Cookieless-Tracking & Consent Mode V2 : Matomo, GA4 serverseitig, Open-Source-CMP

TL;DR : Sichern Sie 2025 Ihre Messungen mit einem Duo aus „granularer Zustimmung + cookieloser Architektur“. Aktualisieren Sie auf Consent Mode V2 (ad_user_data, ad_personalization), verbinden Sie Ihre CMP und stellen Sie GA4 auf einen serverseitigen EU-Container um. Wenn Sie Analytics ohne Banner benötigen, konfigurieren Sie Matomo im CNIL-ausgenommenen Modus oder im strengen No-Cookie-Modus – andernfalls holen Sie die Zustimmung ein.

Definition & Kontext 2025

Cookieless-Tracking = Leistung messen, indem die Abhängigkeit von Cookies, insbesondere Drittanbieter-Cookies, reduziert (oder eliminiert) wird und auf First-Party-Signale, proprietäre Endpunkte und datenschutzfreundliche Attributionsmodelle gesetzt wird. Consent Mode V2 ist die Google-API, die das Verhalten von Tags (Lesen/Schreiben, Pings, Modellierung) je nach Nutzerzustimmung im EWR anpasst.

Auf Browser-Seite folgt das Verschwinden der Drittanbieter-Cookies in Chrome einem angepassten Zeitplan, aber die Richtung ist klar: Das Ökosystem wandelt sich zu datenschutzfreundlicheren Mess- und Relevanz-APIs. Die Herausforderung für Marken: Datenkontinuität, Compliance, Schnelligkeit und Kontrolle.

Geschäftliche Herausforderungen & Compliance

• KPI-Kontinuität trotz Ablehnung der Zustimmung und Blockierung von Drittanbieter-Trackern.
• ePrivacy/DSGVO-Konformität (CNIL in Frankreich): vorherige Zustimmung für nicht essentielle Tracker, klare Information und Verwaltung von Datenübertragungen außerhalb der EU.
• Performance: weniger JS auf der Browser-Seite, verbesserte Time to Interactive, bessere Core Web Vitals.
• Souveränität & Auditierbarkeit: Vorrang für First-Party-Daten, auditierbare CMPs, EU-Endpunkte.

Consent Mode V2 : Was sich ändert (und wie man es implementiert)

Der Consent Mode wurde Ende 2023 aktualisiert und um zwei zusätzliche Signale erweitert. 2024 hat Google die Anforderung zur Übermittlung der Zustimmung für Nutzer im EWR sowohl für die Personalisierung als auch für bestimmte Messungen verschärft.

Signal	Zweck	Auswirkung bei Verweigerung	Implementierungshinweise
ad_storage	Werbespeicherung (Cookies)	Keine Ads-Cookies (Conversion/Remarketing)	Von der CMP verwaltet → GTM/gtag
analytics_storage	Analytische Speicherung	GA4 funktioniert ohne Cookies mit begrenzten Pings/Modellierung	Beeinflusst das Schreiben von _ga
ad_user_data (V2)	Erlaubnis, Nutzerdaten an Ads-Systeme zu senden	Verhindert das Senden bestimmter Daten an Werbeplattformen	Kritisch für Customer Match / Ads-Messungen
ad_personalization (V2)	Aktivierung von Werbepersonalisierungsfunktionen	Kein Remarketing/Personalisierung	Blockiert Werbezielgruppen/-segmente
functionality_storage	Essenzielle Präferenzen (z.B. Sprache)	Funktionseinschränkungen	Kann standardmäßig gewährt werden, wenn strikt notwendig
personalization_storage	Nicht-werbliche Personalisierung	Keine nicht-essenzielle UX-Personalisierung	Einwilligungspflichtig
security_storage	Betrugsprävention / Sicherheit	Risiko von Fehlalarmen bei Verweigerung	Kann unter strikt notwendig fallen

Offizielle Quellen: Consent Mode Guides und EWR-Anforderungen (Google), einschließlich der Hinzufügung der Signale ad_user_data und ad_personalization sowie Verifizierungsverfahren mit Tag Assistant. Siehe: Google Developers (Consent mode Übersicht & Einrichtung), Google Support (Updates & Durchsetzung), Tag Assistant Fehlerbehebung.

Consent Mode – Übersicht · Consent Mode einrichten (Web) · Updates für EWR-Traffic · Einwilligungseinstellungen prüfen & aktualisieren (GA4) · Fehlerbehebung mit Tag Assistant

Praktische Implementierung (Web)

1. Vor dem Laden der Tags: Definieren Sie den Standardstatus über gtag('consent','default', {...}) (in der Regel verweigert außer bei strikt notwendig).
2. Verknüpfen Sie die CMP: Ordnen Sie die Auswahlmöglichkeiten (Analytics, Ads, Personalisierung) den Consent Mode Zuständen zu, einschließlich ad_user_data und ad_personalization.
3. Überprüfen Sie mit Tag Assistant (Consent-Ereignisse, update-Übergänge) und testen Sie die Fälle „vollständige Verweigerung“, „nur Analytics“, „Ads + Personalisierung“.
4. Protokollieren (DPO/IT): Bewahren Sie Nachweise der CMP-Version, der Zuordnung und der Tests auf.

GA4 serverseitig: Architektur und Best Practices

Serverseitiges Tagging (GTM Server-Side) verlagert die Ausführung und Formatierung der Messanfragen in einen Server-Container (Cloud Run oder andere). Vorteile: Datenkontrolle, Reduzierung von JS, Resilienz gegen Blockierungen, First-Party-Endpunkt (collect.votredomaine.com via CNAME/Proxy).

Architektur-Checkliste (EU)

• Hosting : Server-Container in der EU-Region (z.B. GCP europe-west), eingeschränkter Zugriff, gesicherte Protokolle.
• Domain : First-Party-Subdomain (z.B. metrics.exemple.com) mit TLS.
• Consent Relay : Weiterleitung der Einwilligungszustände bis zum Server (Header/Parameter) und bedingte Weiterleitung an die Ziele.
• GA4 EU : Für das Measurement Protocol den regionalen Endpunkt https://region1.google-analytics.com/mp/collect verwenden.
• Minimierung : Entfernen unnötiger IP/UA, Verbergen freier Felder, Begrenzung der Granularität.
• Beobachtbarkeit : Vorschau aktivieren, Flüsse testen, Fehler und Latenz überwachen.

Nützliche Ressourcen : GTM Server-Side (Übersicht, Einführung, Grundlagen), Consent Mode serverseitig, GA4 Measurement Protocol & EU-Endpunkt.

Server-side GTM – Übersicht · Einführung · Grundlagen · Consent Mode serverseitig · GA4 Measurement Protocol

Matomo : Ausnahmemodus & No-Cookie

Die CNIL sieht eine Einwilligungsausnahme für bestimmte streng notwendige Audience-Messungen vor, unter Bedingungen (begrenzte Zwecke, Lebensdauer, kein Retargeting, keine Wiederverwendung durch Anbieter usw.). Matomo ermöglicht :

• einen Cookie-losen Modus (disableCookies) und verstärkte Anonymisierung;
• einen Ausnahmemodus (CNIL-Konfigurationsleitfaden);
• einen Einwilligungsmodus, wenn Sie die Zwecke erweitern (z.B. Anreicherungen, Segmente).

CNIL- & Matomo-Referenzen : CNIL-Seiten „Audience-Messung“ und Ausnahme, Hinweise zu Transfers und Proxy-Nutzung, Matomo-Leitfäden (Consent/No-Cookie).

CNIL – Lösungen zur Messung der Reichweite · CNIL – Messung & Übertragungen · Matomo – Tracking & Einwilligung · Matomo – Cookies deaktivieren

Open-Source CMP : Klaro!, Orejime, CookieConsent

Eine CMP muss zugänglich, prüfbar und interoperabel sein. Open-Source-Optionen bieten Transparenz und Selbsthosting:

CMP	Stärken	Integration Consent Mode	Hinweise
Klaro!	Open-Source, JSON-Konfiguration, Gruppen nach Zweck, mehrsprachig	Integration über GTM (Consent Template) und Hooks möglich	Freier Client; optionale Backend-Dienste
Orejime	Leichtgewichtig, auf Zugänglichkeit ausgelegt, einfach zu stylen	Benutzerdefiniertes Mapping zu gtag/GTM	Aktives Community-Projekt
CookieConsent (Osano)	MIT-Lizenz, WP-Plugin, breite Akzeptanz	Integration mit benutzerdefinierten Events möglich	Open-Source-Version ≠ kommerzielle Plattform

Für weiterführende Informationen: Konsultieren Sie das TCF v2.2 (IAB Europe), wenn Sie TCF-Werbepartner betreiben.

IAB Europe – TCF · TCF v2.2 – Einführung

Bereitstellungs-Playbooks

Playbook 1 — „Essentielle Messung“ (Matomo ausgenommen)

1. Kartografieren Sie die „strikt notwendigen“ Zwecke gemäß CNIL (Besucherzahlen, Service-Performance).
2. Konfigurieren Sie Matomo im ausgenommenen Modus (IP-Anonymisierung, kein Retargeting, verkürzte Dauer) und/oder no-cookie.
3. Dokumentieren Sie (Register, DPA, Richtlinie) und vermeiden Sie jegliche Übertragung außerhalb der EU (oder mildern Sie diese durch konforme Proxy-Lösungen).
4. Informieren Sie den Nutzer (klare Cookie-Richtlinie) und bieten Sie eine zusätzliche Opt-out-Möglichkeit an.

Playbook 2 — „Mix GA4 + Ads“ (Consent Mode V2 + serverseitig)

1. CMP: Definieren Sie genaue Kategorien und mappen Sie → ad_storage, analytics_storage, ad_user_data, ad_personalization.
2. GTM Web: Setzen Sie default auf denied (außer essenziell), dann update nach Nutzeraktion. Testen Sie mit Tag Assistant.
3. GTM serverseitig : 1P-Subdomain, EU-Region, Consent-Relay, Filterung sensibler Parameter.
4. GA4 : Measurement Protocol über region1.google-analytics.com/mp/collect, Regeln für Datenfilter und minimale Aufbewahrung.
5. Audit : serverseitige Logs, Testplan (vollständige Ablehnung, teilweise Zustimmung, Widerruf), Alerts.

Playbook 3 — „Produktteams / Multi-Sites“

• GTM-Vorlagen (Templates) zur Standardisierung der Consent-Checks und zur Begrenzung des Codes auf der Website.
• Event-Bibliothek (Benennung, Pflichtparameter), gemeinsam genutzt zwischen Sites/Apps.
• Feature Flags, um neue Partner hinter der entsprechenden Zustimmung zu aktivieren.
• Observability: Dashboards zum Consent-Status (Raten pro Land), GA4-Modellierungsrate, serverseitige Gesundheit.

Bereinigung, Tag-Governance & Datenqualität

Ein guter Übergang zum cookieless geht mit einem großen Aufräumen einher :

• Tag-Inventar: Listen Sie alles auf, was Daten zieht (GTM/Gtag, Pixel, SDK), löschen Sie die „Zombie“-Historie.
• Rationalisieren: nur ein Container pro Oberfläche, sparsame Auslöse-Regeln, kein Vendor im „Fire and Forget“-Modus.
• Standardmäßig blockieren Sie alle Ziele, die den Consent-Status nicht respektieren.
• Qualität: Validieren Sie die Events (Schema, Kardinalität), messen Sie die Drift zwischen consented und denied.
• Sicherheit: Segmentieren Sie Zugriffe, vermeiden Sie Geheimnisse im Frontend, verschlüsseln Sie während der Übertragung und im Ruhezustand.

Trends 2025–2026

• Drittanbieter-Cookies: schrittweiser Ausstieg in Chrome (Timeline Privacy Sandbox): Bereiten Sie Experimentier- und Messpläne mit und ohne 3P-Cookies vor.
• IP-Schutz & neue Schutzmaßnahmen in Browsern: Erwarten Sie weniger passive Signale.
• Standardmäßig serverseitig für stark frequentierte Websites: Performance, Stabilität, Kontrolle.
• Verstärkte CNIL-Governance: Compliance und Kontrolle von Transfers, Protokollierung, Sicherheit.

FAQ

Ist Consent Mode V2 in Europa „verpflichtend“?

Wenn Sie Google-Tags/SDKs für Werbung und Messung bei Nutzern im EWR verwenden, müssen Sie die Zustimmung einholen und die Signale über den Consent Mode übermitteln. Ohne dies können Werbe- und Messfunktionen gemäß den Google-Richtlinien deaktiviert oder nicht funktionsfähig sein.

Reicht das cookieless GA4 aus, um die Daten wiederherzustellen?

Nein. GA4 verwendet Modellierung, wenn Cookies nicht verfügbar sind. Das ist nützlich für Trends, nicht für eine namentliche Verfolgung. Kombinieren Sie serverseitige, First-Party-Daten und explizite Zustimmung, wenn nötig.

Welche Open-Source-CMP sollte man wählen?

Klaro! wenn Sie einen gut dokumentierten freien Client wollen, Orejime wenn Sie ein leicht zugängliches Bundle suchen, CookieConsent wenn Sie Einfachheit und das Ökosystem (einschließlich eines WordPress-Plugins) bevorzugen. Prüfen Sie die TCF-Kompatibilität, falls benötigt.

Wie vermeidet man Datenübertragungen außerhalb der EU mit GA4?

Verwenden Sie den EU-Endpunkt des Measurement Protocol, einen GTM-Server in der EU-Region, minimieren/verbergen Sie die Daten und dokumentieren Sie die Schutzmaßnahmen. Der EU-Endpunkt befreit nicht von allen Übertragungspflichten, reduziert aber technische Risiken.

Matomo „befreit“ vs. „Zustimmung“: Was wählen?

Wenn Ihr Bedarf auf die wesentliche Besucherzahl beschränkt ist, versuchen Sie die Befreiung (strikt notwendig). Sobald Sie Marketingzwecke, Retargeting oder erweiterte Korrelationen hinzufügen, wechseln Sie in einen Modus mit klarer Zustimmung.

Schlüsselwörter & Kooccurrenzen

Consent Mode V2, cookielose Analytik, GA4 serverseitig, Matomo CNIL-befreit, Open-Source-CMP, TCF v2.2, EU-Region1-Endpunkt, Proxyfikation, Privacy by Design

Nützliche Ressourcen & Quellen

• Google Developers – Consent Mode (Überblick)
• Google Developers – Consent Mode einrichten
• Google Support – Updates zum Consent Mode für EWR
• Google Support – Zustimmung prüfen & aktualisieren (GA4)
• GA4 Measurement Protocol Referenz (EU-Endpunkt)
• GTM Server-Side – Überblick
• CNIL – Messwerkzeuge für die Besucherzahl (Befreiung)
• CNIL – Besucherzählung & Datenübertragungen
• Matomo – Tracking & Zustimmung
• Matomo – Cookie-freier Modus
• IAB Europe – TCF
• Privacy Sandbox – Update zu Drittanbieter-Cookies

---

Fazit: Die richtige Strategie für 2025 ist weder „alles Zustimmung“ noch „alles Modell“, sondern ein Orchester: Consent Mode V2 + zuverlässige CMP, GA4 serverseitig in der EU für Leistung und Kontrolle, Matomo im ausgenommenen oder No-Cookie-Modus für die wesentliche Messung, alles dokumentiert und auditiert. Sie erhalten nachhaltigere Daten, weniger regulatorische Risiken und bessere Ladezeiten.

Benötigen Sie ein cookieloses Messdesign für Ihren Stack? Lassen Sie uns über Architektur, Tests und schrittweise Migration sprechen.