Cookie-Banner kosten im DACH-Raum etwa die Hälfte der Analytics-Daten, weil im Schnitt nur rund die Hälfte der Besucher einwilligt. Ein Teil dieses Verlusts ist rechtlich zwingend, ein Teil ist selbst auferlegt: Das revidierte Schweizer Datenschutzgesetz (revDSG) kennt keine allgemeine Einwilligungspflicht für Cookies, wie sie in der EU über die ePrivacy-Richtlinie besteht. Es verlangt Transparenz und eine Einwilligung bei besonders schützenswerten Daten oder risikoreichem Profiling. Sobald eine Seite auch EU-Besucher hat, gilt zusätzlich die DSGVO. Ohne Einwilligung liefert der Consent Mode nur noch modellierte Werte, also Schätzungen statt Zählungen. Ohne Banner funktioniert die serverseitige Auswertung der Zugriffslogs, weil sie beim Ausliefern protokolliert, keine Cookies setzt und kein JavaScript braucht.
Der Banner ist ein Kompromiss, und wie jeder Kompromiss kostet er etwas. Bei Analytics kostet er ungefähr die Hälfte.
Interessant wird es, wenn man nachrechnet, welcher Teil dieses Preises rechtlich zwingend ist und welcher Teil selbst auferlegt. Bei Schweizer Firmen ist der zweite Teil oft grösser als gedacht.
Was der Banner kostet
Bei einem korrekt gestalteten Banner, also einem, bei dem Ablehnen genauso einfach ist wie Zustimmen, willigt im DACH-Raum im Schnitt etwa die Hälfte der Besucher ein. Die andere Hälfte erscheint in Google Analytics nicht, und das ist genau die Absicht der Regelung.
Darauf kommen zwei weitere Verluste, die nichts mit dem Banner zu tun haben:
- Safari und Firefox blockieren Tracking ab Werk, ohne dass jemand etwas einstellen muss.
- Inhaltsblocker, Firmen-Proxys und DNS-Filter verhindern, dass das Skript überhaupt geladen wird.
Die Zahl in Analytics ist damit keine Messung, sondern eine Untergrenze. In der Praxis liegt der tatsächliche Verkehr oft um den Faktor zwei bis drei höher.
Was das Schweizer Recht tatsächlich verlangt
Hier lohnt sich der Blick auf den Unterschied, weil er in der Praxis oft übersehen wird.
In der EU regelt nicht die DSGVO allein, sondern die ePrivacy-Richtlinie den Zugriff auf Endgeräte. Sie verlangt eine Einwilligung, bevor Cookies gesetzt oder ausgelesen werden, die nicht technisch notwendig sind. Analytics-Cookies gelten nicht als technisch notwendig. Daher der Banner.
In der Schweiz gibt es keine solche Bestimmung. Das revidierte Datenschutzgesetz verlangt vor allem Transparenz: Die Bearbeitung muss erkennbar sein, die Datenschutzerklärung verständlich und vollständig. Eine ausdrückliche Einwilligung braucht es für besonders schützenswerte Personendaten und für Profiling mit hohem Risiko, nicht pauschal für jedes Analyse-Cookie.
Das bedeutet nicht, dass Schweizer Seiten keinen Banner brauchen. Sobald eine Seite auch Besucher aus der EU hat, und das haben fast alle, greift die DSGVO samt ePrivacy für diese Besucher. Der Banner ist dann der einfachste Weg, beides zugleich zu erfüllen.
Es bedeutet aber, dass die Frage nach der Ausgestaltung eine echte Frage ist und keine mit nur einer Antwort. Wer ein Standard-Banner installiert, das jede Messung für alle blockiert, hat unter Umständen mehr abgeschaltet, als für sein Publikum nötig wäre.
Und weil das schnell missverstanden wird: Das ist keine Rechtsberatung, sondern die Beschreibung eines Unterschieds. Wie er für eine konkrete Seite ausfällt, gehört juristisch geprüft, nicht von einem Architekten entschieden.
Was nach der Einwilligung realistisch übrig bleibt
Wer den Consent Mode einsetzt, misst auch ohne Einwilligung noch etwas, aber anders als viele annehmen.
Ohne Einwilligung sendet Google nur noch cookielose Signale ohne Identifikatoren. Aus diesen Signalen und dem Verhalten der einwilligenden Hälfte modelliert Google die fehlenden Werte. Was in den Berichten steht, ist dann teilweise eine Hochrechnung.
Für eine Trendaussage ist das oft brauchbar: Wenn die Kurve steigt, steigt sie vermutlich wirklich. Für belastbare absolute Zahlen ist es das nicht, und für die Frage “hat diese eine Kampagne funktioniert” ist es heikel, weil die Modellierung genau dort am unsichersten ist, wo die Fallzahlen klein sind.
Wer aus modellierten Zahlen Entscheidungen ableitet, sollte das zumindest wissen.
Die Ebene, die ohne Banner auskommt
Es gibt eine Messung, die von alldem nicht betroffen ist, weil sie an einer anderen Stelle ansetzt: die Zugriffslogs des Servers oder des CDN.
Dort wird jeder Abruf in dem Moment protokolliert, in dem er ausgeliefert wird. Vor dem Banner. Vor JavaScript. Ohne Cookie und ohne Identifikator im Browser. Es ist keine Alternative zu Analytics bei Verhalten, Wegen und Zielen, aber es ist die einzige Quelle, die sagt, wer überhaupt da war.
Zwei Dinge gehören dazu gesagt:
Auch das ist eine Personendatenbearbeitung. Die IP-Adresse ist ein Personendatum, auch wenn sie nur kurz im Log steht. Es braucht also eine Kürzung oder eine kurze Aufbewahrungsfrist, einen sauberen Eintrag in der Datenschutzerklärung und, bei einem Dienstleister, einen Auftragsbearbeitungsvertrag. Was es nicht braucht, ist die Einwilligung aus dem Bannerdialog, weil kein Zugriff auf das Endgerät stattfindet.
Logs muss man lesen können. Auf meiner eigenen Seite waren in 31 Tagen 27 Prozent des Verkehrs ein einziges Monitoring-Werkzeug und 30 Prozent Requests ganz ohne Kennung. Und von den Zugriffen, die sich als KI-System ausgaben, hielt nur eine Minderheit einer Prüfung gegen die publizierten IP-Bereiche stand. Wer diese Zahlen ungefiltert als Besucher ausweist, misst genauso falsch wie mit einem kaputten Analytics, nur in die andere Richtung. Wie man das trennt, steht im Beitrag über KI-Crawler in Server-Logs.
Was ich empfehle
Die beiden Ebenen sind keine Konkurrenz, sie beantworten verschiedene Fragen.
Analytics behalten für Verhalten, Wege durch die Seite und Zielerreichung, mit dem Wissen, dass die absoluten Zahlen eine Untergrenze sind und ein Teil davon modelliert ist.
Serverseitig danebenstellen für die Frage, wer überhaupt gekommen ist, inklusive der Systeme, die nie in Analytics auftauchen.
Und den Banner einmal richtig prüfen lassen, statt ihn als gegeben hinzunehmen. Ein Banner, das strenger ist als nötig, kostet dich Daten, ohne dass jemand dafür besser geschützt wäre. Ein Banner, das zu locker ist, kostet im Zweifel mehr. Beides ist eine juristische Frage, und beides ist billiger zu klären als zu ignorieren.
Häufige Fragen
Braucht man in der Schweiz einen Cookie-Banner für Google Analytics?
Das revidierte Schweizer Datenschutzgesetz kennt keine allgemeine Einwilligungspflicht für Cookies, wie sie in der EU über die ePrivacy-Richtlinie gilt. Es verlangt Transparenz, also eine verständliche Datenschutzerklärung, und für besonders schützenswerte Daten oder Profiling mit hohem Risiko eine Einwilligung. Sobald eine Seite jedoch auch Besucher aus der EU hat, greift die DSGVO samt ePrivacy, und dann ist die Einwilligung für Analytics-Cookies der übliche Weg. Das ist keine Rechtsberatung, die konkrete Ausgestaltung gehört juristisch geprüft.
Wie viele Besucher gehen durch den Cookie-Banner verloren?
Im DACH-Raum willigt bei einem korrekt gestalteten Banner im Schnitt etwa die Hälfte der Besucher ein. Diese Hälfte fehlt in Google Analytics vollständig. Dazu kommen Safari und Firefox, die Tracking ab Werk blockieren, sowie Inhaltsblocker. Die ausgewiesene Zahl ist damit keine Messung, sondern eine Untergrenze.
Was misst Consent Mode ohne Einwilligung noch?
Ohne Einwilligung sendet Google im Consent Mode nur noch cookielose Signale ohne Identifikatoren, aus denen Google die fehlenden Werte modelliert. Was in den Berichten steht, ist dann teilweise eine Schätzung und keine Zählung. Für eine Trendaussage kann das genügen, für belastbare absolute Zahlen nicht.
Welche Messung funktioniert ohne Cookie-Banner?
Die serverseitige Auswertung der Zugriffslogs. Sie protokolliert jeden Abruf beim Ausliefern, vor jedem Banner und ohne JavaScript, und braucht keine Cookies. Personenbezug entsteht dabei über die IP-Adresse, deshalb braucht es Kürzung oder kurze Aufbewahrung und einen Eintrag in der Datenschutzerklärung, aber keine Einwilligung im Sinne des Bannerdialogs.