Warum ich mein eigenes WordPress-Consent-Plugin betreibe

Ich habe Consentimental für meine eigenen WordPress-Websites entwickelt, weil Consent für längst mehr ist als eine einmalige Einstellung im Cookie-Banner. Auf mehreren Websites summieren sich die Lizenzen externer Plugins. Dazu kommt der Aufwand, jedes Produkt an Analytics, Einbettungen, Sprachen und den eigenen Veröffentlichungsprozess anzupassen.

Gutes Consent-Management ist mir unabhängig von den Kosten wichtig. Ich betreibe Websites in der EU und bin an die DSGVO gebunden. Die Entscheidung der Besucher soll zu dem passen, was tatsächlich geladen wird. Die Angaben sollen die eingesetzten Dienste korrekt beschreiben, und ein Widerruf muss eine echte Wirkung haben. Dafür reicht ein gut aussehendes Banner nicht aus.

Auch eine Eigenentwicklung kostet Geld und Zeit: Ich muss sie entwickeln, testen und pflegen. Bei der Anzahl meiner Websites lohnt sich diese Investition für mich. Ich nutze eine gemeinsame Codebasis, kann sie bei Bedarf gezielt ändern und trage die Verantwortung für das gesamte Produkt, statt von der Roadmap eines Anbieters abhängig zu sein.

Dass manche Consent-Plugins Google Consent Mode v2 nur als Premium-Funktion anbieten, finde ich ehrlich gesagt ziemlich verrückt. Die Weitergabe einer Consent-Entscheidung an Googles weit verbreitete Analytics- und Werbedienste gehört für mich zur Grundlage einer solchen Einrichtung, nicht zu den exotischen Extras. Consentimental unterstützt sowohl den Basic- als auch den Advanced-Modus von Consent Mode v2.

Ich wollte das tatsächliche Verhalten kontrollieren

Ein Banner hilft wenig, wenn die Website die Entscheidung dahinter nicht umsetzt. Consentimental hält konfigurierte Skripte, iFrames, Bilder und Pixel zurück, bevor sie den Browser erreichen. Besucher können alle optionalen Dienste akzeptieren oder ablehnen, nach Kategorie entscheiden oder einzelne Dienste auswählen. Die Kategorie „Notwendig“ bleibt aktiv; optionale Kategorien sind zunächst ausgeschaltet.

Nach einer Einwilligung gibt das Plugin die passenden Inhalte frei. Für blockierte Einbettungen kann ein Platzhalter erscheinen, über den sich der betreffende Dienst erlauben lässt. Wird die Einwilligung widerrufen, blockiert Consentimental Einbettungen erneut, bereinigt bekannte Cookies und Browser-Speicher und lädt die Seite normalerweise neu, falls ein widerrufenes Skript bereits ausgeführt wurde. Änderungen werden auch mit anderen geöffneten Tabs derselben Website geteilt.

Auch Änderungen an der Konfiguration laufen kontrolliert ab: Kategorien, Dienste und Skripte lassen sich als Entwurf vorbereiten, prüfen und gemeinsam veröffentlichen. Wenn eine veröffentlichte Änderung eine frühere Entscheidung überholt, werden Besucher erneut gefragt. Ein optionales Consent-Protokoll kann die Entscheidung zusammen mit einem unveränderlichen Abbild der damals angezeigten Informationen speichern.

Warum der Weg über die eigene Domain wichtig ist

Zwischen einer wirksamen Einwilligung und funktionierender Messung gibt es noch eine praktische Lücke: Jemand erlaubt Analytics ausdrücklich, aber ein Adblocker blockiert weiterhin ein bekanntes Drittanbieter-Skript oder dessen Endpoint. Consentimental bietet einen optionalen First-Party-Proxy für Skripte, die über das Plugin verwaltet werden. Diesen Weg nutze ich je nach Konfiguration der Website unter anderem für Umami und GA4.

Der Proxy ersetzt keine Einwilligung und garantiert nicht, dass jeder Adblocker jede Anfrage zulässt. Er gibt mir Kontrolle darüber, wie ein erlaubter Dienst ausgeliefert wird. Ein ausdrückliches Ja soll nicht allein an einer bekannten Tracking-URL scheitern. Ein Nein bleibt ein Nein. Den Unterschied erläutere ich ausführlicher in meinem Beitrag über Consent und Adblocker.

Einrichtung, die ich überprüfen kann

Das Plugin bringt Definitionen für verbreitete Dienste mit. Sie sind aber nur ein Ausgangspunkt: Für jede Website muss geprüft werden, welche Dienste tatsächlich eingesetzt werden und ob Zwecke, Anbieter, Domains, Erkennungsmuster und Cookie-Angaben stimmen. Für andere Fälle können eigene Dienste ergänzt werden.

Ein Einrichtungsassistent und ein Website-Scan helfen, wahrscheinliche Dienste und unbekannte externe Hosts zu erkennen. Konfigurationsprüfungen weisen unter anderem auf nicht zugeordnete Skripte, unvollständige Angaben, fehlerhafte Proxy-Einstellungen und unveröffentlichte Änderungen hin. Die Statusseite zeigt Konfiguration, Erkennung, Proxy-Verfügbarkeit, Durchsetzung im Browser und Bestätigungen von Anbietern getrennt an. Die Prüfung im Browser und beim jeweiligen Anbieter muss trotzdem auf der konkreten Website erfolgen.

Die Rechnung hinter der Eigenentwicklung

Mit eigenem Code entfallen für meine Websites wiederkehrende Lizenzabhängigkeiten. Ich kann Funktionen weiterentwickeln, ohne bei jedem Update eines fremden Plugins um meine Anpassungen zu fürchten. Gleichzeitig liegt die Pflege vollständig bei mir. Für mehrere eigene Websites ist das ein sinnvoller Tausch: Die Arbeit an der gemeinsamen Basis kommt allen zugute. Für eine einzelne kleine Website muss die Rechnung nicht genauso aussehen.

Manche Consent-Plugins von Drittanbietern sind technisch wirklich gut. Trotzdem habe ich mehr als einmal erlebt, dass nach einem größeren Update sogar die eigene Konfiguration des Plugins nicht mehr funktionierte. Dann muss ich eine Produktänderung untersuchen, die ich nicht selbst entschieden habe – gerade dort, wo das Consent-Verhalten zuverlässig sein muss. Bei Consentimental bestimme ich, wann Änderungen veröffentlicht werden, teste sie auf meinen Websites und kann das gesamte Produkt selbst korrigieren. Für meine Websites ist das die stabilere Lösung.