Dark Patterns: zwölf, die dir jeden Tag begegnen, und was das EU-Recht heute dazu sagt.

Den meisten bist du diese Woche schon begegnet. Der Ablehnen-Link, auf dem „Nein danke, ich zahle gern den vollen Preis“ steht. Der Countdown, der von vorn beginnt, wenn du die Seite neu lädst. Das Abo, das mit einem Klick begann und nur mit einem Anruf endete. Das Cookie-Banner mit einem leuchtenden „Alle akzeptieren“ und keinem sichtbaren Weg, Nein zu sagen. Das sind Dark Patterns: manipulatives Interface-Design, das einem Unternehmen ein Ja verschafft, das der Kunde so nicht ganz geben wollte. Dieser Leitfaden benennt zwölf davon, mit Beispielen, die du wiedererkennen wirst, und behandelt dann den Teil, den die meisten Listen auslassen: mit welchen EU-Regeln jedes kollidiert, was es die erwischten Unternehmen gekostet hat und was du stattdessen bauen kannst, wenn du Kunden willst, die bleiben.

Dark-Patterns-Beispiele und die EU-Regeln, mit denen sie kollidieren

Eine Übersicht, wo jedes Muster mit EU-Recht kollidiert, keine Rechtsberatung: Welche Regel greift, hängt vom Sachverhalt, vom Unternehmen und vom Mitgliedstaat ab. UGP-Richtlinie = Richtlinie über unlautere Geschäftspraktiken, VRRL = Verbraucherrechterichtlinie, DSA = Gesetz über digitale Dienste (Digital Services Act).

Was sind Dark Patterns?

Dark Patterns sind Designentscheidungen, die einer Website auf Kosten der Person nützen, die sie benutzt, indem sie diese zu einer Entscheidung lenken, drängen oder täuschen, die sie sonst nicht getroffen hätte. Die Forscher hinter der größten Studie dazu beschreiben sie als Interface-Entscheidungen, die Nutzer zu „unbeabsichtigten und potenziell schädlichen Entscheidungen“ zwingen, lenken oder verleiten. Die Definition ist wichtig, weil sie vieles ausschließt. Ein großer, klarer „Jetzt kaufen“-Button ist kein Dark Pattern. Ein großer „Jetzt kaufen“-Button neben einem grauen, unbeschrifteten Ausweg kann einer sein.

Geprägt hat den Begriff 2010 Harry Brignull, ein UX-Designer, der eine Website startete, um täuschende Interfaces zu benennen und an den Pranger zu stellen. Diese Website, früher darkpatterns.org, heißt heute deceptive.design und ist zum Begriff „Deceptive Patterns“ übergegangen. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien denselben Wechsel vollzogen. Du wirst beiden Begriffen begegnen; sie bedeuten dasselbe, und „Dark Patterns“ ist weiterhin der, den Behörden, Journalisten und die meisten Designer verwenden.

Brignulls ursprüngliche Namen haben sich gehalten, weil sie das Erlebnis beschreiben statt der Technik: das Roach Motel („Kakerlakenfalle“, auf Deutsch meist schlicht Abofalle), in das man leicht hinein- und schwer wieder herauskommt; Confirmshaming; Sneak into Basket, der heimlich gefüllte Warenkorb; Forced Continuity, das stillschweigend weiterlaufende Abo. Sein aktueller Katalog listet achtzehn Typen. Die zwölf unten sind die, denen du als Kunde am ehesten begegnest und um deren Einbau du als Unternehmen am ehesten gebeten wirst.

Eine Unterscheidung zieht sich durch alles, was folgt. Dark Patterns sind nicht dasselbe wie Überzeugungsarbeit. Eine echte Frist, ein echter Hinweis auf geringen Bestand und eine gut gestaltete Voreinstellung sind alle legitim. Das Muster beginnt dort, wo das Interface etwas Falsches sagt oder die ehrliche Wahl schwerer macht, als sie sein müsste.

Wie verbreitet sind Dark Patterns?

Sehr. 2019 durchsuchte ein Team unter Leitung von Princeton rund 53.000 Produktseiten auf rund 11.000 Shopping-Websites und fand 1.818 Fälle von Dark Patterns, in 15 Typen und 7 Kategorien. Es fand 183 Websites mit Mustern, die schlicht täuschend waren, und 22 Drittanbieter, die Dark Patterns als fertiges Produkt verkauften — Plug-ins, die jedem Shop einen tickenden Timer oder eine „Geringer Bestand“-Meldung hinzufügen.

Europas eigene Zahlen sind schlechter. In einer Studie für die Europäische Kommission von 2022 fanden Testkäufer auf 73 der 75 beliebtesten Websites und Apps, die Verbraucher in der EU nutzen, Praktiken, die sie als Dark Patterns wahrnahmen: 97 %. Am häufigsten waren versteckte Informationen und falsche Hierarchie, Vorauswahl, Nagging, erschwerte Kündigung und erzwungene Registrierung. Die Studie betont, dass dies beschreibt, was die Käufer erlebt haben, und keine rechtliche Feststellung gegen einen Händler ist.

Dann prüften die Behörden selbst. Im Januar 2023 veröffentlichten die Kommission und Verbraucherschutzbehörden aus 23 Mitgliedstaaten, Norwegen und Island eine Überprüfung von 399 Onlineshops. 148 davon, fast 40 %, nutzten mindestens eins der drei geprüften Dark Patterns: 42 hatten falsche Countdown-Timer, 54 lenkten Käufer per Design oder Formulierung zu Abos oder teureren Optionen, und 70 versteckten wichtige Informationen wie die Versandkosten. 23 davon versteckten Informationen gezielt, um Leute in ein Abo zu drängen.

Druck: künstliche Dringlichkeit, künstliche Verknappung und Confirmshaming

Künstliche Dringlichkeit ist der Countdown, der auf nichts herunterzählt. Die Princeton-Studie erfasste jeden Countdown-Timer, den sie fand, und besuchte die Websites fünf Tage lang erneut. Von 393 Timern waren 157 auf 140 Websites täuschend: Sie starteten entweder neu, wenn sie null erreichten, oder sie liefen ab, und das „Nur noch kurz“-Angebot lief trotzdem weiter. Das ist das verlässliche Erkennungszeichen. Lad die Seite neu, komm morgen wieder oder öffne sie in einem privaten Fenster; eine echte Frist verschiebt sich nicht.

Künstliche Verknappung ist derselbe Trick, angewandt auf den Bestand. „Nur noch 2 da“, „12 Personen sehen sich das gerade an“, „verkauft sich schnell“. Dieselbe Studie fand 17 Shops mit erfundenen Bestandszahlen: 16 zählten die Zahl nach festem Zeitplan herunter, einer erzeugte sie bei jedem Seitenaufruf zufällig, und 8 davon nutzten dafür Plug-ins von der Stange. Manche Shops zeigten fast bei jedem Produkt eine „Geringer Bestand“-Meldung. Das ist gut zu wissen, wenn du selbst einen kleinen Shop betreibst, denn das Plug-in, das „Schnell, nur noch 3 da!“ einblendet, fragt selten, ob die Zahl stimmt.

Confirmshaming, das Beschämen beim Ablehnen, verlagert den Druck von der Uhr aufs Gewissen. Die Wahl, die du nicht treffen sollst, ist so formuliert, dass sie sich dumm oder kleinlich anfühlt: „Nein danke, ich hasse es, Geld zu sparen“, „Nein, ich will meine Bestellung nicht schützen“. Die Princeton-Auswertung zählte 169 Fälle, die meisten in Pop-ups, die einen Rabatt gegen eine E-Mail-Adresse tauschten. Der Vergleich der FTC mit Amazon von 2025 verbietet genau so einen Button: Prime abzulehnen darf nicht mehr bedeuten, auf „Nein, ich möchte keinen kostenlosen Versand“ zu klicken.

Keins der drei zielt auf einen sorgfältigen Käufer mit Zeit zum Nachdenken. Sie zielen auf den Moment des Zögerns, und genau in diesem Moment sollte ein Unternehmen Fragen beantworten statt Druck aufzubauen.

Unterschieben: Vorauswahl, untergeschobene Artikel und Drip Pricing

Vorausgewählte Kästchen sind das leiseste Dark Pattern und eins der wirksamsten, weil Nichtstun die einfachste Entscheidung überhaupt ist. Eine schon angekreuzte Reiseversicherung, eine Spende, die hinzugefügt wird, „sofern du nicht widersprichst“, ein bereits angehaktes Newsletter-Kästchen unter dem E-Mail-Feld. Die Studie der Kommission von 2022 fand Vorauswahl auf der zweitgrößten Zahl der untersuchten Websites, oft in Datenschutz-, Werbe- und Benachrichtigungseinstellungen, von denen die Leute nicht wussten, dass sie schon eingeschaltet waren.

Sneak into Basket geht einen Schritt weiter und legt das Produkt gleich selbst in den Warenkorb. Das Princeton-Team fand einen Blumenladen, der eine Grußkarte in den Warenkorb legte, nachdem der Käufer ausdrücklich keine wollte, und einen Elektronikshop, der zu einem Laptop eine Versicherung hinzufügte. Manche Shops nutzten dafür vorausgewählte Kästchen; andere legten den Artikel einfach in den Warenkorb und warteten ab, ob es jemand merkt.

Drip Pricing, also versteckte Kosten, ist der niedrige Preis, der auf dem Weg zur Kasse wächst: eine „Servicegebühr“, eine „Bearbeitungspauschale“, Versandkosten, die erst nach dem Adressschritt auftauchen. Es funktioniert über versunkene Kosten; im letzten Schritt hat der Käufer so viel Aufwand investiert, dass ein bisschen mehr zu zahlen leichter scheint als neu anzufangen. Es ist außerdem der größte einzelne Grund, warum Leute einen Checkout abbrechen, weshalb wir die Mechanik, und die Gesamtpreisregeln dahinter, in warum Käufer den Checkout abbrechen behandelt haben.

Fallen: das Roach Motel und Forced Continuity

Das Roach Motel, das Brignulls Website inzwischen „Hard to Cancel“ (schwer kündbar) nennt, ist das Abo, das sich leicht starten und schwer beenden lässt. Die Anmeldung ist ein Tippen. Kündigen heißt, eine Seite zu finden, die im Kontomenü nicht verlinkt ist, drei Halteangebote zu beantworten oder eine Nummer anzurufen, die werktags erreichbar ist. Die Princeton-Studie fand es auf 31 Shopping-Websites; eine verriet nur in einem AGB-PDF, dass Kündigen einen Anruf beim Kundenservice bedeutet.

Forced Continuity ist sein natürlicher Partner: die Gratis-Testphase, die ohne klaren Hinweis in ein Bezahl-Abo übergeht, oder die „einmalige“ Zahlung, die sich als jährlich verlängernd herausstellt. Dieselben Forscher fanden einen Weinhändler, dessen 89-US-Dollar-Service wie eine Einmalzahlung aussah und sich jährlich verlängerte. Für sich genommen ist eine Testphase ehrlich. Das Muster liegt darin, bei der Anmeldung nicht klar zu sagen, was passiert, wenn sie endet, und wie man sie stoppt.

Dieses Paar haben die Behörden am härtesten verfolgt, weil sich der Schaden leicht beziffern lässt: Es ist das Geld, das jeden Monat von Menschen abgebucht wird, die eigentlich gehen wollten. Von hier stammt auch der größte Vergleich in diesem Artikel, wie der Abschnitt über die Kosten unten erklärt.

Störung: Trickfragen, Nagging und getarnte Werbung

Trickfragen gewinnen durch Verwirrung statt durch Druck. Das übliche Mittel ist eine doppelte Verneinung oder ein Kästchen, das du ankreuzen musst, um abzulehnen, während jedes andere Kästchen auf der Seite Zustimmung bedeutet. Die Princeton-Studie zitiert Formulare wie „Entferne das Häkchen, wenn du lieber keine E-Mail-Updates erhalten möchtest“. Schnell gelesen, so wie jeder Formulare liest, zeigen die ehrliche Antwort und der Zustand des Kästchens in entgegengesetzte Richtungen.

Nagging, also ständiges Nachfragen, ist die Bitte, die kein Nein akzeptiert: das Pop-up, das dich bei jedem Öffnen der App bittet, Benachrichtigungen einzuschalten, das „Bist du sicher?“, das auf der nächsten Seite wiederkommt, das Newsletter-Overlay, das zurückkehrt, nachdem du es geschlossen hast. Jede Unterbrechung ist klein, und genau darum geht es. Das Muster setzt darauf, dass Menschen irgendwann Ja sagen, nur damit es aufhört.

Getarnte Werbung ist Werbung, die wie etwas anderes aussehen soll. Gesponserte Inhalte, geschrieben wie ein unabhängiger Testbericht, eine „Top Ten“, deren Rangfolge bezahlt ist, ein Download-Button, der in Wahrheit ein Werbebanner über dem echten ist. Das EU-Recht hat die redaktionelle Variante seit 2005 auf der schwarzen Liste: Für redaktionelle Inhalte zu bezahlen, ohne das für den Leser klar erkennbar zu machen, steht auf der Liste der Praktiken, die unter allen Umständen unlauter sind.

Das Cookie-Banner, bei dem „Ablehnen“ versteckt ist

Das meistgesehene Dark Pattern Europas ist wahrscheinlich das Cookie-Banner: „Alle akzeptieren“ als leuchtender Button auf dem ersten Screen, und das Ablehnen versteckt hinter „Optionen verwalten“, einer Liste von Schaltern und einem „Meine Auswahl bestätigen“ ganz unten. Die Asymmetrie ist das Muster. Akzeptieren kann jeder mit einem Klick; ablehnen schaffen nur die Entschlossenen.

Die französische Datenschutzbehörde CNIL hat dieser Asymmetrie einen Preis gegeben. Mit Entscheidungen vom 31. Dezember 2021 verhängte sie gegen Google 150 Millionen Euro und gegen Facebook 60 Millionen Euro Bußgeld, weil es so schwer war, Cookies abzulehnen. Bei Google reichte auf google.fr ein einziger Klick auf „J’accepte“, um Cookies zu akzeptieren; das Ablehnen erforderte mindestens fünf Aktionen, über einen Anpassungsbildschirm und einen Bestätigungsschritt. Die Begründung der CNIL war deutlich: Das Ablehnen komplizierter zu machen als das Akzeptieren laufe in Wirklichkeit darauf hinaus, Nutzer vom Ablehnen abzuhalten.

Die Lösung ist kein Designtrend; sie ist ein Ablehnen-Button, der genauso sichtbar ist wie der Akzeptieren-Button, auf demselben Screen. Ein Ablehnen-Link in blassgrauer Schrift auf Weiß fällt wahrscheinlich auch bei den Kontrastanforderungen durch, die unser Leitfaden zum Barrierefreiheitsrecht nach dem European Accessibility Act behandelt, und kann so zwei Regelwerke auf einmal verletzen. Wie man ein Consent-Tool konfiguriert, ist eine eigene Aufgabe; das Prinzip ist das, das die CNIL formuliert hat.

Warum Dark Patterns funktionieren

Weil sie funktionieren, zumindest kurzfristig, und so zu tun, als wäre es anders, ist der Grund, warum so viele Unternehmen sie weiter einsetzen. Die klarsten Belege stammen von den Rechtswissenschaftlern Jamie Luguri und Lior Strahilevitz, die große Experimente mit repräsentativen Stichproben von US-Amerikanern durchführten und 2021 veröffentlichten. Den Teilnehmern wurde ein Paket aus Datenschutz und Bonitätsüberwachung angeboten, das nach einer Gratisphase 8,99 US-Dollar im Monat kosten würde.

Milde Dark Patterns haben den Anteil der Menschen, die sich anmeldeten, mehr als verdoppelt und keine messbare Gegenreaktion ausgelöst. Im ersten Experiment mit 1.963 Teilnehmern nahmen 11,3 % der Kontrollgruppe das Paket an. Mit milden Dark Patterns stieg der Wert auf 25,8 %, mit aggressiven auf 41,9 %. Die aggressiven Varianten verärgerten die Leute tatsächlich, und mehr von ihnen brachen ab. Die milden nicht: Die Menschen in dieser Gruppe berichteten von fast derselben Stimmung wie die Kontrollgruppe. Außerdem stellten die Autoren fest: Je geringer die Bildung der Teilnehmer, desto eher nahmen sie an.

Das Experiment der Kommission mit 7.430 Teilnehmern in sechs Mitgliedstaaten weist in dieselbe Richtung: Versteckte Informationen, emotionaler Druck und personalisierter Druck drängten Menschen zu Entscheidungen, die ihren eigenen erklärten Präferenzen widersprachen. Es fand zwei weitere Dinge, die man wissen sollte. Transparenzbasierte Abhilfen, etwa den Leuten einfach mehr zu erklären, machten den Effekt kaum rückgängig. Und sobald Menschen ein Dark Pattern erkannten, bewerteten sie es negativ. Dieser zweite Befund ist das wirtschaftliche Argument gegen sie, und der letzte Abschnitt dieses Leitfadens kommt darauf zurück.

Dark Patterns und EU-Recht: die Verbraucherregeln, die schon gelten

Es gibt kein einzelnes EU-„Dark-Patterns-Gesetz“, und es braucht auch keins, damit die meisten dieser Muster rechtswidrig sind. Das Arbeitspferd ist die Richtlinie über unlautere Geschäftspraktiken (UGP-Richtlinie) von 2005. Sie verbietet unlautere Geschäftspraktiken allgemein, behandelt eine Praxis als irreführend, wenn sie den Durchschnittsverbraucher „einschließlich sämtlicher Umstände ihrer Präsentation“ täuscht, selbst wenn jedes Wort sachlich richtig ist, und wertet das Verschweigen oder Hinauszögern wesentlicher Informationen als irreführende Unterlassung. Bei einer Aufforderung zum Kauf gehört zu diesen Informationen der Preis einschließlich Steuern und etwaiger Lieferkosten.

Die Richtlinie enthält in ihrem Anhang I außerdem eine schwarze Liste: Praktiken, die „unter allen Umständen“ als unlauter gelten, ohne dass ein Schaden nachgewiesen werden muss. Zwei davon lesen sich wie Beschreibungen von Dark Patterns. Nummer 7 verbietet die falsche Behauptung, ein Produkt oder ein Angebot sei nur für sehr begrenzte Zeit verfügbar, um eine schnelle Entscheidung herbeizuführen; das ist der falsche Countdown. Nummer 11 verbietet bezahlte redaktionelle Inhalte, die nicht klar als solche gekennzeichnet sind; das ist die getarnte Werbung. Falsche Bestandsangaben fallen unter das allgemeine Verbot, Verbraucher über die Verfügbarkeit eines Produkts zu täuschen.

Die Verbraucherrechterichtlinie (VRRL) von 2011 regelt vorausgewählte Kästchen direkt. Ein Händler muss die ausdrückliche Zustimmung des Verbrauchers zu jeder Zahlung einholen, die über den Hauptpreis hinausgeht, und wurde diese Zustimmung aus einer Voreinstellung abgeleitet, die der Verbraucher abwählen musste, hat er Anspruch auf Erstattung. Ein vorab angekreuztes Versicherungskästchen oder ein in den Warenkorb geschmuggeltes Extra riskiert nicht nur ein Bußgeld; es gibt jedem Kunden einen Erstattungsanspruch in die Hand.

Seit der „Omnibus“-Reform von 2019 haben die Sanktionen Biss. In grenzüberschreitenden Fällen, die zwischen nationalen Behörden koordiniert werden, müssen die Mitgliedstaaten Bußgelder von mindestens 4 % des Jahresumsatzes des Händlers in den betroffenen Ländern verhängen können, oder mindestens 2 Millionen Euro, wenn keine Umsatzzahlen vorliegen. Verbraucher, die durch eine unlautere Praxis geschädigt wurden, müssen außerdem Zugang zu Rechtsbehelfen haben, darunter Schadensersatz, Preisminderung oder Vertragsbeendigung.

Einwilligung: was DSGVO und EDSA sagen

Wo ein Dark Pattern personenbezogene Daten oder eine Einwilligung einsammelt, gilt zusätzlich die DSGVO. Ihre Definition der Einwilligung in Art. 4 Nr. 11 verlangt eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“ der Person, in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. Erwägungsgrund 32 sagt ausdrücklich, was das ausschließt: „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen.“ Er sagt auch, dass eine Aufforderung zur Einwilligung „ohne unnötige Unterbrechung des Dienstes“ erfolgen muss, was Nagging ziemlich gut beschreibt.

Art. 7 ergänzt zwei Regeln, die gegen das Roach Motel und die Trickfrage gerichtet sind. Ein Ersuchen um Einwilligung, das mit anderen Sachverhalten verbunden ist, muss klar davon zu unterscheiden sein, „in einer klaren und einfachen Sprache“. Und der Widerruf der Einwilligung muss „so einfach wie“ ihre Erteilung sein. Ein Newsletter, den du mit einem Häkchen abonniert hast und nur per E-Mail an den Support wieder loswirst, fällt durch diesen Test.

Der Europäische Datenschutzausschuss hat daraus einen Gestaltungsleitfaden gemacht. Seine Leitlinien 03/2022, im Februar 2023 in endgültiger Fassung angenommen, sind für Social-Media-Plattformen geschrieben, aber für jeden lesenswert, der ein Formular gestaltet. Sie ordnen irreführende Gestaltungsmuster in sechs Familien: Überfrachtung, Überspringen, Aufwühlen, Behindern, Unbeständig und „Im Dunkeln gelassen“. Aufwühlen umfasst zum Beispiel das Ansprechen von Emotionen und visuelle Anreize; Behindern umfasst Sackgassen und Wege, die länger als erforderlich sind.

Art. 25 des DSA, und wen er wirklich betrifft

Das Gesetz über digitale Dienste (DSA) ist das erste EU-Gesetz, das das Problem mit eigenen Worten benennt. Art. 25 bestimmt: Anbieter von Online-Plattformen „dürfen ihre Online-Schnittstellen nicht so konzipieren, organisieren oder betreiben, dass Nutzer getäuscht, manipuliert“ oder anderweitig in ihrer Fähigkeit, freie und informierte Entscheidungen zu treffen, „maßgeblich beeinträchtigt oder behindert werden“. Er erlaubt der Kommission, Leitlinien zu drei Praktiken im Besonderen herauszugeben: bestimmte Auswahlmöglichkeiten stärker hervorzuheben, wiederholt zu einer Auswahl aufzufordern, die schon getroffen wurde, und das Beenden eines Dienstes schwieriger zu machen als die Anmeldung. Erwägungsgrund 67 ergänzt Beispiele, darunter Auswahlmöglichkeiten nicht neutral darzustellen und Menschen bei Transaktionen zu Entscheidungen zu drängen.

Für die meisten kleinen Unternehmen ist Art. 25 nicht die Regel, die gilt — es sind die älteren Verbraucher- und Datenschutzgesetze. Art. 25 erfasst Online-Plattformen — Dienste wie Marktplätze und soziale Netzwerke, die Inhalte für ihre Nutzer speichern und öffentlich verbreiten —, nicht eine normale Unternehmenswebsite oder einen Shop, der eigene Produkte verkauft. Er steht in einem Abschnitt des DSA, von dem Kleinst- und Kleinunternehmen ausgenommen sind, und gilt ausdrücklich nicht für Praktiken, die schon unter die UGP-Richtlinie oder die DSGVO fallen. Er schließt eine Lücke bei Plattformen; er ersetzt die Regeln oben nicht.

Er wurde schon angewendet. Am 5. Dezember 2025 erließ die Kommission die erste Nichteinhaltungsentscheidung nach dem DSA und verhängte gegen X eine Geldbuße von 120 Millionen Euro. Einer der drei Verstöße betraf Art. 25 Abs. 1: Das blaue Häkchen von X, das jeder kaufen kann, ohne dass X ernsthaft prüft, wer hinter dem Konto steht, verleitet Nutzer dazu, Konten für verifiziert zu halten. Die Kommission hatte im Juli 2024 vorläufige Feststellungen getroffen. Wie viel der 120 Millionen Euro auf welchen Verstoß entfällt, hat sie nicht veröffentlicht.

Kommt ein Dark-Patterns-Gesetz? Der Digital Fairness Act

Der nächste Schritt ist der Digital Fairness Act, eine Initiative der Kommission gegen täuschendes oder manipulatives Interface-Design, suchtförderndes Design, irreführendes Influencer-Marketing und unfaire Personalisierung, mit besonderem Schutz für Minderjährige. Die öffentliche Konsultation lief vom 17. Juli bis zum 24. Oktober 2025. Anfang Oktober 2026 ist er noch ein Plan, kein Gesetz und noch nicht einmal ein veröffentlichter Vorschlag: Der Legislative Train des Europäischen Parlaments führt ihn als angekündigt, mit einem Vorschlag der Kommission, der im vierten Quartal 2026 erwartet wird.

Alles, was du darüber liest, was er „vorschreibt“, ist deshalb eine Prognose. Ist ein Vorschlag veröffentlicht, muss er noch durch Parlament und Rat und gilt dann erst nach einer Übergangsfrist. Der praktische Punkt für ein Unternehmen heute: Die Regeln oben erfassen die Muster in diesem Leitfaden schon; ein neues Gesetz würde Details ergänzen, nicht die erste Pflicht schaffen.

Was Dark Patterns Unternehmen gekostet haben

Die bisher größte Rechnung ist amerikanisch. Im September 2025 legte Amazon das Verfahren der US-Handelsbehörde Federal Trade Commission (FTC) um Prime mit einem Vergleich über 2,5 Milliarden US-Dollar bei: 1 Milliarde US-Dollar Zivilstrafe und 1,5 Milliarden US-Dollar Erstattungen an schätzungsweise 35 Millionen Kunden. Die FTC hatte Amazon vorgeworfen, verwirrende Interfaces genutzt zu haben, um Menschen ohne ihre Zustimmung bei Prime anzumelden, und die Kündigung absichtlich erschwert zu haben. Von der FTC zitierte Dokumente zeigten, dass Mitarbeiter das Vorantreiben von Abos als „eine etwas zwielichtige Welt“ beschrieben. Amazon muss jetzt einen klaren Button zum Ablehnen von Prime anbieten und eine Kündigung über denselben Weg, über den man sich angemeldet hat.

Epic Games, der Hersteller von Fortnite, willigte im Dezember 2022 ein, wegen Dark Patterns 245 Millionen US-Dollar an Erstattungen zu zahlen, zusätzlich zu einer separaten Strafe von 275 Millionen US-Dollar wegen Verstößen gegen den Datenschutz von Kindern. Die FTC warf Epic vor, dass Fortnites verwirrende Tastenbelegung es ermöglichte, Spielern mit einem einzigen Tastendruck etwas zu berechnen, teils schon beim Aufwecken des Spiels aus dem Ruhemodus, und dass Epic die Konten von Kunden sperrte, die nicht autorisierte Abbuchungen bei ihrem Kartenanbieter anfochten.

In Europa sind die 210 Millionen Euro Cookie-Bußgelder der CNIL und die 120-Millionen-Euro-Entscheidung der Kommission gegen X die Schlagzeilenzahlen. Die leiseren Kosten treffen viel kleinere Unternehmen. Die Überprüfung von 2023 war kein Bericht um seiner selbst willen: Die nationalen Behörden kündigten an, die betroffenen Händler zu kontaktieren, sie zur Korrektur ihrer Websites aufzufordern und wo nötig weitere Schritte einzuleiten. Und jedes vorab angekreuzte kostenpflichtige Extra ist nach der Verbraucherrechterichtlinie eine Erstattung, die der Kunde verlangen darf.

Dann gibt es die Kosten, die nie bei einer Behörde landen. Ein Kunde, der etwas nicht kaufen wollte, verlangt eine Erstattung, und ein Kunde, der den Kündigen-Button nicht findet, verlangt stattdessen von seiner Bank eine Rückbuchung. Der Fall Epic zeigt, was passiert, wenn ein Unternehmen darauf reagiert, indem es den Kunden bestraft. Jeder solche Fall ist ein verlorener Verkauf, ein Support-Ticket und, bei einer Rückbuchung, meist noch eine Gebühr des Zahlungsanbieters obendrauf.

Überzeugen oder manipulieren: wo die Grenze liegt

Ein Countdown bis zu einer echten Frist ist eine Information; ein Countdown, der neu startet, ist eine Lüge. Fast jedes Dark Pattern hat einen ehrlichen Zwilling. Ein Sale, der wirklich am Montag um Mitternacht endet, darf das sagen, und ein Timer, der bis zu diesem Moment zählt, ist einfach eine Uhr. Der Black Friday ist so eine Frist, deshalb lässt sich die Kampagne Wochen im Voraus planen. Ein Shop mit zwei verbliebenen Artikeln darf „noch 2 da“ schreiben. Eine Option darf vorausgewählt sein, wenn es die ist, die die meisten Kunden selbst wählen würden, etwa der Standardversand, und nicht die, an der das Unternehmen am meisten verdient.

Der Test ist einfach zu formulieren. Wäre die Aussage noch wahr, wenn der Kunde sie überprüft? Ist Ablehnen genauso einfach und genauso respektvoll formuliert wie Zustimmen? Wäre es dir recht, wenn der Kunde genau sähe, wie der Screen gestaltet wurde und warum? Lautet die Antwort auf eine dieser Fragen Nein, leiht sich das Design eine Entscheidung, statt sie sich zu verdienen.

Was du stattdessen bauen solltest

Für jedes Muster in diesem Leitfaden gibt es eine Alternative, die ein Kunde dir nicht übelnimmt. Wenn wir einen Checkout bauen, starten wir mit diesen Voreinstellungen: Der Gesamtpreis inklusive Versand ist im Warenkorb sichtbar, vor dem Adressschritt; optionale Extras starten nicht angekreuzt; die Ablehnen-Option ist ein schlichtes „Nein danke“, gestaltet als echter Button statt als blasser Link; und alles Wiederkehrende sagt direkt neben dem Button, was es kostet, wie oft und wie man es beendet. Nichts davon ist raffiniert. Genau darum geht es.

Bei Abos und Konten mach das Gehen so einfach wie das Kommen: Kündigung im Kontomenü, online, in ähnlich vielen Schritten wie die Anmeldung. Ein einziges, ehrliches Halteangebot ist in Ordnung; ein Labyrinth nicht. Bei Einwilligungen frag einmal, frag klar, stell „Ablehnen“ neben „Akzeptieren“ und merk dir die Antwort. Bei Dringlichkeit und Verknappung zeig nur, was stimmt, und entfern das Plug-in, wenn du es nicht dazu bringen kannst, die Wahrheit zu sagen.

Wenn eine Seite nicht verkauft, sind die Lösungen meist langweiliger und dauerhafter als ein Timer: ein klareres Angebot, ein sichtbarer Preis, weniger Formularfelder, eine schnellere Seite. Die stehen in den acht üblichen Gründen, warum eine Website nicht konvertiert, und keiner davon erfordert, jemanden auszutricksen. Dieselbe Zurückhaltung zeigt sich bei den Webdesign-Trends, die sich 2026 lohnen: Interfaces, die sich selbst erklären, altern besser als Interfaces, die drängen.

Es gibt auch einen neueren Grund. Ein Teil der Kaufrecherche, und ein wenig des Kaufens selbst, wird inzwischen von Software erledigt, die im Auftrag von Menschen handelt, wie in wie KI-Agenten tatsächlich einkaufen beschrieben. Ein Countdown, der auf menschliche Ungeduld zielt, ist an ein Programm verschwendet, das deine Produktdaten liest, und einen Gesamtpreis, der erst im letzten Schritt erscheint, kann es nicht korrekt angeben. Für Ehrlichkeit zu gestalten heißt auch, für den Leser zu gestalten, der nicht nervös wird.

Die Rechnung für kleine Unternehmen

Ein Dark Pattern bewegt diesen Monat eine Zahl und schickt die Rechnung später — als Erstattungen, Rückbuchungen, Beschwerden und, in der EU, Bußgelder. Die Zahl, die es bewegt, ist echt: Luguri und Strahilevitz haben gezeigt, dass milde Muster eine Anmelderate verdoppeln können, ohne dass jemand sichtbar widerspricht. Aber die Anmelderate ist die einzige Zeile, die es verbessert. Erstattungsanfragen, Kündigungen, Rückbuchungen, Support-Tickets und Ein-Stern-Bewertungen bewegen sich alle in die andere Richtung, langsamer, in Berichten, die niemand mit dem Pop-up in Verbindung bringt.

Für eine große Plattform sah dieser Tausch manchmal lohnend aus, bis eine Behörde ihm einen Preis gab. Für ein kleines Unternehmen lohnt er sich selten, denn ein kleines Unternehmen lebt von Stammkunden und Empfehlungen, und ein Kunde, der sich hereingelegt fühlt, ist genau der, der es am ehesten öffentlich sagt. Die Studie der Kommission ergab, dass Menschen diese Praktiken hart beurteilen, sobald sie sie bemerken. Die meisten bemerken sie irgendwann.

Miss also, was das Muster wirklich bewirkt: nicht die Anmelderate, sondern die Erstattungsquote, die Kündigungsquote und den Anteil der Kunden, die ein zweites Mal kaufen. Wenn du auswählst, wer deine Website baut, frag, was er sich weigern würde einzubauen; die anderen Fragen, die sich lohnen, behandeln wir in eine Webdesign-Agentur auswählen. Wenn du ein zweites Paar Augen auf deine wichtigsten Screens willst, ist unsere UX-Analyse eine schriftliche Usability-Prüfung von bis zu fünf davon, und die Arbeit an UI/UX-Design und E-Commerce hinter unseren Checkouts startet mit den Voreinstellungen oben.

Quellen

Jede Zahl, jedes Datum und jede Rechtsvorschrift oben stammt aus der Veröffentlichung der Behörde oder der Forschenden selbst oder aus dem Gesetzestext, geprüft im Oktober 2026. Die rechtlichen Zusammenfassungen hier sind allgemeine Informationen, keine Rechtsberatung für ein bestimmtes Unternehmen.

• Mathur et al. — Dark Patterns at Scale: Findings from a Crawl of 11K Shopping Websites (CSCW 2019) ↗

  Durchsuchte rund 53.000 Produktseiten auf rund 11.000 Shopping-Websites: 1.818 Dark-Pattern-Fälle in 15 Typen und 7 Kategorien, 183 Websites mit täuschenden Praktiken, 22 Drittanbieter, die Dark Patterns verkaufen. Das vollständige Paper nennt 157 täuschende Countdown-Timer auf 140 Websites, 17 Websites mit erfundenen Bestandszahlen, 169 Confirmshaming-Fälle und Hard to Cancel auf 31 Websites und schreibt Brignull die Prägung des Begriffs 2010 zu.

• Deceptive Patterns (deceptive.design) — Types ↗

  Harry Brignulls Katalog, früher darkpatterns.org, gestartet 2010. Listet achtzehn Typen, mit Definitionen für Confirmshaming, getarnte Werbung, künstliche Verknappung, künstliche Dringlichkeit, Hard to Cancel, versteckte Kosten, verstecktes Abo, Nagging, Vorauswahl, Unterschieben und Trickformulierungen.

• Luguri & Strahilevitz — Shining a Light on Dark Patterns, Journal of Legal Analysis 13(1), 2021 ↗

  Experimente mit repräsentativen US-Stichproben. In Studie 1 (1.963 Teilnehmer) lag die Annahme eines Datenschutz-Pakets für 8,99 US-Dollar im Monat bei 11,3 % in der Kontrollgruppe, 25,8 % mit milden und 41,9 % mit aggressiven Dark Patterns; milde Muster lösten keine messbare Gegenreaktion aus, und weniger gebildete Teilnehmer nahmen eher an.

• European Commission — Behavioural study on unfair commercial practices in the digital environment: dark patterns and manipulative personalisation (2022) ↗

  Testkäufer nahmen auf 73 der 75 beliebtesten Websites und Apps von EU-Verbrauchern (97 %) Dark Patterns wahr, am häufigsten versteckte Informationen/falsche Hierarchie, Vorauswahl, Nagging, erschwerte Kündigung und erzwungene Registrierung. Ein Online-Experiment mit 7.430 Teilnehmern fand transparenzbasierte Abhilfen wirkungslos und stellte fest, dass Verbraucher diese Praktiken negativ bewerten, sobald sie sie erkennen.

• European Commission — Manipulative online practices found on 148 out of 399 online shops screened (IP/23/418, 30 January 2023) ↗

  Überprüfung mit Behörden aus 23 Mitgliedstaaten, Norwegen und Island: 148 von 399 Shops nutzten mindestens eins von drei Dark Patterns; 42 nutzten falsche Countdown-Timer, 54 lenkten Verbraucher per Design oder Formulierung, 70 versteckten wichtige Informationen, 23 davon, um ein Abo durchzusetzen. Auch die Apps von 102 Websites wurden geprüft, 27 mit Dark Patterns.

• Unfair Commercial Practices Directive 2005/29/EC — Annex I (EU text as adopted) ↗

  Die Liste der Praktiken, die unter allen Umständen unlauter sind. Nr. 7: die falsche Behauptung, ein Produkt oder bestimmte Bedingungen seien nur für sehr begrenzte Zeit verfügbar, um eine sofortige Entscheidung herbeizuführen. Nr. 11: bezahlte redaktionelle Inhalte, die nicht klar als solche erkennbar sind (Advertorial).

• Unfair Commercial Practices Directive 2005/29/EC — Article 7, misleading omissions (EU text as adopted) ↗

  Wesentliche Informationen zu verheimlichen oder sie unklar oder nicht rechtzeitig bereitzustellen, ist eine irreführende Unterlassung; bei einer Aufforderung zum Kauf gehört dazu der Preis einschließlich Steuern und etwaiger zusätzlicher Lieferkosten (Art. 7 Abs. 4 Buchst. c). Art. 6 Abs. 1 Buchst. b derselben Richtlinie erfasst die Täuschung über die Verfügbarkeit eines Produkts.

• Directive (EU) 2019/2161 (Omnibus) — Article 3, amending the UCPD (EU text as adopted) ↗

  Fügt Art. 13 Abs. 3–4 in die UGP-Richtlinie ein: Bei koordinierter grenzüberschreitender Durchsetzung muss der Höchstbetrag der Geldbuße mindestens 4 % des Jahresumsatzes des Händlers in den betroffenen Mitgliedstaaten betragen, oder mindestens 2 Millionen Euro, wenn kein Umsatz verfügbar ist. Fügt Art. 11a ein: Rechtsbehelfe für geschädigte Verbraucher, darunter Schadensersatz, Preisminderung oder Vertragsbeendigung.

• Consumer Rights Directive 2011/83/EU — Article 22, additional payments (EU text as adopted) ↗

  Der Händler muss die ausdrückliche Zustimmung des Verbrauchers zu jeder Extrazahlung einholen, bevor der Vertrag ihn bindet; wurde die Zustimmung aus Voreinstellungen abgeleitet, die der Verbraucher ablehnen muss, hat er Anspruch auf Erstattung dieser Zahlung.

• GDPR — Article 4, definitions ↗

  Art. 4 Nr. 11 definiert die Einwilligung als jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person, in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung.

• GDPR — Recital 32, conditions for consent ↗

  Hält fest, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person“ keine Einwilligung darstellen sollten und dass eine Aufforderung zur Einwilligung auf elektronischem Weg in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes erfolgen muss.

• GDPR — Article 7, conditions for consent ↗

  Art. 7 Abs. 2: Ein Ersuchen um Einwilligung, das mit anderen Sachverhalten verbunden ist, muss klar davon zu unterscheiden sein und in einer klaren und einfachen Sprache erfolgen. Art. 7 Abs. 3: Der Widerruf der Einwilligung muss so einfach wie ihre Erteilung sein.

• EDPB — Guidelines 03/2022 on deceptive design patterns in social media platform interfaces ↗

  Version 2.0, angenommen am 14. Februar 2023 nach öffentlicher Konsultation. Ordnet irreführende Gestaltungsmuster in sechs Kategorien: Überfrachtung, Überspringen, Aufwühlen, Behindern, Unbeständig und Im Dunkeln gelassen, jeweils in der Zusammenfassung definiert.

• Légifrance — CNIL Délibération SAN-2021-023 of 31 December 2021 (Google) ↗

  Die Entscheidung gegen Google LLC und Google Ireland nach Art. 82 des französischen Datenschutzgesetzes: Cookies ließen sich mit einem Klick auf „J’accepte“ akzeptieren, während das Ablehnen mindestens fünf Aktionen über einen Anpassungsbildschirm und einen Bestätigungsschritt erforderte.

• CNIL — Sanctions issued by the CNIL ↗

  Listet die Entscheidungen vom 31. Dezember 2021 auf, mit denen gegen Google 150 Millionen Euro und gegen Facebook 60 Millionen Euro wegen der Verfahren zum Ablehnen von Cookies verhängt wurden.

• Digital Services Act — Article 25, online interface design and organisation ↗

  Volltext von Art. 25: das Verbot täuschender oder manipulativer Schnittstellen für Online-Plattformen, die Ausnahme für Praktiken, die unter die Richtlinie 2005/29/EG oder die DSGVO fallen, und die drei Praktiken, zu denen die Kommission Leitlinien herausgeben kann.

• Digital Services Act — list of articles ↗

  Zeigt Art. 25 in Kapitel III Abschnitt 3 (zusätzliche Bestimmungen für Online-Plattformen, Art. 19–28), dessen Art. 19 Kleinst- und Kleinunternehmen ausnimmt.

• Europäische Kommission — Kommission verhängt gegen X eine Geldbuße von 120 Mio. € nach dem Gesetz über digitale Dienste (IP/25/2934, 5. Dezember 2025) ↗

  Die erste Nichteinhaltungsentscheidung nach dem DSA: 120 Millionen Euro für drei Verstöße, darunter die täuschende Gestaltung des blauen Häkchens nach Art. 25 Abs. 1; die vorläufigen Feststellungen wurden am 12. Juli 2024 angenommen. Eine Aufschlüsselung nach Verstößen gibt es nicht.

• European Parliament — Legislative Train: Digital Fairness Act ↗

  Status „angekündigt“; das Arbeitsprogramm der Kommission sieht den Vorschlag im vierten Quartal 2026 vor; die öffentliche Konsultation endete am 24. Oktober 2025. Seite zuletzt aktualisiert am 1. August 2026.

• European Commission — Commission launches open consultation on the forthcoming Digital Fairness Act ↗

  Die Konsultation lief vom 17. Juli bis zum 24. Oktober 2025 und umfasste täuschendes oder manipulatives Interface-Design, irreführendes Influencer-Marketing, suchtförderndes Design, unfaire Personalisierung und den Schutz Minderjähriger im Netz.

• FTC — FTC Secures Historic $2.5 Billion Settlement Against Amazon (25 September 2025) ↗

  1 Milliarde US-Dollar Zivilstrafe und 1,5 Milliarden US-Dollar Erstattungen an schätzungsweise 35 Millionen Verbraucher wegen der Anmeldung zu und Kündigung von Prime; verlangt einen klaren Ablehnen-Button (kein „Nein, ich möchte keinen kostenlosen Versand“ mehr) und eine Kündigung über denselben Weg wie die Anmeldung.

• FTC — Fortnite video game maker Epic Games to pay more than half a billion dollars over FTC allegations (19 December 2022) ↗

  245 Millionen US-Dollar Erstattungen wegen Dark Patterns, die zu ungewollten Abbuchungen führten, plus eine COPPA-Strafe von 275 Millionen US-Dollar; die Vorwürfe umfassen Abbuchungen per einzelnem Tastendruck und das Sperren der Konten von Kunden, die nicht autorisierte Abbuchungen angefochten hatten.