DSGVO-Cookie-Scanner
Drittanbieter-Domains und Pre-Consent-Cookies aufdecken — DSGVO-relevant.
So funktioniert dieses Tool
Eine DSGVO-konforme Website darf vor Consent KEINE Tracker laden — keine Google Analytics, keinen Meta-Pixel, keine externe Schrift, kein Hotjar, keinen Maps-Iframe. Dieser Scanner lädt Ihre Seite in einem echten Headless-Chromium (ohne Consent-Click) und erfasst alle Drittanbieter-Domains, die der Browser tatsächlich kontaktiert — inklusive JavaScript-injizierter Tracker, dynamisch nachgeladener Beacons (z.B. Google Tag Manager, gtag-Calls, Meta Pixel `/tr`) und document.cookie-Cookies. Externe Domains werden gegen eine Tracker-Datenbank kategorisiert (analytics, ads, social, fonts, cdn, maps, video, chat). Cookies werden mit ihren Flags (Secure, HttpOnly, SameSite, Third-Party) gelistet. Aktive Tracker werden zusätzlich am JavaScript-Window-Scope erkannt (`gtag`, `fbq`, `_paq`, `_hjSettings` etc.). Verdict: clean / review / critical.
Typische Anwendungsfälle
- Erste DSGVO-Bewertung einer Website binnen Sekunden
- Vor Audit oder Abmahnungs-Brief von Anwälten den eigenen Stand dokumentieren
- Nach Cookie-Banner-Implementierung verifizieren, dass tatsächlich keine Tracker mehr ohne Consent laden
- Kunden-Sites in der Agentur regelmäßig screenen — Marketing setzt gerne unbedacht Pixel-Tags ein
Häufige Fragen
Reicht der Scan als DSGVO-Beweis?
Es ist ein Indikator, kein Audit. Komplettes DSGVO-Audit braucht Cookie-Banner-Test, Privacy-Policy-Review, Auftragsverarbeiter-Verträge etc. Dieser Scan fängt die offensichtlichen Probleme ab (Pre-Consent-Tracker).
Was bedeuten die Kategorien?
analytics (problematisch ohne Consent: GA, Matomo, Hotjar, …), ads (kritisch: Meta-Pixel, Google Ads, …), social (kritisch: X-Embed, LinkedIn-Insight, …), fonts (Google Fonts: DSGVO-Risiko nach LG München-Urteil 2022), maps/video/chat (oft mit Tracker-Cookies), cdn (meist unkritisch), other (manuell prüfen).
Lädt der Scan die Seite wie ein Browser?
Ja — wir laden die Seite in einem echten Headless-Chromium (gleiche Engine wie Chrome) und führen JavaScript aus. Tracker, die dynamisch nachgeladen werden (Google Tag Manager, gtag, fbq, Hotjar-Loader), werden dadurch erfasst. Auch document.cookie-Cookies, die nicht über HTTP-Header gesetzt sind, sind sichtbar. Im Vergleich zu reinem HTML-Parsing finden wir typischerweise 3-10× mehr Drittanbieter-Domains.
Sind Google Fonts wirklich ein DSGVO-Problem?
Nach dem Urteil des LG München (2022) ja, wenn Sie sie über Googles CDN laden ohne Consent. Lösung: Fonts selbst hosten (lokal in den Build packen).
Was ist mit Cookie-Banner-Bypass durch ausgewählte Geräte?
Manche Banner laden Tracker bedingt (z.B. nur bei mobile, nur bestimmte Browser). Wir scannen mit User-Agent "Desktop Chrome". Für mobile Erkennung nutzen Sie das XICTRAQ-Monitoring im Account.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.