Eine Website ohne Cookie-Banner: was dafür nötig ist

Vorweg das Ergebnis der Messung. So antwortet unsere Startseite:

set-cookie: grav-site-d064a95=…; Max-Age=1800; path=/;
            domain=primero.link; secure; HttpOnly; SameSite=Lax

Ein Cookie, dreißig Minuten, kein Name, keine Kennung, die über den Besuch hinausreicht, keine Übermittlung an Dritte. Deshalb steht auf primero.link kein Banner. Wie man dahin kommt, steht hier, samt dem Punkt, an dem wir selbst noch nicht sauber sind.

Was das Gesetz verlangt

Die Regel steht in § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Absatz 1 im Wortlaut:

Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.

Das Wort Cookie kommt darin nicht vor, und das ist der Punkt, den viele Ratgeber verfehlen. Die Vorschrift greift bei jedem Speichern und jedem Auslesen auf dem Gerät. Auch der Fingerabdruck des Browsers, ein Eintrag im lokalen Speicher und ein Pixel, das etwas zurückliest, fallen darunter.

Absatz 2 kennt zwei Ausnahmen:

Die Ausnahme wird eng ausgelegt. Der Landesbeauftragte für den Datenschutz in Baden-Württemberg schreibt dazu, es sei „grundsätzlich nicht notwendig, beim bloßen Aufrufen einer Webseite einen Cookie mit einer Session-ID zu setzen". Maßgeblich ist der Zweck aus Sicht des Besuchers, und der Besucher will lesen, was auf der Seite steht.

Was einen Banner auslöst

Ein Banner ist die Folge einer Bauentscheidung. Diese Bausteine lösen ihn aus:

Die rechte Spalte ist der eigentliche Inhalt dieses Beitrags. Fast jeder Auslöser hat eine Bauweise daneben, die ohne Einwilligung auskommt. Sie kostet einmal Arbeit und danach keinen Banner, keine Klickstrecke und keine Diskussion mit der Aufsicht.

Was wir dafür getan haben

Die Schrift liegt bei uns. Eine Datei, Quicksand, verkleinert auf die Zeichen, die Deutsch, Englisch und Spanisch brauchen, 27 KB. Sie kommt vom selben Server wie die Seite.

Die Zahlen kommen aus zwei Quellen ohne Cookies. Die Search Console zeigt, wonach gesucht wurde, und die Protokolle des Servers zeigen die Aufrufe. Beides erreicht die Genauigkeit eines Analysewerkzeugs nicht. Für die Frage, welcher Beitrag gelesen wird und über welche Suche jemand kommt, reicht es.

Der Terminkalender lädt erst auf Klick. Er liegt bei meetergo, also bei einem Dritten. Wer /besprechung aufruft, sieht zuerst eine Erklärung und einen Knopf. Erst dieser Klick lädt den Kalender. Technisch ist der Knopf ein gewöhnlicher Verweis auf dieselbe Seite mit einem Parameter, deshalb funktioniert er ohne eine Zeile JavaScript:

  <a href="/blog/website-ohne-cookie-banner?kalender=1#kalender">Kalender laden</a>

Die Adresse mit dem Parameter zeigt weiterhin per canonical auf die Fassung ohne Parameter, damit daraus keine zweite Seite für Suchmaschinen wird.

Werbepixel gibt es keine. Das ist eine Geschäftsentscheidung, die hier nebenbei die rechtliche Lage vereinfacht.

Das eine Cookie, das uns zu viel ist

Jetzt der unangenehme Teil.

Unser Redaktionssystem startet eine Sitzung bei jedem Seitenaufruf, auch auf einer Seite, die nur Text zeigt. Gebraucht wird die Sitzung an genau einer Stelle: beim Kontaktformular, für die Einmalkennung gegen fremdes Absenden und gegen doppeltes Senden. Gemessen an der Auslegung der Aufsicht ist das Cookie auf allen übrigen Seiten eines zu viel.

Wir halten das für einen leichten Fall: Es steht nichts darin außer einer Kennung, es ist nach dreißig Minuten weg, es geht an niemanden, und es taugt nicht zur Wiedererkennung über Besuche hinweg. Ein Risiko bleibt es trotzdem, und es lässt sich beheben. In der Konfiguration von Grav gibt es dafür einen Schalter:

session:
  initialize: false   # die Sitzung startet dann nur, wo sie gebraucht wird

Damit muss das Theme die Sitzung selbst starten, sobald eine Seite ein Formular trägt. Das prüfen wir gerade gegen das Kontaktformular in unserer Testinstanz. Sobald es steht, steht es hier.

Wer das an seiner eigenen Seite nachsehen will, braucht eine Zeile:

curl -sSI https://deine-domain.de/ | grep -i set-cookie

Kommt nichts zurück, ist die Lage klar. Kommen mehrere Zeilen zurück, beginnt die Arbeit bei der Frage, wer sie setzt und wofür.

Was trotzdem fehlt, wenn der Banner fehlt

Ohne Banner bleiben drei Pflichten bestehen, die gern mit ihm verwechselt werden:

1. Die Datenschutzerklärung. Sie beschreibt, was beim Aufruf verarbeitet wird, und die Protokolle des Servers gehören dazu. Artikel 13 DSGVO gilt unabhängig von § 25 TDDDG.
2. Der Vertrag zur Auftragsverarbeitung mit dem Hoster. Ohne ihn liegt die Verarbeitung ohne Grundlage bei einem Dritten.
3. Die Aufbewahrungsdauer der Protokolle. Sieben Tage sind für die Störungssuche üblich und gut begründbar, ein Jahr ist es nicht.

Wie weit die Reform ist

Seit dem 19. November 2025 liegt der Vorschlag der Kommission zum Digital Omnibus vor. Er würde die Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO holen, Messung im eigenen Haus und Sicherheitsfunktionen von der Einwilligung ausnehmen und eine Einstellung im Browser für alle Seiten gelten lassen.

Der Stand im September 2026: Das Verfahren läuft in den Verhandlungen zwischen Rat, Parlament und Kommission. Der Rat hat den Artikel über die Browsersignale in seiner Fassung gestrichen, Deutschland gehört zusammen mit Frankreich und Polen zu den Staaten, die dagegen gearbeitet haben. Ein Inkrafttreten ist damit frühestens 2027 zu erwarten, und wie der Text am Ende aussieht, ist offen.

Für heute heißt das: Die Regeln in diesem Beitrag gelten unverändert. Und der schnellste Weg zu einer Seite, die von der Reform wenig zu befürchten hat, ist ohnehin derselbe: weniger Bausteine, die etwas auf dem Gerät ablegen.

Was du heute tun kannst

1. Miss nach, welche Cookies deine Startseite setzt, mit der Zeile oben oder mit den Entwicklerwerkzeugen des Browsers unter „Anwendung".
2. Ordne jedem Cookie einen Zweck zu. Was sich in einem Satz begründen lässt, bleibt. Der Rest kommt auf die Liste.
3. Zieh Schriften auf den eigenen Server. Das ist der Baustein, der am häufigsten übersehen wird und am leichtesten zu beheben ist.
4. Bau Karten, Videos und Kalender auf Klick um. Das spart Ladezeit und Einwilligung in einem.
5. Wenn danach noch Tracking übrig bleibt, hol dafür eine saubere Einwilligung, mit einer Ablehnung auf derselben Ebene wie die Zustimmung.

Wenn du wissen willst, was deine Seite beim ersten Aufruf alles herunterlädt: Schreib uns kurz. Wir sehen nach und sagen dir, welche Bausteine den Banner auslösen und welche sich ersetzen lassen.

Rechtlicher Hinweis

Dieser Beitrag gibt den Stand vom 25. September 2026 wieder und ersetzt keine Rechtsberatung. Die Auslegung von § 25 TDDDG ist in Einzelfragen umstritten, und das Verfahren zum Digital Omnibus läuft. Bei konkreten Vorhaben lohnt der Weg zu einer Anwältin oder einem Anwalt.

Quellen

• § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen
• § 28 TDDDG: Bußgeldvorschriften
• LfDI Baden-Württemberg: FAQ zu Cookies und Tracking
• BfDI: anerkannte Dienste zur Einwilligungsverwaltung nach § 26 TDDDG
• netzpolitik.org: Deutschland und Google zu den Browsersignalen im Digital Omnibus
• Grav: Konfiguration der Sitzung