TL;DR
WordPress verwaltet die Cookie-Einwilligung nicht von Haus aus. Um eine WordPress-Website DSGVO-konform zu machen, benötigen Sie eine Consent-Management-Lösung (CMP), die ein Banner anzeigt, Skripte ohne Einwilligung blockiert und Einwilligungsnachweise speichert. Dafür gibt es mehrere Ansätze: ein spezielles WordPress-Plugin, eine externe SaaS-Lösung wie FlowConsent oder eine manuelle Integration per Code-Snippet.
Warum reicht WordPress allein für die Cookie-Compliance nicht aus?
WordPress ist ein Content-Management-System. Es enthält keinen eingebauten Mechanismus, um Besucher über Cookies zu informieren, ihre Einwilligung einzuholen oder Skripte vor der Zustimmung zu blockieren. Dabei setzen die meisten WordPress-Websites schon beim ersten Seitenaufruf Cookies.
Die Quellen von Cookies auf einer WordPress-Website sind zahlreich: der WordPress-Kern selbst (Session-Cookies, Authentifizierungs-Cookies), installierte Plugins (Formulare, Analytics, Cache, E-Commerce, SEO), das aktive Theme (Google Fonts, eingebettete Skripte) und integrierte Drittanbieterdienste (Google Analytics, Facebook Pixel, YouTube, Chat-Widgets). Jede dieser Quellen kann First-Party- oder Third-Party-Cookies setzen.
Ohne CMP werden all diese Cookies beim Laden der Seite ausgelöst, bevor der Besucher eingewilligt hat. Das ist der häufigste Compliance-Fehler auf WordPress-Websites.
Welche DSGVO-Anforderungen gelten für eine WordPress-Website?
Die Anforderungen sind dieselben wie für jede andere Website, unabhängig von der eingesetzten Technologie.
Zeigen Sie beim Besuch ein konformes Consent-Banner mit gleich gut sichtbaren Schaltflächen zum Akzeptieren und Ablehnen an. Blockieren Sie alle nicht essenziellen Skripte (Analytics, Werbung, soziale Netzwerke), bis der Besucher auf „Akzeptieren“ klickt. Stellen Sie eine leicht zugängliche und aktuelle Cookie-Richtlinie bereit, die alle Tracker auf der Website auflistet. Speichern Sie Einwilligungsnachweise, um sie bei einer Prüfung vorlegen zu können. Ermöglichen Sie dem Besucher, seine Einwilligung jederzeit zu ändern oder zu widerrufen.
Der Einsatz von WordPress ändert oder verringert diese Pflichten nicht. Eine WordPress-Website mit WooCommerce, Google Analytics und Facebook Pixel unterliegt genau denselben Anforderungen wie eine individuell entwickelte Website.
Wie verwalten Sie Cookies auf WordPress?
Drei Hauptansätze machen eine WordPress-Website cookie-konform.
Option 1: ein WordPress-Plugin für die Cookie-Einwilligung
Das ist der verbreitetste Ansatz. Plugins wie Complianz, CookieYes, Cookie Notice oder GDPR Cookie Compliance fügen direkt in WordPress ein Consent-Banner und einen Mechanismus zur Skriptblockierung hinzu.
Der Vorteil ist die Einfachheit: Ein paar Klicks in der WordPress-Oberfläche genügen. Die Einschränkung: Diese Plugins hängen vom WordPress-Ökosystem ab, also von der Kompatibilität mit Themes, anderen Plugins und Core-Updates. Manche kostenlosen Plugins bieten ein einfaches Banner, blockieren Skripte vor der Einwilligung aber nicht tatsächlich. Die Website ist dann trotz des Anscheins nicht konform.
Option 2: eine externe SaaS-CMP
Eine externe CMP wie FlowConsent, Cookiebot oder Didomi wird per JavaScript-Snippet im Header der Website eingebunden. Sie arbeitet unabhängig von WordPress und verwaltet Einwilligung, Skriptblockierung und Einwilligungsnachweise serverseitig.
Der Vorteil ist die Zuverlässigkeit: Die CMP hängt nicht von WordPress-Plugins ab und funktioniert unabhängig von Theme oder Konfiguration immer gleich. Außerdem bietet sie erweiterte Funktionen (automatischer Cookie-Scan, Google Consent Mode v2, Compliance-Berichte), die die meisten kostenlosen Plugins nicht bieten.
Option 3: manuelle Integration
Entwickler können einen eigenen Einwilligungsmechanismus über die JavaScript-API der CMP aufbauen oder die Skriptblockierung manuell programmieren (Attribut type="text/plain" an Script-Tags, dann bedingte Aktivierung nach der Einwilligung).
Dieser Ansatz bietet volle Kontrolle, erfordert aber laufende Wartung und ein solides Verständnis der Funktionsweise von Cookies und der DSGVO. Für eine gewöhnliche WordPress-Website ist er selten gerechtfertigt.
Wie blockieren Sie Skripte vor der Einwilligung auf WordPress?
Die Skriptblockierung ist der kritischste technische Punkt. Ein Banner, das zwar angezeigt wird, Cookies vor der Einwilligung aber nicht blockiert, ist nicht konform.
Die Standardmethode besteht darin, das type-Attribut der Script-Tags zu ändern. Statt type="text/javascript" (das die sofortige Ausführung auslöst) verwenden Sie type="text/plain" mit einem data-category-Attribut, das die Cookie-Kategorie angibt (Analytics, Marketing usw.). Die CMP aktiviert die Skripte der jeweiligen Kategorie erst nach der Einwilligung wieder.
Auf WordPress lässt sich diese Änderung auf drei Wegen vornehmen: über die Einstellungen des Consent-Plugins (die meisten bieten eine automatische Blockierung), über ein Plugin zur Skriptverwaltung wie Header Footer Code Manager (um die Attribute manuell anzupassen) oder über die Datei functions.php des Child-Themes (für individuelle Integrationen).
Nach der Einrichtung der Blockierung prüft ein Cookie-Audit , ob die Skripte vor der Einwilligung tatsächlich blockiert werden. Dieser Prüfschritt ist unverzichtbar.
Häufige Cookies auf einer WordPress-Website
Eine Standard-WordPress-Website setzt mehrere Kategorien von Cookies, die erfasst und dokumentiert werden müssen.
Zu den nativen WordPress-Cookies gehören wordpress_test_cookie (Test der Cookie-Funktion), wordpress_logged_in_* (Authentifizierungssitzung angemeldeter Nutzer) und wp-settings-* (Einstellungen der Admin-Oberfläche). Diese Cookies sind unbedingt erforderlich und für angemeldete Nutzer von der Einwilligungspflicht ausgenommen.
Zu den WooCommerce-Cookies (sofern installiert) gehören woocommerce_cart_hash und woocommerce_items_in_cart (Warenkorb). Sie sind im Rahmen eines Kaufvorgangs unbedingt erforderlich.
Einwilligungspflichtig sind die Drittanbieter-Cookies: _ga und _gid (Google Analytics), _fbp und _fbc (Facebook Pixel), YouTube-Cookies (bei eingebetteten Videos), Cookies von Social-Sharing-Plugins sowie Cookies von Chat- oder Support-Lösungen.
Ein Scan Ihrer Website ermittelt all diese Cookies und ermöglicht es Ihnen, sie in Ihrer CMP korrekt zu klassifizieren.
Häufige Fehler auf WordPress-Websites
Ein Banner-Plugin installieren, ohne die Skriptblockierung zu aktivieren. Das Banner wird angezeigt, aber Analytics- und Werbe-Cookies werden trotzdem beim Laden ausgelöst. Das ist der verbreitetste Compliance-Fehler auf WordPress.
Ein kostenloses Plugin nutzen, das Cookies nicht wirklich blockiert. Manche kostenlosen Plugins zeigen lediglich einen Hinweis an, ohne jeden technischen Blockiermechanismus. Das Banner ist rein kosmetisch.
Die Konfiguration nach dem Hinzufügen eines neuen Plugins nicht aktualisieren. Jedes WordPress-Plugin kann eigene Cookies setzen. Ein neues Formular-Plugin, Chat-Tool oder E-Commerce-Modul verändert das Cookie-Inventar der Website.
Vom Theme gesetzte Cookies vergessen. WordPress-Themes laden häufig Google Fonts, externe JavaScript-Bibliotheken oder integrierte Analytics-Skripte. Diese setzen Drittanbieter-Cookies, die vor der Einwilligung blockiert werden müssen.
Den WordPress-Cache nicht berücksichtigen. Cache-Plugins (WP Rocket, W3 Total Cache, LiteSpeed Cache) können eine zwischengespeicherte Seitenversion ausliefern, die bereits Cookies aus einer früheren Sitzung enthält. Die CMP muss so konfiguriert sein, dass sie mit dem Caching korrekt zusammenarbeitet.
WordPress und Google Consent Mode v2
Wenn Ihre WordPress-Website Google Analytics 4 oder Google Ads nutzt, ist Consent Mode v2 unverzichtbar. Dieser Mechanismus ermöglicht es Google-Tags, ihr Verhalten an die Einwilligungsentscheidung des Besuchers anzupassen.
Im Basic Mode werden Google-Tags vor der Einwilligung überhaupt nicht ausgelöst. Im Advanced Mode senden die Tags auch ohne Einwilligung cookielose Pings, um das maschinelle Lernen von Google zu speisen.
Auf WordPress lässt sich Consent Mode v2 über den Google Tag Manager (GTM) oder direkt über die CMP konfigurieren. FlowConsent und die meisten SaaS-CMPs übermitteln die Einwilligungssignale automatisch an die Google-Tags. Prüfen Sie bei einem WordPress-Plugin, ob es Consent Mode v2 nativ unterstützt.
Checkliste: Cookie-Compliance auf WordPress
- Führen Sie einen Website-Scan durch, um alle Cookies zu erfassen (Core, Plugins, Theme, Drittanbieter).
- Installieren Sie eine CMP (WordPress-Plugin oder externe SaaS-Lösung).
- Konfigurieren Sie die Blockierung nicht essenzieller Skripte vor der Einwilligung.
- Prüfen Sie, ob die Schaltfläche „Ablehnen“ ebenso sichtbar ist wie „Akzeptieren“.
- Aktivieren Sie Google Consent Mode v2, wenn Google Analytics oder Google Ads genutzt wird.
- Verfassen und veröffentlichen Sie eine vollständige Cookie-Richtlinie.
- Testen Sie das Verhalten im privaten Modus: keine nicht essenziellen Cookies vor dem Klick auf „Akzeptieren“.
- Konfigurieren Sie die CMP so, dass sie mit dem Cache-Plugin von WordPress funktioniert.
- Planen Sie vierteljährliche Audits sowie ein Audit nach jedem neuen Plugin ein.
- Dokumentieren Sie die Konfiguration, um sie bei Prüfungen vorlegen zu können.
Fazit
WordPress verwaltet die Cookie-Einwilligung nicht von Haus aus, doch mit den richtigen Werkzeugen ist Compliance erreichbar. Entscheidend ist eine Lösung, die Skripte vor der Einwilligung tatsächlich blockiert, statt nur ein kosmetisches Banner anzuzeigen. Eine SaaS-CMP wie FlowConsent bietet eine zuverlässige Integration, unabhängig von Plugins und Themes, mit automatischem Scan und integriertem Consent Mode v2.
Beginnen Sie mit einem kostenlosen Scan Ihrer WordPress-Website , um alle vorhandenen Cookies zu ermitteln und Ihren aktuellen Compliance-Stand zu bewerten.