TL;DR
Ein Cookie Dark Pattern ist eine Designtechnik, die Nutzer ohne echte Wahl zur Annahme von Cookies drängt, etwa indem der Ablehnen-Button versteckt oder weniger sichtbar gemacht wird als der Akzeptieren-Button. Die CNIL (französische Datenschutzbehörde) ist der Auffassung, dass solche Praktiken die eingeholte Einwilligung unwirksam machen, weil sie weder freiwillig noch informiert erteilt wird, wie es die DSGVO verlangt. Im Dezember 2024 hat die CNIL mehrere Websitebetreiber wegen Dark Patterns in ihren Cookie-Bannern förmlich abgemahnt und ihnen eine Frist von einem Monat zur Behebung gesetzt.
Was ist ein Dark Pattern in einem Cookie-Banner?
Ein Dark Pattern ist eine bewusste Gestaltungsentscheidung in der Benutzeroberfläche, die den Nutzer zu einer Handlung lenkt, die dem Websitebetreiber dient und nicht dem Nutzer. Im Cookie-Kontext bedeutet das, Besucher zum Klick auf „Alle akzeptieren“ zu drängen, ohne ihnen eine echte Wahl zu lassen.
Der Begriff wurde vom Designer Harry Brignull geprägt, der die Website darkpatterns.org ins Leben rief, um diese Praktiken zu dokumentieren. Europäische Datenschutzbehörden sprechen auch von „Deceptive Design Patterns“ oder „irreführenden Schnittstellen“.
Ein Cookie Dark Pattern ist eine Manipulation der Einwilligungsoberfläche, die den Nutzer daran hindert, eine freie und informierte Entscheidung über die Verwendung seiner Daten zu treffen. Die CNIL, der EDSA (Europäischer Datenschutzausschuss) und andere Behörden sind der Auffassung, dass eine durch ein Dark Pattern erlangte Einwilligung nach der DSGVO nicht wirksam ist.
Welche Dark Patterns kommen in Cookie-Bannern am häufigsten vor?
Datenschutzbehörden haben mehrere wiederkehrende Praktiken in Einwilligungsbannern identifiziert. Hier sind die sechs häufigsten Arten von Cookie Dark Patterns.
Visuelle Asymmetrie zwischen Akzeptieren und Ablehnen
Der Button „Alle akzeptieren“ erscheint in auffälliger Farbe, großer Schrift und prominenter Position. Der Button „Ablehnen“ oder „Weiter ohne Zustimmung“ ist in grauer Schrift, kleiner gesetzt oder nur als schlichter Textlink dargestellt. Diese Asymmetrie erzeugt eine visuelle Hierarchie, die die Entscheidung des Nutzers lenkt. Es ist das am weitesten verbreitete Dark Pattern in Cookie-Bannern.
Asymmetrischer Ablauf (mehr Klicks zum Ablehnen)
Das Akzeptieren von Cookies erfordert einen Klick. Für das Ablehnen muss man ein Untermenü öffnen, Kategorien einzeln abwählen und dann bestätigen. Dieses Ungleichgewicht bei der Anzahl der Schritte macht das Ablehnen aufwendiger als das Akzeptieren. Die CNIL verlangt, dass das Ablehnen von Cookies genauso einfach ist wie das Akzeptieren, sowohl bei der Anzahl der Klicks als auch beim Aufwand.
Kein Ablehnen-Button auf der ersten Ebene
Manche Banner zeigen „Alle akzeptieren“ und „Auswahl anpassen“, aber keinen Button „Alle ablehnen“ auf der ersten Ebene. Wer ablehnen möchte, muss das Einstellungsfenster öffnen, was einen zusätzlichen Schritt bedeutet. Die CNIL hält diese Praxis für nicht rechtskonform.
Mehrdeutige oder schuldzuweisende Formulierungen
Bezeichnungen wie „Ich lehne nicht wesentliche Funktionen ab“ statt „Ablehnen“ sorgen für Verwirrung. Manche Websites gehen noch weiter und verwenden schuldzuweisende Formulierungen wie „Ich möchte mein Erlebnis nicht verbessern“. Diese „Confirmshaming“-Techniken sollen vom Ablehnen abhalten.
Vorausgewählte Kästchen
Werden Cookie-Kategorien mit standardmäßig aktivierten Kästchen angezeigt, muss der Nutzer jede Option manuell abwählen. Die DSGVO ist hier eindeutig: Stillschweigen oder bereits angekreuzte Kästchen stellen keine wirksame Einwilligung dar (Erwägungsgrund 32 DSGVO, bestätigt durch das Planet49-Urteil des EuGH).
Cookie Wall
Eine Cookie Wall sperrt den Zugang zu den Inhalten der Website, bis der Nutzer Cookies akzeptiert hat. Der Nutzer hat keine echte Wahl: akzeptieren oder gehen. Die CNIL lässt Cookie Walls nur unter sehr strengen Bedingungen zu (es muss eine faire Alternative geben), in den meisten Fällen macht diese Praxis die Einwilligung jedoch unwirksam.
Warum sanktioniert die CNIL Cookie Dark Patterns?
Die Antwort lässt sich auf einen Grundsatz zurückführen: Die Cookie-Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden, gemäß der DSGVO (Artikel 4 Nummer 11) und Artikel 82 des französischen Datenschutzgesetzes, das die ePrivacy-Richtlinie umsetzt.
Ein Dark Pattern verhindert, dass die Einwilligung „freiwillig“ erteilt wird, da es die Entscheidung lenkt. Bei mehrdeutigen Formulierungen verhindert es zudem, dass die Einwilligung „informiert“ ist. Eine über ein Banner mit Dark Patterns eingeholte Einwilligung ist daher rechtlich unwirksam. Und wenn die Einwilligung unwirksam ist, sind auch alle auf dieser Grundlage gesetzten Cookies unzulässig.
Die CNIL sanktioniert nicht „schlechtes Design“ als solches. Sie sanktioniert, dass die erlangte Einwilligung nicht rechtskonform ist, was einem Setzen von Cookies ohne Rechtsgrundlage gleichkommt.
Was ist im Dezember 2024 passiert?
Im Dezember 2024 gab die CNIL bekannt, dass sie nach Beschwerden über Dark Patterns in Cookie-Bannern mehrere Websitebetreiber förmlich abgemahnt hatte. Die betroffenen Betreiber erhielten eine Frist von einem Monat, um ihre Einwilligungsoberflächen anzupassen.
Zu den von der CNIL in diesen Abmahnungen festgestellten Praktiken gehörten Akzeptieren-Buttons, die durch Farbe, Größe oder Schriftstil hervorgehoben waren, während die Ablehnen-Option als kaum sichtbarer Textlink dargestellt wurde. Andere Websites zeigten mehrere Akzeptieren-Buttons, aber nur einen Ablehnen-Button, oder platzierten den Ablehnen-Button an einer schwer auffindbaren Stelle.
Diese Welle von Abmahnungen ist Teil eines größeren Trends. Die CNIL hat bereits mehrfach Bußgelder im Zusammenhang mit Cookies verhängt: Google (150 Millionen Euro), Facebook (60 Millionen Euro), Amazon (35 Millionen Euro), TikTok (5 Millionen Euro). Diese Beträge betrafen Verstöße gegen die Cookie-Regeln im Allgemeinen, nicht nur Dark Patterns, doch die Botschaft ist klar: Die CNIL nimmt dieses Thema ernst.
So prüfen Sie, ob Ihr Banner Dark Patterns verwendet
Die einfachste Methode ist, Ihr eigenes Banner wie ein gewöhnlicher Nutzer zu testen. Stellen Sie sich beim Betrachten folgende Fragen.
Ist der Ablehnen-Button genauso sichtbar wie der Akzeptieren-Button? Gleiche Größe, gleiche Farbe, vergleichbare Platzierung. Ist der eine leuchtend grün und der andere hellgrau, handelt es sich um ein Dark Pattern.
Erfordert das Ablehnen von Cookies genauso viele Klicks wie das Akzeptieren? Wenn Akzeptieren = 1 Klick und Ablehnen = 3 Klicks (Einstellungen öffnen, alles abwählen, bestätigen), liegt ein asymmetrischer Ablauf vor.
Ist die Formulierung neutral? „Alle akzeptieren“ und „Alle ablehnen“ sind neutral. „Akzeptieren und fortfahren“ gegenüber „Ich verzichte auf Dienste zur Verbesserung meines Erlebnisses“ ist es nicht.
Sind Kästchen vorausgewählt? Wenn der Nutzer im Einstellungsfenster bereits aktivierte Kategorien vorfindet (abgesehen von unbedingt erforderlichen Cookies), ist das nicht rechtskonform.
Ein Cookie-Scanner kann Ihnen außerdem helfen, Skripte zu erkennen, die vor der Einwilligung geladen werden. Das ist ein eigenes Problem, hängt aber oft mit schlecht konfigurierten Bannern zusammen.
Häufige Fehler (und wie Sie sie vermeiden)
Zu glauben, ein kleines visuelles Ungleichgewicht sei kein Problem. Die CNIL legt keine Toleranzschwelle fest. Ist der Ablehnen-Button objektiv weniger sichtbar als der Akzeptieren-Button, ist die Einwilligung möglicherweise unwirksam. Lösung: Verwenden Sie für beide Optionen dieselbe Größe, dieselbe Schriftstärke und einen gleichwertigen Kontrast.
„Anpassen“ mit „Ablehnen“ verwechseln. „Alle akzeptieren“ und „Auswahl anpassen“ ohne einen Button „Alle ablehnen“ anzubieten, reicht nicht aus. Der Nutzer muss mit einem Klick ablehnen können, ohne ein Einstellungsfenster zu durchlaufen. Lösung: Fügen Sie auf der ersten Ebene des Banners einen Button „Alle ablehnen“ hinzu.
Mehrdeutige Formulierungen für die Ablehnen-Option verwenden. Bezeichnungen wie „Mit Standardeinstellungen fortfahren“ oder „Ich lehne nicht wesentliche Funktionen ab“ sind nicht klar. Lösung: Verwenden Sie eine eindeutige Bezeichnung wie „Alle ablehnen“ oder „Nicht notwendige Cookies ablehnen“.
Annehmen, dass Cookie Walls immer verboten sind. Die CNIL hat klargestellt, dass Cookie Walls zulässig sein können, wenn eine faire Alternative angeboten wird (zum Beispiel ein kostenpflichtiger Zugang ohne Cookies). In der Praxis erfüllen jedoch nur sehr wenige Websites diese Bedingungen. Lösung: Lesen Sie die Leitlinien zu Cookie Walls und prüfen Sie, ob Ihr Fall die Voraussetzungen wirklich erfüllt.
Die mobile Darstellung nicht testen. Ein Button, der auf dem Desktop gut sichtbar ist, kann auf dem Smartphone nahezu unsichtbar werden, wenn das responsive Design nicht sauber umgesetzt ist. Unbeabsichtigte Dark Patterns auf Mobilgeräten sind häufig. Lösung: Testen Sie Ihr Banner vor dem Livegang auf mindestens drei Bildschirmgrößen.
Vorausgewählte Kästchen im Einstellungsfenster belassen. Standardmäßig dürfen nur unbedingt erforderliche Cookies (die keine Einwilligung benötigen) aktiviert sein. Alle anderen Kategorien müssen abgewählt sein. Lösung: Passen Sie die Konfiguration Ihrer CMP an, damit optionale Kategorien standardmäßig deaktiviert sind.
Cookie Dark Patterns: Was Aufsichtsbehörden prüfen
Um das Ausmaß der Kontrolle einzuordnen, finden Sie hier eine Übersicht darüber, worauf die CNIL und andere europäische Behörden bei Einwilligungsbannern achten.
Checkliste: Cookie-Banner ohne Dark Patterns
- Der Button „Alle ablehnen“ befindet sich auf der ersten Ebene des Banners, ohne zusätzlichen Klick.
- Die Buttons „Alle akzeptieren“ und „Alle ablehnen“ haben dieselbe Größe, Farbe und visuelle Gewichtung.
- Das Ablehnen von Cookies erfordert genau so viele Klicks wie das Akzeptieren.
- Die Formulierungen sind neutral und eindeutig („Alle akzeptieren“ / „Alle ablehnen“), ohne Fachjargon und ohne Schuldgefühle zu erzeugen.
- Im Einstellungsfenster sind standardmäßig nur unbedingt erforderliche Cookies aktiviert.
- Kein nicht notwendiges Skript (Analyse, Werbung, soziale Netzwerke) wird geladen, bevor der Nutzer seine Wahl getroffen hat.
- Das Banner ist auf Mobilgeräten getestet und lesbar (erreichbare Buttons, lesbarer Text, kein unbeabsichtigtes Dark Pattern).
- Das Schließen des Banners (falls es einen Schließen-Button gibt) gilt nicht als Zustimmung.
- Der Nutzer kann seine Wahl jederzeit über einen auf der Website erreichbaren Link ändern (meist im Footer).
- Die Cookie-Richtlinie ist über das Banner erreichbar.
Fazit
Dark Patterns in Cookie-Bannern sind kein Designdetail. Es sind Praktiken, die die Einwilligung unwirksam machen und Ihre Website Sanktionen aussetzen. Die CNIL hat dies Ende 2024 mit förmlichen Abmahnungen an Websitebetreiber bekräftigt, und der Trend kehrt sich nicht um.
Die Regel ist einfach: Das Ablehnen von Cookies muss genauso leicht sein wie das Akzeptieren. Gleiche Sichtbarkeit, gleiche Anzahl an Klicks, gleiche Klarheit. Wenn Ihr Banner diese Symmetrie nicht einhält, ist die eingeholte Einwilligung rechtlich angreifbar.
Um den Zustand Ihres Banners zu prüfen und Skripte zu erkennen, die vor der Einwilligung geladen werden, scannen Sie Ihre Website kostenlos mit FlowConsent.