Cookies sind kleine Textdateien, die eine Website im Browser des Besuchers speichert. Ohne sie würden Warenkörbe, persönliche Konten und Authentifizierung nicht funktionieren. Dieselben Cookies können jedoch das Nutzerverhalten verfolgen, den Browserverlauf erfassen und diese Daten an Werbenetzwerke weitergeben, genau das ist der Bereich, den die europäische Gesetzgebung reguliert.

Diese Anforderungen zu ignorieren, ist ein Risiko. Das Bußgeld bei Verstößen gegen die ePrivacy-Richtlinie und die DSGVO kann 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für einen WordPress-Seitenbetreiber mit europäischem Publikum ist Cookie-Compliance keine Option, sondern eine zwingende Voraussetzung für den Betrieb.

Ihre Seite in Ordnung zu bringen, ist einfacher, als es klingt. Drei Schritte, ein Plugin und eine halbe Stunde Ihrer Zeit genügen, um Ihre WordPress-Seite vollständig an die aktuellen Anforderungen von 2026 anzupassen.

💡 Kurzüberblick:

• Was Cookies sind, welche Arten Nutzer verfolgen und wie WordPress sie standardmäßig einsetzt
• Was die ePrivacy-Richtlinie (die EU-Cookie-Verordnung) in Verbindung mit der DSGVO verlangt
• Drei Compliance-Schritte: eine Cookie-Richtlinie, ein Einwilligungsbanner und Skriptblockierung bis zur ausdrücklichen Einwilligung
• Ein Überblick über funktionierende Plugins: von minimalistischen Hinweisen bis hin zu vollwertigen Consent-Management-Plattformen

Was Cookies sind und wie WordPress sie verwendet

Ein Cookie ist ein Informationsblock, den der Server an den Browser sendet und den der Browser bei jeder weiteren Anfrage zurücksendet. Technisch gesehen handelt es sich um ein „Schlüssel=Wert"-Paar mit Attributen für Ablaufdatum, Domain und Sicherheitsflags. Aus regulatorischer Sicht fallen Cookies in zwei große Gruppen.

Die erste Gruppe sind technisch notwendige Cookies. Ohne sie funktioniert die Seite nicht: das Session-Cookie PHPSESSID, der WooCommerce-Warenkorb woocommerce_cart_hash und das Authentifizierungs-Cookie nach dem Login ins Admin-Panel. Diese erfordern lediglich eine Information, keine Einwilligung.

Die zweite Gruppe ist alles andere: Analyse-Cookies (_ga, _gid von Google Analytics), Werbe-Cookies (Facebook Pixel, Google Ads) und funktionale Cookies (YouTube-Player, Karten, Social Widgets). Das sind die Cookies, die eine ausdrückliche, informierte Einwilligung erfordern, bevor ein Skript sie im Browser ablegt.

WordPress setzt standardmäßig mehrere Cookies. Beim Einloggen ins Admin-Panel erstellt es wordpress_logged_in_[hash] für die Authentifizierung, wp-settings-{time}-[UID] für die Personalisierung der Oberfläche und einige weitere technische Cookies. Kommentare speichern ein Cookie mit Name, E-Mail und Website des Kommentators für ein Jahr, damit die Felder nicht erneut ausgefüllt werden müssen. All dies ist technisch notwendig; eine Information ist erforderlich, eine Einwilligung nicht.

Doch eine echte WordPress-Seite läuft selten nur auf dem nackten Kern. Ein Push-Benachrichtigungs-Plugin fügt eigene Cookies hinzu, Google Analytics fügt eigene hinzu und Werbenetzwerke fügen ihre hinzu. An dieser Stelle wird ein Einwilligungsbanner unumgänglich.

Was die EU-Cookie-Verordnung 2026 verlangt

Der Begriff „EU-Cookie-Verordnung" bezieht sich üblicherweise auf zwei Dokumente: die ePrivacy-Richtlinie 2002/58/EG (mit den Änderungen von 2009) und die DSGVO (Datenschutz-Grundverordnung, die 2018 in Kraft trat). Die ePrivacy-Richtlinie enthält spezifische Regelungen für Cookies und ähnliche Technologien, während die DSGVO personenbezogene Daten im Allgemeinen abdeckt.

Die zentrale Anforderung ist, dass nicht technisch notwendige Cookies erst gesetzt werden dürfen, nachdem der Nutzer seine ausdrückliche Einwilligung erteilt hat. Schweigen, Scrollen auf der Seite oder die fortgesetzte Navigation gelten seit 2020 nach dem Urteil des EuGH im Fall Planet49 nicht mehr als Einwilligung.

Was ein WordPress-Seitenbetreiber konkret tun muss:

• Eine Cookie-Richtlinie erstellen, entweder als separates Dokument oder als Abschnitt der Datenschutzerklärung, die alle Cookie-Arten, Erhebungszwecke und Speicherdauern auflistet
• Ein gut sichtbares Cookie-Hinweisbanner auf der Seite anzeigen, bevor Tracking-Skripte geladen werden
• Dem Nutzer eine Wahlmöglichkeit bieten: alle Cookies akzeptieren, alle ablehnen (außer notwendigen) oder Kategorien konfigurieren
• Skripte, die Cookies setzen, blockieren, bis die ausdrückliche Einwilligung erteilt wurde, nicht erst danach

Seit 2024 ist eine weitere Ebene hinzugekommen: Google Consent Mode v2 ist für Seiten erforderlich, die Google Ads und Google Analytics mit europäischem Publikum nutzen. Ohne Einwilligungssignale liefert Google schlicht keine personalisierte Werbung aus und schränkt die Datenerfassung in Analytics ein. Die gute Nachricht: Moderne Consent-Plugins unterstützen Consent Mode standardmäßig.

Nichteinhaltung birgt Risiken, die über Bußgelder hinausgehen. Vertrauensverlust der Nutzer, blockierte Werbeeinnahmen und Klagen von Datenschutzaktivisten sind allesamt reale geschäftliche Konsequenzen.

Schritt 1. Die Cookie-Richtlinie vorbereiten

Eine Cookie-Richtlinie ist ein Dokument, das Nutzern erklärt, welche Cookies Ihre Seite verwendet, warum, wer sie setzt und wie man widersprechen kann. Das Gesetz verlangt, dass dieses Dokument leicht zugänglich ist; üblicherweise wird ein Link dazu im Footer und innerhalb des Einwilligungsbanners platziert.

Was enthalten sein muss:

• Eine direkte Aussage, dass die Seite Cookies verwendet
• Eine Erklärung, was Cookies sind, kurz in ein bis zwei Sätzen
• Eine Liste der verwendeten Cookie-Arten: notwendig, Analyse, Werbung, funktional, mit Angabe, welche Sie selbst setzen und welche von Drittanbietern stammen
• Für jede Kategorie den Zweck und die Speicherdauer
• Eine Anleitung, wie Nutzer Cookies in ihren Browsereinstellungen deaktivieren oder eine bereits erteilte Einwilligung widerrufen können

WordPress erleichtert dies. Unter Einstellungen → Datenschutz gibt es eine integrierte Vorlage für die Datenschutzerklärung. Sie können diese bearbeiten, um Informationen über die spezifischen Cookies Ihrer Seite hinzuzufügen, und als separate Seite veröffentlichen. Für einen typischen Blog mit ein paar Plugins ist das ausreichend.

Wenn Sie ein detaillierteres Dokument mit automatischem Cookie-Scan und auf Ihre spezifische Seite zugeschnittener Generierung benötigen, können spezialisierte Dienste helfen. Iubenda zum Beispiel scannt Ihre Seite, findet alle aktiven Cookies und generiert eine Richtlinie, die den Anforderungen von ePrivacy und DSGVO entspricht. Die kostenlose Stufe deckt grundlegende Bedürfnisse ab.

Schritt 2. Ein Einwilligungsbanner auf der Seite hinzufügen

Ein Einwilligungsbanner ist das Erste, was ein EU-Besucher beim Betreten der Seite sieht. Sein Zweck ist es, über die Cookie-Nutzung zu informieren und die ausdrückliche Einwilligung einzuholen, bevor Skripte beginnen, Daten im Browser zu speichern.

Mindestelemente eines Banners:

• Hinweistext: „Wir verwenden Cookies für Analysen und zur Verbesserung der Seitenleistung", konkret formuliert und ohne vage Formulierungen
• Eine Schaltfläche „Akzeptieren" für die Einwilligung in alle Cookie-Kategorien
• Eine Schaltfläche „Ablehnen" für nur notwendige Cookies (verpflichtend; ein Banner ohne Ablehnen-Schaltfläche ist nicht DSGVO-konform)
• Ein Link zur Cookie-Richtlinie, beschriftet mit „Mehr erfahren" oder „Einstellungen"
• Kategorie-Einstellungen, optional, aber aus Transparenzgründen empfohlen

Das Banner sollte beim ersten Laden in einem sichtbaren Bereich des Bildschirms erscheinen, üblicherweise als Leiste am unteren Rand oder zentriert mit einem Overlay. Es sollte nicht verschwinden, bevor der Nutzer eine Wahl getroffen hat.

Es gibt drei Wege, ein Banner technisch umzusetzen:

Die einfachste Option ist das kostenlose Plugin LuckyWP Cookie Notice (GDPR). Es fügt eine anpassbare Leiste mit „Akzeptieren"- und „Ablehnen"-Schaltflächen, einem Link zur Richtlinie und der Möglichkeit, die Einwilligungsdauer festzulegen, hinzu. Das Plugin ist leichtgewichtig, belastet die Seite nicht und deckt die grundlegenden Anforderungen der ePrivacy-Richtlinie ab.

Ein leistungsfähigeres Werkzeug ist Iubenda All-in-one Compliance. Es ist nicht nur ein Banner, sondern eine vollständige Consent-Management-Plattform: automatischer Cookie-Scan auf der Seite, Skriptblockierung bis zur Einwilligung, Integration mit Google Consent Mode v2 und ein Generator für Datenschutzerklärungen. Nach der Installation fügt das Plugin einen Iubenda-Tab im Admin-Panel hinzu, in den Sie den Code aus Ihrem Account-Dashboard einfügen.

Dort konfigurieren Sie das Erscheinungsbild und Verhalten des Banners: oben oder unten am Bildschirm, Farbschema und die Liste der zu blockierenden Skripte. Nach dem Speichern erscheint das Banner auf der Seite.

Hier legen Sie auch die Bannerposition, das Farbschema und die Liste der automatisch zu blockierenden Skripte fest. Iubenda ermöglicht es Ihnen, flexibel zu konfigurieren, welche Drittanbieterdienste (Google Analytics, Facebook Pixel, Hotjar) auf die Einwilligung warten sollen.

Nachdem Sie alle Parameter ausgewählt haben, klicken Sie auf „Änderungen speichern", und das Banner erscheint sofort auf der Seite.

Die dritte Option ist GDPR Cookie Compliance von Moove Agency (über 300.000 aktive Installationen). Das Plugin speichert alle Einwilligungsdaten lokal in WordPress, unterstützt Consent Mode v2 in der Premium-Version und enthält ein Einwilligungsprotokoll für Audits. Es eignet sich für diejenigen, die externe Dienste vermeiden und die Compliance vollständig auf dem eigenen Server behalten möchten.

Schritt 3. Skripte blockieren, bis die Einwilligung erteilt wurde

Der häufigste Fehler ist, dass das Banner angezeigt wird, während Google Analytics und Facebook Pixel bereits geladen und Cookies gesetzt haben. Dies ist ein direkter Verstoß; Skripte müssen blockiert werden, bis der Nutzer ausdrücklich auf „Akzeptieren" klickt.

Der Blockiermechanismus funktioniert wie folgt. Das Consent-Plugin fängt <script>-Tags ab, die bekannte Tracking-Kennungen enthalten (Google Analytics, Meta Pixel, Hotjar, LinkedIn Insight), und verhindert deren Ausführung. Wenn der Besucher seine Einwilligung gibt, gibt das Plugin die Skripte frei und sie laufen normal. Klickt der Besucher auf „Ablehnen", bleiben die Skripte blockiert, und die einzigen Cookies auf der Seite sind technisch notwendige.

Iubenda erledigt dies automatisch: Es scannt die Seite, erkennt mit Cookies verbundene Skripte und blockiert sie bis zur Einwilligung. Es ermöglicht Ihnen auch, in den Plugin-Einstellungen manuell zusätzliche Skripte anzugeben, die blockiert werden sollen. LuckyWP Cookie Notice bietet ein Feld, in das Sie Skripte einfügen, die erst nach der Einwilligung ausgeführt werden sollen, dorthin verschieben Sie also Ihre Google Analytics- und andere Dienstcodes aus dem Header der Seite.

Ein gesondertes Szenario betrifft YouTube-Videos. Das Einbetten eines Standard-Iframes von youtube.com setzt sofort Cookies, wenn die Seite geladen wird, selbst wenn der Besucher nicht auf Play gedrückt hat. Die Lösung besteht darin, youtube-nocookie.com (erweiterter Datenschutzmodus) oder das Plugin GDPR Helper for YouTube Videos zu verwenden, das den Iframe durch einen Platzhalter ersetzt, der die Einwilligung anfordert.

Das obige Video ist eine visuelle Demonstration der Einrichtung der WPConsent-Lösung in 10 Minuten. Das Funktionsprinzip ist bei allen modernen Plugins ähnlich: Cookies scannen, das Banner konfigurieren und überprüfen, ob Skripte bis zur Einwilligung blockiert werden.

⁉️🤔 Häufig gestellte Fragen

Bin ich verpflichtet, die EU-Cookie-Verordnung einzuhalten, wenn meine Seite sich physisch nicht in Europa befindet?

Ja, wenn zu Ihrem Publikum Nutzer aus der EU gehören. Das Gesetz gilt extraterritorial: Jede Seite, die durch Cookies Daten von europäischen Nutzern erhebt, muss die ePrivacy-Richtlinie und die DSGVO einhalten, unabhängig davon, wo der Server steht. Wenn europäischer Traffic für Sie unbedeutend ist, mag ein einfaches Informationsbanner genügen, aber technisch sind die Anforderungen dieselben.

Muss ich für technisch notwendige Cookies eine Einwilligung einholen?

Nein. Technisch notwendige Cookies, also solche, ohne die die Seite nicht funktioniert (Session-Cookies, Warenkorb, Authentifizierung), erfordern keine Einwilligung. Sie müssen den Nutzer jedoch in der Datenschutzerklärung über deren Verwendung informieren. Eine wichtige Nuance: Wenn ein Cookie für eine Funktion benötigt wird, die der Nutzer ausdrücklich angefordert hat (zum Beispiel das Speichern der Oberflächensprache), kann es als notwendig gelten, aber die Aufsichtsbehörden legen dies eng aus.

Wie unterscheidet sich die ePrivacy-Richtlinie von der DSGVO in Bezug auf Cookies?

Die ePrivacy-Richtlinie (2002, aktualisiert 2009) ist ein spezifisches Gesetz, das Cookies, elektronische Kommunikation und den Schutz von Endgeräten abdeckt. Die DSGVO (2018) ist eine allgemeine Verordnung zu personenbezogenen Daten. In Bezug auf Cookies gilt: ePrivacy verlangt die Einwilligung zum Setzen von Cookies, während die DSGVO die Einwilligung zur Verarbeitung der personenbezogenen Daten verlangt, die Cookies sammeln. In der Praxis wirken sie zusammen: Ein Einwilligungsbanner erfüllt beide Anforderungen, wenn es korrekt implementiert ist.

Kann ich ein Cookie-Banner ohne „Ablehnen"-Schaltfläche verwenden?

Nein. Das EuGH-Urteil im Fall Planet49 (2019) verlangt ausdrücklich, dass die Ablehnung von Cookies genauso einfach sein muss wie die Annahme. Ein Banner mit nur einer „OK"- oder „Akzeptieren"-Schaltfläche und ohne die Möglichkeit, alle nicht notwendigen Cookies abzulehnen, ist nicht DSGVO-konform. Die „Ablehnen"-Schaltfläche muss gleichermaßen sichtbar sein, nicht grau auf grauem Hintergrund.

Was passiert, wenn ich die Anforderungen einfach ignoriere?

Formal ein Bußgeld von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes. In der Praxis gehen die EU-Aufsichtsbehörden am aktivsten gegen große Unternehmen und Seiten mit erheblichem europäischem Publikum vor. Aber auch für eine kleine Seite bestehen Risiken: Nutzerbeschwerden bei der Datenschutzbehörde ihres Landes, blockierte Google-Werbeeinnahmen (ohne Consent Mode v2) und Vertrauensverlust beim Publikum. Ein Consent-Plugin zu installieren dauert 20 Minuten; die Verhältnismäßigkeit von Aufwand zu Risiko liegt auf der Hand.

Was Sie heute tun sollten: ein Drei-Schritte-Plan

Cookie-Compliance für eine WordPress-Seite erfordert keinen Anwalt und kostet nichts. Drei Maßnahmen, die das Problem lösen:

• Wenn die Seite einfach ist, installieren Sie LuckyWP Cookie Notice, richten Sie das Banner mit „Akzeptieren"- und „Ablehnen"-Schaltflächen ein und fügen Sie einen Link zur Datenschutzseite hinzu
• Wenn Sie automatische Skriptblockierung und Consent Mode v2-Compliance benötigen, nutzen Sie Iubenda (kostenlose Stufe für grundlegende Compliance) oder GDPR Cookie Compliance
• Testen Sie das Ergebnis: Öffnen Sie die Seite im Inkognito-Modus, überprüfen Sie, dass Google Analytics und andere Tracker nicht vor der Einwilligung laden und dass sie nach dem Klick auf „Akzeptieren" laden

Der beste Zeitpunkt, Ihre Seite in Ordnung zu bringen, war gestern. Der zweitbeste Zeitpunkt ist heute.