Tracking erst nach Einwilligung? So prüfst du es in Shopware

Ein Cookie-Banner im Shop heißt noch nicht, dass Tracking-Skripte auf die Entscheidung warten. Ob der Shopware Cookie Banner wirklich greift, siehst du dem Shop nicht an. Du musst nachsehen, was der Browser vor und nach der Zustimmung lädt. Hier gehst du das in drei Zuständen von Hand durch und erfährst zum Schluss, welche zwei Plugins dir dabei Arbeit abnehmen.

Was „erst nach der Einwilligung“ beim Shopware Cookie Banner technisch heißt

Ich entwickle seit über 20 Jahren Plugins für Shopsysteme und bin seit 2014 als Hersteller im Shopware Store vertreten. Ein eingerichteter Banner sagt noch nicht, ob die Skripte darauf hören. Entscheidend ist, wie ein Dienst eingebunden ist.

Shopware bringt einen eigenen Cookie Consent Manager mit. Er sortiert Cookies in Gruppen: „Technisch erforderlich“, „Statistiken“, „Komfortfunktionen“ und „Marketing“. Im Banner wählt die Besucherin oder der Besucher „Nur technisch notwendige“, „Konfigurieren“ oder, wenn du es in den Grundeinstellungen unter „Sicherheit und Datenschutz“ eingeschaltet hast, „Alle Cookies akzeptieren“. Jede Entscheidung speichert Shopware als Cookies im Browser:

Die Google-Analytics-Anbindung von Shopware hält sich an diese Cookies. Ist der Standard-Cookie-Hinweis aktiv, lädt sie das Google-Skript erst, wenn google-analytics-enabled gesetzt ist. Trägst du dort eine Container-ID mit „GTM-“ ein, gilt das für den ganzen Tag Manager. Vorher meldet Shopware an Google den Standardzustand „abgelehnt“ für alle vier Signale des Consent Mode (analytics_storage, ad_storage, ad_user_data, ad_personalization) und schickt nach einer Zustimmung die Aktualisierung hinterher.

Consent Mode ersetzt dabei keine Einwilligung. Er teilt Google nur mit, wie entschieden wurde. Je nach Einrichtung laden Google-Tags auch bei „abgelehnt“ und senden Anfragen ohne Cookies. Ob das ohne Einwilligung zulässig ist, ist rechtlich umstritten. Für die Prüfung zählt deshalb, was im Netzwerk-Reiter passiert, nicht nur der Status im Consent Mode.

Alles, was nicht über diesen Weg kommt, muss sich selbst an die Entscheidung halten. Ein Skript im Theme, ein Pixel aus einer Erweiterung oder ein Tag im Tag Manager lädt nur dann richtig, wenn es an den passenden Cookie oder an das Ereignis gebunden ist, das Shopware nach einer Änderung im Banner auslöst. Genau dort entstehen die Lecks, und genau dort setzt die Prüfung an.

Das Schaubild in Kürze:

• Vor der Entscheidung: keine Anfragen an Tracking-Dienste, nur technisch erforderliche Cookies, Consent Mode steht auf abgelehnt.
• Nach „Nur technisch notwendige“: weiterhin keine Anfragen an Tracking-Dienste, neu ist nur cookie-preference, Consent Mode bleibt auf abgelehnt.
• Nach der Zustimmung: Anfragen an die erlaubten Dienste, Cookies je Dienst wie google-analytics-enabled, Consent Mode meldet die Zustimmung.
• Consent Mode erscheint nur, wenn Google-Dienste eingebunden sind.

Die Prüfung von Hand in fünf Schritten

Für den Test brauchst du nur einen Browser. Ich beschreibe den Weg für Chrome, in Firefox und Safari heißen die Bereiche ähnlich. Wichtig ist ein sauberer Ausgangszustand: Jeder Rest aus einem früheren Besuch verfälscht das Ergebnis.

1. 1

   Frisches privates Fenster öffnen

   Ein Inkognito- oder privates Fenster startet ohne Cookies. Schließ vorher alle anderen privaten Fenster, denn gleichzeitig offene private Fenster teilen sich ihre Cookies. Öffne darin die Entwicklertools (F12 oder Rechtsklick und „Untersuchen“), wechsle zum Reiter „Netzwerk“ und setz den Haken bei „Log beibehalten“, damit Anfragen beim Neuladen nicht verschwinden.

2. 2

   Shop laden, Banner nicht anklicken

   Ruf die Startseite auf und lass den Banner offen. Gib im Filterfeld des Netzwerk-Reiters nacheinander Teile der Domains deiner Dienste ein, etwa google, facebook oder linkedin. Hier darf keine Anfrage an zustimmungspflichtige Dienste auftauchen. Unter google erscheinen oft auch Schriften von Google Fonts oder ein reCAPTCHA. Das sind keine Analyse- oder Werbedienste. Ob sie ohne Einwilligung laden dürfen, ist eine eigene Frage für deine Datenschutzberatung.

3. 3

   Cookies ansehen

   Im Reiter „Anwendung“ unter „Cookies“, „Lokaler Speicher“ und „Sitzungsspeicher“ siehst du, was gespeichert ist. Vor der Entscheidung stehen dort nur technisch erforderliche Einträge, etwa für die Sitzung. Cookies wie _ga, _swag_ga (aus der Google-Anbindung von Shopware), _gcl_au, _fbp oder li_fat_id gehören nicht dazu.

4. 4

   „Nur technisch notwendige“ wählen

   Lösch im Netzwerk-Reiter das bisherige Log, damit alte Einträge nicht stören. Klick dann im Banner auf „Nur technisch notwendige“ und lade die Seite neu. Im Netzwerk-Reiter bleibt es bei zustimmungspflichtigen Diensten still, bei den Cookies kommt nur cookie-preference dazu. Klick auch eine Produktseite und den Warenkorb an, manche Dienste laden erst dort.

5. 5

   Zustimmen und gegenprüfen

   Schließ alle privaten Fenster, öffne ein neues, stimme allen Cookies zu und lade neu. Jetzt erscheinen die Anfragen an die erlaubten Dienste und die Cookies je Dienst. Fehlt hier ein Dienst, lädt er entweder gar nicht oder hängt an der falschen Gruppe im Banner. Prüf dann Einbindung und Gruppe.

Lass die Schritte 2 bis 4 auch auf einer Produktseite und der Seite nach dem Bestellabschluss laufen. Gerade Werbepixel für Käufe sitzen oft nur dort. Hast du mehrere Verkaufskanäle oder Sprachen, prüf jeden Kanal einzeln, denn Einstellungen können je Kanal abweichen.

Welche Anfrage zu welchem Dienst gehört

Im Netzwerk-Reiter stehen schnell hundert Einträge. Die folgenden Domains zeigen dir, welcher Dienst gerade lädt. Die Liste ist eine Auswahl, Anbieter ändern ihre Adressen gelegentlich.

Tags im Google Tag Manager: der Vorschaumodus

Lädt dein Shop den Tag Manager, reicht der Blick in den Netzwerk-Reiter nicht. Ob schon der Container vor der Entscheidung laden darf, ist umstritten. Ein Verwaltungsgericht hat das für den Google Tag Manager verneint. Lädt er bei dir vorab, kläre das mit deiner Datenschutzberatung. Technisch entscheidend sind in jedem Fall die Tags darin. Hier hilft der Vorschaumodus des Tag Managers. Er zeigt dir für jedes Ereignis, welche Tags ausgelöst wurden und welche nicht, und im Bereich zur Einwilligung den Zustand der Consent-Mode-Signale. Starte die Vorschau, wähle im Shop „Nur technisch notwendige“ und prüf, ob Werbe- und Analyse-Tags unter „nicht ausgelöst“ stehen. Wie die Tags für Conversions sauber an die Einwilligung gekoppelt werden, zeigt der Ratgeber zum Google Ads Conversion Tracking mit dem Tag Manager.

Widerruf: Einstellungen ändern und neu laden

Besucher brauchen für den Widerruf einen Weg zurück zu den Cookie-Einstellungen, meist einen Link im Footer. Prüf, ob dein Shop ihn zeigt und ob er den Banner wieder öffnet. Ruf die Einstellungen darüber auf, nimm die Zustimmung zurück und lade die Seite neu. Danach muss es wieder still sein. Ohne Neuladen bleibt ein bereits geladenes Skript im Speicher der Seite. Die Google-Analytics-Anbindung von Shopware entfernt beim Widerruf ihre eigenen Cookies und stoppt ihre Ereignisse. Das Skript selbst verschwindet erst mit dem nächsten Seitenaufruf. Cookies anderer Dienste bleiben im Browser, bis sie ablaufen oder gelöscht werden.

Wo Tracking in Shopware vor der Einwilligung durchrutscht

Läuft beim Test eine Anfrage zu früh, liegt die Ursache meist an einer von vier Stellen. Ich rate, mit den ersten beiden anzufangen, weil sie sich am schnellsten prüfen lassen.

Beispiel: das Pixel, das vor dem Banner lädt

Wie so eine Anmeldung beim Consent Manager für ein einzelnes Werbe-Tag aussieht, zeigt der Ratgeber zum LinkedIn Insight Tag in Shopware mit allen drei Einbauwegen.

Schneller prüfen: die Consent & Tracking Debug Console

Wer die fünf Schritte ein paarmal gemacht hat, merkt, wo die Zeit verloren geht. Netzwerk-Reiter, Cookie-Liste und Tag Manager laufen parallel, und am Ende fehlt ein Beleg, den du an die Agentur oder den Entwickler weitergeben kannst. Für genau diese Prüfung habe ich das Plugin Consent & Tracking Debug Console entwickelt. Es legt eine Prüfansicht über die Storefront, die nur über eine eigene Kennung in der Adresse erscheint. Normale Besucher sehen sie nicht.

Die Konsole liest aus, was auf der aktuellen Seite eingebunden ist: Skripte von Google Tag Manager und dem Google-Tag (Analytics und Ads) mit ihrer ID, Meta-Pixel-Initialisierungen im Seitencode, benannte Ereignisse im dataLayer (die Liste, über die der Shop dem Tag Manager meldet, was passiert, etwa „Artikel in den Warenkorb“) und ob cookie-preference gesetzt ist, ob also im Banner entschieden wurde. Dazu gibt sie Hinweise und einen nächsten Prüfschritt. Nach „Nur technisch notwendige“ zählt die Liste der Skripte: Steht dort ein Werbe- oder Analyse-Skript, lädt es an der Einwilligung vorbei. Die Cookies je Dienst wie google-analytics-enabled prüfst du weiter in den Entwicklertools.

Bei jedem Lauf merkt sich die Konsole das Ergebnis je Verkaufskanal im Speicher des Browsers und zeigt beim nächsten Mal, welche Skripte und Ereignisse weggefallen sind und welche Warnungen neu sind. Im privaten Fenster gilt das nur, solange das Fenster offen ist.

So läuft die Prüfung mit dem Plugin: in der Konfiguration „Debug Console aktivieren“ einschalten und eine Kennung festlegen, den Shop im privaten Fenster mit ?ctdc_debug= und deiner Kennung öffnen, Ansicht vor der Entscheidung lesen, dann im Banner wählen, neu laden und erneut lesen. Die Konsole verändert dein Tracking nicht, löst keine zusätzlichen Ereignisse aus und schickt keine Daten nach außen. Sie zeigt nur, was im Browser sichtbar ist. Anfragen, die ein bereits geladenes Skript selbst nachschickt, etwa ein Zählpixel, siehst du weiterhin nur im Netzwerk-Reiter. Und sie gibt keine rechtliche Bewertung ab, sie liefert den technischen Befund dafür.

Die Consent & Tracking Debug Console findest du im Shopware Store, mit Beschreibung, Screenshots und Lizenz. Das Plugin ist meine eigene Entwicklung und kein Produkt der shopware AG.

Den Banner bewusst wahrnehmen: Advanced Cookie Popup PRO

Die Prüfung oben zeigt, ob Skripte auf die Entscheidung warten. Eine zweite Frage ist, ob die Entscheidung überhaupt bewusst fällt. Der Banner von Shopware erscheint im Standard als Leiste am unteren Rand. Auf dem Smartphone wird die schmale Leiste leicht übersehen, weil der Blick beim Lesen auf dem Inhalt liegt. Das Plugin Advanced Cookie Popup PRO zeigt dieselbe Abfrage als Ebene in der Bildmitte über der abgedunkelten Seite.

Das Plugin ändert nichts daran, welche Dienste wann laden. Es ersetzt deshalb nicht die Prüfung oben, sondern ergänzt sie: Erst prüfst du, ob die Technik auf die Entscheidung hört, dann sorgst du dafür, dass die Entscheidung gesehen wird. Die Ebene verschwindet bei jeder Wahl, auch bei „Nur technisch notwendige“. Der Shop ist also nicht nur gegen Zustimmung erreichbar. Achte bei der Gestaltung darauf, dass Ablehnen auf der ersten Ebene genauso leicht zu erreichen ist wie Zustimmen. Im Plugin steht „Alle Cookies akzeptieren“ derzeit größer und oben. Ob diese Anordnung für deinen Shop passt, gehört zur rechtlichen Prüfung im Hinweis unten.

Advanced Cookie Popup PRO steht im Shopware Store, dort findest du Beschreibung, Bilder der Darstellung und die Lizenz. Auch dieses Plugin ist meine eigene Entwicklung und kein Produkt der shopware AG.

Selbst prüfen oder prüfen lassen?

Mit den fünf Schritten kommst du allein ans Ziel, solange du die Dienste in deinem Shop kennst. Unterstützung lohnt sich, wenn mehrere Verkaufskanäle, ein Tag Manager mit vielen Tags und Erweiterungen mit eigenen Pixeln zusammenkommen oder wenn du nach einem Update nicht sicher bist, was sich geändert hat. Als Shopware Agentur aus Münster prüfe ich solche Setups und binde Dienste so ein, dass sie auf die Entscheidung im Banner hören.

Häufige Fragen zum Shopware Cookie Banner und zum Tracking

Wie prüfe ich, ob mein Shopware Cookie Banner Tracking wirklich blockiert?

Öffne den Shop in einem privaten Fenster mit den Entwicklertools, Reiter Netzwerk. Vor jeder Entscheidung und nach „Nur technisch notwendige“ darf keine Anfrage an zustimmungspflichtige Dienste wie Google Analytics oder Werbepixel auftauchen. Erst nach der Zustimmung erscheinen sie. Prüf auch Produktseite und Bestellabschluss.

Was bedeutet das Cookie cookie-preference in Shopware?

Es zeigt, dass der Banner beantwortet wurde. Shopware setzt es mit dem Wert 1 sowohl nach einer Zustimmung als auch nach „Nur technisch notwendige“. Ob zugestimmt wurde, erkennst du an den Cookies je Dienst, etwa google-analytics-enabled oder google-ads-enabled.

Lädt Shopware Google Analytics erst nach der Einwilligung?

Die eingebaute Anbindung ja, solange der Standard-Cookie-Hinweis aktiv ist. Sie lädt das Google-Skript erst nach der Zustimmung zu Statistiken und setzt vorher im Consent Mode alle Signale auf abgelehnt. Ist der Standard-Cookie-Hinweis abgeschaltet, lädt sie sofort. Ein Tag Manager, der fest im Theme steckt, ist von dieser Logik nicht erfasst.

Reicht der Cookie Consent Manager von Shopware oder brauche ich ein externes Consent-Tool?

Technisch steuert der Consent Manager von Shopware alle Dienste, die bei ihm angemeldet sind: die eingebaute Google-Anbindung und Erweiterungen, die sich dort eintragen. Wer sich auf Einwilligungen stützt, muss sie nachweisen können. Ob dafür die Speicherung im Browser reicht oder ob du ein Werkzeug mit Protokoll brauchst, klärst du am besten mit deiner Rechts- oder Datenschutzberatung. Bei vielen Diensten im Tag Manager kann ein externes Werkzeug auch technisch sinnvoll sein.

Warum sehe ich nach dem Ablehnen noch Tracking-Anfragen?

Entweder lädt ein Dienst an der Einwilligung vorbei, etwa ein Pixel im Theme oder ein Tag ohne passende Auslösebedingung, oder du hast vorher zugestimmt und die Seite nach dem Widerruf nicht neu geladen. Ein bereits geladenes Skript bleibt bis zum nächsten Seitenaufruf aktiv. Teste deshalb immer in einem frischen privaten Fenster, nachdem du alle anderen privaten Fenster geschlossen hast.

Warum erscheint der Cookie Banner in Shopware nicht?

Meist wurde in diesem Browser schon entschieden, dann ist cookie-preference gesetzt und der Banner bleibt aus. Oder der Standard-Cookie-Hinweis ist in den Grundeinstellungen unter „Sicherheit und Datenschutz“ abgeschaltet. Teste in einem frischen privaten Fenster, bevor du an den Einstellungen etwas änderst.

Wie oft sollte ich das Tracking im Shop prüfen?

Nach jeder Änderung an Theme, Tag Manager oder Tracking-Erweiterungen und nach jedem Shopware-Update. Dazu passt die Checkliste zum Shopware-Update. Ohne Änderungen genügt ein kurzer Durchgang in regelmäßigen Abständen, etwa einmal im Quartal.