Sie öffnen die Browser-Konsole Ihrer WordPress-Website und sehen ein Dutzend Cookies mit unklaren Namen. Dann erreicht Sie eine E-Mail: „Ihre Website entspricht nicht der DSGVO, bitte beheben Sie dies innerhalb von 14 Tagen." Kommt Ihnen das bekannt vor?

Das Cookie-Thema ist technisch einfach, rechtlich jedoch sensibel. Bei DSGVO-Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4% des Jahresumsatzes, je nachdem, welcher Betrag höher ist. Und das betrifft nicht nur Onlineshops: Jede Website mit Google Analytics, einem Kommentarformular oder einem eingebetteten YouTube-Video erhebt technisch gesehen Nutzerdaten. Laut dem GDPR Enforcement Tracker belaufen sich die gesamten Bußgelder seit 2018 auf über 6 Milliarden Euro, und allein im Jahr 2025 verhängten die Aufsichtsbehörden Sanktionen in Höhe von 1,2 Milliarden Euro.

Gehen wir es Schritt für Schritt durch: welche Cookies setzt WordPress genau, was bedeutet ausdrückliche Einwilligung nach DSGVO, und wie bringen Sie Ihre Website mit einem kostenlosen Plugin in vollständige regulatorische Konformität, ohne Programmierer und in einer halben Stunde.

💡 Kurzer Überblick:

• Prüfen Sie die tatsächliche Cookie-Liste auf Ihrer Website: Öffnen Sie die Browser-Konsole (F12), Tab „Anwendung" → Cookies, und erstellen Sie einen Screenshot
• Installieren Sie das kostenlose Plugin „GDPR CCPA Compliance & Cookie Consent Banner" aus dem WordPress-Katalog, es deckt alle technischen Anforderungen der Verordnung ohne Code ab
• Konfigurieren Sie die IP-Anonymisierung in Google Analytics über MonsterInsights und aktualisieren Sie Ihre Datenschutzerklärung, sodass sie die aktuelle Cookie-Liste widerspiegelt

Was Cookies sind und wie WordPress sie nutzt

Ein Cookie ist eine kleine Textdatei, die der Server an den Browser sendet und die der Browser bei jeder weiteren Anfrage zurücksendet. Es handelt sich um einen „Gedächtnis"-Mechanismus für das HTTP-Protokoll, das selbst keinen Zustand speichert. Ohne Cookies sähe das Internet aus wie bei einer Amnesie: Jeder Klick fühlt sich an wie ein Erstbesuch, keine Anmeldung, kein Warenkorb.

WordPress verwendet Cookies in drei zentralen Szenarien.

Authentifizierung. Wenn Sie sich im Admin-Bereich anmelden, setzt WordPress Session-Cookies, die bei jedem Wechsel zwischen den Konsolenseiten bestätigen, dass Sie sind, wer Sie vorgeben zu sein. Die Lebensdauer beträgt 48 Stunden; mit der Checkbox „Angemeldet bleiben" bis zu 14 Tage.

Kommentare. WordPress merkt sich Name, E-Mail und URL des Kommentarautors über drei Cookies: comment_author_{HASH}, comment_author_email_{HASH} und comment_author_url_{HASH}. Die Speicherdauer beträgt etwa ein Jahr. Praktisch für den Nutzer, aber aus DSGVO-Sicht muss jedes dieser drei Cookies in der Datenschutzerklärung deklariert werden.

Plugins und Themes. Das häufigste Szenario. Jeglicher Drittanbieter-Code kann eigene Cookies setzen: Verhaltens-Tracking, Pop-ups, A/B-Tests, WooCommerce-Warenkorb, Werbe-Pixel. Rechtlich verantwortlich für die Information über jedes dieser Cookies ist der Website-Betreiber, nicht der Plugin-Entwickler.

Cookies externer Dienste: Google Analytics, soziale Medien und Chats

Eine eigene Kategorie sind Cookies, die nicht von WordPress, sondern von eingebundenen externen Diensten stammen. Das gängigste Beispiel ist Google Analytics.

Wenn Sie den Google-Analytics-Tracking-Code einbinden, direkt oder über ein Plugin wie MonsterInsights, gelangen drei Haupt-Cookies in den Browser des Besuchers:

• _ga, Nutzerkennung, lebt 2 Jahre;
• _gat, Ratenbegrenzer für Anfragen, lebt 1 Minute;
• _gid, Sitzungskennung, lebt 24 Stunden.

Google Analytics selbst verstößt unter einer Bedingung nicht gegen die DSGVO: IP-Anonymisierung. In MonsterInsights gibt es dafür einen eingebauten Schalter: mit einem Klick aktiviert, und IP-Adressen werden maskiert, bevor sie an die Server von Google gesendet werden.

Dasselbe gilt für jeden anderen externen Code: Facebook Pixel, eingebettete YouTube-Player, Werbeskripte, Chats wie Intercom, Heatmap-Tracker (Hotjar, Microsoft Clarity). Jeder fügt seine eigenen Cookies hinzu, und jedes muss in der Datenschutzerklärung deklariert und von einem Einwilligungsmechanismus abgedeckt sein.

Ausdrückliche und stillschweigende Einwilligung: Was das Gesetz verlangt

Aus DSGVO-Sicht gibt es zwei Ansätze, um die Cookie-Erlaubnis einzuholen.

Ausdrückliche Einwilligung. Die Website setzt keinerlei nicht notwendige Cookies, bis der Besucher auf „Akzeptieren" klickt. Bis zu diesem Moment funktionieren nur technisch erforderliche Cookies: Anmeldesitzung, Warenkorbinhalt, Sicherheits-Token. Dies ist der einzige Ansatz, der vollständig DSGVO-konform ist, und genau das verlangen die europäischen Aufsichtsbehörden seit 2018.

Stillschweigende Einwilligung. Cookies werden sofort gesetzt, und der Nutzer sieht einen Hinweis „Durch die weitere Nutzung der Website stimmen Sie zu...". Dieser Ansatz gilt nach den DSGVO-Normen nicht mehr als ausreichend: Eine aktive Handlung ist erforderlich. Der rechtliche Trend bewegt sich eindeutig in Richtung ausdrückliche Einwilligung, und Plugins, die die „Hinlänglichkeit" der stillschweigenden Einwilligung simulieren, erzeugen ein falsches Gefühl von Schutz.

Was die DSGVO ist und für wen sie gilt

Die DSGVO (Datenschutz-Grundverordnung) ist eine europäische Datenschutzverordnung, die am 25. Mai 2018 in Kraft getreten ist. Ihr Geltungsbereich erstreckt sich auf jedes Unternehmen, das Daten von EU-Bürgern verarbeitet, unabhängig vom Registrierungsland des Unternehmens.

Einfach gesagt: Wenn Ihre WordPress-Website von einem Einwohner Deutschlands, Frankreichs oder Polens besucht werden kann, ist die DSGVO für Sie relevant.

Die Verordnung gewährt Nutzern sechs Rechte: Auskunft über ihre Daten, Berichtigung, Löschung („Recht auf Vergessenwerden"), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung. Für einen WordPress-Website-Betreiber bedeutet das, dass Nutzer die technische Möglichkeit haben müssen, alle ihre Daten anzufordern, zu korrigieren oder zu löschen, und die Website muss dem Ersuchen innerhalb einer angemessenen Frist nachkommen.

Die Bußgelder bei Nichteinhaltung betragen bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Laut Enforcement Tracker belaufen sich die gesamten Bußgelder über den gesamten Verordnungszeitraum auf über 6 Milliarden Euro, und das Tempo nimmt weiter zu: Im Jahr 2025 verhängten die Aufsichtsbehörden 1,2 Milliarden Euro, mehr als in jedem Vorjahr.

DSGVO-CCPA-Compliance & Cookie-Consent-Banner-Plugin: alle Anforderungen mit einem Werkzeug abdecken

GDPR CCPA Compliance & Cookie Consent Banner (ehemals Ninja GDPR Compliance) ist ein kostenloses Plugin aus dem offiziellen WordPress-Katalog. Es deckt praktisch alle technischen Anforderungen der Verordnung ab, ohne eine einzige Codezeile. Stand Juni 2026 wird das Plugin aktiv gepflegt: Version 2.7.5 vom Dezember 2025 migrierte die Oberfläche von Vue.js auf React und schloss mehrere Sicherheitslücken.

Cookie-Hinweis

Die erste und sichtbarste Funktion ist das Zustimmungs-Pop-up. Konfiguriert wird es über einen visuellen Builder: Text, Farben, Bildschirmposition. Die Schaltfläche „Ablehnen" lässt sich separat aktivieren, sodass Besucher nicht notwendige Cookies explizit verweigern können. Bis die Schaltfläche „Akzeptieren" angeklickt wird, werden keine Tracking-Skripte aktiviert.

Zustimmung zur Datenschutzerklärung

Ist diese Option aktiviert, werden Nutzer automatisch auf die Seite mit der Datenschutzerklärung geleitet, und eingeloggte Besucher müssen deren Bedingungen ausdrücklich zustimmen. Das Plugin protokolliert jede Zustimmung und schafft so einen dokumentarischen Nachweis, der bei einer rechtlichen Prüfung hilfreich ist.

„Vergessen"-Formular

Die „Vergessen"-Funktion erstellt ein Formular auf der Website, über das Nutzer die Löschung aller ihrer Daten beantragen. Nach dem Absenden erhält der Administrator eine E-Mail-Benachrichtigung und muss die Löschung nur noch bestätigen. Damit wird die DSGVO-Anforderung des „Rechts auf Vergessenwerden" abgedeckt.

EU-Traffic-Steuerung

Ermöglicht es, Cookie-Hinweise nur Besuchern aus EU-Ländern anzuzeigen oder den Zugriff von europäischen IPs komplett zu sperren. Die Länderliste ist bearbeitbar, Sie können ein bestimmtes Land ausschließen, wenn Sie nicht mit dessen Einwohnern zusammenarbeiten.

Datenberichtigung

Setzt das Recht des Nutzers auf Korrektur gespeicherter Informationen um, eine weitere DSGVO-Anforderung. Nutzer füllen ein Formular aus, in dem sie beschreiben, was korrigiert werden muss, und der Administrator erhält eine Benachrichtigung.

Benachrichtigung bei Datenschutzverletzungen

Die Funktion zur Benachrichtigung bei Datenschutzverletzungen ist eine, von der man hofft, sie nie nutzen zu müssen, die aber nach der Verordnung verpflichtend ist. Wird die Website gehackt und könnten Nutzerdaten abgeflossen sein, benachrichtigt das Plugin alle betroffenen Besucher mit einem Klick.

Das Plugin ist vollständig kostenlos und funktioniert direkt nach der Installation. Installation: „Plugins → Installieren", Suche nach „GDPR CCPA Compliance", aktivieren, zum Menü GDPR → Einstellungen gehen und den Cookie-Hinweis passend zum Website-Design konfigurieren. Der gesamte Vorgang dauert weniger als fünf Minuten.

🔗 GDPR CCPA Compliance auf WordPress.org

Alternative Plugins: wenn ein Banner nicht ausreicht

GDPR CCPA Compliance ist gut als schlanke „All-in-One"-Lösung, aber der Markt ist breiter. Wenn Sie eine automatische Richtliniengenerierung, Cookie-Scans oder die Integration von Google Consent Mode v2 benötigen, sind hier drei aktive Alternativen:

• Complianz, scannt die Website automatisch auf Cookies, erstellt auf Basis der tatsächlichen Liste eine Datenschutzerklärung und dokumentiert die Einwilligungen. Die kostenlose Version ist für die meisten kleinen Websites ausreichend.
• CookieYes, legt den Schwerpunkt auf die Gestaltung des Hinweis-Designs: flexible Konfiguration von Bannerfarben, Position und Text. Unterstützt den Google Consent Mode v2 für Werbetreibende.
• WPConsent, zugeschnitten auf den Google Consent Mode v2: steuert, wie Google Ads und Analytics auf den Einwilligungsstatus der Nutzer reagieren. Für Websites mit aktiver Werbemonetarisierung ist das entscheidend, denn ohne Consent Mode v2 laufen Google-Werbeskripte in der EU schlichtweg nicht.

Für einen typischen Blog oder eine Landingpage ist das kostenlose GDPR CCPA Compliance mehr als ausreichend. Wenn Sie jedoch Google Ads nutzen oder einen WooCommerce-Shop mit europäischen Kunden betreiben, sehen Sie sich Complianz oder WPConsent an.

Google Analytics mit MonsterInsights DSGVO-konform konfigurieren

MonsterInsights ist eines der beliebtesten Google-Analytics-Plugins für WordPress mit über 3 Millionen aktiven Installationen. Neben dem Analyse-Dashboard direkt im Admin-Bereich verfügt das Plugin über einen integrierten DSGVO-Konformitätsmodus.

Was MonsterInsights für die DSGVO-Konformität leistet:

• IP-Anonymisierung. Mit einem Schalter in den Einstellungen aktiviert, fügt das Plugin den Parameter anonymizeIp zum Tracking-Code hinzu und Google erhält eine gekürzte IP-Adresse.
• Tracking für eingeloggte Nutzer deaktivieren. Administratoren und Redakteure der Website sollten nicht in der Statistik erscheinen, das verfälscht die Daten über echte Besucher.
• Integration mit Cookie-Consent-Plugins. MonsterInsights kann auf Ereignisse von Complianz, CookieBot und anderen DSGVO-Plugins reagieren und aktiviert das Tracking erst nach Erhalt der Nutzereinwilligung.

🔗 MonsterInsights auf WordPress.org

Kontaktformulare und die DSGVO

Jedes Kontaktformular auf einer WordPress-Website erhebt personenbezogene Daten. Nach der DSGVO müssen Sie drei Bedingungen erfüllen:

• Geben Sie den Erhebungszweck direkt über dem Absende-Button in einem Satz an. Zum Beispiel: „Ihr Name und Ihre E-Mail-Adresse werden ausschließlich zur Beantwortung dieser Anfrage verwendet."
• Holen Sie eine ausdrückliche Einwilligung ein, wenn Sie die Kontaktdaten für Mailings nutzen möchten. Eine separate Checkbox, nicht vorausgefüllt.
• Deaktivieren Sie die Speicherung von IP-Adressen und User-Agent in den Formularprotokollen. Bei Contact Form 7 geschieht dies über das Flamingo-Add-on, bei WPForms ist es eine integrierte DSGVO-Einstellung.

Gesondert zu erwähnen ist die Funktion „Delete Me", ein zusätzlicher Mechanismus, der die DSGVO-Anforderung des Rechts auf Löschung eines Kontos abdeckt.

Ist sie aktiviert, können Nutzer ihr Profil selbst löschen, ohne den Administrator zu kontaktieren. WordPress löscht dann alle Beiträge, Links und Kommentare des Nutzers. Der Zugriff auf die Funktion kann auf eine bestimmte Rolle beschränkt werden, zum Beispiel nur für Abonnenten.

So prüfen Sie Cookies im Browser in einer Minute

Manchmal benötigen Sie keine DSGVO-Konformität, sondern eine einfache Diagnose: sehen, welche Cookies eine bestimmte Website setzt. So funktioniert es in zwei großen Browsern.

Google Chrome. Öffnen Sie die Website, drücken Sie F12 (Entwicklertools), wechseln Sie zum Tab „Anwendung", wählen Sie im linken Menü Cookies → Website-Domain. Vor Ihnen liegt die vollständige Cookie-Liste mit ihren Werten, Laufzeiten und HttpOnly/Secure-Flags. Für die globale Einstellungsverwaltung: Einstellungen → Datenschutz und Sicherheit → Website-Einstellungen → Cookies von Drittanbietern.

Mozilla Firefox. F12 → Tab „Speicher" → Cookies → Domain. Globale Einstellungen: Einstellungen → Datenschutz & Sicherheit → Verbesserter Tracking-Schutz. Firefox bietet drei Stufen: Standard, Streng und Benutzerdefiniert, letztere erlaubt die Feinabstimmung, welche Cookies genau blockiert werden sollen.

Video: Schnelle Cookie-Consent-Einrichtung in WordPress

Sehen Sie sich eine dreiminütige Demonstration der Cookie-Hinweis-Einrichtung vom Elementor-Team an, das geht schneller als Textanleitungen zu lesen.

⁉️🤔 Häufig gestellte Fragen

Setzt WordPress Cookies, wenn ich einen einfachen Blog ohne Registrierung betreibe?

Ja. Selbst wenn Kommentare deaktiviert sind und sich niemand anmeldet, setzt WordPress wp-settings-time-{ID} und wp-settings-{ID} für den Administrator. Jedes Analyse-Plugin, jeder Werbe-Pixel oder jedes eingebettete YouTube-Video fügt unabhängig von Ihren Wünschen eigene Cookies hinzu. Das absolute Minimum: Öffnen Sie die Browser-Konsole (F12 → Anwendung → Cookies), gleichen Sie die tatsächliche Liste mit der Datenschutzerklärung ab und aktualisieren Sie diese bei Abweichungen. Fünfzehn Minuten Arbeit verändern die rechtliche Position bei einer Prüfung grundlegend.

Wie unterscheidet sich die DSGVO von der ePrivacy-Richtlinie („Cookie-Gesetz")?

Die ePrivacy-Richtlinie wurde 2002 verabschiedet und 2009 aktualisiert; sie verlangt die Einwilligung zum Speichern und Auslesen von Informationen auf dem Endgerät eines Nutzers. Die 2018 in Kraft getretene DSGVO ist breiter angelegt: Sie regelt jegliche Verarbeitung personenbezogener Daten, nicht nur über Cookies. Der praktische Unterschied: Die DSGVO hat die Anforderungen an die Qualität der Einwilligung angehoben. Sie dürfen „Ich stimme zu" nicht standardmäßig vorab ankreuzen, die Ablehnung nicht tief in den Einstellungen verstecken und die Nutzung der Website nicht von der Einwilligung in Werbe-Cookies abhängig machen. All dies wird inzwischen sanktioniert, und die Beträge steigen jedes Jahr.

Welches Plugin soll ich wählen: GDPR CCPA Compliance oder Complianz?

GDPR CCPA Compliance punktet mit Einfachheit: minimale Einstellungen, alles funktioniert direkt nach der Installation, kostenlos. Geeignet für Blogs, Landingpages und kleine Websites. Complianz bietet mehr: automatisches Cookie-Scanning, Generierung der Datenschutzerklärung auf Basis der tatsächlichen Liste, detaillierte Einwilligungsdokumentation. Für einen WooCommerce-Shop oder eine Website mit aktiver Werbung nehmen Sie Complianz, die kostenlose Version ist ausreichend. Wenn die wesentlichen Einnahmen über Google Ads kommen, schauen Sie in Richtung WPConsent mit Google Consent Mode v2.

Brauche ich DSGVO-Konformität, wenn ich nicht in Europa bin?

Mit ziemlicher Sicherheit ja. Die DSGVO schützt EU-Bürger, nicht Unternehmen, und gilt für jede Organisation, die deren Daten verarbeitet, unabhängig vom Gerichtsstand. Wenn Ihre Website öffentlich zugänglich ist und europäischen Traffic nicht blockiert, gilt die Verordnung für Sie. In der Praxis werden kleine Websites außerhalb der EU selten zum Ziel von Aufsichtsbehörden, aber ein rechtliches Risiko besteht. Empfehlung: Wenn sich unter den Besuchern Europäer befinden (Google Analytics zeigt dies im Geografie-Bericht), installieren Sie mindestens ein kostenloses Cookie-Hinweis-Plugin. Das kostet kein Geld und fünf Minuten Zeit, schafft aber eine dokumentarische Spur redlicher Bemühungen um die Einhaltung der Verordnung.

Wie prüfe ich, welche Cookies meine Website genau verwendet?

Der einfachste Weg: Öffnen Sie die Website im Inkognito-Modus, drücken Sie F12 → Anwendung → Cookies und machen Sie einen Screenshot der Liste. Für eine gründlichere Prüfung eignet sich der Dienst CookieServe, der die Website kostenlos scannt und einen Bericht mit Klassifizierung der Cookies nach Kategorien (notwendig, Analyse, Werbung) erstellt. Wenn Sie Complianz verwenden, erledigt der integrierte Scanner dasselbe automatisch. Der Hauptnutzen einer solchen Prüfung: Sie finden heraus, ob ein altes Facebook-Pixel-Plugin, das Sie vor drei Jahren vergessen haben, Cookies setzt. Das kommt häufiger vor, als man denkt.

Was Sie jetzt in Sachen DSGVO tun sollten

Cookie-Compliance ist kein Thema, das man einmal einrichtet und dann für ein Jahr vergisst. Plugins werden aktualisiert, neue Skripte kommen hinzu, die Anforderungen der Aufsichtsbehörden ändern sich. Aber der Ausgangspunkt ist für alle gleich: Prüfen Sie die tatsächliche Cookie-Liste, installieren Sie ein Einwilligungs-Plugin und stellen Sie sicher, dass Google Analytics IPs anonymisiert.

Der schnellste Weg zum Ergebnis: Installieren Sie GDPR CCPA Compliance & Cookie Consent Banner, aktivieren Sie die IP-Anonymisierung im MonsterInsights-Plugin und ersetzen Sie die standardmäßige WordPress-Datenschutzerklärung durch eine aktuelle, die die tatsächlich verwendeten Cookies auflistet. Dreißig Minuten, und die Frage „Was ist mit meiner DSGVO?" ist keine Frage mehr.