten Seitenladens (vor der Einwilligungsinteraktion). Über HTTP-Antworten gesetzte Analyse-Cookies (serverseitige GA- oder serverseitige Tagging-Implementierungen) umgehen die clientseitige CMP-Blockierung vollständig. Überprüfen Sie auf SameSite und Secure Flags als sekundäre Signale für die Absicht des Trackings durch Dritte. Ein Set-Cookie: _ga=...; domain=.example.com; expires=... Header beim ersten Laden, vor der Einwilligungsabfrage, stellt einen eindeutigen Verstoß gegen § 25(2) dar.

4. Tracker-Fingerprinting auf DNS-Ebene

Erfassen Sie alle DNS-Abfragen während des Seitenladens (mithilfe eines lokalen DNS-Proxys oder der DNS-over-HTTPS-Protokollierung des Browsers). Gleichen Sie abgefragte Hostnamen mit einer Blockliste ab, die aus den Tracking-Schutzlisten von EasyPrivacy und Disconnect.me abgeleitet wurde. Ordnen Sie DNS-Abfragen ihrer von der CMP deklarierten Kategorie zu. Abfragen an www.google-analytics.com (CNAME: analytics.google.com, A-Eintrag, der auf Googles ASN 15169 auflöst) vor der Einwilligung stellen ein zustimmungsfreies Tracking dar, unabhängig vom Status der CMP-Benutzeroberfläche.

Beweisstandards für Durchsetzungsbeschwerden

Deutsche Datenschutzbehörden (insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) und die Datenschutzkonferenz (DSK)) haben strukturierte Durchsetzungsleitlinien zu Cookie-Verstößen veröffentlicht. Damit eine Beschwerde Erfolg hat, müssen mindestens folgende Beweismittel dokumentiert werden:

• HAR-Datei (HTTP-Archiv), die die vollständige Anforderungssequenz mit Zeitstempeln erfasst und belegt, dass GA-Anfragen der Einwilligungsentscheidung vorausgingen
• Screenshot oder Videoaufzeichnung der CMP-Benutzeroberfläche, die die Einstufung als „Essential“ zeigt
• Die JavaScript-Konfigurationsdaten der CMP (abrufbar über den Tab „Netzwerk“ in den Browser-Entwicklertools, gefiltert nach dem Konfigurations-Endpunkt des CMP-Anbieters), die die Kategorisierung zeigen
• WHOIS-/ASN-Daten, die bestätigen, dass der Analytics-Endpunkt von Google LLC (einem Dritten) betrieben wird, wodurch jegliches Argument einer „First-Party“-Ausnahme entkräftet wird

Haftungsrisiko und Betreiberrisiko

Gemäß § 25 TDDDG in Verbindung mit § 28 TDDDG gelten Verstöße als Ordnungswidrigkeiten, die mit Geldbußen von bis zu 300.000 € pro Verstoß geahndet werden. Gleichzeitig gilt für die zugrunde liegende Datenverarbeitung Art. 83 Abs. 5 DSGVO mit Geldbußen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Die „Handreichung Telemedien“ des DSK (Januar 2022) nennt Analysen ausdrücklich als zustimmungsabhängigen Anwendungsfall, wodurch Betreibern keine glaubwürdige rechtliche Verteidigung bei einer Fehlklassifizierung als wesentliche Kategorie bleibt.

CMP-Anbieter, die vorkonfigurierte Vorlagen anbieten, die Analysen falsch kategorisieren, tragen je nach ihrer vertraglichen Rolle ein gemeinsames Risiko als gemeinsam Verantwortliche oder Auftragsverarbeiter – ein Haftungsansatz, der zunehmend von datenschutzorientierten Anwaltskanzleien verfolgt wird, die koordinierte Beschwerden einreichen.

Umsetzbare Empfehlungen

• Überprüfen Sie Ihre CMP-Konfiguration vierteljährlich mithilfe der oben beschriebenen Headless-Browser-Methode; exportieren und vergleichen Sie die JSON-Konfigurationsdaten zwischen den Überprüfungen, um stillschweigende Neukategorisierung durch CMP-Anbieter oder Agenturen aufzudecken.
• Implementieren Sie Content Security Policy (CSP)-Header mit einer connect-src Direktive, die *.google-analytics.com standardmäßig blockiert und die Einschränkung erst nach einem bestätigten Einwilligungssignal aufhebt – dies bietet eine vom CMP unabhängige technische Durchsetzungsebene.
• Trennen Sie GTM-Container in einen zustimmungsgesteuerten Container (Analytik, Marketing) und einen funktionalen Container (Fehlerverfolgung, Leistungsüberwachung, die für die Dienstbereitstellung wirklich notwendig ist), die über separate Skript-Tags mit unterschiedlichen Auslösebedingungen geladen werden.
• Dokumentieren Sie Ihre Notwendigkeitsprüfung pro Cookie in einem Anhang zur Datenschutz-Folgenabschätzung und wenden Sie dabei ausdrücklich den zweigleisigen Test gemäß § 25 Abs. 2 an. Diese Dokumentation ist Ihre primäre Verteidigung bei DPA-Audits.
• Wenn Sie serverseitiges Tagging (sGTM) verwenden, stellen Sie sicher, dass Ihr serverseitiger GA4-Client in der eingehenden Anfrage auf ein gültiges Einwilligungssignal prüft, bevor er diese an den GA4-Erfassungsendpunkt weiterleitet – die serverseitige Architektur befreit Sie nicht von der Einwilligungspflicht.

Dieser Artikel wurde mit KI-Unterstützung erstellt und gegen verifizierte DSGVO-Rechtsprechung (GDPRhub) geprüft. Für Rechtsberatung wenden Sie sich an einen qualifizierten Datenschutzexperten.