Consent-verdeckter Stack: was die CMP-Config über Ihr Tracking verrät

Der Scanner liest die öffentlich abrufbare Borlabs-Config und decodiert die Opt-in-Codes: Container-IDs und Custom-Loader, die erst nach Einwilligung laden, werden sichtbar, ohne Klick.

Was wird geprüft

Borlabs Cookie 3 hinterlegt für jeden Service einen Opt-in-Code in einer öffentlich abrufbaren Config-Datei, base64-codiert. Der Scanner liest diese Datei und decodiert die Codes. Sichtbar wird, was erst nach der Einwilligung lädt: GTM-Container, GA4-Properties und Custom-Loader-Hosts, auch wenn im HTML der Seite nichts davon steht. Ohne Klick, ohne Browser.

Warum ist das wichtig

Ein sauber blockierendes CMP macht den Tag-Stack für statische Scans unsichtbar. Das ist gewollt und richtig. Es macht aber auch den Betreiber blind: Was in der Config steht, hat dort irgendwann jemand eingetragen, und niemand prüft es nach. Der Befund zeigt den hinterlegten Stack, damit Sie ihn mit dem gewollten Setup abgleichen können. Verwaiste Container laden sonst jahrelang weiter, bei jedem Opt-in.

Häufige Ursachen

Test-Container oder Zweit-Properties aus der Einrichtungsphase, die nie entfernt wurden.
Nach einem Agenturwechsel blieb der alte Loader in der Config stehen.
Ein Server-side-Loader auf einer eigenen Subdomain, den hinter dem CMP niemand mehr auf dem Schirm hat.

So beheben

Die gelisteten IDs und Loader-Hosts gegen das gewollte Setup halten. Jede ID, die niemand zuordnen kann, im CMP entfernen und den Opt-in-Flow danach einmal durchklicken. Bei einem Custom Loader auf eigener Subdomain zusätzlich prüfen, ob der dahinterliegende Server-Container noch gepflegt wird.

Passende Vorlage

CMP- und GTM-Consent-QA-Vorlage

Der wiederholbare Testplan für Default-denied, Consent-Update und Reject, über alle vier Signale.

QA-Vorlage holen →

Erst selbst prüfen

Der Tracking-Check testet diesen Punkt zusammen mit allen anderen in Sekunden.

Tracking-Check starten →

Verwandte Checks

Cookie-Banner / CMP →CMP-Gruppenzuordnung →Pre-Consent-Scripts →Server-Side Tracking →

Häufige Fragen

Was bedeutet der Befund „Consent-verdeckter Stack“?

Ihr CMP blockiert Tags korrekt bis zur Einwilligung, deshalb ist davon im rohen HTML nichts zu sehen. Die CMP-Config selbst ist aber öffentlich abrufbar und enthält die Opt-in-Codes. Der Scanner decodiert sie und listet, was nach dem Opt-in lädt: Container-IDs und Loader-Hosts. Der Befund ist ein Hinweis, keine Wertung.

Ist es ein Problem, dass die Config öffentlich lesbar ist?

Nein, das ist bei jedem client-seitigen CMP so und technisch unvermeidbar. Der Browser braucht die Information, welche Skripte er nach der Einwilligung ausführen soll. Relevant ist etwas anderes: Auch Sie selbst sollten wissen, was dort hinterlegt ist.

Warum tauchen IDs auf, die ich nicht kenne?

Typische Kandidaten sind Test-Container aus der Einrichtungsphase, Properties einer früheren Agentur oder ein Loader auf einer Subdomain, die niemand mehr pflegt. Jede unbekannte ID in der Config ist ein Aufräum-Kandidat.

Behebung

Verdrahtet in Tagen, nicht in Sprints.

Befunde aus dem Tracking-Check gehen im Audit Sprint in eine Reihenfolge mit Aufwand, jeder Baustein mit Abnahmekriterium.

Zur Leistung Audit Sprint anfragen