GTM Consent Mode v2: Die 5 häufigsten Konfigurationsfehler — und wie Sie sie fixen

Seit März 2024 verlangt Google von allen Werbetreibenden im EWR die Implementierung von Consent Mode v2. Ohne korrekte Implementierung verlieren Sie Remarketing-Daten, Conversion-Tracking und Audience-Signale. Aber: Eine fehlerhafte Implementierung ist schlimmer als keine — sie erzeugt ein falsches Sicherheitsgefühl, während im Hintergrund Daten ohne Einwilligung fließen.

Fehler 1: Default-Consent auf granted

Der häufigste und gefährlichste Fehler. Viele GTM-Setups setzen den Default-Consent auf granted:

// FALSCH — Default auf granted
gtag('consent', 'default', {
  'analytics_storage': 'granted',
  'ad_storage': 'granted'
});

Das bedeutet: Bis der Cookie-Banner geladen ist und der Nutzer eine Wahl trifft, werden alle Tags gefeuert. Bei langsamen CMPs können das 2–5 Sekunden sein — genug für Dutzende Tracking-Requests.

// RICHTIG — Default auf denied
gtag('consent', 'default', {
  'analytics_storage': 'denied',
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'functionality_storage': 'denied',
  'personalization_storage': 'denied',
  'security_storage': 'granted'
});

Nur security_storage darf standardmäßig granted sein — das deckt technisch notwendige Cookies (Session, CSRF) ab.

Fehler 2: CMP-Integration nicht getestet

Das CMP (Cookiebot, Usercentrics etc.) soll bei Nutzerentscheidung ein gtag('consent', 'update', ...) senden. Aber:

• Viele CMPs senden das Update vor dem GTM-Ladevorgang — GTM verpasst das Signal
• Das Update-Mapping ist falsch: CMP-Kategorie „Marketing“ wird auf analytics_storage statt ad_storage gemappt
• Bei „Alle ablehnen“ sendet das CMP gar kein Update — der Default bleibt aktiv

Fix: GTM Preview-Modus → Data Layer prüfen → nach dem Consent-Klick muss ein consent_update-Event mit den korrekten Storage-Typen erscheinen.

Fehler 3: wait_for_update nicht gesetzt

Ohne wait_for_update feuern Tags sofort mit dem Default-Consent, ohne auf das CMP zu warten:

// RICHTIG — auf CMP-Antwort warten
gtag('consent', 'default', {
  'analytics_storage': 'denied',
  'ad_storage': 'denied',
  'wait_for_update': 500  // 500ms auf CMP warten
});

500ms ist ein guter Kompromiss. Bei langsamen CMPs auf 1000ms erhöhen.

Fehler 4: GA4 send_page_view nicht an Consent gekoppelt

GA4 sendet standardmäßig einen Pageview beim Laden. Auch wenn Consent Mode aktiv ist, wird dieser Pageview im Denied-State als „cookieless Ping“ gesendet — mit Ihrer IP-Adresse im Payload.

Das ist zwar Googles Verantwortung, aber Sie sollten wissen: gcs=G1 (Consent-Mode-Denied-Ping) enthält keine Cookies, aber die Client-IP wird übertragen. Ob das ohne Einwilligung zulässig ist, ist umstritten.

Konservative Lösung:

// GA4-Config: Pageview erst nach Consent
gtag('config', 'G-XXXXXXX', {
  'send_page_view': false
});
// Pageview manuell nach Consent-Update senden
document.addEventListener('consent_granted', function() {
  gtag('event', 'page_view');
});

Fehler 5: Keine Denied-State-Verifizierung

Sie haben alles konfiguriert — aber haben Sie getestet, was bei „Ablehnen“ tatsächlich passiert? In 43 % der Fälle feuern trotz Denied-State noch Tracker (Quelle: Bollinger et al., USENIX '22).

Fix: Nach dem Ablehnen alle Netzwerk-Requests prüfen. Suchen Sie nach Requests an google-analytics.com, googleads.g.doubleclick.net, facebook.com/tr — wenn diese noch feuern, ist die Consent-Mode-Integration fehlerhaft.

Checkliste: Consent Mode v2 richtig?

Ein automatisierter Forensic-Audit prüft all diese Punkte — einschließlich der Payload-Analyse im Denied- vs. Granted-State. Details auf der Methodik-Seite.

Dieser Artikel wurde mit KI-Unterstützung erstellt und gegen verifizierte DSGVO-Rechtsprechung (GDPRhub) geprüft. Für Rechtsberatung wenden Sie sich an einen qualifizierten Datenschutzexperten.