So testet CookieHawk Websites

Methode v1.0 · August 2026 · versioniert und offen

Version 1.2, zuletzt geprüft am 22. August 2026. Die Texte basieren auf § 3-15 des norwegischen Gesetzes über elektronische Kommunikation, der DSGVO und den Leitlinien der norwegischen Datenschutzbehörde und wurden intern qualitätsgesichert; sie sind kein anwaltliches Gutachten. Fragen: kontakt@cookiehawk.com.

1. Was der Test ist

Der Test ist eine automatisierte technische Stichprobe, keine rechtliche Schlussfolgerung. Ein isolierter Chromium-Kontext (Playwright) mit Sprache nb-NO, Zeitzone Europe/Oslo und Ansichtsbereich 1366 × 900 besucht die Startseite und bis zu drei öffentliche Unterseiten je Zustand. Das IP-Land des Datenverkehrs wird vom Scannerserver bestimmt (EWR). Der Test kann somit bis zu 12 Seitenaufrufe umfassen. Er meldet sich nicht an und füllt keine Formulare aus.

2. Drei Zustände

1. Vor der Auswahl: Die Seite wird geladen, ohne etwas anzuklicken. Alle Kontakte und Speichervorgänge erfolgen, bevor der Besucher entschieden hat.
2. Nach „Alle ablehnen“: Ein neuer, leerer Browser. Der Scanner findet das Banner, wählt die Ablehnung in der ersten Ebene, soweit vorhanden, und besucht anschließend Unterseiten.
3. Nach „Alle akzeptieren“: Ein neuer, leerer Browser mit Zustimmung. Dient als Referenz dafür, was die Website senden kann.

Jeder Zustand läuft in einem separaten Browserkontext; Cookies oder gespeicherte Daten werden nicht zwischen Zuständen übernommen. Aktivitäten werden anhand des tatsächlichen Sendezeitpunkts der Anfrage im Verhältnis zum Klick einem Zustand zugeordnet.

3. Wann „Alle ablehnen“ als bestätigt gilt

Der Scanner versucht zuerst eine sichtbare Ablehnungsschaltfläche in der ersten Bannerebene. Fehlt sie, öffnet er die Einstellungen und versucht die Ablehnung in der zweiten Ebene. Eine fehlende Ablehnungsschaltfläche in der ersten Ebene wird separat gemeldet, verhindert aber nicht die technische Bestätigung der Ablehnung.

Eine technische Bestätigung wird erfasst, wenn die CMP-eigene API (etwa Cookiebot, OneTrust, TCF, Usercentrics oder Google Consent Mode) eine Ablehnung meldet, wenn ein Klick auf eine bekannte CMP-Schaltfläche oder eine Schaltfläche der zweiten Ebene das sichtbare Banner schließt oder, bei nicht sichtbarem Banner, wenn sich ein einwilligungsbezogener Cookie- oder Speicherwert ändert. Bei einem rein textheuristischen Klick müssen sowohl das Banner geschlossen als auch der Zustand geändert sein. Meldet die CMP-API einen anderen Status (etwa „granted“), wird die Auswahl nicht bestätigt. Die Beweiskraft variiert; die Bestätigung zeigt allein nicht, dass alle Zwecke und Anbieter abgelehnt wurden. Unbestätigte Klicks dienen nicht als Grundlage für Beobachtungen „nach bestätigter Ablehnung“.

4. Was wir erfassen

• Netzwerkanfragen mit Hostname, Methode, Ressourcentyp und Zeitpunkt. URLs werden mit bis zu 300 Zeichen gespeichert; bekannte sensible Parameternamen, E-Mail-Adressen, Telefonnummern, lange Werte und bestimmte Tokenmuster werden maskiert. Andere Teile des Pfads und der Abfrage können erhalten bleiben und personenbezogene Daten enthalten. Pro Zustand werden bis zu 900 Anfragen erfasst.
• Set-Cookie und Cookie-Namen, Domain, Pfad und angegebene Laufzeit, aber keine Cookie-Werte.
• Bis zu 100 Schlüsselnamen aus localStorage/sessionStorage auf der zuletzt besuchten Seite.
• Beobachtete Einwilligungssignale (Consent-Mode-Status, TCF-Zeichenfolge vorhanden/nicht vorhanden, CMP-API).
• Wahrscheinlicher technischer Initiator: ob der Aufruf aus einem Tag-Manager-Container, einem Plugin, einem eingebetteten Element oder dem Skript selbst stammt, anhand der Initiatorkette des Browsers.
• Bei aktivierten Bildschirmaufnahmen: ein komprimiertes Abschlussbild pro Zustand zur Einordnung.

5. Klassifizierung und Priorität

Dienste werden anhand einer versionierten Datenbank bekannter Tracking-, Analyse- und Werbewerkzeuge mit Kategorie und Quelle klassifiziert. Die „technische Priorität“ lautet sehr hoch, hoch, mittel, niedrig oder Information und zeigt den Nachverfolgungsbedarf. Jede Beobachtung erhält zudem einen Vertrauensgrad: hoch, mittel, niedrig oder nicht eindeutig. Die Priorität ist eine technische Sortierung und bestimmt nicht die rechtliche Bewertung. Kontakt mit einem Dritten allein zeigt nicht, dass Informationen auf dem Gerät gespeichert oder daraus abgerufen oder personenbezogene Daten verarbeitet wurden.

Beispiele für unsere Abwägungen gegen Übertreibungen: Cookielose Consent-Mode-Signale mit Ablehnungsstatus (gcs=G100) werden als Information, nicht als priorisierte Beobachtung eingestuft. Sichtbare funktionale Einbettungen (Karten, Videos, Chats) werden danach bewertet, was sie tatsächlich setzen, nicht nur nach Kategorie. Findet der Scanner kein Banner, beobachtet aber Dienste, die häufig für einwilligungsbasierte Zwecke eingesetzt werden, entsteht eine eigene Beobachtung („kein Banner gefunden“). Das Ergebnis muss manuell geprüft werden, da das Banner geografisch oder zeitlich gesteuert sein oder die Erkennung versagt haben kann.

6. Bekannte Grenzen

• Das Ergebnis gilt für einen Zeitpunkt, die im Bericht angegebene ausgehende IP-Adresse/Geolokalisierung (Scannerserver im EWR; Sprache und Zeitzone allein machen den Test geografisch nicht norwegisch) und die besuchten Seiten. A/B-Tests, Anmeldung, Sprache, Netzwerkfehler, verzögerte Aufrufe und Ressourcenlimits des Scanners können das Ergebnis beeinflussen.
• Die Bannerheuristik erkennt norwegische Texte in Bokmål und Nynorsk sowie schwedische und englische Bannertexte; andere Sprachen können zu „kein Banner gefunden“ führen, obwohl ein Banner existiert.
• Wir können bestimmte Clientaufrufe an bekannte Serverendpunkte beobachten (etwa serverseitigen Tag Manager), nicht aber die weitere Verarbeitung hinter einem Endpunkt.
• Unser Banner hält bekannte, dynamisch geladene Trackingwerkzeuge zurück; direkt im HTML enthaltene Skripte muss der Websitebetreiber kennzeichnen. Drittanbieter-Cookies können nicht durch ein Banner gelöscht werden. Deshalb prüfen wir jede Website einzeln.
• Berichte werden automatisch erstellt und können Fehler enthalten. Ein Bericht wird nur bei dokumentierter Prüfung als manuell geprüft gekennzeichnet; andernfalls muss die fehlende manuelle Prüfung erkennbar sein. Wir korrigieren bestätigte Fehler.

7. Daten, Löschung und Stellungnahme

Temporäre Browserprofile und Rohartefakte werden nach der Analyse gelöscht. Endberichte werden gemäß dem Aufbewahrungsplan (auf Norwegisch) gespeichert und vertraulich mit dem Auftraggeber geteilt. Betroffene Websitebetreiber und genannte Dienstleister können über kontakt@cookiehawk.com Korrekturen verlangen oder Stellung nehmen; wir antworten innerhalb von 5 Arbeitstagen.

8. Die Zahlen auf der Startseite

Marktzahlen werden nur mit eingefrorenem Datensatz, Scannerversion, Datum, Definitionen und dokumentierter Berechnung veröffentlicht. Die Zahlen der Startseite stammen aus Kalibrierungslauf v7 (Scanner cmp-scan 0.1.0, durchgeführt am 21. August 2026 von 07:51 bis 08:14 norwegischer Zeit, dagbladet.no am selben Tag erneut gescannt), eingefroren am 21. August 2026 als 60 JSON-Dateien mit sha256-Prüfsummen und Tabelle je Website (data/KALIBRERING-V7-FRYST.md). Die Zahlen werden maschinell aus den Dateien nach folgenden Definitionen berechnet:

• 59 getestet: Versuche auf 60 norwegischen Websites (Banken, Medien, E-Commerce, Vereine, Immobilien, Kliniken); eine (IDN-Domain mit Zertifikatsfehler) schloss „vor der Auswahl“ nicht ab und bleibt aus allen Zählungen ausgeschlossen.
• 50 mit Aktivität vor der Auswahl: mindestens eine Beobachtung im Zustand „vor der Auswahl“ mit sehr hoher, hoher oder mittlerer technischer Priorität (Typen pre_consent_tracker/pre_consent_cookies; uneindeutige Cookies und cookielose Consent-Mode-Pings zählen nicht).
• 31 mit Aktivität nach bestätigter Ablehnung: Die Ablehnung wurde technisch bestätigt und mindestens eine Beobachtung in diesem Zustand hatte sehr hohe, hohe oder mittlere Priorität. Auf 47 Websites wurde die Ablehnung angeklickt, auf 44 bestätigt.
• 10 von 52 Bannern ohne Ablehnung in der ersten Ebene: Auf 52 Websites wurde ein Einwilligungsbanner erkannt; bei 10 fand der Scanner in der ersten Ebene keine Ablehnungsoption.
• 8 ohne priorisierte Beobachtungen: keine Beobachtung mit sehr hoher, hoher oder mittlerer Priorität (niedrig/Information möglich).

Die Stichprobe ist nicht repräsentativ für alle norwegischen Websites. Der Datensatz mit maskierten URLs und das Berechnungsskript können auf Anfrage eingesehen werden.

Methode v1.0 · Scanner cmp-scan 0.1.0 · 22. August 2026 · Änderungen der Testregeln werden hier protokolliert.