Cookie-Banner richtig machen: Was 2026 für Ihre Website gilt

Ganz ehrlich: dieses ewige Cookie-Banner nervt uns doch alle. Kaum öffnet man eine Website, springt einem so ein Kasten entgegen, und man klickt genervt irgendwas weg, nur damit das Ding verschwindet. Als Website-Betreiber denken deshalb viele: "So ein Banner hab ich, Haken dran, passt schon." Und genau da liegt das Missverständnis. Denn ob Ihr Banner rechtlich sauber ist, entscheidet nicht, ob überhaupt eines da ist, sondern wie es gebaut ist. Ein falsch gebautes Cookie-Banner ist inzwischen ein beliebtes Ziel für Abmahnungen geworden. Reden wir also in Ruhe darüber, was 2026 wirklich gilt und worauf Sie achten sollten.

Warum es das Cookie-Banner überhaupt gibt

Die zentrale Regel steht in Deutschland im § 25 des TDDDG. Das ist das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das im Mai 2024 das frühere TTDSG abgelöst hat. Der Name hat sich geändert, die Regeln zu Cookies sind aber die gleichen geblieben. Vereinfacht gesagt: Sobald Ihre Website etwas auf dem Gerät des Besuchers speichert oder von dort ausliest, brauchen Sie dafür grundsätzlich eine Einwilligung. Das betrifft nicht nur die klassischen Cookies, sondern auch ähnliche Techniken.

Wichtig ist das kleine Wort "grundsätzlich". Denn es gibt eine Ausnahme, und die ist für Sie entscheidend.

Technisch notwendig oder nicht: der Unterschied, auf den es ankommt

Nach § 25 Absatz 2 TDDDG dürfen Sie technisch notwendige Cookies ohne Einwilligung setzen. Das sind die Dinge, ohne die Ihre Seite schlicht nicht funktionieren würde. Alles, was darüber hinausgeht, braucht ein aktives Ja des Besuchers, bevor es lädt.

Grob können Sie sich das so merken:

• Ohne Einwilligung erlaubt: der Warenkorb im Onlineshop, die Login-Session, die gewählte Spracheinstellung, grundlegende Sicherheitsfunktionen. Also alles, was den reinen Betrieb der Seite sicherstellt.
• Nur mit Einwilligung erlaubt: Google Analytics und andere Statistik-Werkzeuge, Marketing- und Werbe-Pixel etwa von Meta oder Google Ads, eingebettete YouTube-Videos, Chat-Fenster, sowie Schriften und Karten, die von fremden Servern nachgeladen werden.

Machen wir uns nichts vor: Die meisten Streitpunkte entstehen genau in der zweiten Kategorie. Und der häufigste Fehler ist, dass diese Dienste schon laden, bevor der Besucher überhaupt irgendwo geklickt hat.

So sieht ein Banner aus, das wirklich passt

Ein sauberes Banner ist kein Hexenwerk, aber ein paar Punkte müssen sitzen. Die Aufsichtsbehörden und die Gerichte sind sich hier ziemlich einig:

• Nichts lädt vorab. Statistik, Tracking und eingebettete Inhalte dürfen erst nach dem Klick auf "Zustimmen" starten, nicht schon beim reinen Aufruf der Seite.
• Ablehnen ist so einfach wie Zustimmen. Ein gut sichtbarer Ablehnen-Knopf gehört auf die erste Ebene, gleichwertig neben das Zustimmen. Ein bunter Akzeptieren-Button und ein verstecktes Ablehnen im Kleingedruckten gelten als unzulässiges Dark Pattern.
• Keine vorangekreuzten Häkchen. Eine Zustimmung, die schon gesetzt ist und die der Besucher erst mühsam abwählen müsste, zählt nicht als freiwillige Einwilligung.
• Widerruf muss möglich sein. Der Besucher muss seine Entscheidung später genauso leicht wieder ändern können, zum Beispiel über einen kleinen Link im Fußbereich der Seite.
• Verständlich erklären. Kurz und klar, welche Dienste welche Daten zu welchem Zweck nutzen, mit einem Verweis auf Ihre Datenschutzerklärung.

Überlegen Sie mal aus der Sicht Ihres Besuchers: Wenn Ablehnen genauso schnell geht wie Zustimmen, wirkt das fair. Das ist nicht nur rechtlich sauberer, es ist auch einfach der bessere Umgang mit Ihren Kunden.

Die stille Abmahnfalle: nachgeladene Inhalte

Ein Punkt, den viele völlig unterschätzen, sind Inhalte, die im Hintergrund von fremden Servern geladen werden. Das bekannteste Beispiel sind Google Fonts. Werden diese Schriften direkt von den Servern von Google nachgeladen, wandert dabei die IP-Adresse des Besuchers an Google in die USA, und zwar ohne dessen Einwilligung.

Das Landgericht München I hat dazu bereits am 20. Januar 2022 entschieden, dass die dynamische Einbindung von Google Fonts ohne Einwilligung gegen den Datenschutz verstößt, und einem Website-Betreiber 100 Euro Schadensersatz plus Unterlassung auferlegt (Aktenzeichen 3 O 17493/20). In der Folge wurden Zehntausende Abmahnschreiben verschickt. Der Bundesgerichtshof hat Anfang 2026 zentrale Fragen dazu dem Europäischen Gerichtshof vorgelegt, das Thema ist also noch nicht endgültig geklärt. Der einfache Rat gilt aber unverändert: Solche Schriften, Karten oder Videos binden Sie lokal ein oder laden sie erst nach der Einwilligung. Dann sind Sie auf der sicheren Seite.

Das Gleiche gilt für eingebettete YouTube-Videos, für Google Maps oder für Schrift-Bibliotheken von fremden Anbietern. Prüfen Sie einmal in Ruhe, was Ihre Seite im Hintergrund alles nachlädt. Oft sind es Dinge, von denen der Betreiber selbst gar nichts mehr weiß, weil sie irgendwann einmal eingebaut wurden und dann in Vergessenheit gerieten.

Neu ab 2026: die zentrale Einwilligungsverwaltung

Jetzt zur guten Nachricht, denn es gibt Bewegung. Seit dem 1. April 2025 gilt in Deutschland die Einwilligungsverwaltungsverordnung, kurz EinwV. Die Idee dahinter ist, die Banner-Flut zu bändigen. Nutzer sollen ihre Cookie-Vorlieben künftig einmal zentral in einem anerkannten Dienst hinterlegen, und die Websites sollen diese Einstellung dann automatisch respektieren. Der erste offiziell anerkannte Dienst ist seit Oktober 2025 zugelassen, und seit Ende März 2026 können Nutzer solche zentralen Einstellungen tatsächlich verwalten.

Für Sie als Betreiber ist dabei aber ein Punkt wichtig: Diese Dienste zu nutzen ist freiwillig. Es gibt aktuell keine Pflicht, so etwas einzubinden, und Ihr bestehendes Cookie-Banner bleibt weiterhin gültig und notwendig. Die EinwV ist also eher ein Ausblick auf die Zukunft als eine neue Pflicht, die Sie heute schon umsetzen müssten. Es ist gut zu wissen, dass sich hier etwas tut, in Panik verfallen müssen Sie deswegen aber nicht.

Fazit

Unterm Strich: Ein Cookie-Banner allein schützt Sie nicht, es kommt darauf an, wie es gebaut ist. Achten Sie darauf, dass nichts vorab lädt, dass Ablehnen genauso leicht geht wie Zustimmen, und dass keine fremden Inhalte heimlich im Hintergrund Daten abgreifen. Das ist der Kern der Sache. Wenn Sie unsicher sind, ob Ihre Seite das erfüllt, lassen Sie es einmal fachkundig prüfen. Das kostet deutlich weniger als eine Abmahnung, und Sie haben Ruhe. Und ganz nebenbei: Eine Seite, die fair mit den Daten ihrer Besucher umgeht, macht schlicht einen besseren Eindruck. Das zahlt am Ende auf Ihr wichtigstes Kapital ein, nämlich das Vertrauen Ihrer Kunden.

Ein kurzer, aber wichtiger Hinweis zum Schluss: Dieser Beitrag gibt Ihnen eine verständliche Einordnung, er ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen zu Ihrer Website hilft Ihnen ein spezialisierter Anwalt oder Ihre Agentur weiter.