Consent Mode, vier Wochen danach: drei Befunde aus DACH-Audits

Vier Wochen nach der Consent-Mode-Umstellung vom 15. Juni 2026 zeigen DACH-Audits ein klares Muster: Der Google-Signals-Toggle ist als zweite Verteidigungslinie verschwunden, ad_storage steuert die Google-Ads-Datenerhebung allein. Setups, die 2024 im Pflicht-Sprint verdrahtet wurden, verlieren seither still Daten. Und Schweizer Traffic verdient eigene CMP-Regeln, weil das revDSG anders funktioniert als die DSGVO.

Befund 1: Der doppelte Boden ist weg

Jahrelang gab es in vielen deutschen und österreichischen Setups eine stille Absicherung. Wer der eigenen Consent-Mode-Verdrahtung nicht traute, schaltete in GA4 Google Signals ab. Damit war der Datenfluss zu Google Ads gekappt, egal was die CMP durchließ. Legal-Teams mochten das, Marketing-Teams akzeptierten es. Ein Toggle als Firewall.

Diese Absicherung existiert nicht mehr. Seit dem 15. Juni 2026 steuert Google Signals nur noch das GA4-Verhaltens-Reporting, nicht mehr die Google-Ads-Datenerhebung. Der alleinige Gatekeeper ist jetzt das Consent-Mode-Signal ad_storage. Punkt.

Praktisch heißt das: Die gesamte rechtliche und technische Last liegt bei CMP und GTM-Konfiguration. Ein Setup, das sich bisher auf den abgeschalteten Signals-Toggle verlassen hat, sendet seit Mitte Juni entweder Daten, die es nicht senden sollte, oder blockiert Daten, die es senden dürfte. Beides fällt ohne Audit nicht auf. Die sieben Prüfschichten dafür stehen im Juni-Artikel, die Audit-Checkliste macht daraus einen Testplan.

Befund 2: Stille Lücken statt Fehlermeldungen

Als Consent Mode V2 Anfang 2024 Pflicht wurde, haben viele Teams die Implementierung im Sprint erledigt und danach nie wieder angefasst. Set-and-forget. Zwei Jahre lang ging das gut, weil Fehler durch die alte Doppel-Steuerung abgefedert wurden.

Jetzt nicht mehr. Das häufigste Muster in unseren Audits: Der Default-State steht korrekt auf denied, aber der gtag('consent', 'update')-Call nach dem Klick auf „Akzeptieren" feuert nicht zuverlässig. Race-Condition, falscher Trigger, oder die CMP-Version wurde aktualisiert und das Event-Mapping brach. Bei Consent-Raten, die in Deutschland und Österreich typisch zwischen 30 und 40 % liegen, ist der Unterschied zwischen „Update feuert" und „Update feuert nicht" der Unterschied zwischen einem funktionierenden und einem leeren Remarketing-Pool.

Das Tückische: Google wirft keine lauten Fehler. Fehlt ad_user_data oder ad_personalization, degradiert das System leise. Remarketing-Listen schrumpfen, Smart Bidding rechnet mit weniger Signalen, die Kampagnen-Performance sinkt über Wochen. Kein Alert, kein rotes Banner. Die Teams merken es am Media-Ergebnis, nicht am Tag-Manager.

Zwei schnelle Selbsttests, bevor jemand ein Audit beauftragt: der Consent-Mode-Check gegen die eigene URL und das Consent-Mapping-Worksheet, das jeden Datenfluss einem Signal zuordnet.

Befund 3: Die Schweiz ist kein EWR, das Setup sollte das wissen

Das revidierte Schweizer Datenschutzgesetz (revDSG) kennt kein generelles Prior-Opt-in für Standard-Analytics und funktionale Cookies. Es setzt auf Transparenz und Widerspruch, also Opt-out. Googles Consent-Anforderungen gelten trotzdem auch für Schweizer Traffic, sobald Google Ads im Spiel ist.

Viele Sites haben das bisher pragmatisch gelöst: ein EU-Banner für alle, strikte Prior-Consent-Logik von Lissabon bis Zürich. Das ist rechtlich bequem und wirft ohne Not Schweizer Daten weg. Bei einem Shop mit 15 % CH-Anteil ist das kein Rundungsfehler.

Was sich seit Juni häuft: geo-gesteuerte CMP-Regeln. Schweizer Besucher bekommen eine Opt-out-Konfiguration, die den EDÖB-Leitlinien folgt, EWR-Besucher die strikte Prior-Consent-Variante mit vollem Consent Mode V2. Usercentrics, Cookiebot und OneTrust können das über Geo-Regeln abbilden; die Verdrahtung dahinter muss aber beide Zustände sauber an GTM und den Server-Container weiterreichen. Wie das mit Usercentrics aussieht, steht im Server-Side-GTM-Guide.

Was jetzt zu tun ist

Drei Schritte, in dieser Reihenfolge:

1. Signals-Abhängigkeit prüfen. Wurde Google Signals je als Compliance-Filter benutzt? Dann sofort die ad_storage-Kette auditieren, sie ist jetzt allein verantwortlich.
2. Update-Call verifizieren. Default denied ist die halbe Miete. Der consent update nach Banner-Klick muss in jedem Browser, bei jeder CMP-Version, vor dem ersten Tag ankommen. Die QA-Vorlage testet alle vier Signale systematisch.
3. CH-Traffic segmentieren. Prüfen, welcher Anteil des Traffics aus der Schweiz kommt, und entscheiden, ob eine geo-gesteuerte Banner-Konfiguration den Datenverlust rechtfertigt.

Wer die Lücke lieber beziffert, bevor er sie schließt: Der Consent-Loss-Rechner rechnet Consent-Rate gegen verlorene Conversions in Euro.

Haftungsausschluss: Dieser Artikel dient ausschließlich der technischen und operativen Orientierung und ist keine Rechtsberatung. Die Befunde stammen aus Consent-Audits in DACH-Projekten im Juni und Juli 2026; Produktverhalten kann sich ändern und sollte gegen Googles offizielle Dokumentation verifiziert werden.