Die meisten Websites zeigen beim ersten Aufruf ein Einwilligungsfenster. Ein Teil davon braucht es, weil dort Werkzeuge laufen, die Besucher über Seiten und Sitzungen hinweg wiedererkennen. Ein anderer Teil zeigt es, weil alle es zeigen.
Ein Einwilligungsfenster wird nötig, wenn eine Website Informationen auf dem Gerät des Besuchers speichert oder ausliest, die für den Betrieb nicht erforderlich sind. Genau das tut klassische Webanalyse, wenn sie einzelne Besucher wiedererkennen will. Verzichtet man auf diese Wiedererkennung, entfällt die Speicherung auf dem Gerät, und damit entfällt der Anlass für das Fenster.
Wie funktioniert Analyse ohne Wiedererkennung?
Klassische Analyse legt eine Kennung auf dem Gerät ab und erkennt denselben Besucher später wieder. Daraus entstehen Kennzahlen wie wiederkehrende Besucher oder Verweildauer über mehrere Tage.
Der andere Ansatz kommt ohne diese Kennung aus. Er wertet aus, was ohnehin bei jedem Aufruf anfällt: welche Seite, wann, von welcher Quelle, welches Land, welcher Gerätetyp. Für die Frage, ob zwei Aufrufe zum selben Besuch gehören, wird ein Merkmal aus Tagesdatum, Adresse und Browserkennung gebildet, das täglich wechselt und nicht zurückgerechnet werden kann. Nach dem Tageswechsel ist dieselbe Person nicht mehr zuzuordnen, und das ist beabsichtigt.
Welche Zahlen bekommst du, welche nicht?
| Kennzahl | Verfügbar |
|---|---|
| Seitenaufrufe je Seite | ja |
| Besuche pro Tag | ja |
| Herkunft (Suche, Verweis, direkt) | ja |
| Suchbegriffe aus Google | über die Search Console, nicht über die Analyse |
| Land, Gerätetyp, Browser | ja |
| Einstiegs- und Ausstiegsseiten | ja |
| Ereignisse wie abgeschickte Formulare | ja |
| Wiederkehrende Besucher über Wochen | nein |
| Besucherpfade über mehrere Tage | nein |
| Zielgruppenmerkmale wie Alter oder Interessen | nein |
Die untere Hälfte der Tabelle ist der Preis. Man sollte ihn kennen, bevor man sich entscheidet, und er ist für die meisten Websites kleiner als befürchtet: Wer wissen will, welche Seiten gelesen werden, woher die Besucher kommen und wie viele Anfragen daraus entstehen, bekommt genau das.
Was selbst gehostet konkret bedeutet
Wir betreiben dafür Umami auf demselben Server wie die Website. Daraus folgen drei Dinge:
- Es entsteht keine Verbindung zu einem fremden Anbieter. Das Messskript kommt von derselben Domain wie die Seite. Damit fällt auch die Frage nach einer Datenübermittlung in Drittländer weg, die bei Diensten mit Sitz außerhalb der EU regelmäßig zu klären ist.
- Die Daten liegen bei dir. Kein zweiter Verwendungszweck, keine Verknüpfung mit Werbeprofilen, kein Zugriff Dritter.
- Es kostet Betrieb. Updates, Sicherungen, Überwachung. Wer keinen betreuten Server hat, tauscht ein Datenschutzthema gegen eine Betriebsaufgabe.
Der letzte Punkt ist der ehrliche Einwand gegen diesen Weg. Es gibt gute gehostete Alternativen, die ähnlich sparsam messen. Der Unterschied ist dann nicht die Technik, sondern die Frage, wer die Daten hält.
Ein zweiter Nebeneffekt: Tempo
Ein Skript, das von derselben Domain kommt, spart die Namensauflösung und den Verbindungsaufbau zu einem fremden Server. Klassische Analysepakete bringen dazu meist mehrere hundert Kilobyte JavaScript mit, sparsame Alternativen liegen im niedrigen zweistelligen Kilobyte-Bereich.
Wer ohnehin an der Ladezeit arbeitet, nimmt diesen Punkt mit. Wie sich Ladezeit von Laufzeit unterscheidet und warum das für das Nutzungsgefühl entscheidend ist, steht im Beitrag über Websites, die schnell laden und sich trotzdem zäh anfühlen.
Was du trotzdem prüfen musst
Der Verzicht auf Wiedererkennung ist ein technischer Zustand, kein Freibrief. Ob eine Website ein Einwilligungsfenster braucht, hängt an allem, was sie sonst noch lädt. Häufige Fälle, die für sich genommen wieder eine Einwilligung nötig machen:
- Schriftarten, die von einem fremden Server geladen werden,
- eingebettete Videos, Karten oder Buchungswerkzeuge,
- Werbepixel für Kampagnen,
- Chat-Fenster und Bewertungsanzeigen.
Die praktische Prüfung dauert zwei Minuten: Entwicklerwerkzeuge öffnen, Netzwerkbereich, Seite neu laden und die Liste der angefragten Domains durchsehen. Steht dort nur die eigene, ist die Ausgangslage klar. Steht dort mehr, sind das die Punkte, über die zu entscheiden ist. Die rechtliche Bewertung im Einzelfall gehört in fachkundige Hände, das ist keine Aufgabe für den Entwickler.
Wie wir das machen
Wir richten die Messung so ein, dass sie ohne Wiedererkennung auskommt, und halten die Liste der geladenen Fremdverbindungen bewusst leer. Wenn ein Werkzeug dazukommen soll, das diese Lage ändert, sagen wir vorher, was das bedeutet, statt es stillschweigend einzubauen. Was wir im Bereich Sichtbarkeit und Messung übernehmen, steht unter Digital-Marketing und Messbarkeit.
Braucht jede Website ein Cookie-Banner?
Nein. Nötig wird eine Einwilligung, wenn auf dem Gerät des Besuchers Informationen gespeichert oder ausgelesen werden, die für den Betrieb nicht erforderlich sind. Wer darauf verzichtet und keine Fremddienste einbindet, braucht kein Einwilligungsfenster.
Welche Daten liefert Webanalyse ohne Cookies?
Seitenaufrufe, Besuche pro Tag, Herkunft, Land, Gerätetyp, Einstiegs- und Ausstiegsseiten sowie eigene Ereignisse wie abgeschickte Formulare. Nicht verfügbar sind wiederkehrende Besucher über längere Zeiträume und Zielgruppenmerkmale.
Ist selbst gehostete Analyse aufwendig?
Der Betrieb bringt Updates, Sicherungen und Überwachung mit sich. Auf einem ohnehin betreuten Server fällt das kaum ins Gewicht. Ohne eigenen Server ist ein sparsam messender gehosteter Dienst der praktikablere Weg.
Wie prüfe ich, welche fremden Dienste meine Website lädt?
Entwicklerwerkzeuge des Browsers öffnen, in den Netzwerkbereich wechseln und die Seite neu laden. Die Liste der angefragten Domains zeigt jede Verbindung nach außen, einschließlich Schriften, Karten und eingebetteter Inhalte.
