— News

Cookie-Richtlinie: was die Banner kosten und was der Digital Omnibus ändert

Nach der eigenen Schätzung der EU-Kommission verbringen Menschen in der EU 334 Millionen Stunden im Jahr mit Cookie-Bannern. Worauf diese Zahl beruht, was die Leute tatsächlich klicken und wo die geplante Reform im November 2026 steht.

Von Level UI10 Min. Lesezeit · 13 Quellen

Die Cookie-Richtlinie der EU, zuletzt 2009 geändert, sagt: Eine Website darf nur dann etwas auf deinem Gerät speichern oder von dort auslesen, wenn du eingewilligt hast, es sei denn, es ist unbedingt erforderlich. Ihr sichtbares Ergebnis ist das Cookie-Banner, und die EU-Kommission beschreibt die Wirkung ihrer eigenen Regel inzwischen so: Nutzer klicken oft auf irgendeinen Button, nur um auf die besuchte Website zu kommen. Im November 2025 hat die Kommission vorgeschlagen, die Regel mit dem Digital Omnibus neu zu fassen, und im Oktober 2026 hat sich der Rat der EU auf eine eigene, andere Fassung geeinigt. Dieser Artikel stellt die Zahlen nebeneinander: was die Banner an Zeit kosten, nach der einzigen offiziellen Schätzung, die es gibt, was die Leute klicken und warum, was jede Fassung der neuen Regel ändern würde und was du als Website-Betreiber bis dahin tun solltest. Jede Zahl stammt aus der Quelle, die daneben steht, abgerufen am 3. November 2026.

Die Cookie-Regel heute und in den beiden Entwürfen

PunktHeuteKommission, Nov. 2025Rat, Okt. 2026
Wo die Regel stehtePrivacy-Richtlinie, Art. 5 Abs. 3DSGVO, neuer Art. 88aePrivacy-Richtlinie, Art. 5 Abs. 3 neu gefasst
Besucherstatistik ohne EinwilligungNeinAggregiert, durch die Website, für eigene ZweckeAnonym und aggregiert, auch durch Dritte im Auftrag der Website
Weitere neue AusnahmenKeineSicherheitSicherheit; Reichweitenmessung für Medien; Messung kontextbezogener Werbung
AblehnenNicht im Text geregeltEin KlickEin Klick
Erneut fragen nach einer AblehnungNicht im Text geregeltFrühestens nach 6 MonatenFrühestens nach 4 Monaten
Entscheidung im BrowserNeinWebsites nach 24 Monaten, Browser nach 48Gestrichen; Bericht zu Datenschutztechnik binnen 12 Monaten
Gilt abIn Kraft6 Monate nach InkrafttretenÜber nationales Recht, 24 Monate nach Annahme

Nach den Fragen und Antworten der Kommission vom 20. November 2025 und dem Verhandlungsmandat des Rates, Dokument 14756/26 vom 22. Oktober 2026, das jede Änderung am Kommissionstext kennzeichnet. Abgerufen am 3. November 2026. Keine der beiden Fassungen ist geltendes Recht, und das Europäische Parlament hat noch keinen Standpunkt.

Was Studien darüber fanden, was Leute klicken

QuelleSituationErgebnis
Utz u. a., 2019Deutscher Onlineshop, alle Häkchen vorab gesetztEtwa 30 % mobil und 10 % am Desktop akzeptieren alles
Utz u. a., 2019Dieselbe Website, Häkchen nicht gesetzt (Opt-in)Weniger als 0,1 % akzeptieren alles
Utz u. a., 2019Dieselbe Website, Zeit bis zur ersten ReaktionMedian 4 bis 8 Sekunden
Nouwens u. a., 2020Ausgelesene Consent-Pop-ups11,8 % erfüllen rechtliche Mindestanforderungen
Nouwens u. a., 2020Ablehnen-Button nicht mehr auf der ersten EbeneEinwilligung steigt um 22 bis 23 Punkte
IAB Europe, 2025, zitiert von der KommissionBranchenumfrage54 % akzeptieren alles, 26 % lehnen alles ab
forsa für die BfDI, Nov. 2025Umfrage unter Internetnutzern in Deutschland60 % lehnen alles ab, wenn es ein Klick ist

Umfragen geben wieder, was Menschen über sich sagen; die beiden Feldstudien zeichnen auf, was sie getan haben. Zahlen wie in der jeweiligen Quelle veröffentlicht.

Eine Datenschutzregel, aus der ein Klick wurde

Artikel 5 Absatz 3 der ePrivacy-Richtlinie verlangt eine Einwilligung, bevor eine Website Informationen auf dem Gerät eines Besuchers speichert oder von dort ausliest, es sei denn, das ist für einen Dienst, den der Besucher angefordert hat, unbedingt erforderlich. Die Regel stammt aus den frühen 2000er-Jahren und wurde zuletzt 2009 geändert. Die meisten Websites erfüllen sie mit einem Banner, und nach der Arbeitsannahme der Kommission zeigen 85 % der Websites, die jemand in der EU besucht, eines an.

Auch die Behörden, die die Regel durchsetzen, überzeugt sie nicht. In einer Evaluierung von 2022, die die Folgenabschätzung der Kommission zitiert, sagten nur 3 von 30 zuständigen Behörden, Artikel 5 Absatz 3 funktioniere „gut“; 13 sagten „mittelmäßig“ und 3 „schlecht“. Auch die Unternehmen zahlen: Dieselbe Folgenabschätzung setzt die durchschnittlichen Kosten eines Cookie-Banners mit 400 € pro Website und Jahr an, und weil etwa 41 % von 10 Millionen aktiven Websites in der EU eines zeigen, kommt sie auf 1,64 Milliarden Euro im Jahr.

Wie viel Zeit Cookie-Banner kosten

Die einzige offizielle Schätzung steht in der Folgenabschätzung, die die Kommission am 19. November 2025 mit ihrem Vorschlag veröffentlicht hat. Die Rechnung: 450,4 Millionen Menschen in der EU, von denen 75 % im Internet nach Waren und Dienstleistungen suchen; 100 besuchte Websites im Monat, 85 % davon mit Banner; 3,5 Sekunden pro Banner. Das ergibt rund 334 Millionen Stunden im Jahr. Zum durchschnittlichen Stundenlohn in der EU sind das etwa 11,2 Milliarden Euro, und weil die meisten Leute in ihrer Freizeit surfen, rechnet die Kommission das mit dem Wert, den Verkehrsplaner der Freizeit beimessen, auf 3,36 bis 5,6 Milliarden Euro herunter.

Gemessen hat die Gesamtzahl niemand; jede Zahl, die im Umlauf ist, ist eine Multiplikation von Annahmen. Die Besuche und der Banner-Anteil stammen aus einem Blogbeitrag von Legiscope aus dem Jahr 2024, den die Fußnote der Kommission mit seinem Titel zitiert: „Europeans Spend 575 Million Hours Clicking Cookie Banners Every Year“. Dieser Beitrag rechnete mit 5 Sekunden pro Banner, und Simple Analytics hat seine Zahl, neben anderen, weiterverbreitet. Die Seite von Legiscope unter derselben Adresse sagt inzwischen, dass sich ohne gemessene Daten dazu, wie oft und wie lange Menschen Bannern begegnen, keine verlässliche Gesamtzahl für die EU ableiten lässt. Einer Messung am nächsten kommt eine Feldstudie von 2019 auf einer einzigen deutschen Website: Dort dauerte es im Median 4 bis 8 Sekunden, bis ein Besucher auf das Banner reagierte.

Was die Leute tatsächlich klicken

Direkt gefragt, sagen die Leute, dass sie ablehnen. In einer forsa-Umfrage für die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, die BfDI, veröffentlicht am 4. November 2025, gaben 60 % der Internetnutzer an, Cookies pauschal abzulehnen, wenn das mit einem Klick geht. Die Branchenumfrage, die die Kommission zitiert, von IAB Europe aus dem Jahr 2025, fand das Gegenteil: 54 % akzeptieren alle Cookies und 26 % lehnen alle ab, nach den Worten der Kommission oft ohne eine informierte Entscheidung.

Wie viele Menschen zustimmen, hängt weniger von den Menschen ab als vom Banner. In der Feldstudie von Utz und Kollegen aus dem Jahr 2019, mit 82.890 Besuchern eines deutschen Onlineshops, brachte ein Banner mit vorab gesetzten Häkchen etwa 30 % der mobilen und 10 % der Desktop-Besucher dazu, allen Drittanbietern zuzustimmen. Bei derselben Auswahl ohne gesetzte Häkchen akzeptierten weniger als 0,1 % alles.

Das Banner ist eine Designentscheidung

Eine Studie von Nouwens und Kollegen aus dem Jahr 2020, vorgestellt auf der CHI-Konferenz, hat Consent-Pop-ups automatisch ausgelesen und festgestellt, dass nur 11,8 % die Mindestanforderungen erfüllten, die die Autoren aus dem europäischen Recht abgeleitet hatten. In einem Experiment stieg die Einwilligung um 22 bis 23 Prozentpunkte, wenn der Ablehnen-Button von der ersten Ebene verschwand, und sie sank um 8 bis 20 Punkte, wenn die erste Ebene detailliertere Auswahlmöglichkeiten bot.

Nebeneinandergestellt erklären diese Zahlen das Banner, das alle kennen: ein großer Akzeptieren-Button und das Ablehnen eine Ebene tiefer. Dieses Layout sammelt die meisten Einwilligungen ein, deshalb ist es das Lehrbuchbeispiel für ein Dark Pattern, und deshalb beginnen beide Fassungen der Reform mit einem Ablehnen-Button, der einen einzigen Klick braucht.

Was die Kommission im November 2025 vorgeschlagen hat

Am 19. November 2025 hat die Kommission den Digital Omnibus veröffentlicht, einen Vorschlag, mehrere digitale EU-Gesetze auf einmal zu vereinfachen, und daneben einen eigenen Digital Omnibus zur KI, den wir in unserem Zeitplan zum EU AI Act verfolgen. Für Cookies würde er die Regel aus der ePrivacy-Richtlinie herausnehmen und als neuen Artikel 88a in die DSGVO verschieben, mit DSGVO-Bußgeldern von bis zu 4 % des weltweiten Umsatzes. Die Einwilligung bliebe die Regel, mit einer kurzen Liste von Zwecken, die keine brauchen: die Übertragung einer Nachricht, ein vom Besucher angeforderter Dienst, Sicherheit und aggregierte Statistiken, die eine Website über ihr eigenes Publikum für eigene Zwecke erstellt.

Wo eine Einwilligung nötig ist, müsste das Ablehnen mit einem einzigen Klick gehen, und eine Ablehnung müsste mindestens sechs Monate gelten, bevor die Website erneut fragt. Ein neuer Artikel 88b würde Websites verpflichten, Entscheidungen zu akzeptieren, die automatisch und maschinenlesbar übermittelt werden, zum Beispiel aus den Browser-Einstellungen, und zwar 24 Monate nach Inkrafttreten; Browser von Unternehmen, die keine KMU sind, müssten diese Möglichkeit nach 48 Monaten anbieten. Mediendienste wären ausgenommen. Die Kommission erwartet Einsparungen von mehr als 800 Millionen Euro im Jahr für Unternehmen und rechnet vor, dass eine einmal im Browser getroffene Entscheidung rund 200 Millionen Nutzern 198 Millionen Stunden im Jahr ersparen würde.

Was der Rat im Oktober 2026 geändert hat

Am 21. Oktober 2026 haben sich die Botschafter der Mitgliedstaaten auf das Verhandlungsmandat des Rates geeinigt. Es lässt die Cookie-Regel in der ePrivacy-Richtlinie und fasst Artikel 5 Absatz 3 neu, statt ihn in die DSGVO zu verschieben. Die Ausnahmen werden zu einer abschließenden Liste, und zu einer längeren: Neben Übertragung, angeforderten Diensten und Sicherheit erlaubt sie anonyme Besucherstatistiken, die auch ein Dritter im Auftrag der Website erstellen darf, Reichweitenmessung für Medien nach dem Europäischen Medienfreiheitsgesetz und die Messung von Auslieferung und Leistung kontextbezogener Werbung, mit pseudonymisierten Daten und ohne Profilbildung. Ablehnen geht weiter mit einem Klick, und die Wartezeit vor einer erneuten Anfrage nach einer Ablehnung sinkt von sechs auf vier Monate.

Die einzige Einsparung, die die Kommission in Stunden beziffert hat, die einmal im Browser getroffene Entscheidung, ist genau die Maßnahme, die der Rat gestrichen hat. An ihre Stelle setzt der Rat einen Bericht der Kommission über datenschutzfreundliche Technologien binnen 12 Monaten nach der Annahme. Und weil die Regel in einer Richtlinie bleibt, hätte jedes Land 24 Monate nach der Annahme Zeit, sie in nationales Recht umzusetzen, die Details würden sich also weiter von Land zu Land unterscheiden.

Wo die Reform im November 2026 steht

Im Europäischen Parlament liegt das Dossier gemeinsam beim Industrieausschuss ITRE und beim Innenausschuss LIBE, mit Aura Salla und Marina Kaljurand als Berichterstatterinnen seit dem 25. Februar 2026. Am 3. November 2026 nennt das Legislative Observatory des Parlaments als Stand „Awaiting committee decision“, eine Abstimmung im Ausschuss oder im Plenum ist nicht verzeichnet. Verhandlungen zwischen Parlament und Rat können erst beginnen, wenn das Parlament einen Standpunkt hat, und sie haben nicht begonnen.

Nichts davon gilt also schon, und der Weg ist länger, als die Schlagzeilen vermuten lassen: ein Standpunkt des Parlaments, eine Einigung mit dem Rat, die förmliche Annahme und, in der Fassung des Rates, danach bis zu 24 Monate nationale Gesetzgebung. Bis dahin wird eine Website an der Regel gemessen, die heute gilt.

Deutschland hat die Browser-Lösung schon gebaut

Deutschland hat nicht auf Brüssel gewartet. Die Einwilligungsverwaltungsverordnung, kurz EinwV, ausgefertigt am 6. Februar 2025 und seit dem 1. April 2025 in Kraft, erlaubt der BfDI, Dienste anzuerkennen, die die Cookie-Entscheidungen einer Person zentral speichern, damit Websites sie auslesen können, statt erneut zu fragen. Den ersten hat die BfDI am 17. Oktober 2025 anerkannt, Consenter von der Law & Innovation Technology GmbH, und am 3. November 2026 ist er noch immer der einzige Dienst im Register.

An der Nachfrage scheitert es, auf dem Papier, nicht: In der forsa-Umfrage für die BfDI konnten sich zwei Drittel der Befragten vorstellen, einen solchen Cookie-Manager zu nutzen, und 83 % wünschen sich, dass ihre Einstellungen auf allen Websites gelten. § 18 der Verordnung macht die Einbindung eines anerkannten Dienstes für Websites aber freiwillig, eine einmal gespeicherte Entscheidung zählt also nur auf den Websites, die sich entscheiden, sie auszulesen.

Was du jetzt tun solltest und worauf du warten kannst

Ändere wegen des Omnibus noch nichts. Es gelten die Regeln, die in Kraft sind: Artikel 5 Absatz 3 der ePrivacy-Richtlinie in der Umsetzung des jeweiligen Landes, in Deutschland § 25 TDDDG, in Rumänien das Gesetz 506/2004, Schritt für Schritt erklärt in unserem Leitfaden zu Cookie-Bannern und Consent Mode v2. Ein Banner zu entfernen, weil ein Entwurf deine Statistik freistellen würde, oder nach einer Ablehnung nach einem Zeitplan erneut zu fragen, den niemand beschlossen hat, heißt, auf einen Text zu setzen, der sich noch ändern kann. In einem Punkt sind sich alle Fassungen einig, dem Ablehnen mit einem Klick, und das lohnt sich schon jetzt.

Eine Website, die nichts speichert, was eine Einwilligung braucht, braucht kein Banner, heute nicht und in keiner der vorliegenden Fassungen. Login-Sitzung, Warenkorb und Sprachwahl sind unbedingt erforderlich, und ein Banner auf einer Website, die sonst nichts nutzt, ist ein Klick, der niemanden schützt. Die meisten Banner gibt es wegen ein oder zwei Tools, meist Statistik oder Werbung, und eine Webanalyse, die nichts auf dem Gerät speichert, verglichen in unserem Überblick über Google-Analytics-Alternativen, erledigt die Frage, statt auf eine Ausnahme zu warten. Ob eine Website überhaupt ein Banner braucht, entscheidet sich daran, wie sie gebaut ist, und das ist unsere Arbeit in der Webentwicklung.

— FAQ

Häufig gestellte Fragen

War das hilfreich?
Diesen Artikel teilen
Wähle uns als bevorzugte Quelle
Folge dem RSS-Feed
Verwandte LeistungWebdesign, Webentwicklung & PlattformenPassendes PaketGoogle-Analytics-4-EinrichtungPassendes ProjektClickmedPassendes PaketTechnische Analyse

Alle Ressourcen →

Quellen und Methode

Alle Seiten abgerufen am 3. November 2026. Der Vergleich der Texte von Kommission und Rat stammt aus dem Mandat des Rates, das jede Änderung am Kommissionsvorschlag kennzeichnet. Die Zeitschätzung ist die der Kommission; eine eigene haben wir nicht aufgestellt, weil es keine gemessenen Daten gibt, aus denen man sie aufstellen könnte.

Du willst eine Website, die weniger Banner braucht?

Wir bauen Websites, die nur laden, was sie brauchen, sodass die Frage nach der Einwilligung kleiner wird oder ganz wegfällt, und richten ein Banner ein, das wirklich blockiert, was es verspricht, wo deine Tools noch eines brauchen.

Projekt startenWhatsApp