Cookie-Banner ablehnen: Was der Klick wirklich bewirkt

Ein Klick auf „Alle ablehnen" verhindert nur, dass eine Website nicht notwendige Cookies auf Ihrem Gerät speichert. Er löscht keine Daten, die bereits bei Werbenetzwerken liegen, wirkt ausschließlich für diesen Browser und diese Domain, und bei vielen Bannern bleibt ein zweiter Schalter aktiv: der Reiter „berechtigtes Interesse".

Was beim Klick auf „Ablehnen" technisch passiert

Der Banner gehört nicht zur Website, sondern zu einer eigenen Software davor: der Consent Management Platform, kurz CMP. Sie zeigt die Abfrage an und entscheidet danach, welche Skripte auf der Seite überhaupt starten dürfen. Klicken Sie „Alle ablehnen", schreibt die CMP eine Notiz in den Speicher Ihres Browsers, in der steht, welche Zwecke Sie abgelehnt haben. Die Werbe- und Analyseskripte werden daraufhin gar nicht erst geladen.

Rechtlich hängt das an § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Der Paragraf regelt nicht die Werbung, sondern den Zugriff auf Ihr Endgerät: Etwas auf Ihrem Rechner oder Handy abzulegen oder etwas dort Gespeichertes auszulesen, ist nur mit Ihrer Einwilligung erlaubt. Ausgenommen sind zwei Fälle, nämlich die reine Übertragung einer Nachricht und alles, was unbedingt erforderlich ist, damit ein von Ihnen ausdrücklich gewünschter Dienst funktioniert. Der Warenkorb eines Shops fällt darunter, die Reichweitenmessung eines Werbenetzwerks nicht.

Daraus folgt die erste und wichtigste Einschränkung: Ihre Entscheidung betrifft Ihr Gerät. Sie betrifft nicht die Serverprotokolle des Anbieters, nicht die Auswertung Ihrer Bestellhistorie im Kundenkonto und schon gar nicht die Datensätze, die andere Unternehmen unabhängig von diesem Besuch über Sie führen. „Ablehnen" ist eine Anweisung für den heutigen Nachmittag, kein Rückruf für das vergangene Jahrzehnt.

Die zweite Einschränkung ist eine kleine Ironie der Technik: Auch Ihr Nein muss irgendwo gespeichert werden, und gespeichert wird es in einem Cookie oder im lokalen Speicher des Browsers. Wer seinen Browser so eingestellt hat, dass er beim Schließen alles löscht, wirft damit jedes Mal auch sämtliche Ablehnungen weg. Genau deshalb begegnet Ihnen derselbe Banner auf derselben Seite immer wieder. Dieselbe Entscheidung gilt außerdem nur pro Domain und pro Browser. Bei Handy, Tablet, Arbeitsrechner und zwei installierten Browsern treffen Sie jede Ablehnung fünffach.

Der Ablehnen-Button muss auf der ersten Ebene stehen

Jahrelang war die Standardgestaltung ein Banner mit zwei Möglichkeiten: „Alle akzeptieren" in Signalfarbe und daneben ein blasses „Einstellungen". Wer wirklich ablehnen wollte, musste sich durch eine zweite Ebene arbeiten. Diese Bauweise ist seit einer Entscheidung des Verwaltungsgerichts Hannover vom 19. März 2025 (Aktenzeichen 10 A 5385/22) angreifbar. Das Gericht hat einem niedersächsischen Medienunternehmen aufgegeben, auf der ersten Ebene eine Ablehnen-Schaltfläche vorzuhalten, wenn dort ein Zustimmen-Button steht. Die Optionen müssen gleichwertig und unmittelbar sichtbar sein, sonst kommt keine freiwillige Einwilligung zustande. Nebenbei stellte das Gericht klar, dass auch der Google Tag Manager eine Einwilligung voraussetzt.

Für Sie als Leser ist das ein einfacher Prüfsatz: Sehen Sie auf der ersten Ebene eine Möglichkeit zu akzeptieren, aber keine gleichwertige zum Ablehnen, dann haben Sie es mit einem Banner zu tun, der die Rechtsprechung noch nicht nachvollzogen hat. Die Verbraucherzentrale sammelt solche Gestaltungen unter dem Stichwort manipulative Cookie-Banner und formuliert den Maßstab knapper, als es jedes Urteil kann: Ablehnen darf nicht mehr Klicks kosten als Zustimmen.

Der übersehene Reiter: „Berechtigtes Interesse"

Viele große Banner arbeiten nach dem Transparency and Consent Framework der IAB Europe, einem Branchenstandard, an dem hunderte Werbeanbieter hängen. Ihre Entscheidungen werden dort in eine Zeichenkette geschrieben, den sogenannten TC-String, der anschließend an alle beteiligten Anbieter weitergereicht wird. Der Europäische Gerichtshof hat am 7. März 2024 in der Rechtssache C-604/22 (IAB Europe) entschieden, dass dieser TC-String ein personenbezogenes Datum ist, sobald er sich mit Ihrer IP-Adresse verbinden lässt, und dass IAB Europe für diese Verarbeitung mitverantwortlich ist. Die Zeichenkette, die Ihren Widerspruch dokumentiert, ist also selbst ein Datensatz über Sie.

Praktisch relevanter ist der Aufbau des Einstellungsdialogs. Diese Banner trennen zwei Rechtsgrundlagen in zwei Reiter. Der erste heißt sinngemäß „Einwilligung" und ist der, den jeder öffnet. Der zweite heißt „Berechtigtes Interesse" und listet Zwecke, für die der Anbieter keine Zustimmung einholt, sondern von Ihrem Widerspruch abhängig macht. Diese Schalter stehen deshalb von Haus aus auf aktiv. Wer im Dialog nur nach unten scrollt und „Auswahl speichern" drückt, hat den zweiten Reiter nie gesehen und speichert dessen Voreinstellung mit ab.

Wichtig für die Einordnung: Seit Version 2.2 des Frameworks, verbindlich seit Oktober 2023, darf das berechtigte Interesse für die Personalisierung von Werbung und Inhalten nicht mehr herangezogen werden. Was dort noch legitim stehen kann, sind Zwecke wie Reichweitenmessung, Marktforschung und Produktentwicklung. Harmlos ist das nicht: Reichweitenmessung heißt in der Praxis, dass Ihr Verhalten über viele Seiten hinweg protokolliert und zusammengeführt wird. Der einzige Unterschied zur personalisierten Werbung besteht darin, wofür das Ergebnis anschließend eingesetzt wird.

Wenn Sie wissen wollen, wie weit ein einzelner dieser Anbieter Ihren Weg durch das Netz mitschreibt und wie Sie ihm einzeln widersprechen, ist die Schritt-für-Schritt-Anleitung zum Widerspruch bei Criteo der passende nächste Halt: Der französische Retargeting-Dienst ist einer der reichweitenstärksten Teilnehmer dieses Frameworks.

Sieben Muster, an denen Sie ein manipulatives Banner erkennen

Die folgenden Muster sind das Ergebnis systematischen Durchklickens gängiger Banner-Bauweisen. Jedes davon können Sie in unter fünf Sekunden prüfen, ohne juristische Kenntnisse. Der Prüfsatz steht jeweils dahinter.

• Die Farbfalle: „Akzeptieren" ist ein satter Button, „Ablehnen" nur grauer Text ohne Rahmen. Prüfsatz: Würde ein Fremder auf den ersten Blick erkennen, dass beides Schaltflächen sind?
• Die Ebenenfalle: Zustimmen geht sofort, Ablehnen erst nach „Einstellungen" und „Speichern". Prüfsatz: Kostet mein Nein mehr Klicks als mein Ja?
• Die Schalterfalle: Im Detaildialog stehen Kategorien wie „Marketing" oder „Personalisierung" bereits auf aktiv. Prüfsatz: Muss ich etwas ausschalten oder etwas einschalten, um abzulehnen?
• Die Reiterfalle: Über der Zweckliste sitzen zwei Registerkarten, die zweite ist „Berechtigtes Interesse". Prüfsatz: Habe ich oben nach einem zweiten Reiter gesucht, bevor ich gespeichert habe?
• Die Speicherfalle: Auf der zweiten Ebene heißt der Knopf „Auswahl speichern" statt „Alle ablehnen". Er bestätigt, was voreingestellt ist. Prüfsatz: Habe ich vor dem Speichern tatsächlich etwas verändert?
• Die Partnerfalle: Die Zahl der beteiligten Anbieter steht klein und hinter einem weiteren Link, oft dreistellig. Prüfsatz: Weiß ich, wie vielen Unternehmen ich hier gerade zustimme?
• Die Sackgassenfalle: Nach der Entscheidung führt kein sichtbarer Weg zurück in den Dialog. Prüfsatz: Finde ich im Fußbereich einen Link, um meine Wahl zu ändern?

Ein Banner, das drei oder mehr dieser Muster gleichzeitig zeigt, ist kein Zufall und kein Versehen. Er ist darauf ausgelegt, dass Sie nach dem zweiten Klick aufgeben. Für die betroffene Website ist das ein Compliance-Risiko, für Sie schlicht ein Grund, den Dialog einmal vollständig zu Ende zu bedienen statt ihn wegzuwischen.

Die richtige Klick-Reihenfolge in unter dreißig Sekunden

Es gibt einen Ablauf, der bei praktisch jedem Bannertyp funktioniert und der die typischen Fallen in der richtigen Reihenfolge umgeht. Er lohnt sich vor allem bei Seiten, die Sie regelmäßig besuchen, denn dort gilt die Entscheidung anschließend über Monate.

• Schritt 1, erste Ebene abscannen: Steht dort ein gleichwertiges „Alle ablehnen" oder „Nur notwendige", klicken Sie es. Damit sind Sie fertig, alles Weitere entfällt.
• Schritt 2, in den Detaildialog: Fehlt die Schaltfläche, gehen Sie über „Einstellungen", „Zwecke verwalten" oder „Optionen". Nicht über das X am Rand: Bei manchen Bannern gilt Wegklicken als stillschweigende Fortsetzung mit Voreinstellung.
• Schritt 3, oben nach Reitern suchen: Bevor Sie irgendetwas umlegen, prüfen Sie, ob der Dialog zwei Registerkarten hat. Beide müssen Sie einzeln bearbeiten, der zweite ist der mit den aktiven Schaltern.
• Schritt 4, die Sonderzwecke nicht überblättern: Unterhalb der Zweckliste stehen oft zwei gesonderte Punkte, „Genaue Standortdaten verwenden" und „Geräteeigenschaften aktiv abfragen". Der zweite ist die Erlaubnis zum Fingerprinting. Beide gehören auf aus.
• Schritt 5, richtig abschließen: Erst danach „Auswahl speichern" drücken. Steht daneben „Alle akzeptieren" prominenter, ist das die Stelle, an der die meisten aus Versehen doch zustimmen.
• Schritt 6, wenn es keinen Weg gibt: Manche Seiten lassen nur Zustimmung oder Bezahlabo zu. Dann bleibt der Rückzug: Seite verlassen, Inhalt bei einer anderen Quelle suchen oder die Leseansicht des Browsers nutzen, die den Seitentext ohne Skripte darstellt.

Wer diesen Ablauf einmal auf seinen zehn meistbesuchten Seiten durchgeht, hat den Großteil seines täglichen Trackings erledigt. Was dabei allerdings unberührt bleibt, sind die Werbedatenbanken, die Ihre Adresse schon lange führen. Löschschutz für bestehende Profile einrichten und beides zusammen ergibt erst ein Bild.

Ihr Nein zurückholen: der nachträgliche Widerruf

Eine erteilte Einwilligung ist keine Einbahnstraße. Art. 7 Abs. 3 DSGVO gibt Ihnen das Recht, sie jederzeit zu widerrufen, und schreibt ausdrücklich vor, dass der Widerruf so einfach sein muss wie die Erteilung. In der Praxis ist er es selten, weil der Weg dorthin nicht beworben wird. Diese drei Wege führen zuverlässig zum Ziel.

• Weg 1, der Fußbereich: Ganz unten auf der Seite, meist zwischen Impressum und Datenschutzerklärung, steht ein Eintrag wie „Cookie-Einstellungen", „Privatsphäre-Einstellungen", „Consent ändern" oder „Tracking-Einstellungen". Ein Klick öffnet denselben Dialog erneut, diesmal mit Ihren gespeicherten Werten.
• Weg 2, das schwebende Symbol: Viele Anbieter setzen stattdessen ein kleines rundes Zeichen an den unteren Bildschirmrand, oft links, häufig als Fingerabdruck, Schild oder Schieberegler dargestellt. Es sieht aus wie ein Chat-Knopf und wird deshalb übersehen.
• Weg 3, die Website-Daten löschen: Finden Sie keinen der beiden, entfernen Sie im Browser gezielt die gespeicherten Daten dieser einen Domain. Im Firefox über Einstellungen, Datenschutz und Sicherheit, Cookies und Website-Daten verwalten. Im Chrome über das Symbol links in der Adresszeile und dort über die Cookies und Websitedaten. Beim nächsten Aufruf fragt die Seite neu.

Wenn Sie beim Aufräumen im Browser nachsehen möchten, welche Notiz die CMP hinterlassen hat: Die Einträge tragen sprechende Namen. Verbreitet sind euconsent-v2 für den TC-String des Frameworks, dazu je nach Anbieter CookieConsent, OptanonConsent, ucData, borlabs-cookie oder Einträge, die mit cmplz_ beginnen. Löschen Sie einen davon, verschwindet die gespeicherte Entscheidung für diese Seite.

Zwei Dinge sollten Sie dabei realistisch einordnen. Erstens wirkt ein Widerruf nur nach vorn: Was in der Zeit der erteilten Einwilligung erhoben und weitergegeben wurde, bleibt bei den Empfängern liegen. Zweitens greift der Widerruf beim Websitebetreiber, nicht automatisch bei den hunderten Partnern, an die der TC-String weitergereicht wurde. Wer diese Kette wirklich unterbrechen will, muss sich an die Empfänger selbst wenden. Wie sich Auskunft, Widerspruch und Löschung dabei unterscheiden, ordnet unser Grundlagenartikel zu den DSGVO-Rechten aus Art. 17 und Art. 21 im Detail ein.

Was der Browser übernimmt und wo er aufhört

Ein Teil der Arbeit lässt sich automatisieren. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Verbrauchern in seinen Hinweisen zu Cookies und Fingerprints, Cookies von Drittanbietern einzuschränken und dauerhafte Cookies beim Schließen des Browsers löschen zu lassen. Firefox und Safari trennen zusätzlich die Cookie-Bestände verschiedener Websites voneinander, sodass ein Werbenetzwerk Sie zwischen zwei Seiten nicht mehr über dieselbe Kennung wiedererkennt.

Diese Maßnahmen sind sinnvoll, decken aber genau das ab, was im Namen steht: Cookies. Drei Techniken laufen daran vorbei.

• Fingerprinting: Statt etwas abzulegen, wird gemessen, was Ihr Gerät ohnehin verrät, etwa Bildschirmmaße, installierte Schriften, Zeitzone oder Rechengeschwindigkeit. Wie weit das inzwischen geht, zeigt der Fall der Wiedererkennung über einen unhörbaren Testton bei AliExpress. Löschen kann man dabei nichts, weil nichts gespeichert wird.
• Serverseitige Messung: Wird die Auswertung nicht im Browser, sondern auf dem Server des Anbieters ausgeführt, sieht Ihr Browser davon nichts und kann folglich auch nichts blockieren. Rechtlich braucht auch das eine Grundlage, technisch merken Sie es nicht.
• Signale trotz Ablehnung: Bestimmte Betriebsarten der Einwilligungssignalisierung senden auch nach einem Nein noch reduzierte Meldungen an den Anbieter, aus denen fehlende Zahlen hochgerechnet werden. Ohne Cookie, aber eben auch nicht ganz ohne Datenübertragung.

Die einzige Schicht, die vor all dem greift, liegt eine Ebene tiefer als der Browser: bei der Namensauflösung. Wird die Adresse eines Werbe- oder Analysedienstes gar nicht erst aufgelöst, kommt keine Verbindung zustande, unabhängig davon, welches Skript sie anstoßen wollte und ob es aus dem Browser oder aus einer App kommt. Genau dort setzt DatenputzerDNS an, und zwar geräteweit statt pro Browserprofil. Für Apps außerhalb des Browsers ist das ohnehin der einzige Hebel, wie der Ratgeber zur Werbe-ID auf Handy und Tablet zeigt.

Ein Banner weniger: die Dienste zur Einwilligungsverwaltung

Der Gesetzgeber hat das Ermüdungsproblem erkannt. Auf Grundlage von § 26 TDDDG ist am 1. April 2025 die Einwilligungsverwaltungsverordnung in Kraft getreten. Die Idee: Sie hinterlegen Ihre Grundeinstellung einmalig bei einem anerkannten Dienst, und dieser übermittelt sie an teilnehmende Websites, die dann keinen Banner mehr zeigen müssen. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit führt darüber ein öffentliches Register und hat am 17. Oktober 2025 mit „Consenter" der Law & Innovation Technology GmbH den ersten Dienst zur Einwilligungsverwaltung anerkannt.

Die nüchterne Einordnung: Websitebetreiber sind nicht verpflichtet, sich anzuschließen. Solange die Teilnahme freiwillig ist und die Zahl der anerkannten Dienste im niedrigen einstelligen Bereich liegt, wird der Banner nicht aus Ihrem Alltag verschwinden. Für den Moment ist die Verordnung ein interessanter Baustein, keine Entwarnung. Wer heute weniger getrackt werden will, kommt an den Schritten oben nicht vorbei.

Warum Ablehnen die Vergangenheit nicht aufräumt

Rechnen Sie kurz mit: Bei geschätzt dreißig Banner-Kontakten am Tag und einer Quote, bei der die Mehrheit aus Zeitgründen zustimmt, sind über die vergangenen Jahre tausende Einwilligungen zusammengekommen, an die sich niemand mehr erinnert. Jede davon hat einem Kreis von Anbietern erlaubt, ein Stück Verhalten zu Ihrem Profil zu ergänzen: welche Produkte Sie ansehen, welche Themen Sie interessieren, in welchem Umkreis Sie sich bewegen. Diese Profile leben unabhängig von Ihrem heutigen Klick weiter, denn sie liegen nicht auf Ihrem Gerät, sondern in den Datenbanken von Werbe- und Adressvermarktern wie Acxiom, LiveRamp, The Trade Desk oder Adform.

An dieser Stelle endet, was Browsereinstellungen leisten können, und beginnt das Datenschutzrecht. Art. 17 DSGVO gibt Ihnen einen Anspruch auf Löschung, sobald für die Verarbeitung keine tragfähige Grundlage mehr besteht, und bei reinem Werbeprofiling ohne fortbestehende Einwilligung ist das regelmäßig der Fall. Der Haken ist die Menge: Der Anspruch besteht gegenüber jedem einzelnen Unternehmen, das Ihre Daten verarbeitet, und Sie müssen es einzeln anschreiben, identifizieren und die Frist nachhalten.

Genau diesen Aufwand nimmt Ihnen die Datenbroker-Löschung ab: Wir formulieren die Anträge nach Art. 17 DSGVO, senden sie an über 100 Werbe- und Adressdatenbanken und verfolgen die Rückläufe. Sie kümmern sich um die Banner der Zukunft, wir um die Profile aus der Vergangenheit. Löschanträge in Gang setzen.

Die kurze Antwort für den Alltag

Ablehnen ist richtig, aber es ist eine Entscheidung mit engem Zuschnitt. Sie gilt für dieses Gerät, diesen Browser, diese eine Domain und ab diesem Moment. Sie verhindert, dass neue Kennungen auf Ihrem Rechner abgelegt werden, und sie verhindert nicht, dass Sie über Ihre Geräteeigenschaften wiedererkannt werden. Sie ändert nichts an dem, was bereits in Werbedatenbanken über Sie steht.

Wer daraus etwas Belastbares machen will, kombiniert drei Ebenen: die bewusste Bedienung des Banners samt zweitem Reiter, eine Filterung auf Netzwerkebene für alles, was der Browser nicht sieht, und einen aktiven Löschantrag für die Bestände, die längst außerhalb Ihrer Reichweite liegen. Der erste Punkt kostet Sie täglich ein paar Sekunden, der dritte einmalig eine Entscheidung.