Max Korn
Ob überhaupt jemand deine Website besucht, würdest du gern wissen. Google Analytics kennst du, aber dafür bräuchtest du ein Cookie-Banner. Gibt es eine Alternative zu Google Analytics, die ohne Banner auskommt?
Ja, du kannst Besucher zählen, ohne dafür ein Cookie-Banner einzublenden. Auf der sicheren Seite bist du mit Werkzeugen, die bei deinen Besuchern kein Skript ausführen. Das sind die Google Search Console und die Auswertung deiner Server-Logs. Cookielose Tools wie Matomo ohne Cookies, Plausible oder Fathom sind verbreitet, in Deutschland aber nicht eindeutig einwilligungsfrei.
Für Google Analytics selbst gibt es nach Einschätzung von Datenschutz-Fachleuten keine Einstellung, mit der du ohne Einwilligung auskommst. Bei einer kleinen Firmenwebsite reichen meist Search Console und Server-Statistik, um die Grundfragen zu beantworten.
Warum „ohne Cookies“ nicht automatisch „ohne Banner“ heißt
Viele Anbieter werben mit der Formel „cookielos, also kein Banner nötig“. Das greift zu kurz, weil zwei Regeln getrennt gelten. Die erste ist § 25 TDDDG. Danach brauchst du eine Einwilligung, wenn du Informationen auf dem Gerät des Besuchers speicherst oder auf dort gespeicherte Informationen zugreifst.
Die Regel trifft auf jede Technik zu, nicht nur auf Cookies. Ob personenbezogene Daten im Spiel sind, spielt dabei keine Rolle. Ausnahmen kennt das Gesetz nur zwei. Entweder ist der Zugriff für die reine Nachrichtenübertragung nötig, oder er ist unbedingt erforderlich für einen Dienst, den der Besucher ausdrücklich wünscht.
Die zweite Regel ist die DSGVO. Sie greift, sobald du personenbezogene Daten verarbeitest, etwa die IP-Adresse. Dafür brauchst du eine Rechtsgrundlage. Bei Statistik ist das meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, das ohne Einwilligung auskommt.
Ein Tool kann also DSGVO-konform arbeiten und trotzdem nach § 25 TDDDG eine Einwilligung brauchen.
Wo der Zugriff auf das Gerät beginnt, sehen die Aufsichtsbehörden unterschiedlich. Laut einem Kanzlei-Kommentar zur Orientierungshilfe der deutschen Aufsichtsbehörden (DSK) gilt erst das aktive Auslesen als Zugriff, etwa per Skript. Die passiv beim Server ankommende IP-Adresse zählt demnach nicht. Der Europäische Datenschutzausschuss wertet in seinen Leitlinien vom Oktober 2024 schon Tracking-Pixel und per JavaScript ausgelöste Anfragen als Zugriff.
Serverseitige Auswertung ist damit die sichere Seite, Stand September 2026. Ein JavaScript-Tool ohne Banner ist eine bewusste Risikoentscheidung. Ob deine Website aus anderen Gründen ein Banner braucht, klärt der Ratgeber dazu, wann deine Website überhaupt ein Cookie-Banner braucht.
Search Console und Server-Statistik: Zahlen ohne Skript beim Besucher
Die Google Search Console zeigt dir laut Google Klicks, Impressionen, Klickrate und durchschnittliche Position aus der Google-Suche. Impressionen sind die Einblendungen deiner Seiten in den Suchergebnissen. Die Werte kannst du nach Suchanfragen, Seiten, Ländern und Geräten aufschlüsseln. Standardmäßig siehst du die letzten drei Monate.
Die Inhaberschaft bestätigst du per DNS-Eintrag, HTML-Datei oder Meta-Tag. Bei deinen Besuchern läuft dafür kein Tracking-Skript. Die Grenze ist klar: Die Search Console kennt nur Besucher aus der Google-Suche. Direktaufrufe, Besucher aus Newsletter oder Social Media und das Verhalten auf deiner Website siehst du in der Search Console nicht.
Die Server-Logs schließen diese Lücke. Darin hält dein Server jeden Aufruf fest. IP-Adresse und aufgerufene Adresse kommen bei jeder Anfrage ohnehin an. Datenschutz-Fachseiten sehen in der Auswertung dieser Daten einen Weg ohne Einwilligung. Bedingung: kein aktiver Zugriff auf das Gerät, keine Weitergabe identifizierbarer Daten an Dritte und keine Zusammenführung über Geräte oder Anbieter hinweg.
Prüf in deinem Kundenbereich oder beim Support, ob dein Hosting-Paket so eine Statistik enthält. Achte dabei auf den Funktionsumfang und darauf, wie lange IP-Adressen gespeichert werden.
Mehr Auswertung bekommst du mit Matomo im Log-Modus. Laut Matomo läuft das Tool dann ganz ohne Tracking-Code und importiert nur die Server-Logs. Dafür brauchst du Zugriff auf Server und Skripte, und einzelne Funktionen fehlen in diesem Modus.
Logs enthalten außerdem Zugriffe von Bots. Nimm die Zahlen deshalb als Größenordnung, nicht als exakte Besucherzahl. Die DSGVO-Prüfung entfällt auch hier nicht, denn die IP-Adresse bleibt ein personenbezogenes Datum.
Was die Anbieter von Matomo, Plausible und Fathom selbst sagen
Alle drei laufen per JavaScript im Browser deiner Besucher und fallen damit unter die oben beschriebene Risikoentscheidung. Die folgenden Angaben stammen von den Anbietern selbst.
Matomo lässt sich laut Anbieter mit der globalen Einstellung Force tracking without cookies ohne Cookies betreiben. Dazu gehören gekürzte IP-Adressen und keine personenbezogenen Daten in URLs, Seitentiteln oder Events.
Aufschlussreich ist Matomos eigene Einordnung: Der JavaScript-Tracker ohne Cookies und Kennungen könne rechtliche Risiken verringern, greife aber weiterhin auf das Gerät des Besuchers zu. Für Deutschland sieht Matomo nur Tracking ohne Speichern und ohne Gerätezugriff außerhalb des TDDDG. Die Ausnahme der französischen Datenschutzbehörde CNIL gilt hier nicht.
Deutsche Datenschutz-Fachseiten bewerten den cookielosen Matomo-Tracker ohne Banner deshalb als verbreitete, aber rechtlich ungeklärte Praxis.
Plausible setzt nach eigener Aussage keine Cookies und nutzt weder Browser-Cache noch Local Storage. Eindeutige Besucher zählt das Tool über einen Hash aus Domain, IP-Adresse und User-Agent. Ein Hash ist eine Art Prüfsumme, der User-Agent die Kennung von Browser und System. Dazu kommt ein täglich wechselnder Zufallswert.
IP-Adresse und User-Agent speichert Plausible laut eigener Angabe nicht. Die Daten liegen laut Plausible in der EU, das Unternehmen sitzt in Estland. Plausible erklärt, für die Analyse sei kein Cookie-Banner nötig. Das ist eine Anbieteraussage, keine Einschätzung einer Aufsichtsbehörde.
Fathom verzichtet laut Anbieter auf Analyse-Cookies und zählt ebenfalls über einen Hash mit täglich wechselndem Zufallswert. Betreiber ist die Conva Ventures Inc. in Kanada. Mit der Funktion „EU Isolation“ wird Traffic aus der EU zunächst in der EU verarbeitet, die anonymisierten Daten verarbeitet Fathom danach in US-Systemen. Diesen Datenfluss prüfst du für deine Datenschutzerklärung und deine eigene Abwägung.
Welche Lösung zu deiner Website passt
| Option | Was du erfährst | Was fehlt | Einordnung nach § 25 TDDDG | Voraussetzung |
|---|---|---|---|---|
| Search Console | Suchanfragen, Klicks und Seiten aus der Google-Suche | andere Kanäle, Verhalten auf der Website | kein Skript beim Besucher | bestätigte Inhaberschaft |
| Server- oder Log-Statistik | Aufrufe aller Seiten, egal über welchen Kanal | exakte Zahlen, einzelne Funktionen | kein aktiver Zugriff, sichere Seite | Statistik beim Hoster oder Server-Zugriff |
| Cookieloses JavaScript-Tool | Seitenaufrufe und Herkunft, je nach Tool auch Ziele | eine klare Rechtslage | umstritten, Risikoentscheidung | Skript einbinden, Datenfluss prüfen |
| Google Analytics | ausführliche Auswertung inklusive Anzeigen | Daten aller, die ablehnen | nur mit Einwilligung | Banner |
Starte mit Search Console und Server-Statistik. Damit siehst du ohne Banner, ob Leute dich über Google finden und welche Seiten sie aufrufen. Für viele kleine Firmenwebsites ist das genug.
Ein cookieloses Tool lohnt sich, wenn du Newsletter oder einzelne Aktionen getrennt auswerten willst oder sehen willst, welche Seiten zu Formularanfragen führen. Das Restrisiko aus dem Behördenstreit trägst du dann bewusst. Achte bei der Wahl auch auf den Datenfluss aus dem vorigen Abschnitt. Willst du eine Verarbeitung in den USA vermeiden, scheidet Fathom aus.
Google Analytics oder Werbe-Pixel brauchst du erst, wenn du bezahlte Anzeigen genau auswerten musst. Dann ist ein Banner ohnehin fällig, und die Frage nach bannerfreier Statistik erledigt sich.
Zwei Punkte gelten für jede Variante. Eingebundene Schriften, Karten oder Videos können unabhängig von der Statistik ein Banner auslösen. Wie du Google Fonts, YouTube und Karten datenschutzkonform einbindest, steht in einem eigenen Ratgeber.
Außerdem passt du deine Datenschutzerklärung an. Zweck, Rechtsgrundlage, Speicherdauer und die Möglichkeit zum Widerspruch gehören hinein.
Was deine Statistik beantworten soll, bevor du ein Tool wählst
Schreib drei Fragen auf, auf die deine Statistik antworten soll. Notier zu jeder die Entscheidung, die du von der Antwort abhängig machst. Eine Frage ohne Entscheidung dahinter musst du nicht messen. Die Frage bestimmt dann die Datenquelle:
- „Finden mich Leute über Google, wenn sie nach meinen Leistungen suchen?“ Das beantwortet die Search Console.
- „Welche Seiten lesen Besucher, bevor sie das Kontaktformular abschicken?“ Dafür brauchst du eine Messung auf der Website selbst, mindestens ein cookieloses Tool mit Zielen.
- „Bringt mein Newsletter oder meine Anzeige Besucher?“ Für den Newsletter genügt ein cookieloses Tool, das Quellen unterscheidet. Wer bezahlte Anzeigen genau auswerten will, landet bei Werbe-Tracking und damit beim Banner.
Denk an ein Umzugsunternehmen mit einer Startseite und einem Kontaktformular. Dazu kommt je eine Seite für Privatumzüge, Firmenumzüge und Einlagerung. Anzeigen schaltet es nicht.
Der Betrieb will drei Dinge wissen. Werden die Leistungsseiten bei Google gefunden? Welche Leistung wird am häufigsten angesehen? Kommen über das Formular Anfragen?
Die ersten beiden beantworten Search Console und Hoster-Statistik. Die Anfragen zählt das Unternehmen im Postfach. Ein zusätzliches Tool braucht es nicht, ein Banner für die Statistik auch nicht.
Zielen deine Fragen darauf, warum trotz Besuchern kaum Anfragen kommen, reicht eine Statistik allein nicht aus. Dann hilft nur eine strukturierte Suche nach den Gründen. Schreib deine drei Fragen auf, bevor du ein Tool installierst oder ein Angebot dafür annimmst.
