Google Analytics in WordPress erst nach der Einwilligung laden

Damit Google Analytics in WordPress erst nach der Einwilligung läuft, darf das Google-Tag beim Laden der Seite nicht ausgeführt werden. Es startet erst, wenn der Besucher auf Akzeptieren klickt oder die Kategorie Statistik erlaubt. Das geht von Hand im Theme, innerhalb von Google Tag Manager oder mit einem Consent-Plugin, das das Tag für dich zurückhält. In allen drei Fällen teilt Google Consent Mode v2 Google mit, was der Besucher gewählt hat.

Das Problem: Die meisten Websites glauben, dass sie das schon tun. Das Banner ist da, aber das Analytics-Snippet steht im Header und feuert beim ersten Seitenaufruf. Dieser Leitfaden zeigt, wie du das prüfst und wie du es behebst.

Prüfen, ob Analytics vor der Einwilligung lädt

1. Öffne deine Website in einem privaten Fenster.
2. Öffne die Entwicklertools (F12), wähle den Tab Network (Netzwerk) und lade neu.
3. Ohne das Banner anzurühren, gib collect in den Filter ein. Eine Anfrage an google-analytics.com/g/collect oder region1.google-analytics.com bedeutet, dass bereits ein Seitenaufruf gesendet wurde.
4. Gib jetzt gtag oder gtm ein. Wenn googletagmanager.com/gtag/js oder gtm.js erscheint, ist das Google-Tag geladen.
5. Such unter Application > Cookies nach _ga und _ga_XXXX.

Wenn du vor dem ersten Klick eines davon siehst, läuft Analytics ohne Einwilligung. In WordPress kommt das Snippet meist von Site Kit by Google, aus einer Theme-Option, aus einem Plugin für Header und Footer oder aus einer Zeile, die jemand in header.php eingefügt hat. Finde heraus, woher deines kommt, bevor du etwas änderst, damit du am Ende nicht zwei Tags hast.

Was Consent Mode v2 tut und was nicht

Über Consent Mode teilt deine Website den Google-Tags mit, was der Besucher gewählt hat. Beim Laden der Seite setzt du einen Standardzustand, meist alles abgelehnt, und aktualisierst ihn, sobald der Besucher antwortet. Googles Anleitung zum Consent Mode nennt die vier Signale, auf die es ankommt:

• analytics_storage: Analytics-Cookies.
• ad_storage: Werbe-Cookies.
• ad_user_data: das Senden von Nutzerdaten an Google für Werbezwecke.
• ad_personalization: personalisierte Werbung und Remarketing.

Die letzten beiden sind der „v2“-Teil. Google verlangt sie seit März 2024 für Traffic aus dem Europäischen Wirtschaftsraum: Ohne sie verliert Google Ads für diese Besucher Zielgruppen und Remarketing.

Consent Mode kennt zwei Arbeitsweisen, und der Unterschied ist für die DSGVO wichtig:

• Einfacher Modus (Basic): Das Google-Tag lädt gar nicht, bis der Besucher zustimmt. Vor der Einwilligung erreicht Google nichts.
• Erweiterter Modus (Advanced): Das Tag lädt sofort mit allen Signalen auf abgelehnt und sendet „cookieless pings“, mit denen Google die fehlenden Daten modelliert.

Der erweiterte Modus schickt schon vor jeder Entscheidung Anfragen an Google, mit der IP-Adresse des Besuchers. Mehrere europäische Behörden sehen darin eine Übermittlung, die ebenfalls eine Einwilligung braucht. Wenn du auf der sicheren Seite sein willst, nimm den einfachen Modus: Blockiere das Tag und sende die Consent-Mode-Signale, sobald es laden darf.

Drei Wege, Analytics in WordPress zu blockieren

1. Von Hand im Theme

Gib zuerst die Consent-Mode-Standardwerte aus, so weit oben wie möglich im <head>, und lade gtag.js erst, wenn dein Banner ein Ja meldet:

<script>
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}
gtag('consent', 'default', {
  analytics_storage: 'denied',
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  wait_for_update: 500
});
</script>

Wenn der Besucher zustimmt, ruf gtag('consent', 'update', {analytics_storage: 'granted'}) auf und füge das Skript gtag.js ein. Das funktioniert, aber Banner, Cookie und Protokoll schreibst und pflegst du selbst, und jeder neue Tracker bedeutet neuen Code.

2. In Google Tag Manager

Wenn alle deine Tags in einem GTM-Container liegen, kannst du dort die Consent-Mode-Standardwerte setzen und jedem Tag eine Einwilligungsbedingung geben. Dabei gibt es zwei Haken. Der Container selbst, gtm.js, lädt weiterhin vor der Einwilligung und kontaktiert damit Google. Und GTM steuert nur, was in ihm steckt: Ein Pixel, das ein Plugin einfügt, oder ein YouTube-Video in einer Seite liegen außerhalb seiner Reichweite.

3. Mit einem Consent-Plugin, das blockiert

Ein Plugin kann das Google-Tag in der Seite finden und abschalten, bis der Besucher zustimmt, ganz gleich, wer es eingefügt hat. Als einziger der drei Wege deckt das auch das Meta Pixel, eingebettete Videos, Karten und die Dienste ab, die du vergessen hast. Prüfe, ob das Plugin vor der Einwilligung blockiert, statt nur zu „informieren“: Der Test im privaten Fenster oben verrät es dir in einer Minute.

So macht es Cookie Consent

Cookie Consent geht den dritten Weg. Bevor die Seite deinen Server verlässt, findet das Plugin das Google-Tag (und rund fünfzig weitere Dienste) und schaltet es ab. Wenn der Besucher Statistik akzeptiert, schaltet es das Tag im Browser wieder ein, ohne die Seite neu zu laden.

• Die Standardwerte für Consent Mode v2 stehen ganz oben in der Seite, vor jedem Google-Tag, mit allen Signalen auf abgelehnt und einem kurzen wait_for_update, damit wiederkehrende Besucher, die schon zugestimmt haben, richtig gezählt werden.
• Statistik erlaubt analytics_storage; Marketing erlaubt ad_storage, ad_user_data und ad_personalization.
• Tag Manager ist standardmäßig bis zur Einwilligung blockiert. Wenn du die Einwilligung schon in deinem Container verwaltest, kannst du ihn laden lassen und dich auf die Signale verlassen.
• Global Privacy Control: Besucher, deren Browser dieses Signal sendet, werden so behandelt, als hätten sie Marketing abgelehnt.

All das ist in der kostenlosen Version enthalten. Die Anleitung Einstellungen erklärt die Google-Optionen, und Drittanbieter, Scan und eigene Regeln zeigt, wie du die Tracker aufspürst, von denen du nichts wusstest.

Nach der Umstellung: was sich an deinen Zahlen ändert

Rechne mit weniger Besuchen in Google Analytics. Jeder Besucher, der ablehnt oder ohne Antwort wieder geht, wird nicht mehr gezählt. Wie stark der Rückgang ausfällt, hängt sehr von der Zielgruppe und vom Aussehen des Banners ab. Vergleiche deshalb Trends über die Zeit statt der reinen Zahlen vorher und nachher. Deine Serverlogs und deine Verkäufe bleiben die eigentliche Referenz.

Wenn die Zahlen gar nicht sinken, teste noch einmal im privaten Fenster: Möglicherweise lädt noch etwas vor der Einwilligung.