Cookie-Banner ohne Dark Pattern: So sieht es richtig aus

Die meisten Cookie-Banner auf deutschen Webseiten verstoßen gegen geltendes Recht. Viele Banner-Tools sind mit Absicht so gestaltet, dass Nutzer auf „Alle akzeptieren" klicken. Das nennt sich Dark Pattern, und die Aufsichtsbehörden nehmen es seit 2024 zunehmend ernst.

Der Begriff „Dark Pattern" stammt aus dem UX-Design und beschreibt Gestaltungstricks, die Nutzer in eine Richtung drängen, die ihnen schadet. Bei Cookie-Bannern ist das Ziel meistens, möglichst viele Zustimmungen einzusammeln, unabhängig davon, ob der Nutzer das wirklich will.

Typische Beispiele:

Der „Alle akzeptieren"-Button ist groß, farbig und gut sichtbar. Der „Ablehnen"-Button ist klein, grau und versteckt.
„Ablehnen" ist kein Button, sondern nur ein dezenter Textlink ganz unten in der Ecke.
Das Banner schließt sich nur, wenn man akzeptiert. Wer ablehnen will, muss erst auf „Einstellungen" klicken, dann jeden Zweck einzeln abwählen und anschließend noch einmal bestätigen.
Akzeptieren erscheint in sattem Grün, Ablehnen in unauffälligem Grau oder auf hellem Hintergrund kaum lesbar.
Irreführende Formulierungen wie „Ich stimme zu" und „Weiter ohne Tracking" statt schlicht „Ablehnen".

Jedes dieser Mittel zielt darauf ab, dass weniger Menschen auf Ablehnen klicken. Das ist kein Zufall, sondern die bewusste Ausrichtung vieler Consent-Management-Plattformen, die von Werbenetzwerken finanziert werden.

Warum das rechtlich nicht mehr durchgeht

Der Europäische Datenschutzausschuss (EDPB) hat 2023 klare Leitlinien zu Dark Patterns veröffentlicht. Die Kernaussage: Eine Einwilligung ist nur dann rechtsgültig, wenn sie freiwillig gegeben wird. Wer die Ablehnung so aufwändig gestaltet, dass Nutzer aus Bequemlichkeit akzeptieren, hat keine wirksame Einwilligung eingeholt.

Die deutschen Datenschutzbehörden haben das aufgegriffen. Die Hamburger Datenschutzbehörde hat 2024 mehrere Unternehmen verwarnt. Die Berliner Behörde hat konkrete technische Anforderungen formuliert. Der EuGH hat in mehreren Urteilen bestätigt, dass Grau-auf-Grau oder versteckte Ablehn-Optionen nicht ausreichen.

Faustregel: Wenn das Ablehnen auf deinem Banner mehr Klicks kostet als das Akzeptieren, ist dein Banner nicht rechtssicher.

Mehr zur Frage, was 2026 konkret Pflicht ist, findest du im Artikel DSGVO-konformes Cookie-Banner: Was 2026 wirklich Pflicht ist.

Ein rechtlich sauberer und nutzerfreundlicher Banner folgt einigen einfachen Prinzipien. Hier eine Übersicht:

Merkmal	Fairer Banner	Dark Pattern
Akzeptieren-Button	Klar sichtbar	Groß, farbig, dominant
Ablehnen-Button	Genauso prominent	Klein, grau, versteckt
Klicktiefe bis zur Ablehnung	1 Klick	3–5 Klicks über Einstellungen
Sprache	Klar und verständlich	Juristisch oder verschleiernd
Schließen ohne Aktion	Möglich (gilt als Ablehnung)	Nein
Design-Gleichgewicht	Beide Optionen gleichwertig	Klares visuelles Ungleichgewicht

Das bedeutet in der Praxis: Dein Banner braucht mindestens zwei gleichwertige Buttons direkt auf der ersten Ebene. „Alle akzeptieren" und „Ablehnen", beide gleich groß, beide in ähnlichem Kontrast zum Hintergrund, beide auf einen Klick erreichbar.

Eine dritte Option für „Einstellungen" ist sinnvoll und erlaubt, aber nur als Ergänzung, nicht als einziger Weg zur Ablehnung.

Welche Formulierungen funktionieren und welche nicht

Sprache ist beim Cookie-Banner ein unterschätztes Problem. Viele Texte sind so formuliert, dass Nutzer nicht verstehen, worum es geht.

Schlecht: „Wir verwenden Cookies, um Ihr Erlebnis zu personalisieren und unsere Dienste zu verbessern. Durch Klicken auf Akzeptieren stimmen Sie der Verwendung aller Cookies gemäß unserer Datenschutzerklärung zu."

Besser: „Diese Webseite nutzt Tracking-Cookies für Werbung und Analyse. Du kannst das ablehnen, die Seite funktioniert trotzdem."

Der erste Text klingt harmlos und positiv. Der zweite erklärt klar, was passiert und was nicht passiert, wenn man ablehnt. Genau das verlangt die DSGVO: eine informierte Einwilligung.

Wichtig ist auch: Schreib nicht „Einige Cookies sind technisch notwendig und können nicht deaktiviert werden", ohne das zu erläutern. Was ist technisch notwendig? Session-Cookies für den Warenkorb, ja. Google Analytics, nein.

Was du an deinem bestehenden Banner prüfen solltest

Schau dir deinen Banner heute an und beantworte diese Fragen:

Gibt es einen „Ablehnen"-Button direkt auf der ersten Ebene, ohne dass ich erst auf „Einstellungen" klicken muss?
Sind Akzeptieren und Ablehnen optisch gleichwertig (Größe, Farbe, Position)?
Erklärt der Text verständlich, welche Cookies warum gesetzt werden?
Kann ich das Banner schließen, ohne eine Auswahl zu treffen?
Wenn ich abgelehnt habe: Werden tatsächlich keine Tracking-Cookies geladen?

Punkt 5 wird oft übersehen. Manche Banner-Implementierungen laden Google Tag Manager oder Facebook Pixel bereits beim Seitenaufruf, bevor der Nutzer überhaupt eine Wahl getroffen hat. Das ist unabhängig vom Banner-Design ein klarer Verstoß.

Um das zu prüfen, öffne deinen Browser in den Entwicklertools (F12 in Chrome), wechsle auf den Reiter „Netzwerk" und lade deine Seite neu, bevor du den Banner beantwortet hast. Siehst du dort schon Anfragen an google-analytics.com, facebook.com oder ähnliche Domains, ist etwas falsch konfiguriert.

Welche Tools es besser machen

Es gibt Consent-Management-Plattformen, die faire Banner ermöglichen. Gut umgesetzte Beispiele findest du bei:

Klaro: Open Source, selbst gehostet möglich, minimalistisch
Usercentrics: Kostenpflichtig, aber mit Vorlagen, die faire Gestaltung erlauben
Real Cookie Banner: WordPress-Plugin, auf Datenschutz ausgelegt

Auch ein gutes Tool kann falsch konfiguriert werden. Viele der beschriebenen Dark Patterns entstehen nicht durch das Tool selbst, sondern durch die Einstellungen, die jemand darin vorgenommen hat. Standardmäßig sind viele Tools auf maximale Zustimmungsrate optimiert, nicht auf Rechtssicherheit.

Wenn du ein WordPress-basiertes Consent-Tool nutzt, prüfe die Farbeinstellungen der Buttons gezielt. Die meisten Tools erlauben es, Akzeptieren-Button und Ablehnen-Button separat zu gestalten. Nutze das, um beide optisch gleich zu gewichten.

Was das für kleine lokale Geschäfte bedeutet

Ein Friseursalon in der Heidelberger Altstadt oder ein Café in der Bahnstadt braucht in der Regel keine komplexe Consent-Lösung. Wenn die Webseite nur technisch notwendige Cookies setzt (Session-Cookies, kein Tracking, kein Google Analytics), ist gar kein Banner nötig. Das ist die sauberste Lösung und wird von vielen kleinen Betrieben unterschätzt.

Einen vollständigen Consent-Mechanismus brauchst du erst, wenn du Tracking einsetzt, Google Ads nutzt oder Remarketing-Pixel eingebunden hast.

Eine Webseite, die ich für lokale Geschäfte baue, startet grundsätzlich ohne Tracking. Wenn ein Kunde Google Analytics oder Meta-Pixel haben möchte, wird das sauber über Consent eingebunden. Beim Gespräch stellt sich aber oft heraus, dass das Tracking gar nicht aktiv ausgewertet wird. In dem Fall: weglassen. Kein Tracking bedeutet kein Banner-Problem.

Faustregel: Wenn du die Daten aus Google Analytics in den letzten drei Monaten nicht einmal angeschaut hast, brauchst du das Script wahrscheinlich nicht.

Das spart nicht nur Rechtsrisiken, sondern auch Ladezeit. Jeder externe Script-Aufruf kostet Millisekunden, und Millisekunden kosten Besucher. Mehr dazu im Artikel PageSpeed-Score 90+ für lokale Geschäfte: Warum jede Sekunde Geld bedeutet.

Was du heute konkret tun kannst

Wenn du deine Webseite selbst betreust:

Öffne deine Seite im Browser mit deaktivierten Cookies und schau dir den Banner an.
Prüfe, ob „Ablehnen" genauso gut sichtbar ist wie „Akzeptieren".
Öffne die Entwicklertools und prüfe, welche externen Ressourcen vor der Einwilligung geladen werden.
Lies den Bannertext laut vor. Versteht ein normaler Mensch in zehn Sekunden, was er gerade entscheidet?

Wenn du bei dem, was du siehst, unsicher bist: Lass jemanden draufschauen, der sich damit auskennt. Bei Webseiten, die ich über seivio.de erstelle oder überarbeite, gehört die Consent-Konfiguration zum festen Bestandteil der Übergabe.

Du willst wissen, ob dein Cookie-Banner wirklich hält? Schreib mir kurz, ich schaue mir das an und sage dir direkt, was ich sehe.