Borlabs Cookie vs. Real Cookie Banner vs. Usercentrics & Complianz 2026: Der große WordPress-Consent-Test (DSGVO, TDDDG & Consent Mode v2)

1. Das Wichtigste in 60 Sekunden: Welches Cookie-Plugin gewinnt 2026 für wen?

Kaum ein anderes Bauteil einer deutschen Unternehmenswebsite sorgt für so viel Unsicherheit wie das Cookie-Consent-Banner. In unseren technischen Audits als Berliner WordPress Agentur sehen wir jede Woche dasselbe Bild: Auf der Website poppt zwar ein optisch schickes Banner mit den Buttons „Alle akzeptieren“ und „Ablehnen“ auf – doch ein kurzer Blick in die Browser-Entwicklerkonsole (Netzwerk-Tab) zeigt, dass Google Analytics, Meta Pixel, Google Fonts oder YouTube-Skripte bereits im Hintergrund gefeuert haben, lange bevor der Besucher überhaupt geklickt hat.

Rechtlich ist ein solches „Attrappen-Banner“ schlimmer als gar kein Banner: Es dokumentiert schwarz auf weiß, dass der Betreiber die Einwilligungspflicht nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, ehemals TTDSG) und Art. 6 Abs. 1 lit. a DSGVO kannte, technisch aber ignoriert hat. Gleichzeitig zerreißen schwerfällige Cloud-Skripte nicht selten die mobilen Google Core Web Vitals (LCP, CLS & INP) und kosten wertvolle Rankings.

2. Rechtslage 2026 (§ 25 TDDDG & DSGVO): Warum 7 von 10 Cookie-Bannern nur Theater spielen

Um das richtige Consent-Tool auszuwählen, lohnt sich ein glasklarer Blick auf die zwei Gesetze, die jede deutsche Website gleichzeitig erfüllen muss. Viele Website-Betreiber glauben noch immer, es gehe beim Cookie-Banner allein um „personenbezogene Daten“. Tatsächlich greift der Gesetzgeber bereits eine Sekunde früher ein:

• Stufe 1 – Zugriff auf das Endgerät (§ 25 TDDDG): Seit der Umbenennung des TTDSG in das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) regelt § 25 Abs. 1 unmissverständlich: Jedes Speichern von Informationen auf dem Smartphone oder Laptop des Nutzers – und jedes Auslesen von Informationen aus dessen Gerät (egal ob klassisches Cookie, localStorage, sessionStorage oder Browser-Fingerprinting) – erfordert eine vorherige, informierte und freiwillige Einwilligung. Einzige Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG: Der Zugriff ist „unbedingt erforderlich“, um den vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen (z. B. Warenkorb-Session im WooCommerce-Shop, Login-Status oder die Speicherung der Cookie-Auswahl selbst).
• Stufe 2 – Weiterverarbeitung & Drittlandtransfer (Art. 6 & Art. 44 ff. DSGVO): Selbst wenn ein Dienst gar kein Cookie setzt, sondern beim Seitenaufruf lediglich ein externes Skript, ein Zählpixel oder eine Kartendatei von einem fremden Server lädt (z. B. Google Maps, YouTube, Calendly oder externe CDNs), wird dabei zwangsläufig die IP-Adresse des Besuchers samt Browser-Header an den Drittanbieter übertragen. Nach ständiger Rechtsprechung deutscher Landgerichte (bekannt durch die Google-Fonts-Urteile) stellt bereits diese unbefugte IP-Weitergabe an US-Konzerne ohne vorherige Einwilligung einen DSGVO-Verstoß dar.

Was bedeutet das technisch für Ihr WordPress-Plugin? Ein echter Consent-Manager darf nicht nur ein hübsches Popup anzeigen. Er muss über einen technischen Script- und Content-Blocker verfügen, der sämtliche nicht-essenziellen <script>-Tags, <iframe>-Einbettungen und Stylesheets im HTML-Quellcode umschreibt, bis der Besucher aktiv auf „Zustimmen“ klickt. Kostenlose Einfach-Plugins („Cookie Notice“ ohne Blocker-Engine) leisten genau diese Blockade nicht – sie blenden lediglich einen Textbalken ein, während Google Analytics im Hintergrund munter weiterläuft.

3. Überraschende Wahrheit: Wann braucht eine KMU-Website überhaupt KEINEN Cookie-Banner?

Bevor Sie 59 € bis 600 € pro Jahr für eine Consent-Lösung ausgeben, stellen wir in unserer Beratung zum Website erstellen lassen immer zuerst eine provokante Gegenfrage: Brauchen Sie auf Ihrer Website überhaupt einwilligungspflichtige Dienste?

Es existiert nämlich keine gesetzliche „Cookie-Banner-Pflicht“ – es existiert nur eine Einwilligungspflicht für nicht-notwendige Speicherzugriffe und externe Datenübertragungen! Wenn Sie Ihre Unternehmenswebsite technisch sauber nach dem Prinzip Privacy by Design aufbauen, dürfen Sie den nervigen Banner komplett weglassen:

Wann kommen Sie NICHT um einen professionellen Consent-Manager herum? Sobald Sie Google Ads Conversion-Tracking, Google Analytics 4, das Meta/LinkedIn-Pixel für Remarketing oder direkt auf der Seite klickbare Drittanbieter-Widgets (Google Maps, YouTube, ProvenExpert-Widgets mit Tracking, externe Buchungskalender) einsetzen. Und genau für diesen Fall vergleichen wir jetzt die vier führenden Lösungen im Detail.

4. Der große Systemvergleich: Borlabs Cookie 3 vs. Real Cookie Banner vs. Complianz vs. Usercentrics

Wir haben in den vergangenen Jahren über 360 Kundenprojekte betreut und sämtliche relevanten Consent-Systeme im Live-Betrieb auf deutschen Mittelstands-Websites getestet. Die folgende Matrix zeigt Ihnen die realen Unterschiede bei Architektur, Jahreskosten, Google-Zertifizierung und Ladezeit-Einfluss (alle Preise netto, Stand Ende 2026):

5. Direktduell der Platzhirsche: Borlabs Cookie 3.x vs. Real Cookie Banner im Detail

Auf über 80 Prozent aller rechtssicher konfigurierten deutschen WordPress-Websites läuft heute entweder Borlabs Cookie oder Real Cookie Banner. Beide stammen von inhabergeführten deutschen Softwareunternehmen, beide speichern sämtliche Einwilligungsprotokolle lokal auf Ihrem eigenen Server (Sie benötigen also keinen zusätzlichen Auftragsverarbeitungsvertrag für eine externe Consent-Cloud!) und beide kosten für eine Einzel-Lizenz rund 59 Euro im Jahr. Dennoch unterscheidet sich die tägliche Arbeit mit beiden Plugins spürbar:

Warum Real Cookie Banner für Selbstständige & Einsteiger oft angenehmer ist

Wenn Sie Ihre WordPress-Website im eigenen Haus pflegen, nimmt Ihnen Real Cookie Banner die größte Angstfrage ab: „Welche Dienste und Cookies lädt meine Website überhaupt im Verborgenen?“ Nach der Installation crawlt der integrierte Scanner Ihre komplette Sitemap – inklusive Unterseiten mit eingebetteten Formularen, Videos oder Shop-Funktionen – und listet Ihnen jeden gefundenen Fundort im Klartext auf.

Anschließend schlägt das Plugin direkt die passende Vorlage inklusive deutschsprachiger Rechtsbeschreibung, Anbieter-Datenschutzlink, Speicherdauer und passendem Content-Blocker vor. Besonders vorbildlich: Die Oberfläche ist direkt im nativen WordPress-Customizer bzw. mit Live-Vorschau gestaltbar, und das Plugin warnt aktiv vor unzulässigen „Dark Patterns“ (z. B. wenn Sie versuchen, den „Ablehnen“-Button optisch zu verstecken).

Warum Borlabs Cookie 3.x bei Entwicklern, SEO-Profis & Agenturen Kultstatus genießt

Während Borlabs Cookie in der älteren Version 2 noch viel Handarbeit erforderte, hat die Hamburger Borlabs GmbH mit Borlabs Cookie 3.x architektonisch einen Meilenstein abgeliefert. Die neue Bibliothek (Library) installiert komplette Service- und Content-Blocker-Pakete per Mausklick, bringt ebenfalls einen lokalen Scanner mit und glänzt vor allem unter der Haube:

• Chirurgische Präzision im Google Tag Manager (GTM): Borlabs feuert extrem saubere DataLayer-Events und Custom-Triggers, sobald eine spezifische Service-Gruppe freigegeben wird – ohne Race-Conditions beim ersten Seitenaufruf.
• Mehrsprachigkeit auf Enterprise-Niveau: Wer mit WPML oder Polylang eine mehrsprachige B2B-Website (Deutsch, Englisch, Französisch, Polnisch) betreibt, verwaltet mit Borlabs sprachspezifische Rechtstexte und Buttons ohne Übersetzungs-Chaos.
• Maximale Code-Disziplin für Core Web Vitals: Das Frontend-JavaScript von Borlabs ist kompromisslos modular, verzichtet auf jQuery-Abhängigkeiten und erzeugt bei korrekter Einbindung 0,000 Cumulative Layout Shift (CLS).

6. Cloud-CMPs (Usercentrics & Cookiebot) vs. native WordPress-Plugins: Die versteckte Kosten- & Speed-Falle

Viele Geschäftsführer stoßen durch TV- oder Online-Werbung zuerst auf große Cloud-Plattformen wie Usercentrics oder Cookiebot (heute beide unter dem Dach von Usercentrics). Technisch funktionieren diese sogenannten Cloud-CMPs (Consent Management Platforms) völlig anders als Borlabs oder Real Cookie Banner: Ihre Einwilligungslogik liegt nicht in Ihrem WordPress, sondern wird bei jedem Seitenbesuch live von externen Servern der CMP geladen.

Für Großkonzerne mit 15 Subdomains auf SAP, Salesforce, Typo3 und Custom-Apps ist diese zentrale Verwaltung ein Segen. Für ein typisches mittelständisches Unternehmen mit einer WordPress-Website bringt eine Cloud-CMP jedoch drei gravierende Nachteile mit sich:

1. Massive Mehrkosten über 3 Jahre: Sobald Ihre Website durch gutes SEO mehr Besucher gewinnt oder durch einen Unternehmensblog über 100 Unterseiten wächst, rutschen Sie bei Cloud-Anbietern schnell in höhere Tarifstufen von 15 € bis über 50 € pro Monat (180 € bis 600+ € pro Jahr statt 59 € pauschal).
2. Zusätzlicher externer Datenfluss: Weil das Consent-Skript selbst von einem Drittserver geladen wird, erfährt der Cloud-Anbieter bei jedem Seitenaufruf die IP-Adresse Ihrer Besucher – Sie müssen also zwingend einen Auftragsverarbeitungsvertrag (AVV) abschließen und den Dienst in Ihrer Datenschutzerklärung aufführen.
3. Spürbare PageSpeed-Bremse auf Mobilgeräten: Unsere Lighthouse-Messungen zeigen regelmäßig, dass externe CMP-Skripte auf 4G-Mobilverbindungen die Total Blocking Time (TBT) und den Interaction to Next Paint (INP) um 180 bis 450 Millisekunden verschlechtern, weil vor dem ersten Rendern externe JSON-Konfigurationen geladen und geparst werden müssen.

Die einzige echte Ausnahme für KMU: Wenn Sie auf Ihrer Website ein werbefinanziertes Online-Magazin mit Google AdSense oder programmatischen Werbenetzwerken betreiben, schreibt Google zwingend eine nach dem IAB TCF v2.2 Standard zertifizierte CMP vor (was Cloud-CMPs sowie spezielle TCF-Module abdecken). Für 99 % aller normalen Firmenwebsites, Handwerksbetriebe, Praxen, Kanzleien und Online-Shops (selbst mit Google Ads!) ist TCF 2.2 jedoch überhaupt nicht erforderlich und rechtlich wegen hunderter Werbe-Vendoren sogar kontraproduktiv!

7. Google Consent Mode v2 (Basic vs. Advanced): Die gefährlichste Abmahnfalle für Google-Ads-Werbetreibende

Wenn Sie über Google Ads Neukunden gewinnen oder Remarketing-Listen im Europäischen Wirtschaftsraum (EWR) nutzen, verlangt Google zwingend die Übermittlung der vier Signale des Google Consent Mode v2 (ad_storage, analytics_storage, ad_user_data und ad_personalization). Ohne diese Signale stellt Google die Conversion-Modellierung und Zielgruppenbildung ein.

Doch Vorsicht: Google bietet für den Consent Mode v2 zwei völlig unterschiedliche Betriebsmodi an – und die falsche Checkbox in Borlabs, Real Cookie Banner oder Complianz bringt Sie direkt in Konflikt mit den deutschen Datenschutzaufsichtsbehörden!

8. Content-Blocker für Google Maps, YouTube, Instagram & Calendly sauber einrichten

Ein häufiger Irrtum in der Praxis lautet: „Wir nutzen doch gar kein Google Analytics, also brauchen wir keinen Blocker.“ Gleichzeitig ist auf der Kontaktseite jedoch eine interaktive Google-Maps-Karte eingebunden und auf der Startseite ein YouTube-Imagefilm. Beides lädt bereits beim Öffnen der Seite ungefragt Skripte und Tracking-Kennungen von Google-Servern (doubleclick.net, gstatic.com, youtube.com).

Sowohl Borlabs Cookie 3 als auch Real Cookie Banner lösen dieses Problem elegant über sogenannte 2-Klick-Content-Blocker (Visual Overlays):

• Lokales Vorschaubild statt leerer grauer Box: Beide Plugins laden das YouTube-Vorschaubild oder eine stilisierte Kartenvorschau einmalig auf Ihren eigenen WordPress-Server herunter und liefern es lokal als pfeilschnelles WebP-Bild aus.
• Klare Einzel-Entscheidung im Kontext: Möchte ein Besucher im Cookie-Banner beim Betreten der Website pauschal auf „Nur essenzielle akzeptieren“ klicken, bleibt die Website voll nutzbar. Scrollt er später zur Anfahrtskarte, kann er gezielt mit einem einzigen Klick auf „Karte von Google Maps laden“ nur diesen einen Dienst freischalten.
• Wichtig bei YouTube: Nutzen Sie zusätzlich immer die erweiterte Datenschutz-URL youtube-nocookie.com – beachten Sie aber, dass auch youtube-nocookie.com beim Laden Verbindungen zu Google-Servern aufbaut und daher trotzdem hinter einen 2-Klick-Content-Blocker gehört!

9. Messwerte aus dem Labor: Wie stark bremsen Cookie-Banner Ihren Google PageSpeed (LCP, CLS & INP)?

Als Agentur mit Fokus auf High-Speed-Websites unter 0,8 Sekunden Ladezeit betrachten wir jedes Consent-Plugin auch durch die Brille der Google Core Web Vitals. Ein falsch konfiguriertes Cookie-Banner sabotiert gleich drei zentrale Ranking-Metriken auf einmal:

1. Der LCP-Killer (Largest Contentful Paint): Wenn Ihr Cookie-Banner als riesiges Modal mit großem Textblock über die halbe mobile Ansicht liegt, wertet Google Lighthouse nicht mehr Ihr optimiertes Hero-Bild oder Ihre H1-Überschrift als größtes sichtbares Element (LCP), sondern den spät per JavaScript eingeblendeten Textblock des Cookie-Banners! Plötzlich springt Ihr mobiler LCP-Wert von hervorragenden 1,1 Sekunden auf rote 3,4 Sekunden. Unsere Lösung: Kompaktes, sofort per Inline-CSS vorreserviertes Layout am unteren Bildschirmrand ohne nachladende Webfonts-Verzögerung.
2. Der CLS-Fehler (Cumulative Layout Shift): Schiebt ein oberer Cookie-Balken nach 600 Millisekunden den gesamten Seiteninhalt nach unten, bestraft Google dieses Springen mit einem miserablen CLS-Wert. Sowohl Borlabs als auch Real Cookie Banner müssen daher immer als überlagerndes Overlay (Fixed Position) und niemals als „Push-Down-Bar“ betrieben werden.
3. Der INP-Engpass (Interaction to Next Paint): Klickt der Nutzer auf „Alle akzeptieren“ und Ihr Banner entsperrt im selben Moment synchron fünf schwere Tracking-Skripte auf dem Haupt-Thread, friert das Smartphone für 500+ Millisekunden ein. Moderne Setups in Borlabs Cookie 3 entkoppeln diese Freigabe asynchron, sodass die Button-Animation unter 50 Millisekunden flüssig reagiert.

10. Die 8 häufigsten Konfigurationsfehler (Dark Patterns, Nudging, TCF-Falle & Vorab-Tracking)

Verbraucherzentralen und Landesdatenschutzbeauftragte prüfen Cookie-Banner inzwischen automatisiert per Headless-Browser. Achten Sie bei der Einrichtung (oder bei unserem WordPress-Wartungs-Check) unbedingt darauf, diese acht Klassiker zu vermeiden:

• Fehler 1 – Fehlender „Ablehnen“-Button auf erster Ebene: „Alle akzeptieren“ auf der ersten Ebene, „Ablehnen“ aber erst versteckt im Untermenü „Einstellungen speichern“ ist nach den Leitlinien der Datenschutzkonferenz (DSK) unzulässig. Beide Optionen müssen auf Ebene 1 gleichwertig erreichbar sein.
• Fehler 2 – Visuelles Nudging (extrem ungleicher Kontrast): Ein leuchtend grüner „Akzeptieren“-Button neben einem blassgrauen Textlink „Weiter ohne Einwilligung“ auf weißem Hintergrund gilt als manipulatives Dark Pattern.
• Fehler 3 – Impressum und Datenschutzerklärung verdeckt: Das Cookie-Banner darf niemals die Links zu Impressum (§ 5 DDG) und Datenschutzerklärung überdecken oder auf diesen beiden Pflichtseiten den Lesezugriff versperren! Auf /impressum/ und /datenschutz/ muss das Banner ausgeblendet bzw. nicht-blockierend konfiguriert sein.
• Fehler 4 – Fehlender Widerrufs-Link im Footer: Nach Art. 7 Abs. 3 DSGVO muss der Widerruf einer Einwilligung genauso einfach sein wie deren Erteilung. Ein fester Textlink „Cookie-Einstellungen ändern“ im Website-Footer (keine dauerhaft schwebende Riesenglocke, die auf dem Handy Buttons verdeckt!) ist Pflicht.
• Fehler 5 – Vorab angehakte Checkboxen: Kategorien wie „Statistik“ oder „Marketing“ dürfen niemals vorausgewählt sein (Planet49-Urteil des EuGH).
• Fehler 6 – Google Tag Manager außerhalb des Blockers geladen: Viele binden den GTM hart in die header.php ein, ohne Consent-Initialisierung – dann feuern Tags unkontrolliert am Consent-Plugin vorbei.
• Fehler 7 – Unnötig aktiviertes IAB TCF 2.2: Wer ohne AdSense-Monetarisierung versehentlich TCF aktiviert, erschlägt Besucher mit einer Liste von über 700 Werbenetzwerken und halbiert seine Zustimmungsquote.
• Fehler 8 – Veraltete Service-Listen nach Website-Updates: Ein Mitarbeiter installiert ein neues Chat- oder Buchungs-Plugin, vergisst aber, den Scanner im Cookie-Plugin erneut auszuführen (genau deshalb gehört die Consent-Prüfung in jeden seriösen Website-Wartungsvertrag!).

11. Klare Kaufempfehlung nach Unternehmenstyp & 3-Jahres-Gesamtkostenrechnung

Rechnen wir die Gesamtkosten (Total Cost of Ownership) über 36 Monate realistisch für ein mittelständisches Unternehmen mit einer professionellen Website (ca. 40 Unterseiten, 8.000 Besucher/Monat, Google Ads + Google Maps) durch:

12. Häufig gestellte Fragen (FAQ zu Cookie-Bannern, Borlabs, Real Cookie Banner & TDDDG)