Ende Third-Party-Cookies | Leitfaden von A bis Z

In letzter Zeit hört und liest man in den Medien, beispielsweise erst letzte Woche auf derStandard.at oder bei BR24, immer öfters über das „Ende der Third-Party-Cookies„. Was bedeutet dies jedoch konkret für Webseiten-Betreiber:innen, Werbetreibende und Agenturen, wenn es um Webanalyse (z.B. mit Google Analytics 4) oder Messung bzw. Messbarkeit von Suchmaschinenwerbung (u.a. bei Google Ads oder Google Shopping) geht?

Diese Fragen wollen wir euch in einem umfassenden Guide beantworten versuchen. Dabei behandeln wir:

was Cookies eigentlich sind,
wie Third-Party-Cookies funktionieren (und wieso sie auf einmal „böse“ sind),
wie Cookies in der DSGVO geregelt sind,
was ab Januar 2024 mit ihnen passiert,
welche Alternativen von Google angeboten werden,
wie Google Ads und Google Analytics 4 davon beeinflusst werden,
warum du generell eine CMP-Lösung für deine Website benötigst,
was der Google Consent Mode (v2) ist,
was serverseitiges Tracking ist und
welche Maßnahmen du zeitnah treffen solltest.

Lesezeit: ca. 20 Minuten
Letztes Update: 03.05.2024

Anmerkung des Autors: Der Artikel hat keinen Anspruch auf Vollständigkeit. Aufgrund des breiten Themengebiets versuchen wir euch die aus unserer Sicht wichtigsten Fragen zu beantworten bzw. grundlegende Unklarheiten aus dem Weg zu räumen. Der Artikel ist aus der Sichtweise einer Digitalagentur und nicht von Jurist:innen verfasst, wir geben lediglich Empfehlungen und sind dementsprechend rechtlich gesehen nicht für deine Entscheidungen verantwortlich. Du hast Fragen, Anmerkungen oder Ergänzungsvorschläge? Lass es uns gerne in den Kommentaren wissen!

Cookies und Cookie-Alternativen

Was sind eigentlich Cookies?

Wir beginnen ganz am Anfang. Erstmals tauchten sogenannte „Cookies“ 1994 im damals führenden Web-Browser Netscape Navigator auf. Der Entwickler Lou Montulli gilt als geistiger Vater der Erfindung, er hält auch das US-Patent Nr. 5.774.670A mit der Beschreibung „Persistent client state in a hypertext transfer protocol based client-server system“. Damals halfen Cookies dem Browser (lediglich) zu erkennen, ob User eine bestimmte Website bereits irgendwann zuvor besucht hatten.

Technisch gesehen sind Cookies kleine Datensätze (und keine Textdateien, wie oftmals fälschlich behauptet wird), die von besuchten Websites auf deinem Computer abgelegt werden. Sie sind seit knapp 30 Jahren ein wesentlicher Bestandteil des Surfens im Internet und ermöglichen mittlerweile viele Funktionen, die Benutzer:innen heute als selbstverständlich ansehen.

Dazu gehören u.a. das Speichern von Login-Informationen, das Merken von Warenkorb-Inhalten in Webshops oder das Angebot von personalisierten Inhalten. Im Kontext von Online Marketing bzw. Digitalmarketing sind vor allem zwei Arten von Cookies besonders relevant und werden daher immer wieder genannt: First-Party-Cookies und Third-Party-Cookies.

Während Erstanbieter-Cookies von der besuchten Website gesetzt werden und auch nur von dieser ausgelesen werden können, werden Drittanbieter-Cookies von einer anderen Website gesetzt, also nicht von jener, welche ein User gerade besucht. Third-Party-Cookies werden oft für Werbe- und Marketingzwecke über mehrere Websites hinweg verwendet und ermöglichen u.a. das sogenannte Retargeting bzw. Remarketing.

Wie funktionieren Third-Party-Cookies?

Nehmen wir ein praktisches Beispiel. Als Website-Betreiber hast du die Möglichkeit, auch als Werbetreibender zu agieren – was durchaus Sinn ergibt, vor allem wenn deine Website von vielen Usern besucht wird, also du viel Traffic bekommst. Die bekannteste Plattform zur Monetarisierung von Website-Besucher:innen ist vermutlich Google AdSense. Hier stellst du sozusagen eine vordefinierte Werbefläche auf deiner Website zur Verfügung, welche von Werbenden aus dem Google Werbenetzwerk genutzt werden kann, um ihre Produkte oder Dienstleistungen zu bewerben.

Die Werbebanner-Dateien liegen dabei zentral am Adserver von Google und werden je nach Interesse ausgespielt. Besucht nun jemand deine Website und akzeptiert die Verwendung von Cookies, dann wird ein Third-Party-Cookie auf deren Endgerät platziert, mit dessen Hilfe sich Nutzerdaten wie Seitenbesuche und Verweildauer tracken lassen.

Besuchen die User nun im Anschluss eine andere Website, auf der sich ebenfalls eine Anzeige des gleichen Werbenetzwerks befindet, dann erkennt sie der Drittanbieter aufgrund des Cookies am Endgerät und kann auf diese Weise die Wege und Spuren quer durchs Internet verfolgen und aufzeichnen.

Warum sind Third-Party-Cookies nun also "böse"?

Third-Party-Cookies sammeln wie gerade beschrieben (auch über längere Zeit hinweg) viele Informationen über deine Surfgewohnheiten und können daher nicht nur eine Unannehmlichkeit, sondern im schlimmsten Fall sogar eine Bedrohung für deine Privatsphäre im Internet sein, weil sie die Erstellung von Nutzerprofilen ermöglichen.

Überleg mal selbst – ist es dir recht, wenn ein Megakonzern alles über deine (für die Öffentlichkeit vielleicht ungeeigneten) Suchanfragen und Surfgewohnheiten weiß? Vermutlich nicht. Davon abgesehen können Third-Party-Cookies deinen Browser im schlimmsten Fall auch verlangsamen. Die Abschaffung von Third-Party-Cookies bedeutet für Nutzer:innen vor allem einen großen Schritt zu mehr Datenschutz und Datensicherheit.

Was sagt die DSGVO zu Third-Party-Cookies?

Apropos Datenschutz: Die Datenschutzgrundverordnung (DSGVO) aus 2018 regelt den Umgang mit (Third-Party-)Cookies nicht ausdrücklich. Allerdings wird die Verarbeitung von personenbezogenen Daten im Allgemeinen reguliert und daher gibt es hier indirekte Auswirkungen auf die Verwendung von Cookies.

So ist in Art. 6 DSGVO festlegt, wann User ihre Einwilligung zur Verwendung von Cookies nicht geben müssen. Hier muss das berechtigte Interesse des Verantwortlichen (= Website-Betreiber) erforderlich sein. Beispiele dafür sind funktionale Cookies, welche z.B. die technisch notwendige visuelle Darstellung von Website-Inhalten ermöglichen.

Das berechtigte Interesse greift jedoch nicht bei Third-Party-Cookies. Rechtlich gesehen dienen Third-Party-Cookies zu Werbezwecken, weil sie der verhaltensorientierten Werbung dienen. Daher sind sie einwilligungspflichtig, es ist also ein sogenanntes Opt-In der User erforderlich.

Deshalb lassen sich Drittanbietercookies auch bei allen gängigen Browsern deaktivieren. Die Opt-In-Pflicht ist auch ein integraler Bestandteil im Entwurf des Gesetzestexts der ePrivacy-Verordnung, die schon seit Jahren diskutiert wird, jedoch bis heute noch nicht inkraftgetreten ist.

Was passiert jetzt mit Third-Party-Cookies?

Erstmalig hat Google das Ende von Third-Party-Cookies bereits im Jahr 2020 angekündigt. Ursprünglich plante man die Verabschiedung für 2022, verschob sie allerdings auf Anfang 2023 und letztendlich auf Anfang 2024. Die Hauptgründe für diese mehrmaligen Verschiebungen waren einerseits Verzögerungen bei internen Entwicklungen (siehe nächster Unterpunkt „Privacy Sandbox“).

Andererseits wollte man den Werbetreibenden und Website-Besitzern auch eine längere Übergangsfrist bieten (Anm. weil man die Hand, die einen füttert, auch nur ungern beißt). Viele Experten befürchteten und befürchten auch die sogenannte „Cookie Apokalypse“ bei der endgültigen Abschaffung von Drittanbietercookies.

Am 4. Januar 2024 wurde die Ansage nun aber tatsächlich in die Realität umgesetzt. Etwa 1% aller Nutzer:innen (die zufällig ausgewählt wurden) bekamen im Google Chrome Browser eine Information zur Abschaltung der Drittanbieter-Cookies angezeigt. 1% klingt erstmal relativ wenig – wenn man allerdings weiß, dass der Chrome-Browser bisher 3.3 Milliarden mal heruntergeladen wurde, sprechen wir jedoch von einem (theoretischen) Sample von 33 Millionen Nutzer:innen.

Die gesamte Timeline des sogenannten Phase-Outs von Drittanbietercookies in Chrome sieht man auf der nachfolgenden Grafik von Google. Bei den restlichen 99% der User sollen die Deaktivierung im Q3/2024 vollzogen werden.

Verschiebung auf Anfang 2025 (Update April 2024)

Einmal mehr hat Google den Auslauf der Third-Party-Cookies verschoben. In einem Statement rund um das Update der Privacy Sandbox (siehe nächster Punkt) hat der Konzern eine Verschiebung auf Anfang 2025 kommuniziert. Google bezieht sich dabei auf Feedback aus der Wirtschaft und der CMA (Britische Wettbewerbsbehörde). Dabei handelt es sich jedoch nur um eine weitere Schonfrist von einigen Monaten.

Was ist die Privacy Sandbox von Google?

Wie zuvor erwähnt, hat sich Google eine Alternative für Third-Party-Cookies einfallen lassen. Im Jahr 2019 rief Google zusammen mit anderen Tech-Konzernen die sogenannte Privacy Sandbox Initiative ins Leben.

Seither arbeitete Google im Rahmen einer branchenweiten Initiative an der Privacy Sandbox, um neue Technologien für besseren Datenschutz zu entwickeln, Publishern und Entwicklern die Möglichkeit zu bieten, Inhalte weiterhin kostenlos anzubieten (indem man sozusagen weiterhin mit seinen Daten „zahlen“ kann) und neue Datenschutzstandards für das WWW zu entwickeln.

So hat Google im Chrome Browser unter Einstellungen > Datenschutz und Sicherheit > Datenschutz bei Anzeigen neue Datenschutzeinstellungen integriert. Damit kannst du als Nutzer:in selbst steuern, wie die Privacy Sandbox-Technologien für die Auslieferung der angezeigten Anzeigen verwendet werden.

Derzeit sind noch ca. 3% aller Chrome-Nutzer:innen von dieser Änderung unberührt. Google will die Funktionsweise der Einstellungen im Rahmen angemessener A/B-Tests laufend überprüfen bzw. überwachen. Wer näher an diesem Thema interessiert ist – Google hat zur Privacy Sandbox auch ein Erklärvideo auf YouTube veröffentlicht.

Google Ads und Topics API

Eine von multiplen technischen Lösungen aus der Privacy Sandbox ist die sogenannte Topics API. Im Unterschied zu Drittanbietercookies werden Topics bzw. Themen vom Browser auf dem Endgerät der Nutzer:innen gesteuert. Topics kannst du unter Einstellungen > Datenschutz und Sicherheit > Datenschutz bei Anzeigen > Werbethemen aktivieren.

Der Browser ermittelt anschließend auf Basis deines aktuellen Browserverlaufs, welche Themen zu deinen Hauptinteressen gehören, wobei sensible Kategorien (z.B. Waffen, Drogen, FSK18) ausgeschlossen sind. Diese Themen speichert der Browser für drei Wochen und löscht sie anschließend automatisch. Ein Beispiel dafür siehst du auf der nachfolgenden Grafik.

2023 hat das Team von Google Ads eine Praxisstudie mit der Topics-Lösung durchgeführt und anschließend die Ergebnisse öffentlich bekanntgegeben. Dabei hat Google analysiert, wie stark die Performance von interessensbezogenen Werbeanzeigen ist, wenn diese ausschließlich auf einer Kombination von datenschutzfreundlichen Signalen beruhen. Im Rahmen des Tests konnte Topics ähnlich gute Ergebnisse wie Third-Party-Cookie-Lösungen erzielen:

Die Wahrscheinlichkeit, dass Nutzer:innen auf eine Anzeige klicken lag bei 90% des aktuellen Niveaus
Die Kapitalrendite der Werbetreibenden sank im Vergleich nur um 1-3%
Investitionen im Google Displaynetzwerk sanken im Vergleich um 2-7%

Interessanter und aussagekräftiger wird der Vergleich freilich erst im Laufe von Q1/2024 werden, während der 1%-igen Deaktivierung von Drittanbietercookies im Chrome Browser.

Die Auswirkungen auf Google Analytics 4

Welche Auswirkungen hat das Ende der Third-Party-Cookies nun auf Google Analytics? Dazu müssen wir etwas weiter ausholen. Gemäß aktueller ÖWA-Browserstatistik verwendeten im Q4/2023 etwa 40% aller Nutzer:innen in Österreich den Chrome Browser von Google, knapp 22% Safari von Apple, jeweils knapp 7% Microsoft Edge und Mozilla Firefox, der Rest verteilte sich auf andere und proprietäre Lösungen (z.B. Samsung Browser).

Tracking Protection im Browser

Im Gegensatz zu Chrome blockieren alle anderen marktrelevanten Browser die Third-Party-Cookies teilweise schon seit Jahren. In diesem Zusammenhang werden an dieser Stelle Intelligent Tracking Prevention (ITP) von Safari, Enhanced Tracking Protection (ETP) von Firefox und Tracking Prevention (TP) von Edge genannt. Die Seite cookiestatus.com bietet einen stets aktuellen Überblick über diese Mechanismen und die Lebenszeit von Cookies in den verschiedenen Browsern.

Am nachfolgenden Screenshot siehst du, wie die fünf weltweit relevantesten Browser einerseits mit Third-Party-Cookies und andererseits mit First-Party-Cookies verfahren. Wieso letztere ebenfalls relevant sind, erfährst du im nächsten Unterkapitel.

Google Analytics 4 und First-Party-Cookies

Mit über 86% Marktanteil war Google Analytics im März 2022 der uneingeschränkte weltweite Branchenleader im Bereich der digitalen Webanalyse. Nach einer mehrjährigen Beta- bzw. Testphase hat Google Analytics 4 (Anm. wir haben im März 2023 über die Historie des Tools geschrieben) im Sommer 2023 den Vorgänger Universal Analytics abgelöst.

Ist das Ende von Third-Party-Cookies jetzt gleichbedeutend mit dem Ende des (Web)-Trackings? Natürlich nicht. Ebenso wenig ist dies gleichbedeutend mit dem Ende von Tracking im Google Chrome Browser. Die Webanalyse in Google Analytics (egal ob Universal Analytics, welches Google im Juli 2023 „beerdigt“ hat, oder Google Analytics 4) basiert auf First-Party-Cookies, die von Browsern auch in Zukunft unterstützt werden.

Wieso hat Google dann allerdings auf das End-of-Life von UA und die Nutzer:innen zur Verwendung von GA4 gedrängt? (Anm. – wir haben euch während der letzten beiden Jahre auch über alle Infos rund um GA4 am Laufenden gehalten)

Nun, leider (aus der Sicht von Agenturen und Werbetreibenden) wird auch die Nutzung von Erstanbietercookies schon erheblich eingeschränkt. So werden seit Version 2.2. von ITP in Safari (vgl. nachfolgende Tabelle) First-Party-Cookies automatisch nach sieben Tagen gelöscht (oder bei bekannten Trackern sogar schon nach 24 Stunden). ETP in Firefox löscht First-Party-Cookies nach 45 Tagen (und Tracker ebenfalls nach 24 Stunden).

(c) https://dreamdata.io/blog/intelligent-tracking-prevention-itp-is-here-here-are-the-4-things-you-can-do-to-get-your-tracking-ready-for-the-future

Auswirkungen von Tracking Protection auf das Tracking von Nutzer:innen

Diese verkürzte Cookie-Lebenszeit sorgt demnach für eine ungenauere Messung der Website-Besucher:innen. Konnte ein User, der deine Website heute und zwei Wochen später nochmals besucht, vor der Einführung von ITP als wiederkehrender User erkannt werden, so wird er in Safari nun beim zweiten Besuch erneut als neuer User gemessen.

Dies wollen wir mit einem konkreten Beispiel untermauern (das auch auf der der nachfolgenden Grafik visualisiert ist): du verwendest Safari auf deinem iPhone und besuchst über eine Werbeanzeige bei Google unsere Website monobunt.at. Acht Tage später erinnerst du dich an unsere Agentur und besuchst die Seite nochmals über die Google-Suche.

Aufgrund der zuvor beschriebenen Einschränkungen werden bei uns in GA4 nun 2 (neue) Nutzer:innen und 2 Sitzungen gemessen. Die Conversion-Aktion wird in Sachen Attribution (wir haben im Mai 2023 darüber geschrieben) der organischen Google-Suche zugeschrieben (obwohl du uns ohne die Werbeanzeige vielleicht gar nicht kennen würdest). Dies veranschaulicht die nachfolgende Grafik nochmal bildlich.

Aus diesem Grund hat Google im letzten Jahr auch alle Attributionsmodelle abgesehen von „Last Click“ und dem 2023 flächendeckend eingeführten datengetriebenen Modus zu Grabe getragen. Die lineare Attribution (bei der der Erfolg einer Kampagne gleichmäßig auf alle Touchpoints verteilt wurde) oder die Attribution nach Zeitverlauf (bei der Touchpoints nahe der Conversion eine höhere Wertigkeit zugeteilt bekamen) waren aufgrund diverser Einschränkungen durch den Wegfall von Third-Party-Cookies schlichtweg nicht mehr sinnvoll, um die Customer Journey zu messen.

Habe ich nun in GA4 weniger Daten?

Diese Frage kann man mit „ja“ aber auch mit „nein“ beantworten. Standardmäßig haben die First-Party-GA4-Cookies eine Lebenszeit von zwei Jahren. Nachfolgend siehst du eine Information aus der offiziellen Dokumentation von Google zu GA.

Cookie-Name	Standardlaufzeit	Beschreibung
_ga	2 Jahre	Dient zur Unterscheidung einzelner Nutzer
_ga_<container-id>	2 Jahre	Dient zur Speicherung des Sitzungsstatus

Quelle: https://support.google.com/analytics/answer/11397207?hl=de&sjid=6492201762205590948-EU

Überall dort, wo deine User der Verwendung von Cookies zustimmen, werden die First-Party-Cookies von gtag.js (der JavaScript-Bibliothek von GA4) also weiterhin am Endgerät gesetzt, nur je nach Browser für eine unterschiedliche Zeitspanne. Unbegrenzt in Microsoft Edge, 400 Tage in Chrome, 45 Tage in Mozilla Firefox und lediglich 7 Tage in Apple Safari und Brave.

Was passiert nun also, wenn du eine besonders hohe Anzahl an Safari-Nutzern hast. Hast du dann weniger oder schlechtere Daten? Hier kommt Machine Learning (ML) ins Spiel. Google reichert die Daten in GA4 mit künstlicher Intelligenz an, um die fehlenden Daten durch die Tracking Protections bzw. fehlenden Zustimmungen zum Tracking aufzurechnen. In der Vorstellung von GA4 im Oktober 2020 hat Google die Funktionsweise der neuen Analytics-Generation wiefolgt beschrieben:

“Because the technology landscape continues to evolve, the new Analytics is designed to adapt to a future with or without cookies or identifiers. It uses a flexible approach to measurement, and in the future, will include modeling to fill in the gaps where the data may be incomplete.”

An dieser Stelle gehen wir jedoch nicht näher auf die Funktionalitäten von GA4 ein, weil dies ansonsten den Rahmen dieses Artikels sprengen würde. Wenn du Unterstützung beim Setup oder der Grundkonfiguration des Webanalyse-Tools benötigst, kannst du dich natürlich gerne an uns wenden.

Google Consent Mode

Wir haben die fehlende Zustimmung bereits erwähnt. Am 1. Oktober 2019 entschied der Gerichtshof der Europäischen Union (EuGH) u.a., dass die weit verbreiteten Cookie-Banner mit bereits voreingestelltem Ankreuzkästchen nicht genügen.

An deren Stelle sind Consent Banner (auch Cookie Banner genannt) als Bestandteil von Consent Management Plattformen (CMPs) getreten, mit denen Website-Betreiber u.a. über Marketing- oder Webanalyse-Cookies informieren [müssen] und jeweils die aktive Einwilligung oder Ablehnung der Nutzer:innen einholen.

Wir wissen aus dem letzten Kapitel bereits, dass Third-Party-Cookies zum Tode verurteilt wurden und Google mit der Privacy Sandbox eine neue alternative Lösung entwickelt hat. Doch was passiert nun auf einer Website, wenn du der Verwendung von Cookies nicht zustimmst? Kann man User, die auf eine Website kommen, aber keine (First-Party-)Cookies akzeptieren (im Schnitt sind dies 30-35% bei konformer Einbindung eines Cookie-Banners), nun gar nicht mehr messen?

Funktionsweise Google Consent Mode

Hier kommt der Consent Mode ins Spiel. Google hat diesen Mechanismus im April 2021 ausgerollt, um mit der Herausforderung von Cookie-Bannern und einer „cookielosen Welt“ besser zurechtzukommen. Die folgenden (Google-)Dienste unterstützen aktuell den Consent Mode: Analytics, Conversion-Tracking, Remarketing, Floodlight und der Conversion Linker. Der Einwilligungsmodus soll laut Aussage von Google einerseits die Privatsphäre-Wünsche der Nutzer:innen respektieren und andererseits für weniger Datenverlust bei den Website-Betreibern sorgen.

Wenn du nun also in einem Cookie-Banner die Cookies ablehnst, dann kommt im Hintergrund das sogenannte Conversion Modeling ins Spiel, also die Modellierung nicht gemessener Conversions auf Basis von Machine Learning (ML). Bei der Conversion-Modellierung werden beobachtbare Daten und bisherige Trends mithilfe von KI analysiert.

In den Berichten werden anschließend aggregierte und anonymisierte Daten aufbereitet, womit ein genaueres Bild des Kundenverhaltens entsteht. Auf der nachfolgenden Grafik siehst du (in blau) die Vorteile des Google Consent Mode.

(c) https://www.thinkwithgoogle.com/intl/de-de/marketing-strategien/daten-und-messung/freenet-mit-consent-mode-datenschutz-und-messbarkeit-sichern/

Ab März 2024 verpflichtend: Google Consent Mode v2

Die zweite Version des Google Consent Mode wurde im November 2023 veröffentlicht und unterscheidet sich zur im April 2021 veröffentlichen v1 wiefolgt: die Kategorien „ad_personalization“ (welche Remarketing steuert) und „ad_user_data“ (welche das Senden von Daten zu Google aus Werbezwecken steuert) sind neu dazu gekommen (siehe nachfolgende Grafik).

Ab März 2024 ist die Implementierung von v2 des Consent Modes verpflichtend. Warum dies für dich relevant ist? Weil deine Google Ads Kampagnen davon gefährdet sein können. Wenn du nur GA4 (ohne Google Ads-Verknüpfung) nutzt, dann ist keine Änderung notwendig. Wenn du jedoch Kampagnen bei Google Ads geschalten hast und Zielgruppen mit GA4-Daten bildest, dann musst du auf v2 anpassen. Dazu sind Änderungen in deinem CMP und auch im GTM notwendig.

Abgesehen von Cookiebot unterstützt u.a. auch das bei WordPress beliebte Borlabs-Plugin ab der Version 3.0 den Google Consent Mode v2. Darüber hin aus stellt Google auch eine stets aktuelle Liste aller zertifizierter CMPs zur Verfügung. Dort kannst du nachschauen, ob deine Cookie-Lösung bzw. deine CMP-Lösung den Consent Mode unterstützt. Neben Cookiebot und Borlabs sind im DACH-Raum vor allem auch Iubenda, OneTrust, Usercentrics und Complianz weit verbreitet.

Update 1. Februar 2024

Ende Januar haben alle Werbetreibenden eine Mail von Google erhalten, die den Einwilligungsmodus für mindestens eine Domain oder App implementiert haben.

Hier wird erwähnt, dass bestehende Nutzer:innen des Einwilligungsmodus zu Analysezwecken nichts tun müssen und dass ab März 2024 die mit ad_storage verknüpften Einwilligungsstatus automatisch in ad_user_data überführt werden. Dies bedeutet also, dass die standardmäßigen Parameter von ad_storage auch für ad_user_date angewendet werden. Dies lässt sich jedoch theoretisch auch gesondert voneinander steuern, was aber aus unserer Sicht nicht wirklich viele Nutzer:innen anwenden werden.

GA4 und der Consent Mode

Bekommst du automatisch modellierte Daten, sobald du den Consent Mode aktivierst? Nein. Denn Google Analytics 4 aktiviert die Datenmodellierung erst dann, wenn nachfolgende Voraussetzungen erfüllt sind:

Der Consent Mode ist technisch korrekt in der Website implementiert (mehr dazu im Unterkapitel Google Consent Mode mit Cookiebot).
GA4 erfasst 7 Tage nacheinander mindestens 1.000 Ereignisse/Tag mit analytics_storage: „denied“.
GA4 erfasst an 7 der letzten 28 Tage mindestens 1.000 Nutzer/Tag mit analytics_storage: „granted“.

In den GA4-Settings siehst du unter Verwaltung > Property-Einstellungen > Datenanzeige > Identität für die Berichterstellung, ob die Modellierung auf deiner Seite aktiv ist. Wenn dort „1 inactive method“ angeführt ist (wie auf dem Screenshot darunter), dann bedeutet dies, dass die Datenmodellierung nicht aktiv ist, weil eine oder mehrere Voraussetzungen nicht erfüllt sind.

Google Ads Conversions und der Consent Mode

Wie Google selbst schreibt, ist die Conversion-Wahrscheinlichkeit bei Usern, die Cookies akzeptieren, in der Regel 2-5x höher als bei Usern, die Cookies ablehnen. Dieser Wert schwankt jedoch aufgrund von Faktoren wie Einwilligungsraten, Branche und Conversion-Typ erheblich. Das nachfolgenden Beispiel zeigt, dass zwischen Einwilligungen und Conversion-Rate ein direkter Zusammenhang besteht:

Ohne Consent Mode würden in diesem Beispiel nur 50 Conversions getrackt werden. Durch die Modellierung der User, welche der Einwilligung für Google Analytics- und Google-Ads-Cookies nicht zugestimmt haben, können 9 weitere Conversions identifiziert werden. Dadurch erhöht sich die Conversion Rate von 5% auf 5.9%, was einen Uplift (= Verbesserung) von 18% im Vergleich zu einem Setup ohne Consent Mode bedeutet.

Die geschätzten Conversions wirken sich in Google Ads auf alle Berichte mit Conversion-Spalten aus. Nach Einführung der Modellierung empfiehlt Google die Gebotsstrategien „Ziel-CPA“ oder „Ziel-ROAS“, um eine bessere Leistung zu erzielen. Der Google Consent Mode ist vor allem für Marketer und Agenturen interessant, die für ihre Kunden z.B. Google-Ads-Kampagnen auf Erfolgsbasis nach ROAS (Return On Ad Spend) umsetzen und abrechnen.

Der Einwilligungsmodus hat jedoch auch Einschränkungen. Das Training der Modelle beginnt erst, wenn eine Kampagne in einem Zeitraum von 7 Tagen pro Tag, Land und Domaingruppierung mindestens 700 Anzeigenklicks generiert. Wenn deine Kampagne dies erreicht, werden die geschätzten Conversions anschließend nach und nach in die Conversion-Berichte aufgenommen und die Leistung verbessert sich Schritt für Schritt.

Einbindung des Google Consent Mode mit Cookiebot

Als zertifizierter Reseller von Cookiebot setzen wir bei MONOBUNT bereits seit Juni 2018 auf eine CMP-Lösung, die wir nicht nur einfach über Google Tag Manager implementieren können und vom beliebten GTM4WP-Plugin in WordPress unterstützt wird, sondern auch schon seit Beginn an den Google Consent Mode unterstützt.

Bei der Einbindung des Cookiebot CMP kombinieren wir die Nutzung von Google Tag Manager mit der automatisierten Cookie-Blockierung durch Cookiebot. Auf diese Weise können wir Tags und Cookies basierend auf der Zustimmung der Nutzer:innen steuer – unter Verwendung von Triggern und dem Einwilligungsmodus in Google Tag Manager.

Darüber hinaus kontrolliert Cookiebot automatisch alle anderen Cookies, die nicht von Google Tag Manager gesetzt werden, basierend auf der gegebenen Zustimmung (typischerweise sind das Cookies, die von Drittanbieter-Skripten gesetzt werden).

Dazu muss sichergestellt sein, dass der Google Consent Mode, der Google Tag Manager und die Cookiebot CMP ganz oben im <head>-Bereich einer Website in genau dieser Reihenfolge geladen werden. Wenn du das Cookiebot CMP zuvor direkt über den Google Tag Manager geladen hast (was die gängigste Möglichkeit ist), dann musst du dieses Tag in GTM vorher unbedingt pausieren oder entfernen.

Google Consent Mode, TCF v2.2 und Cookiebot

Wenn du selbst Werbetreibender bist und z.B. Google AdSense auf deiner Seite implementiert hast, dann musst du auch das Transparency & Consent Framework (kurz: TCF) unterstützen, welches aktuell in der Version 2.2 ausgerollt ist. Dabei handelt es sich um einen globalen Standard, der die Datenverarbeitung auf Websites und in mobilen Anwendungen (z.B. Apps) regelt. 2018 hat das IAB Europe (Interactive Advertising Bureau, dessen österreichischer Ableger das IAB Austria ist) TCF (aufgrund der Einführung der Datenschutzgrundverordnung) entwickelt und in der Version 1.1 veröffentlicht.

Du kannst TCF (inkl. der gewünschten Version) direkt in Cookiebot aktivieren (siehe Screenshot oben). Wenn du das Cookiebot CMP nicht über den Google Tag Manager (oder über das WordPress-Plugin) implementiert hast, sondern über den Quellcode deiner Website, dann musst du das CMP-Skript lediglich um das Attribut „data-framework“ direkt unter deiner Cookiebot Domain Group ID erweitern (z.B. „data-framework=“TCFv2.2“). TCF integriert sich auch mit dem Google Consent Mode, wie Cookiebot auf der Informationsseite zum TCF beschreibt.

Ab 16. Januar 2024 müssen Google Ads-Partner, die Google AdSense, Ad Manager oder AdMob nutzen und im Europäischen Wirtschaftsraum (EWR) oder im UK Anzeigen schalten wollen, eine von Google zertifizierte CMP verwenden, die in das TCF von IAB integriert ist. Wenn ein Partner keine von Google zertifizierte CMP verwendet, werden nur noch eingeschränkte Anzeigen für den Verkehr aus dem EWR und dem Vereinigten Königreich zugelassen.

Google Consent Mode und DSGVO

Du fragst dich eventuell: ist anonymes Tracking ohne Einwilligung wirklich DSGVO-konform? Jurist:innen sind darüber geteilter Meinung. Da bei den meisten Interaktionen mit Website-Besuchern die IP-Adresse übermittelt wird, die hinsichtlich DSGVO unter personenbezogene Daten fällt, ist eine vollkommen anonyme Interaktion im Regelfall nicht möglich.

Am 10. Juli 2023 hat jedoch die Europäische Kommission den Angemessenheitsbeschluss für das EU-US Data Privacy Framework („Privacy Shield 2.0“) angenommen. Im Vergleich zum Vorgänger schränkt es die Art und Weise ein, wie US-Nachrichtendienste (z.B. NSA) Informationen sammeln können. Der Datenschutzrahmen zwischen der EU und den USA führt auch neue Bedingungen für die Erhebung personenbezogener Daten ein. Er stellt auch sicher, dass nur genau festgelegte Arten von Daten erfasst werden.

Laut Datenschutzaktivist:innen wie Max Schrems, der bereits das Safe-Harbor-Abkommen („Schrems I“) und das Privacy Shield 1.0 zu Fall brachte („Schrems II“) hat jedoch auch der neue Datenschutzrahmen „keine Chance“ vor dem EuGH. Sollte es zu „Schrems III“ kommen, müsste der Transfer von personenbezogenen Daten auf Server in die USA ausgeschlossen werden können, was derzeit bei Google-Diensten nicht möglich ist.

Wir sind allerdings selbst keine Jurist:innen, daher solltest du bei diesem Thema unbedingt aktuelle Entwicklungen verfolgen bzw. den Einsatz von Google-Services mit deiner Rechtsabteilung oder deinen Rechtsanwält:innen abklären. Wenn du dich für dieses Thema näher interessierst: PIWIK Pro hat einen lesenswerten Artikel veröffentlicht.

Exkurs: Serverseitiges Tracking

Wenn dein Online-Business zentral für deinen Geschäftserfolg ist, dann solltest du über das Setup von serverseitigem Tracking nachdenken. Beim serverseitigen Tracking kommuniziert dein Server und nicht dein Browser mit deinem Webanalyse-Tool. Dies ist die beste Möglichkeit, damit du weiterhin relevante Daten als Basis für deine Entscheidungen im Digitalmarketing erhältst.

Weil im Zuge des serverseitigen Trackings keine Erstanbietercookies im Browser gesetzt werden, kann das serverseitige Tracking nicht von Tracking-Mechanismen wie ITP oder ETP blockiert werden. Drittanbieter haben freilich auch hier keine Möglichkeit, Daten auszulesen. Wir gehen im Zuge dieses Guides nicht im Detail auf serverseitiges Tracking bzw. Tagging ein, empfehlen aber die umfassende Dokumentation von Google.

Weil serverseitiges Tracking im Vergleich zum browserseitigen Tracking eher komplex ist, empfehlen wir dir auch stets einen erfahrenen technischen Partner bei der Umsetzung. Es handelt sich dabei um eine neuartige Technologie, bei der du selbst den Serverbetrieb garantiert musst. Darüber hinaus verursacht serverseitiges Tracking diverse laufende Kosten. Wenn du hierzu Fragen hast, kannst du dich gerne an uns wenden.

Kommt man mit diesen Punkten zurecht, so bietet serverseitiges Tracking jedoch viele Vorteile. Beispielsweise die volle Datenkontrolle, ein cookieloses Tracking, neue Möglichkeiten rund um Privacy-Themen sowie die Unbeeinflussbarkeit durch Ad-Blocker und Tracking Preventions.

Welche Maßnahmen solltest du treffen?

Du kannst oder willst jedoch kein serverseitiges Tracking umsetzen und willst das Phase-Out der Third-Party-Cookies trotzdem „überleben“? Dann befolge am besten die nachfolgenden Schritte, die dir eine simple Guideline in Bezug auf eine clientseitige (browserseitige) Tracking-Lösung bieten sollen. Das Web Analytics Team von MONOBUNT ist dir bei den nachfolgenden Punkten 1-6 gerne behilflich, du erreichst uns über das Kontaktformular.

Implementiere eine von Google zertifizierte CMP (wie Cookiebot, OneTrust oder Borlabs oder von irgendeinem anderen Betreiber) auf deiner Website und beachte auch die bestmögliche Konfiguration und Platzierung, um die Zustimmungsrate auf >80% zu bringen (vgl. Bonus-Kapitel).
Betreibe Webanalyse mit Google Analytics 4, PIWIK Pro oder mit (gänzlich cookielosen) Alternativen wie Matomo.
Steuere Tracking Tags (wie z.B. das Conversion-Tracking-Tag bei Google Ads oder Meta Ads) über den Google Tag Manager und die dafür vorgesehenen Trigger deiner CMP-Lösung.
Aktiviere den Google Consent Mode v2 in deiner CMP, wenn du in GA4 mehr als 1.000 Nutzer/Tag und 1.000 Ereignisse/Tag bzw. in Google Ads mehr als 700 Anzeigenklicks/Tag generierst. Durch die Modellierung der Google AI kann man bis zu 70% der nicht observierten Conversions errechnen.
Aktiviere darüber hinaus TCF 2.2 in deiner CMP, wenn du ein Werbetreibender bist und Werbung über AdSense ausspielst.
Aktiviere die Enhanced Conversions (Erweiterte Conversions) in deinen Google Ads Kampagnen. Dadurch erhöht sich die Anzahl der observierten Conversions durchschnittlich um 5-10%.

Du brauchst Hilfe bei der Implementierung und Gestaltung eines Consent Banners bzw. einer CMP? In unserem Artikel zum optimalen (Cookie-) Consent Banner geben wir dir einige Tipps. Abgesehen davon, wenn du die zuvor genannten Maßnahmen umgesetzt hast oder wir diese Punkte für dich umsetzen dürfen, ist es essenziell, dass du dein Setup und die Zahlen in deinen Digitalmarketing-Tools laufend monitorst. Denn bei einer falschen oder fehlerhaften Implementierung gehen hier nämlich viele Daten verloren oder du begehst Verstöße gegen die DSGVO oder EU-Cookie-Richtlinie.

Anmerkung zum Artikel: das Titelbild des Artikels habe ich mit dem Bing Image Creator erstellt.

Gerald Emprechtinger

COO

Gerald Emprechtinger ist seit August 2017 im Team von MONOBUNT und hat seit Februar 2022 die Rolle des Agenturleiters inne. Er hat 2006 ein Diplomstudium für Marketing und Medienmanagement an der FH Salzburg sowie 2023 ein Masterstudium für Digital Marketing & Analytics am MCI Innsbruck abgeschlossen. Seine Leidenschaft gilt der Suchmaschinenoptimierung und der Webanalyse. Seit 2015 beschäftigt er sich intensiv mit Web Analytics und dem Google Tag Manager und hat dazu viele Blogartikel und Gastartikel verfasst. Hier geht es zu den weiteren Blogartikeln von Gerald bei MONOBUNT.