Consent-Management-Plattform (CMP) auswählen: der Leitfaden 2026

Was ist eine Consent-Management-Plattform (CMP)?

Eine Consent-Management-Plattform ist eine Software, die die Entscheidungen von Besuchern zu Cookies und ähnlichen Trackern einholt, speichert und durchsetzt. Der sichtbare Teil ist der Cookie-Banner mit seinem Einstellungsbereich. Der unsichtbare Teil erledigt die eigentliche Arbeit: Er verhindert, dass Analyse-, Werbe- und Social-Media-Skripte laufen, bevor der Besucher zustimmt, gibt nur die akzeptierten Kategorien frei, übermittelt die Entscheidung an Tags und führt ein Protokoll, das Sie einer Aufsichtsbehörde vorlegen können. Eine vollständige Definition mit Beispielen finden Sie in unserem Artikel Was ist eine Consent-Management-Plattform (CMP).

Eine CMP ist also kein reines Gestaltungselement. Sie sitzt zwischen Ihrer Website und jedem Drittanbieter-Tool, das Cookies setzen möchte. Wenn Sie eine Consent-Management-Plattform für kleine und mittlere Websites suchen, ist FlowConsent eine Option, und die folgenden Kriterien helfen Ihnen, sie mit den anderen zu vergleichen.

Der Banner, den die CMP anzeigt, hat eigene rechtliche Anforderungen (Zwecke auf der ersten Ebene, gleichwertige Schaltflächen „Akzeptieren“ und „Ablehnen“, Widerruf jederzeit). Unser vollständiger Leitfaden zum DSGVO-konformen Cookie-Banner behandelt sie im Detail. Dieser Artikel konzentriert sich auf das Werkzeug dahinter.

Warum Sie eine CMP brauchen

Sie können einen Cookie-Banner selbst programmieren. Manche Entwickler tun das, mit ein paar Zeilen JavaScript und einem Cookie, das die Entscheidung speichert. Die Schwierigkeit ist nicht der Banner, sondern alles drumherum:

• Blockierung. Jedes Skript, das nicht notwendige Cookies setzt, muss auf die Einwilligung warten, auch Tags, die das Marketing später hinzufügt, und eingebettete Inhalte wie YouTube oder Google Maps.
• Signale. Google Ads und GA4 erwarten Consent-Mode-v2-Signale. Werbenetzwerke, die mit dem IAB-Framework arbeiten, erwarten einen TCF-String.
• Nachweis. Die DSGVO verlangt, dass Sie die Einwilligung nachweisen können (Artikel 7 Absatz 1). Dafür braucht es ein zeitgestempeltes, verlässliches Protokoll, kein Cookie im Browser des Besuchers.
• Pflege. Tracker ändern sich, Behörden aktualisieren ihre Vorgaben, neue Sprachen und neue Websites kommen hinzu.

Eine CMP übernimmt diese Aufgaben als Produkt. Ein selbstgebauter Banner funktioniert bis zu dem Tag, an dem jemand ein neues Tag einbaut, ohne den Entwickler zu informieren.

Es gibt auch einen geschäftlichen Grund. Seit März 2024 verlangt Google den Consent Mode v2, damit Mess- und Personalisierungsfunktionen für Nutzer im Europäischen Wirtschaftsraum weiter funktionieren. Und seit Januar 2024 müssen Publisher, die über AdSense, Ad Manager oder AdMob Anzeigen im EWR und im Vereinigten Königreich ausspielen, eine von Google zertifizierte CMP mit IAB-TCF-Integration verwenden. Wenn Sie von Google-Werbung abhängen, wirkt sich die Wahl der CMP direkt auf Ihre Einnahmen oder Ihre Kampagnendaten aus.

Was eine CMP leistet und was nicht

Was eine gute CMP leisten sollte

• Einen konformen Banner mit Einstellungsbereich in den Sprachen Ihrer Website anzeigen.
• Nicht notwendige Skripte vor der Einwilligung technisch blockieren, nicht nur optisch verbergen.
• Einwilligungssignale an Tags senden (Google Consent Mode v2 und TCF, wenn Sie mit programmatischer Werbung arbeiten).
• Einen zeitgestempelten Nachweis jeder Entscheidung speichern, für eine Prüfung exportierbar.
• Besuchern ermöglichen, ihre Einwilligung jederzeit zu ändern oder zu widerrufen.
• Die Cookies Ihrer Website erkennen und bei der Einordnung helfen.

Was eine CMP Ihnen nicht abnimmt

Eine CMP schreibt weder Ihre Datenschutzerklärung noch Ihre Cookie-Richtlinie. Sie entscheidet nicht allein, ob ein Tracker unbedingt erforderlich ist: Ein erstes Audit und Ihr Urteil bleiben nötig. Sie macht Ihre Website nicht allein durch ihre Installation konform: Konfiguration, Kategorien und Tests bleiben Ihre Verantwortung. Und sie ersetzt keine Rechtsberatung bei Auslegungsfragen.

Consent-Management-Plattform auswählen: die entscheidenden Kriterien

1. Echte Skriptblockierung vor der Einwilligung

Das ist das erste Kriterium und dasjenige, das die meisten Tools aussortiert. Manche Lösungen zeigen einen Banner, lassen Skripte aber bis zum Klick laufen oder blockieren nur Skripte, die sie kennen. Prüfen Sie, wie die Blockierung funktioniert (Umschreiben der Script-Tags, ein Tag-Manager, der auf einen Einwilligungs-Trigger wartet, oder beides), und testen Sie selbst: Öffnen Sie ein privates Fenster, lehnen Sie alles ab und sehen Sie sich Cookies und Netzwerkanfragen in den Entwicklertools des Browsers an. Keine nicht notwendige Anfrage darf die Seite verlassen.

2. Google Consent Mode v2 und Google-Zertifizierung

Wenn Sie Google Ads, GA4 oder Floodlight nutzen, muss die CMP Consent Mode v2 nativ unterstützen, mit allen vier Parametern (ad_storage, analytics_storage, ad_user_data, ad_personalization) und einem Standardzustand „denied“ vor der Entscheidung. Unser Leitfaden zur Implementierung von Google Consent Mode v2 erklärt die Funktionsweise, und unser Vergleich Consent Mode Basic vs. Advanced hilft bei der richtigen Einrichtung. Wenn Sie als Publisher Google-Werbeinventar nutzen, prüfen Sie außerdem, ob der Anbieter in Googles Liste zertifizierter CMPs steht.

3. Unterstützung von IAB TCF 2.2, falls nötig

Das Transparency and Consent Framework ist der Standard, mit dem programmatische Werbung die Einwilligung zwischen Publishern und Werbeanbietern weitergibt. Sie brauchen ihn, wenn Sie Werbefläche über Netzwerke verkaufen, die ihn verlangen. Die meisten Marken- und Shop-Websites, die nur Werbung einkaufen, brauchen ihn nicht. Unser Leitfaden zu TCF 2.2 erklärt, wer betroffen ist und was sich im Banner ändert.

4. Einwilligungsnachweis und Speicherort

Fragen Sie, was die CMP für jede Entscheidung speichert (Kennung, Zeitstempel, Kategorien, Banner-Version), wie lange, ob Sie es exportieren können und wo es gespeichert wird. Ein Hosting der Einwilligungsprotokolle in Europa vermeidet eine zusätzliche Drittlandtransfer-Frage in Ihrer Dokumentation. Unser Artikel zum Nachweis der Cookie-Einwilligung beschreibt, was ein brauchbarer Eintrag enthält, und die Dokumentation zum FlowConsent-Nachweisbericht zeigt, wie ein datiertes, druckbares Prüfdokument aussehen kann.

5. Cookie-Scan und Einordnung

Ein integrierter Scanner erkennt die Cookies Ihrer Seiten und schlägt für jedes eine Kategorie vor. Das spart Zeit bei der Einrichtung und findet neue Tracker, die durch Plugins, Tag-Änderungen oder Marketing-Tools hinzukommen. Prüfen Sie, wie oft er läuft, wie viele Seiten er abdeckt und ob er die Seite nach einer Ablehnung testet. Bevor Sie eine CMP wählen, können Sie mit einem unabhängigen Cookie-Scanner prüfen, was Ihre Website heute setzt, und unserer vollständigen Methode für ein Cookie-Audit für eine komplette Bestandsaufnahme folgen.

6. Ein standardmäßig konformer Banner

Die CMP sollte Konformität leicht machen: „Alle ablehnen“ auf der ersten Ebene, im gleichen Stil wie „Alle akzeptieren“, keine vorausgewählten Kästchen, ein dauerhafter Zugang zu den Einstellungen. Seien Sie vorsichtig bei Tools, die hohe Zustimmungsraten durch Design-Tricks versprechen. Unser Artikel über Cookie-Dark-Patterns zeigt, was Behörden sanktionieren, und unsere DSGVO-Cookie-Banner-Beispiele zeigen ausgewogene Layouts. Prüfen Sie auch die Anpassungsmöglichkeiten (Farben, Schriften, Position, mobiles Verhalten) und die Zahl der Sprachen.

7. Performance

Das CMP-Skript lädt auf jeder Seite, oft vor allem anderen. Ein schweres Skript, synchrones Laden oder ein Banner, der Inhalte nach unten schiebt, kann Largest Contentful Paint und Cumulative Layout Shift verschlechtern. Messen Sie die Skriptgröße und testen Sie Ihre Seiten mit und ohne CMP. Unsere Analyse zur Auswirkung einer CMP auf die Core Web Vitals zeigt, worauf Sie achten sollten.

8. Integrationen mit Ihrem System

Prüfen Sie, wie sich die CMP auf Ihrer Plattform einbinden lässt: native App oder Plugin, Script-Tag, Google-Tag-Manager-Vorlage oder Paket für ein JavaScript-Framework. Unsere Plattform-Leitfäden behandeln den Cookie-Banner auf Webflow, die Cookie-Einwilligung auf WordPress, Shopify-Cookies und DSGVO und Next.js-Cookies und DSGVO. Wenn Sie mehrere Websites verwalten, prüfen Sie auch Multi-Site- und Team-Funktionen.

9. Rechtliche Abdeckung

Wenn Ihr Publikum europäisch ist, sind DSGVO und ePrivacy-Regeln (in Deutschland das TDDDG) die Grundlage. Wenn Sie auch Kalifornien bedienen, brauchen Sie eine Opt-out-Lösung und die Unterstützung von Global Privacy Control. Manche CMPs passen den Banner an den Standort des Besuchers an. Unser Vergleich CCPA vs. DSGVO bei Cookies erklärt die Unterschiede, und unser Leitfaden zu Cookies außerhalb Europas behandelt weitere Märkte.

10. Preismodell und Gesamtkosten

CMPs rechnen unterschiedlich ab: pro Seitenaufruf, pro Sitzung, pro Domain, nach Zahl der gescannten Seiten oder als Pauschale mit Funktionsstufen. Dieselbe Website kann je nach Modell sehr unterschiedlich viel kosten, und der Preis steigt oft, sobald Sie eine Traffic-Schwelle überschreiten oder eine zweite Domain, mehr Sprachen oder den Export der Nachweise brauchen. Vergleichen Sie vor der Entscheidung die Kosten Ihrer aktuellen CMP mit dem CMP-Kostenrechner anhand Ihres echten Traffics, und prüfen Sie dann, was jeder Tarif enthält: Skriptblockierung und Einwilligungsprotokolle sollten nie kostenpflichtige Zusatzoptionen sein.

Kostenlose oder kostenpflichtige CMP?

Es gibt kostenlose CMPs, und für eine kleine Website können sie ausreichen. Die Frage ist nicht der Preis, sondern was der kostenlose Tarif weglässt. Typische Grenzen sind eine Obergrenze für Traffic oder Seitenaufrufe, eine einzige Domain, eine oder zwei Sprachen, ein Banner mit dem Branding des Anbieters, nur manuelle Scans, eine kurze Historie der Einwilligungen oder kein Export der Nachweise. Manche kostenlosen Tarife hören oberhalb der Obergrenze sogar auf zu blockieren oder den Banner anzuzeigen. Das ist der schlimmste denkbare Ausfall, weil er unbemerkt bleibt.

Lesen Sie die Grenzen des kostenlosen Tarifs mit drei Fragen im Kopf. Was passiert, wenn ich das Kontingent überschreite? Kann ich meine Einwilligungsnachweise jederzeit exportieren? Blockiert der kostenlose Tarif Skripte vor der Einwilligung genauso wie der kostenpflichtige? Lautet die Antwort auf die letzte Frage nein, ist der kostenlose Tarif eine Demo und kein Compliance-Werkzeug.

Fragen an einen CMP-Anbieter

Stellen Sie vor der Unterschrift jedem Anbieter schriftlich dieselben Fragen:

• Wie genau werden Skripte blockiert, und was passiert mit einem Tag, das das Tool noch nicht kennt?
• Welche Consent-Mode-v2-Parameter werden gesetzt, und was ist der Standardzustand?
• Was wird für jede Einwilligung gespeichert, wo und wie lange?
• Wie exportiere ich Einwilligungsnachweise, und in welchem Format?
• Wie groß ist das Skript, und lädt es asynchron?
• Wie wird der Preis berechnet, und was passiert, wenn sich mein Traffic verdoppelt?
• Wie kann ich wechseln, und was behalte ich dabei?

Klare, konkrete Antworten sind ein gutes Zeichen. Vage Versprechen von „vollständiger Konformität“ nicht.

Die wichtigsten Arten von CMPs

Es gibt Dutzende CMPs. Sie lassen sich grob in drei Gruppen einteilen, und die richtige hängt mehr von Ihrer Größe und Ihren Anforderungen ab als von der Marke.

Datenschutz-Suiten für Konzerne

OneTrust, TrustArc und Didomi richten sich an große Organisationen mit vielen Marken, komplexen rechtlichen Anforderungen und eigenen Datenschutzteams. Sie decken oft mehr als Cookies ab (Verarbeitungsverzeichnisse, Betroffenenanfragen, Preference Center) und unterstützen IAB TCF. Der Preis dafür sind Kosten, Einrichtungsaufwand und Komplexität. Unsere Vergleiche OneTrust vs. FlowConsent und Didomi vs. FlowConsent zeigen die Unterschiede.

CMPs für den breiten Markt

Usercentrics und Cookiebot (beide in derselben Unternehmensgruppe), Axeptio, iubenda und CookieYes bedienen einen breiten Markt, vom Mittelstand bis zu großen Websites, mit Self-Service-Tarifen und Integrationen für gängige Plattformen. Funktionen und Preismodelle unterscheiden sich stark. Lesen Sie unsere Vergleiche Cookiebot vs. FlowConsent, Axeptio vs. FlowConsent, CookieYes vs. FlowConsent und Usercentrics vs. FlowConsent.

Schlanke und Open-Source-Werkzeuge

Open-Source-Skripte wie tarteaucitron.js bieten volle Kontrolle ohne Lizenzkosten, aber Hosting, Updates, Einwilligungsnachweis und Consent-Mode-Integration liegen bei Ihnen. Schlanke gehostete CMPs setzen auf eine einfache Einrichtung und ein kleines Skript. Unser Vergleich tarteaucitron vs. FlowConsent zeigt, wo welcher Ansatz passt.

Eine Übersicht aller verglichenen Tools finden Sie in unserem CMP-Vergleich.

Eine CMP in fünf Schritten bewerten

1. Anforderungen auflisten. Plattform und Tag-Manager, Google Ads oder nicht, programmatische Werbung oder nicht, Zielländer, Sprachen, Zahl der Websites, monatlicher Traffic.
2. Drei Tools in die engere Wahl nehmen, die zu diesen Anforderungen passen, anhand der obigen Kriterien und der Vergleichsseiten.
3. Jedes auf einer Staging-Website oder Testseite einrichten. Die meisten CMPs bieten einen kostenlosen Tarif oder eine Testphase.
4. Den Ablehnungstest machen. Lehnen Sie in einem privaten Fenster alles ab und prüfen Sie Cookies und Netzwerkanfragen. Akzeptieren Sie danach nur Statistik, dann alles. Prüfen Sie die Consent-Mode-Signale im Google Tag Assistant, wenn Sie Google-Tags nutzen.
5. Nachweis und Ausstieg prüfen. Exportieren Sie ein Einwilligungsprotokoll, lesen Sie es, und fragen Sie, wie ein Wechsel ablaufen würde. Eine CMP, die sich schwer verlassen lässt, ist ein langfristiges Risiko.

Von einer CMP zur anderen wechseln

Ein CMP-Wechsel ist häufig: Preise ändern sich, eine Website wächst einem Plugin davon, oder das Team möchte eine bessere Skriptblockierung. Die Hauptrisiken sind eine Lücke, in der Skripte während des Wechsels ohne Einwilligung laufen, zwei gleichzeitig angezeigte Banner und verlorene Einwilligungshistorie. Planen Sie den Umstieg: Legen Sie Kategorien und Dienste im neuen Tool an, übernehmen Sie die Banner-Texte, spielen Sie das neue Snippet aus und entfernen Sie das alte im selben Release, und wiederholen Sie dann die drei Tests. Bewahren Sie Exporte der alten Einwilligungsprotokolle so lange auf, wie Sie frühere Einwilligungen nachweisen müssen. Die FlowConsent-Anleitung zur Migration von einem anderen Banner beschreibt diese Schritte der Reihe nach.

Häufige Fehler bei der CMP-Auswahl

Nur nach Preis entscheiden. Ein kostenloses Tool, das keine Skripte blockiert oder keine Nachweise speichert, lässt Sie ungeschützt. Vergleichen Sie den Leistungsumfang, nicht nur den Monatspreis.

Den Banner für Konformität halten. Dass der Banner erscheint, beweist nichts. Nur ein Ablehnungstest in den Browser-Tools zeigt, ob Skripte wirklich blockiert werden.

Consent Mode ignorieren. Ohne korrekte Consent-Mode-v2-Signale verlieren Google Ads und GA4 Modellierungs- und Remarketing-Funktionen für Nutzer im EWR.

Für unnötige Funktionen bezahlen. TCF, standortabhängige Banner oder eine komplette Datenschutz-Suite sind für manche Organisationen wichtig, nicht für alle. Gehen Sie von Ihren Anforderungen aus.

Den Ausstieg vergessen. Prüfen Sie vor der Entscheidung, dass sich Einwilligungsprotokolle exportieren lassen und das Tool einfach zu entfernen ist.

Checkliste für die CMP-Auswahl

1. Skripte vor der Einwilligung blockiert, mit einem Ablehnungstest geprüft.
2. Google Consent Mode v2 nativ unterstützt, Standardzustand „denied“.
3. TCF 2.2 unterstützt, wenn Sie Werbeinventar programmatisch verkaufen.
4. Zeitgestempelter, exportierbarer Einwilligungsnachweis, in der EU gehostet.
5. „Alle ablehnen“ auf der ersten Ebene, im gleichen Stil wie „Alle akzeptieren“.
6. Cookie-Scanner enthalten, mit regelmäßigen automatischen Scans.
7. Schlankes Skript, keine Layout-Verschiebung.
8. Native Integration mit Ihrer Plattform und Ihrem Tag-Manager.
9. Benötigte Sprachen und Rechtsordnungen abgedeckt.
10. Preis, der bei Ihrem Traffic tragbar bleibt, ohne versteckte Zusatzkosten für Kernfunktionen.
11. Ein dokumentierter Weg für Ein- und Ausstieg.

Wie FlowConsent das Consent Management umsetzt

FlowConsent ist eine CMP für Websites, die solide Konformität ohne die Komplexität einer Konzern-Suite brauchen. Sie blockiert jedes nicht notwendige Skript vor der Einwilligung, integriert Google Consent Mode v2, scannt Ihre Cookies automatisch und speichert für jede Einwilligung einen exportierbaren Nachweis, gehostet in Europa. Der Banner zeigt standardmäßig „Alle akzeptieren“ und „Alle ablehnen“ auf der ersten Ebene.

Die Installation dauert etwa zehn Minuten auf Webflow, WordPress, Shopify, Wix, Framer oder über den Google Tag Manager. Die Preise sind einfach: kostenlos bis 25.000 Sitzungen pro Monat, dann Pro für 14,99 € pro Monat bis 100.000 Sitzungen. Für einen Vergleich mit Ihrem aktuellen Tool nutzen Sie den CMP-Kostenrechner, und in der Dokumentation Free vs. Pro sehen Sie, was jeder Tarif enthält.