Cookie-Banner vor dem Aus? Was die EU-Reform fuer KMU bedeutet

Cookie-Banner nerven alle — jetzt reagiert die EU

Jede zweite Website begruesst Besucher mit einem Cookie-Banner, der den halben Bildschirm verdeckt. Die meisten klicken auf „Alle akzeptieren", weil sie den Inhalt sehen wollen — nicht weil sie einverstanden sind. Das weiss auch die EU-Kommission.

Mit dem sogenannten Digital Omnibus plant Bruessel eine Reform, die Cookie-Banner in ihrer heutigen Form ueberfluessig machen soll. Im Zentrum steht ein neues Konzept: Praeferenzsignale. Statt auf jeder Website einzeln zu entscheiden, sollen Nutzer ihre Datenschutz-Praeferenzen einmal im Browser oder Betriebssystem festlegen. Websites muessen diese Signale dann respektieren.

Die Bundesbeauftragte fuer den Datenschutz (BfDI) hat sich im Sommer 2026 klar positioniert: Sie befuerwortet verbindliche, maschinenlesbare Einwilligungssignale auf EU-Ebene. Damit waechst der politische Druck auf eine schnelle Umsetzung.

Was sind Praeferenzsignale — und wie funktionieren sie?

Praeferenzsignale sind technische Standards, die der Browser an jede besuchte Website sendet. Sie teilen dem Server mit, welche Tracking-Kategorien der Nutzer erlaubt und welche nicht.

Das Prinzip ist nicht neu. Der Global Privacy Control (GPC)-Header existiert bereits seit 2020 und wird von Firefox und Brave unterstuetzt. Auch Googles Privacy Sandbox verfolgt einen aehnlichen Ansatz — Tracking ohne individuelle Cookie-Einwilligung.

Der Unterschied zur heutigen Praxis:

Fuer KMU bedeutet das: Wenn ein Besucher im Browser „kein Tracking" eingestellt hat, darf die Website kein Tracking setzen — ohne Nachfrage, ohne Banner. Umgekehrt: Hat der Nutzer Tracking erlaubt, entfaellt das Banner ebenfalls.

Was heute gilt: TDDDG und DSGVO im Zusammenspiel

Bevor die Reform kommt, gelten die bestehenden Regeln weiter. Und hier machen viele KMU bereits Fehler.

Seit Dezember 2024 regelt das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) in § 25, wann eine Einwilligung fuer Cookies noetig ist. Die Kurzfassung: Fuer alles, was nicht „unbedingt erforderlich" ist, brauchen Sie eine aktive Zustimmung.

In der Praxis bedeutet das: Viele Cookie-Banner, die KMU heute einsetzen, sind bereits jetzt angreifbar. Laut Verbraucherzentralen verwenden rund 60 Prozent der Websites in Deutschland sogenannte Dark Patterns — etwa einen grossen gruenen „Akzeptieren"-Button neben einem kaum sichtbaren „Ablehnen"-Link.

Das ist kein Kavaliersdelikt. Die Datenschutzbehoerden der Laender haben 2026 ihre Pruefaktivitaet deutlich verstaerkt. Und Wettbewerber koennen ueber das UWG abmahnen — ohne Behoerdenumweg.

Was die Reform fuer KMU-Websites konkret aendert

Wenn der Digital Omnibus wie geplant verabschiedet wird, aendert sich fuer KMU-Websites Folgendes:

1. Cookie-Banner werden in vielen Faellen ueberfluessig Wenn der Browser ein Praeferenzsignal sendet, muss die Website es respektieren. Ein zusaetzliches Banner waere redundant. Fuer die grosse Mehrheit der Besucher entfaellt damit der Klick-Zwang.

2. Consent-Management-Tools muessen sich anpassen Anbieter wie Cookiebot, Borlabs oder Usercentrics werden ihre Loesungen umbauen muessen. KMU, die heute ein solches Tool nutzen, sollten auf Update-Faehigkeit achten.

3. Die technische Integration wird einfacher — aber strenger Statt komplexer Consent-Layer reicht kuenftig die Auswertung eines HTTP-Headers. Dafuer muss die Implementierung aber praezise sein: Wer das Signal ignoriert, verstoesst direkt gegen die Verordnung.

4. Analytics-Daten werden weniger — aber ehrlicher Wenn mehr Nutzer Tracking aktiv ablehnen, sinken die erfassten Besucherzahlen. Dafuer bilden die verbleibenden Daten das tatsaechliche Nutzerverhalten besser ab. KMU sollten sich darauf einstellen, mit kleineren, aber genaueren Datensaetzen zu arbeiten.

Der Zeitplan: Wann muessen KMU handeln?

Die Reform ist noch nicht beschlossen. Trotzdem gibt es einen klaren Fahrplan:

| Phase | Zeitraum | Was passiert | |-------|----------|-------------| | Gesetzgebung | Herbst/Winter 2026 | EU-Parlament und Rat verhandeln den Digital Omnibus | | Verabschiedung | voraussichtlich Q1 2027 | Finale Abstimmung und Veroeffentlichung | | Uebergangsfrist | 12–18 Monate | Mitgliedstaaten setzen in nationales Recht um | | Durchsetzung | voraussichtlich 2028 | Neue Regeln werden verbindlich |

Das klingt nach viel Zeit. Ist es aber nicht — denn drei Dinge sollten KMU jetzt schon tun:

Erstens: Pruefen Sie, ob Ihr aktuelles Cookie-Banner ueberhaupt rechtskonform ist. Die bestehenden Regeln (TDDDG § 25 + DSGVO Art. 7) gelten weiterhin — und werden gerade schaerfer durchgesetzt.

Zweites: Achten Sie bei der Wahl Ihres Consent-Tools darauf, dass der Anbieter Praeferenzsignale auf der Roadmap hat. Fragen Sie konkret nach GPC-Unterstuetzung.

Drittens: Reduzieren Sie die Abhaengigkeit von Cookie-basiertem Tracking. Server-side Tracking, First-Party-Daten und kontextbezogene Werbung funktionieren auch ohne Cookie-Einwilligung.

Sonderfall: Google Analytics und Google Ads

Fuer KMU, die Google Analytics 4 oder Google Ads nutzen, wird die Reform besonders relevant. Google hat mit dem Consent Mode v2 bereits eine Zwischenloesung geschaffen, die modellierte Daten liefert, wenn keine Einwilligung vorliegt.

Seit Juni 2026 ist Consent Mode v2 Pflicht fuer alle Google-Ads-Kunden in der EU. Die Praeferenzsignal-Reform duerfte diesen Mechanismus nicht ersetzen, sondern ergaenzen: Das Browser-Signal bestimmt, ob Consent Mode aktiv wird — statt des Cookie-Banners.

Konkret heisst das: Google Analytics wird kuenftig noch staerker auf modellierte Daten setzen. KMU sollten sich mit den Modellierungsberichten in GA4 vertraut machen und verstehen, wo echte Messung aufhoert und Schaetzung beginnt.

Was Abmahnungen heute schon kosten

Die Reform ist Zukunftsmusik — aber die Durchsetzung der bestehenden Regeln ist Gegenwart. Seit Anfang 2026 haeufen sich die Faelle:

• Wettbewerbsrechtliche Abmahnungen (UWG): Typische Kosten zwischen 1.500 und 3.500 Euro pro Fall. Kein Behoerdenverfahren noetig — jeder Wettbewerber kann klagen.
• Behördliche Bussgelder (DSGVO): Theoretisch bis 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. In der Praxis bei KMU bisher im vier- bis fuenfstelligen Bereich.
• Datenschutzbehoerden der Laender: Pruefwellen laufen seit Q1 2026 verstaerkt. Die Berliner Beauftragte und die bayerische Datenschutzaufsicht haben Cookie-Banner als Schwerpunkt benannt.

Der haeufigste Fehler: Analytics- oder Marketing-Cookies laden vor der Einwilligung. Das passiert oft, weil das Consent-Tool falsch konfiguriert ist oder der Tag Manager Skripte zu frueh ausloest. Ein technischer Fehler, der sich mit einem Browser-Test in zwei Minuten pruefen laesst.

Drei Schritte, die KMU heute umsetzen koennen

Statt auf die Reform zu warten, koennen KMU jetzt drei konkrete Massnahmen ergreifen:

1. Cookie-Audit durchfuehren Oeffnen Sie Ihre Website im Inkognito-Modus. Klicken Sie auf „Ablehnen" im Cookie-Banner. Pruefen Sie dann ueber die Browser-Entwicklertools (F12 → Application → Cookies), ob trotzdem Tracking-Cookies gesetzt wurden. Falls ja: Ihr Setup ist fehlerhaft und angreifbar.

2. Consent-Tool aktualisieren Stellen Sie sicher, dass Ihr Tool die aktuelle Version nutzt und den Google Consent Mode v2 unterstuetzt. Pruefen Sie, ob der Anbieter GPC-Signale (Global Privacy Control) bereits erkennt. Falls Ihr Tool das nicht kann: wechseln.

3. First-Party-Daten aufbauen Jede E-Mail-Adresse, jede Telefonnummer, jede Bewertung, die Sie direkt vom Kunden bekommen, ist unabhaengig von Cookie-Consent. Investieren Sie in Newsletter-Anmeldungen, Google-Bewertungen und direkte Kundenbeziehungen — diese Daten gehoeren Ihnen.