Aktualisiert: März 2026 · Lesezeit: 11 Min.
Ja, ein Cookie-Banner ist 2026 in Deutschland Pflicht, wenn Ihre Website nicht-essentielle Cookies oder Tracking-Tools einsetzt. Nach dem TTDSG (§ 25) und der DSGVO (Art. 6) müssen Besucher aktiv einwilligen, bevor Cookies gesetzt werden. Der Banner muss eine gleichwertige Ablehn-Option bieten.
Mal ehrlich — wer hat noch den Überblick, welche Cookie-Regeln gerade gelten? Gefühlt ändert sich das alle sechs Monate. Und trotzdem sehe ich als Agenturinhaber jede Woche Websites, die mit einem popligen „Wir verwenden Cookies"-Hinweis auskommen wollen. Spoiler: Das reicht seit Jahren nicht mehr.
Seit dem TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), das Ende 2021 in Kraft trat, ist die Lage in Deutschland eigentlich glasklar: Wer Cookies setzt, die nicht „unbedingt erforderlich" sind, braucht eine aktive Einwilligung. Punkt. Kein implied consent, kein „Weitersurfen = Zustimmung". Das galt schon 2022 — und 2026 wird es nur noch konsequenter durchgesetzt.
Das TTDSG regelt den Zugriff auf Endgeräte — also das Setzen und Lesen von Cookies. Die DSGVO greift dann bei der Verarbeitung der personenbezogenen Daten dahinter. Zwei Gesetze, ein Problem: Ohne informierte, freiwillige Einwilligung geht bei Marketing- und Analyse-Cookies schlicht gar nichts.
Was viele übersehen: Das TTDSG betrifft nicht nur klassische Cookies. Fingerprinting, Local Storage, Pixel-Tracking — alles, was Informationen auf dem Endgerät speichert oder ausliest, fällt unter § 25 TTDSG. Macht die Sache noch ungemütlicher, als sie eh schon ist.
Die kurze Antwort: Fast immer. Die etwas differenziertere:
Im Klartext: Sobald Sie Google Analytics oder auch nur ein eingebettetes YouTube-Video nutzen, brauchen Sie ein funktionierendes Cookie-Consent-Banner. Und „funktionierend" heißt nicht bloß „es poppt auf".
Hier scheitern erstaunlich viele. Ein korrektes Banner braucht 2026 diese Elemente:
| Element | Pflicht? | Häufiger Fehler |
|---|---|---|
| Ablehnen-Button (gleichwertig) | Ja | Versteckt hinter „Einstellungen" |
| Granulare Auswahl nach Kategorien | Ja | Nur „Alle akzeptieren" |
| Information über Zwecke | Ja | Nur „Wir verwenden Cookies" |
| Verweis auf Datenschutzerklärung | Ja | Link fehlt oder kaputt |
| Keine vorausgewählten Checkboxen | Ja | Marketing standardmäßig an |
| Kein Cookie-Wall | Ja (EDSA) | Paywall-Modell ohne Alternative |
Ich sehe das bei gut der Hälfte meiner neuen Kunden: Das Cookie-Banner existiert zwar, funktioniert aber technisch nicht. Cookies werden gesetzt, bevor irgendjemand auf „Akzeptieren" klickt. Das Consent-Tool ist installiert, blockiert aber schlicht gar nichts. Oder — mein persönlicher Favorit — das Banner wurde 2020 eingerichtet und seitdem keiner hat es je wieder angefasst.
Was das kosten kann? Die Datenschutzkonferenz hat 2025 deutlich gemacht, dass Cookie-Verstöße nicht mehr nur eine freundliche Verwarnung nach sich ziehen. Bußgelder nach TTDSG können bis zu 300.000 Euro betragen — und die DSGVO erlaubt bekanntlich bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes.
Klingt nach Panikmache? Fragen Sie mal die Betreiber, die 2024 und 2025 Post von der Berliner oder bayerischen Datenschutzbehörde bekommen haben. Die Prüfverfahren laufen — und zwar nicht nur bei DAX-Konzernen.
Drei Entwicklungen sollten Sie auf dem Schirm haben:
Nach hunderten von Cookie-Audits für unsere Agenturkunden — hier meine Empfehlung, ohne Umschweife:
Ja — das kostet Zeit und manchmal Geld. Aber deutlich weniger als ein Bußgeldverfahren.