Was der Tracking-Check prüft

Ein Cookie-Banner ist die sichtbare Hälfte des Consent-Flows, ohne CMP kein dokumentierter Opt-in.

Wenn nach „Akzeptieren“ gar keine Messung feuert, ist die Consent-Verdrahtung vermutlich kaputt, Sie verlieren Daten trotz Einwilligung.

Seit März 2024 verlangt Google für Ads alle vier Consent-Parameter, sonst kein Conversion-Modelling.

Advanced sendet nach Ablehnung cookielose Pings mit gcs-Parameter, Basic sendet keine Google-Messung. Der Tiefenscan liest den Modus aus dem Reject-Zustand ab.

Consent Mode V2 braucht ein gtag-Consent-Update nach dem Opt-in, sonst bleibt das Conversion-Modelling von Google aus.

IAB TCF v2.2 und GPP sind die Standards für cross-vendor Consent in der EU-Werbeindustrie.

Chrome hat die 3rd-Party-Cookie-Abschaltung 2025 zugunsten einer Nutzerwahl aufgegeben; Safari und Firefox blockieren längst, Tracking auf dieser Basis bleibt strukturell unzuverlässig.

Der Scanner liest die öffentlich abrufbare Borlabs-Config und decodiert die Opt-in-Codes: Container-IDs und Custom-Loader, die erst nach Einwilligung laden, werden sichtbar, ohne Klick.

Hängt der Google-Tag-Manager-Service im CMP an einer Gruppe wie „Externe Medien“, misst die Website Besucher nicht, die der Statistik zugestimmt haben. Der Check liest die Zuordnung aus der Borlabs-Config.

Der Tiefen-Scan bedient das Cookie-Banner automatisch und vergleicht den Accept- mit dem Reject-Zustand.

Cookies, die vor der Consent-Entscheidung gesetzt werden, sind ein typischer Compliance-Befund.

Vor Consent referenzierte Tracker sind erst ein Verstoß, wenn sie auch ausgeführt werden. Der Check listet die Referenzen; ob CMP-Blocking oder Consent Mode die Ausführung stoppt, zeigt der Tiefenscan.

Der Scanner sucht den Link auf die Datenschutzerklärung, ruft die Seite ab und liest sie für den Abgleich mit dem erkannten Tracking-Stack ein.

Der Scanner hält den sichtbaren Text der Datenschutzerklärung gegen den real erkannten Tracking-Stack: Tools im Einsatz, die die Erklärung nie erwähnt, werden gelistet.

Feuern nach „Ablehnen“ trotzdem Marketing- oder Analytics-Aufrufe, ist das der häufigste DSGVO-Befund bei Aufsichtsbehörden.

Server-zu-Server Conversion-APIs (Meta CAPI, TikTok Events API) liefern Attribution auch ohne Cookies.

Ohne dataLayer scrapen Tracking-Tools Werte aus dem DOM, fragil und uneinheitlich.

Zwei GA4-Properties oder zwei GTM-Container auf derselben Seite zählen Pageviews doppelt. Der Check listet alle gefundenen IDs, inklusive toter UA-Altlasten.

Server-Side Tagging umgeht Ad-Blocker, stabilisiert Attribution und entkoppelt Tracking vom Frontend.

Der Tiefenscan liest aus dem Request-Log ab, ob Mess-Pings über einen First-Party-Endpunkt laufen oder direkt zu Google gehen: client-side, hybrid oder server-side.

Ohne Analytics-Tag fließen keine Daten in Google Ads, Looker oder das eigene Reporting.

Ein zentraler Tag-Manager macht Änderungen am Tracking unabhängig vom Deployment.

GA4 verwirft Umsätze ohne currency, und gemischte Währungen machen Summen unbrauchbar. Der Check prüft die Währungsangabe in JSON-LD, dataLayer und DOM.

Der Check vergleicht auf echten Produktseiten den sichtbaren Preis mit JSON-LD Offer.price und dem dataLayer. Abweichungen verfälschen ROAS und Umsatzberichte.

Ohne Product-JSON-LD mit Offer-Preis entfallen Preis-Snippets in der Suche, und AI-Suchen können Produktdaten nicht zitieren. Der Check prüft echte Produktseiten.

Der Tiefenscan prüft bei erkannten Shops bis zu fünf echte Produktseiten: sichtbarer Preis, JSON-LD, dataLayer und view_item im direkten Vergleich.

Ohne view_item auf Produktseiten bleiben GA4-E-Commerce-Berichte leer und Remarketing-Listen ungefüllt. Der Check prüft das Event auf echten Produktseiten.

Google hat die Privacy Sandbox 2025 weitgehend zurückgefahren, mehrere Ad-APIs werden eingestellt. Der Check ist ein Inventar-Signal, keine Empfehlung.

Synchron im head geladene Fremd-Scripts halten den ersten Seitenaufbau auf; jede Sekunde Ladezeit kostet messbar Conversions.

Mehr externe Scripts = langsamere Ladezeit und größere Compliance-Fläche.

Über 200 KB Tracking-Payload macht die Seite messbar langsamer und vergrößert die Compliance-Fläche.

GPTBot, ClaudeBot, PerplexityBot bestimmen, ob Inhalte in AI-Antworten auftauchen, bewusste Entscheidung nötig.

HSTS, X-Frame-Options und CSP bilden die Security-Baseline, die jedes Audit prüft.

Unverschlüsseltes Tracking ist ein Datenleck-Risiko und bricht moderne Browser-Defaults.

Structured Data (schema.org) ist Ranking-Signal für Google UND AI-Suchen.

llms.txt ist der entstehende Standard, um LLMs strukturiert mitzuteilen, was sie lesen dürfen.

Title, Description und Open Graph sind die SEO-Baseline, fehlen sie, leiden Sichtbarkeit und Social-Shares.

Falsch konfigurierte robots.txt macht die Seite für Google unsichtbar.