Automatisches Skript-Blocking: So funktioniert das Blockieren vor der Einwilligung
Automatisches Skript-Blocking (auch Pre-Consent-Blocking oder Auto-Blocking genannt) verhindert, dass nicht notwendige Skripte ausgeführt werden, bevor der Nutzer seine Einwilligung erteilt hat. Dies ist eine gesetzliche Vorgabe nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie: Ohne vorherige informierte Einwilligung dürfen keine Cookies oder Tracking-Technologien auf dem Endgerät eines Nutzers gespeichert werden, es sei denn, sie sind für den vom Nutzer angeforderten Dienst unbedingt erforderlich.
Ohne automatisches Blocking setzt eine Website, die Google Analytics, den Facebook Pixel oder ein beliebiges Marketing-Skript von Drittanbietern lädt, bereits Cookies und erhebt Daten, bevor der Nutzer überhaupt die Möglichkeit hatte, eine Einwilligungsentscheidung zu treffen. Dies stellt einen Compliance-Verstoß dar – unabhängig davon, ob ein Consent-Banner angezeigt wird.
Warum manuelles Skript-Tagging nicht ausreicht
Der herkömmliche Ansatz für ein einwilligungsbasiertes Laden von Skripten erfordert, dass Entwickler jedes einzelne Skript auf der Website manuell kennzeichnen. Jedes Skript muss so angepasst werden, dass es standardmäßig nicht geladen wird, und wird dann bedingt aktiviert, sobald der Nutzer der entsprechenden Kategorie zustimmt. Typischerweise wird dabei type="text/javascript" in type="text/plain" geändert und ein Data-Attribut hinzugefügt, das die Einwilligungskategorie angibt.
Dieser Ansatz bringt gravierende Probleme mit sich:
- Jedes neue Skript, das der Website hinzugefügt wird, muss manuell gekennzeichnet werden. Fügt ein Marketing-Team einen neuen Tracking-Pixel über einen Tag-Manager hinzu, wird dieser ohne Einwilligung ausgelöst, sofern niemand daran denkt, die Blocking-Regel zu konfigurieren.
- Skripte von Drittanbietern laden häufig dynamisch weitere Skripte nach. Das Blockieren des übergeordneten Skripts blockiert nicht zwangsläufig auch die untergeordneten Skripte, die es geladen hätte.
- Inline-Skripte, die direkt im HTML der Seite eingebettet sind, lassen sich nur schwer abfangen.
- Der Ansatz ist fehleranfällig. Ein einziges übersehenes Skript bedeutet eine nicht rechtskonforme Datenerhebung.
So funktioniert das automatische Blocking
Eine Consent-Management-Plattform mit automatischem Blocking verfolgt einen anderen Ansatz. Anstatt Entwickler dazu zu verpflichten, einzelne Skripte zu kennzeichnen, fängt die CMP das gesamte Laden von Skripten auf Browserebene ab und blockiert alles, was nicht unbedingt erforderlich ist.
Der Ablauf funktioniert wie folgt:
- Die CMP wird als erstes Skript im
<head>-Bereich der Seite geladen, noch vor allen anderen Skripten. - Sie fängt die Skript-Lademechanismen des Browsers ab, darunter
document.createElement('script'), die Ausführung von Inline-Skripten sowie dynamisch eingefügte Skripte. - Jedes Skript wird mit einer Klassifizierungsdatenbank abgeglichen. Skripte von bekannten Analyse-, Werbe- und Social-Media-Domains werden identifiziert und kategorisiert.
- Als nicht notwendig eingestufte Skripte werden in einer Warteschlange gehalten. Sie werden nicht ausgeführt, setzen keine Cookies und stellen keine Netzwerkanfragen.
- Erteilt der Nutzer die Einwilligung für eine bestimmte Kategorie, werden die in dieser Kategorie befindlichen Skripte freigegeben und normal ausgeführt.
- Lehnt der Nutzer eine Kategorie ab, bleiben die Skripte dieser Kategorie für die Dauer der Sitzung blockiert.
Was blockiert wird
Beim automatischen Blocking werden Skripte üblicherweise in vier Kategorien eingeteilt, die den standardmäßigen Cookie-Einwilligungskategorien entsprechen:
| Kategorie | Beispiele | Vor Einwilligung blockiert |
|---|---|---|
| Unbedingt erforderlich | Zahlungsdienstleister, Authentifizierung, Sitzungsverwaltung, die CMP selbst | Nein (immer erlaubt) |
| Analyse | Google Analytics, Hotjar, Matomo, Plausible | Ja |
| Marketing | Google Ads, Facebook Pixel, LinkedIn Insight, TikTok Pixel | Ja |
| Präferenzen | Spracheinstellungen, UI-Anpassungen, A/B-Testing-Tools | Ja |
Das Timing-Problem
Damit das automatische Blocking korrekt funktioniert, muss die CMP das allererste Skript sein, das auf der Seite geladen wird. Wird ein nicht notwendiges Skript vor der CMP geladen, so wird es ohne Einwilligung ausgeführt. Aus diesem Grund darf das CMP-Skript-Tag weder das Attribut defer noch async verwenden und muss vor allen anderen Skripten im <head>-Bereich erscheinen.
Dies ist dieselbe Architektur, die jede rechtskonforme CMP verwendet: Cookiebot, OneTrust, CookieYes und Passiro erfordern allesamt ein synchrones Laden als erstes Skript im Head-Bereich des Dokuments.
Zusammenspiel mit Google Consent Mode
Automatisches Skript-Blocking funktioniert in Verbindung mit Google Consent Mode v2. Während Consent Mode anpasst, wie sich die eigenen Tags von Google bei verweigerter Einwilligung verhalten (Umstellung auf cookielose Messung), verhindert das automatische Blocking, dass sämtliche nicht notwendigen Skripte überhaupt ausgeführt werden.
Die beiden Mechanismen ergänzen sich: Consent Mode verarbeitet Google-Tags reibungslos (und ermöglicht modellierte Conversions), während das Auto-Blocking alles Übrige übernimmt (Drittanbieter-Pixel, Social-Widgets, Werbe-Skripte von Nicht-Google-Anbietern).
Automatisches Blocking und Passiro
Passiro bietet automatisches Skript-Blocking bereits im kostenlosen Consent-Widget. Sobald das Passiro-Skript geladen wird, identifiziert und blockiert es nicht notwendige Skripte, bevor diese ausgeführt werden können. Ein manuelles Kennzeichnen von Skripten ist nicht erforderlich.
Die Klassifizierungsdatenbank basiert auf der Community-Blockliste EasyPrivacy (GPL-3.0), die rund 4.900 Tracker-, Analyse- und Werbe-Domains abdeckt und täglich aktualisiert wird. Sie ist damit deutlich umfangreicher als die proprietären, kuratierten Listen, die von den meisten kommerziellen CMPs verwendet werden – Cookiebot, OneTrust und andere setzen üblicherweise auf Datenbanken, die um eine Größenordnung kleiner sind.
In Kombination mit IAB TCF v2.3 und Google Consent Mode v2 stellt das automatische Blocking sicher, dass vor der Einwilligung keine Daten erhoben werden, und erfüllt so die Anforderungen von Artikel 5 Absatz 3 der ePrivacy-Richtlinie sowie Artikel 6 der GDPR.
Erfüllt Ihre Website die Cookie-Vorschriften?
Scannen Sie Ihre Website kostenlos und finden Sie alle Cookies in wenigen Minuten.
Cookies kostenlos scannen