Demo-Portal Prüfbericht

01Executive Summary

Ausschliesslich abgeleitet aus den tatsächlich ausgeführten Szenarien dieses Scans.

02Jurisdictions

Dieselben technischen Fakten, unterschiedliche Konsequenz. Die Einstufung erfolgt je Rechtsraum — eine globale Compliance-Aussage wäre unseriös.

03Szenarien & Beweise

Jedes ausgeführte Szenario mit Status, Ablauf, Tracker-Requests, Storage-Diff und Screenshots. Ein nicht gefundenes Merkmal ergibt kein grünes Häkchen — sondern «nicht prüfbar».

consent-revoked auffällig

Nach Widerruf (Beobachtungsfenster 2000 ms, Seitenwechsel + Events): 1 Tracker-Request(s), 0 Rest-ID(s). Widerruf-Diff: 3 Storage-Eintrag(e) entfernt, 0 verblieben (Peak nach Accept → Endzustand).

Ablauf

gotoscreenshot:01-bannerclick:acceptsnapshot:after-acceptscreenshot:02-after-acceptphase:post-revokeclick:revokepost-revoke:gotopost-revoke:events observe=2000msscreenshot:03-after-revoke

Aktions-Zeitlinie (10)

21.10.2026, 20:27:04	goto
21.10.2026, 20:27:04	screenshot:01-banner
21.10.2026, 20:27:04	click:accept
21.10.2026, 20:27:05	snapshot:after-accept
21.10.2026, 20:27:05	screenshot:02-after-accept
21.10.2026, 20:27:05	phase:post-revoke
21.10.2026, 20:27:05	click:revoke
21.10.2026, 20:27:06	post-revoke:goto
21.10.2026, 20:27:06	post-revoke:events observe=2000ms
21.10.2026, 20:27:08	screenshot:03-after-revoke

Tracker-Requests

Zeit	Tracker	Phase	Request
21.10.2026, 20:27:04	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:04	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ
21.10.2026, 20:27:04	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&
21.10.2026, 20:27:04	Google Analytics 4	post-accept	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&
21.10.2026, 20:27:05	Google Analytics 4	post-revoke	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&

Storage-Diff Widerruf (Peak nach Accept → Endzustand)

Widerruf-Diff localStorage: − dp_marketing − dp_analytics − dp_consent

Widerruf-Diff Consent-Werte: − dp_marketing = 1 − dp_analytics = 1 − dp_consent = accepted

Keine Residual-IDs nach Widerruf.

banner-ignored auffällig

3 Tracker ohne Consent-Klick aktiv (Timer/Scroll/Interaktion).

Ablauf

gotoscreenshot:01-loadedwait:2500msscroll:bottomclick:page-bodytype:testscreenshot:02-after-interact

Aktions-Zeitlinie (7)

21.10.2026, 20:27:13	goto
21.10.2026, 20:27:13	screenshot:01-loaded
21.10.2026, 20:27:16	wait:2500ms
21.10.2026, 20:27:16	scroll:bottom
21.10.2026, 20:27:17	click:page-body
21.10.2026, 20:27:18	type:test
21.10.2026, 20:27:19	screenshot:02-after-interact

Tracker-Requests

Zeit	Tracker	Phase	Request
21.10.2026, 20:27:13	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:13	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ
21.10.2026, 20:27:16	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&

subpage-spa auffällig

4 Tracker auf Unterseite/SPA ohne Consent.

Ablauf

goto:subpage/blog/goto:subpage/kontakt.htmlgoto:subpage/shop/goto:subpage/impressum.htmlscreenshot:01-subpagesgoto:rootspa:pushStatespa:click-internalscreenshot:02-after-spa

Aktions-Zeitlinie (9)

21.10.2026, 20:27:19	goto:subpage/blog/
21.10.2026, 20:27:20	goto:subpage/kontakt.html
21.10.2026, 20:27:21	goto:subpage/shop/
21.10.2026, 20:27:21	goto:subpage/impressum.html
21.10.2026, 20:27:22	screenshot:01-subpages
21.10.2026, 20:27:22	goto:root
21.10.2026, 20:27:22	spa:pushState
21.10.2026, 20:27:23	spa:click-internal
21.10.2026, 20:27:24	screenshot:02-after-spa

Tracker-Requests

Zeit	Tracker	Phase	Request
21.10.2026, 20:27:22	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:22	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ
21.10.2026, 20:27:23	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:23	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ

cmp-failure auffällig

4 Tracker im Zeitfenster bei verzögertem/defektem CMP.

Ablauf

route:cmp-delay-2500msgotowait:window-2000msscreenshot:01-delay-windowroute:cmp-abortreload:without-cmpscreenshot:02-cmp-abort

Aktions-Zeitlinie (7)

21.10.2026, 20:27:24	route:cmp-delay-2500ms
21.10.2026, 20:27:24	goto
21.10.2026, 20:27:26	wait:window-2000ms
21.10.2026, 20:27:26	screenshot:01-delay-window
21.10.2026, 20:27:26	route:cmp-abort
21.10.2026, 20:27:28	reload:without-cmp
21.10.2026, 20:27:28	screenshot:02-cmp-abort

Tracker-Requests

Zeit	Tracker	Phase	Request
21.10.2026, 20:27:24	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:24	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ
21.10.2026, 20:27:26	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:26	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ

embed-leaks auffällig

1 Embed-/Widget-Request(s) vor Consent-Freigabe.

Ablauf

gotoembeds:found(1)scroll:halfscreenshot:01-embeds

Aktions-Zeitlinie (4)

21.10.2026, 20:27:28	goto
21.10.2026, 20:27:28	embeds:found(1)
21.10.2026, 20:27:30	scroll:half
21.10.2026, 20:27:31	screenshot:01-embeds

Tracker-Requests

Zeit	Tracker	Phase	Request
21.10.2026, 20:27:28	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:28	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ
21.10.2026, 20:27:31	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&

consent-mode-v2 nicht prüfbar

consent-mode states: analytics_storage=unset, ad_storage=unset, ad_user_data=unset, ad_personalization=unset · google requests: 1 · ga cookies: none · Kein Consent Mode (dataLayer) gefunden — nicht prüfbar.

Ablauf

gotoconsent:default(none)click:rejectconsent:after(none)screenshot:01-after-choice

Aktions-Zeitlinie (5)

21.10.2026, 20:27:33	goto
21.10.2026, 20:27:33	consent:default(none)
21.10.2026, 20:27:33	click:reject
21.10.2026, 20:27:34	consent:after(none)
21.10.2026, 20:27:34	screenshot:01-after-choice

Tracker-Requests

Zeit	Tracker	Phase	Request
21.10.2026, 20:27:33	Google Analytics 4	pre-consent	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:33	YouTube Embed	pre-consent	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ

Storage-Diff

localStorage: + dp_marketing + dp_analytics + dp_consent

Consent-Werte: + dp_marketing = 0 + dp_analytics = 0 + dp_consent = denied

duplicate-events auffällig

page_view-Beacons nach Consent-Reload: 3 · Doppelte Events möglich (Plugin + GTM parallel). · Keine verdächtigen First-Party-Tracking-Pfade.

Ablauf

gotoclick:acceptreload:after-consentscreenshot:01-after-reload

Aktions-Zeitlinie (4)

21.10.2026, 20:27:35	goto
21.10.2026, 20:27:35	click:accept
21.10.2026, 20:27:35	reload:after-consent
21.10.2026, 20:27:37	screenshot:01-after-reload

Tracker-Requests

Zeit	Tracker	Phase	Request
21.10.2026, 20:27:34	Google Analytics 4	post-accept	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:34	YouTube Embed	post-accept	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ
21.10.2026, 20:27:35	Google Analytics 4	post-accept	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&
21.10.2026, 20:27:35	Google Analytics 4	post-accept	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&
21.10.2026, 20:27:35	Google Analytics 4	post-accept	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&el=head-bootstrap
21.10.2026, 20:27:35	YouTube Embed	post-accept	https://www.youtube-nocookie.com/embed/dQw4w9WgXcQ
21.10.2026, 20:27:35	Google Analytics 4	post-accept	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&
21.10.2026, 20:27:35	Google Analytics 4	post-accept	https://www.google-analytics.com/g/collect?v=2&tid=G-DEMO01&en=page_view&dl=%2Findex.html&

Storage-Diff

localStorage: + dp_marketing + dp_analytics + dp_consent

Consent-Werte: + dp_marketing = 1 + dp_analytics = 1 + dp_consent = accepted

mobile-usability bestanden

Accept und Reject im Mobile-Viewport bedienbar. Accept: gefunden sichtbar=ja 163x46px touch=ok · Reject: gefunden sichtbar=ja 163x46px touch=ok · Tap-Reject: ok

Ablauf

goto:mobile-390x844screenshot:01-mobile-bannerprobe:accept gefunden sichtbar=ja 163x46px touch=okprobe:reject gefunden sichtbar=ja 163x46px touch=oktap:reject=ok

Aktions-Zeitlinie (5)

21.10.2026, 20:27:37	goto:mobile-390x844
21.10.2026, 20:27:37	screenshot:01-mobile-banner
21.10.2026, 20:27:37	probe:accept gefunden sichtbar=ja 163x46px touch=ok
21.10.2026, 20:27:37	probe:reject gefunden sichtbar=ja 163x46px touch=ok
21.10.2026, 20:27:37	tap:reject=ok

Keine Tracker-Requests in diesem Szenario erfasst.

Storage-Diff

localStorage: + dp_marketing + dp_analytics + dp_consent

Consent-Werte: + dp_marketing = 0 + dp_analytics = 0 + dp_consent = denied

04Befunde (Regelverstösse)

Vollständige Liste der dokumentierten Tracker-Requests ohne gültige Einwilligung — verletzt die konfigurierte Regel «Keine Analytics-Requests vor Zustimmung».

05Was zuerst beheben

9 Befundgruppen — gruppiert aus 34 dokumentierte Befund-Zeilen. «N Requests» zählt die dokumentierten Zeilen derselben Ursache, nicht unabhängige Testläufe.

06Beobachtete Tracker-Requests

Alle erfassten Tracker-Requests aus den Szenario-Timelines — auch solche, die keine eigene Violation-Row erzeugt haben. 34 dokumentierte Befund-Zeilen gegenüber 56 Beobachtungen.

07Empfehlungen

Ausschliesslich aus belegten Befunden dieses Scans abgeleitet — Beobachtung und Massnahme getrennt.

1. Alle Pre-Consent-Tracker und -Embeds bis zur Einwilligung abschalten (Defer-Muster) oder in die CMP-Steuerung hängen — belegt durch die Befunde im Register.
2. Tracking nach Widerruf/Ablehnung stoppen: Consent-Status server- und clientseitig respektieren — belegt durch die Befunde im Register.
3. Doppelte Analytics-Einträge vermeiden: genau eine Tracking-Quelle betreiben (z. B. nur gtag oder nur Tag-Manager) — belegt durch die Befunde im Register.
4. Nicht abschliessend bewertete Szenarien manuell prüfen, bevor das Ergebnis gewertet wird — ein fehlendes Prüfmerkmal ist kein grünes Häkchen.

08Code-Lösungen

Schematische Umsetzungsmuster zu den verletzten Regeln dieses Scans — an die eigene CMP/Tracker-Stack anpassen, kein Copy-Paste-Fix.

<!-- Vorher: feuert sofort im <head> -->
<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXX"></script>
<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){ dataLayer.push(arguments); }
  gtag('js', new Date());
  gtag('config', 'G-XXXX');
</script>

<!-- Nachher: Blockiert bis die CMP die Kategorie freigibt -->
<script type="text/plain" data-cookiecategory="analytics"
        data-src="https://www.googletagmanager.com/gtag/js?id=G-XXXX"></script>
<script type="text/plain" data-cookiecategory="analytics">
  window.dataLayer = window.dataLayer || [];
  function gtag(){ dataLayer.push(arguments); }
  gtag('js', new Date());
  gtag('config', 'G-XXXX');
</script>

<!-- CMP-Callback: bei Akzeptieren Typ umschreiben und ausführen -->
<script>
  window.addEventListener('consent-given', (e) => {
    if (!e.detail?.analytics) return;
    document.querySelectorAll('script[data-cookiecategory="analytics"]').forEach((s) => {
      const t = document.createElement('script');
      t.type = 'text/javascript';
      if (s.dataset.src) t.src = s.dataset.src;
      else t.text = s.text;
      s.replaceWith(t);
    });
  });
</script>

<!-- Consent-Status ist die einzige Eintrittskontrolle -->
<script>
  function trackerAllowed(category) {
    const c = window.__consent; // von der CMP gesetzt
    return !!(c && c[category] === true);
  }

  // Kein direkter Aufruf von gtag/pixel/fbq ohne diesen Check.
  if (trackerAllowed('analytics')) {
    gtag('config', 'G-XXXX');
  }
</script>

// Schematisches Muster — an die eigene CMP/Tracker anpassen.
// In den Revoke-Handler der CMP einhängen.
function onConsentRevoked() {
  // 1. Laufende Tracker abschalten
  window['ga-disable-G-XXXX'] = true;
  if (window.gtag) {
    gtag('consent', 'update', {
      ad_storage: 'denied',
      analytics_storage: 'denied',
      ad_user_data: 'denied',
      ad_personalization: 'denied',
    });
  }

  // 2. Tracker-Cookies löschen (nur IDs, die der Scan als Residual gemeldet hat)
  const names = ['_ga', '_gid', '_gat', '_fbp', '_fbc', 'fr'];
  for (const name of names) {
    for (const path of ['/', '/blog', '/shop']) {
      document.cookie = name + '=; Max-Age=0; path=' + path + '; SameSite=Lax';
      document.cookie = name + '=; Max-Age=0; path=' + path +
        '; domain=.' + location.hostname.replace(/^www\./, '') + '; SameSite=Lax';
    }
  }

  // 3. Tracker-Residual aus localStorage/sessionStorage entfernen.
  // WICHTIG: CMP-Entscheidungsspeicher (OptanonConsent, CookieConsent,
  // usercentrics-consent) NICHT löschen — dort steht die Ablehnung.
  const residualPrefixes = ['_ga', '_gid', '_gat', '_fbp', '_fbc'];
  for (const store of [localStorage, sessionStorage]) {
    for (const key of Object.keys(store)) {
      if (residualPrefixes.some((p) => key === p || key.startsWith(p + '.'))) {
        store.removeItem(key);
      }
    }
  }
}

// CMP: Choice speichern und Tracker erst bei explizitem Accept aktivieren
function onConsentChoice(choice) {
  // choice = { analytics: boolean, marketing: boolean }
  if (!choice.analytics) {
    window['ga-disable-G-XXXX'] = true;
    window.gtag?.('consent', 'update', { analytics_storage: 'denied' });
    return; // keine Analytics-Requests
  }
  window['ga-disable-G-XXXX'] = false;
  window.gtag?.('consent', 'update', { analytics_storage: 'granted' });
  gtag('config', 'G-XXXX');
}

<!-- Vorher: iframe lädt Drittinhalte ohne Einwilligung -->
<iframe src="https://www.youtube-nocookie.com/embed/VIDEO_ID"></iframe>

<!-- Nachher: Fassade, iFrame erst nach Klick -->
<div class="embed-gate" data-embed="https://www.youtube-nocookie.com/embed/VIDEO_ID">
  <button type="button" class="embed-gate__load">Video laden (setzt Cookies von YouTube)</button>
</div>
<script>
  document.querySelectorAll('.embed-gate').forEach((gate) => {
    gate.querySelector('button').addEventListener('click', () => {
      const src = gate.dataset.embed;
      gate.innerHTML = '';
      const iframe = document.createElement('iframe');
      iframe.src = src;
      iframe.allow = 'accelerometer; autoplay; encrypted-media; picture-in-picture';
      iframe.allowFullscreen = true;
      gate.appendChild(iframe);
    });
  });
</script>

<!-- Vorher: Plugin UND GTM senden beide page_view -->
<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXX"></script>
<script>gtag('config', 'G-XXXX');</script>
<!-- PLUS GTM-Container, der dasselbe Event noch einmal sendet -->

<!-- Nachher: genau eine Quelle. Entweder gtag ODER GTM — nicht beide. -->
<!-- Variante A: nur gtag -->
<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXX"></script>
<script>
  gtag('js', new Date());
  gtag('config', 'G-XXXX'); // sendet page_view genau einmal
</script>

<!-- Variante B: nur GTM-Container (dataLayer statt zusätzlichem gtag-config) -->
<script>
  window.dataLayer = window.dataLayer || [];
  window.dataLayer.push({ event: 'page_view' });
</script>