Webanalyse ohne Cookie-Banner ist möglich: Matomo läuft auf deinem eigenen Server, lässt sich so einstellen, dass es keine Cookies setzt, IP-Adressen kürzt und „Do Not Track“ respektiert, und misst dann Seitenaufrufe, Herkunft, Ereignisse und Konversionen innerhalb eines Besuchs. Was du verlierst, ist die Wiedererkennung von Besuchern über Tage hinweg. Was du behältst, ist fast alles, was ein kleines oder mittleres Unternehmen für Entscheidungen braucht. Ob dein Setup ohne Einwilligung auskommt, beurteilt am Ende dein Datenschutzbeauftragter, wir zeigen, welche Einstellungen die Grundlage dafür sind, und wie wir es auf dieser Website machen.
Was ein Cookie-Banner rechtlich auslöst
Zwei Regelwerke greifen ineinander, und das Banner gehört nur zu einem davon. Das TDDDG, bis 2024 hieß es TTDSG, verlangt eine Einwilligung, wenn eine Website Informationen auf dem Endgerät speichert oder ausliest, es sei denn, das ist für den gewünschten Dienst unbedingt erforderlich. Ein Warenkorb-Cookie ist erforderlich, ein Analyse-Cookie nicht. Daher das Banner.
Die DSGVO regelt unabhängig davon die Verarbeitung personenbezogener Daten, und eine IP-Adresse zählt dazu. Wer misst, braucht also eine Rechtsgrundlage, bei sparsamer Reichweitenmessung wird meist das berechtigte Interesse herangezogen, einen Abschnitt in der Datenschutzerklärung, einen Eintrag im Verarbeitungsverzeichnis und eine Widerspruchsmöglichkeit. Ein cookieloses Werkzeug befreit dich von der ersten Ebene, nicht von der zweiten. Es macht die zweite aber deutlich einfacher, weil weniger Daten anfallen und keine Dritten beteiligt sind.
Das ist keine Rechtsberatung, sondern die Einordnung, mit der wir arbeiten. Was das Banner in der Praxis bedeutet, kennt jeder, der schon eines eingebaut hat: Ein Teil der Besucher lehnt ab, ein Teil klickt weg, und die Zahlen sind danach Schätzungen mit unbekannter Lücke.
So wird Matomo cookielos eingestellt
Matomo ist nicht von Haus aus cookielos. Die Einstellungen, auf die es ankommt:
- Cookies abschalten im Tracking-Code („disableCookies“). Matomo setzt dann weder das Besucher-Cookie noch Sitzungs-Cookies.
- IP-Adressen kürzen unter Privatsphäre → Daten anonymisieren, mindestens zwei Bytes. Die gekürzte Adresse wird gespeichert, die vollständige nicht.
- „Do Not Track“ respektieren in den Opt-out-Einstellungen. Besucher mit dieser Browser-Einstellung werden gar nicht gezählt.
- Opt-out anbieten in der Datenschutzerklärung, als Link oder eingebettetes Element.
- Keine Wiedererkennung über Tage. Ohne Cookie bildet Matomo aus Browsermerkmalen und gekürzter IP einen Kennwert, der sich täglich ändert. Die Erkennung über mehrere Websites hinweg bleibt abgeschaltet. Ein dauerhaftes Fingerprinting gibt es damit nicht.
- Rohdaten löschen nach einer kurzen Frist, Berichte behalten. Die Berichte enthalten keine Einzelbesuche mehr.
- Keine Nutzer-ID, keine Heatmaps, keine Sitzungsaufzeichnungen. Jede dieser Funktionen erkennt Personen wieder und braucht eine andere Grundlage.
- Eigener Server in Deutschland oder der EU, ohne einen Tag-Manager von Google davor, der lädt Skripte von Google-Servern, bevor überhaupt jemand etwas entschieden hat.
Mit dieser Konfiguration setzt Matomo nichts auf dem Endgerät ab und speichert keine vollständige IP-Adresse. Das ist die technische Voraussetzung, über die dein Datenschutzbeauftragter dann entscheidet.
Was du dann noch messen kannst: und was nicht
| Frage | Cookielos möglich? | Anmerkung |
|---|---|---|
| Welche Seiten werden wie oft aufgerufen? | Ja | Unverändert |
| Woher kommen Besucher, Suche, Verweis, Kampagne? | Ja | Kampagnenparameter in Links funktionieren ohne Cookie |
| Einstiegs- und Ausstiegsseiten, Verweildauer, Absprünge | Ja | Innerhalb eines Besuchs |
| Klick auf Telefon, E-Mail, Formular gesendet | Ja | Als Ereignis und Ziel |
| Konversionen und ihre Herkunft | Ja | Wenn Besuch und Konversion in derselben Sitzung liegen |
| Gerät, Browser, Land | Ja | Stadt wird durch die gekürzte IP ungenau |
| Wiederkehrende Besucher über Tage und Wochen | Nein | Kein Cookie, kein Wiedererkennen |
| Konversion drei Tage nach dem ersten Besuch zuordnen | Nein | Jeder Besuch zählt für sich |
| Nutzerpfade über mehrere Besuche, Kohorten | Nein | Nur innerhalb eines Besuchs |
| Eindeutige Besucher pro Monat | Eingeschränkt | Wird zur Schätzung |
Unsere Meinung dazu: Für ein Unternehmen, dessen Ziel eine Anfrage, ein Anruf oder eine Bestellung ist, reicht das aus. Wer Werbebudget nach Attributionsmodellen über mehrere Kontakte verteilt, vermisst etwas, muss sich aber auch fragen, wie belastbar diese Modelle mit Banner-Lücke und Browser-Schutz überhaupt noch waren.
Ereignisse statt Personen
Der Umstieg auf cookielose Analyse ist vor allem ein Wechsel der Denkweise: Statt zu fragen, wer da war, fragst du, was passiert ist. Jede Handlung, die dir wichtig ist, wird ein Ereignis und, wenn sie Geld wert ist, ein Ziel: Kontaktformular gesendet, Telefonnummer geklickt, Download geladen, Angebot angefordert. Kampagnen bekommen Parameter im Link, damit Matomo die Herkunft kennt. Die Suchbegriffe, die Matomo nicht sieht, liefert die Search Console. Und was nach der Anfrage passiert, steht in deinem CRM oder deiner Anfrageliste. Zusammen ergibt das eine Kette, die ohne Wiedererkennung von Personen auskommt.
Wann du doch eine Einwilligung brauchst
Cookieloses Matomo löst die Analyse. Es löst nicht alles, was sonst noch auf einer Website läuft:
- Werbenetzwerke. Google-Ads-Conversion-Tracking, Remarketing, Meta-Pixel, LinkedIn Insight Tag: Hier fließen Daten an Dritte, die sie mit eigenen Profilen verknüpfen. Ohne Einwilligung geht das nicht.
- Server-Side-Tagging an Google oder Meta. Verschiebt den Ort der Verarbeitung auf deinen Server, nicht den Zweck. Die Daten landen weiterhin beim Werbenetzwerk. Nach unserer Einschätzung bleibt die Einwilligung nötig; das Server-Side-Tagging sorgt nur dafür, dass die eingewilligten Daten zuverlässiger ankommen.
- Matomo mit Cookies, Nutzer-IDs, Heatmaps oder Sitzungsaufzeichnungen.
- Eingebettete Dienste wie YouTube-Videos oder Google Maps, die beim Laden der Seite Verbindungen zu fremden Servern aufbauen. Der übliche Weg: erst nach Klick laden.
Beides lässt sich kombinieren. Matomo läuft cookielos ohne Banner, die Werbe-Tags starten erst nach Einwilligung. Wer Anzeigen schaltet, braucht also weiterhin ein Consent-Werkzeug, aber die Grundzahlen der Website sind vollständig, auch wenn niemand auf „Akzeptieren“ klickt.
Abstimmung mit dem Datenschutzbeauftragten
Die Aufsichtsbehörden bewerten cookielose Reichweitenmessung nicht in jedem Detail einheitlich, und ein Datenschutzbeauftragter, der die Konfiguration nicht kennt, wird vorsichtshalber ein Banner verlangen. Deshalb gehst du mit Unterlagen ins Gespräch, nicht mit einer Behauptung:
- Die Matomo-Einstellungen unter Privatsphäre als Screenshot und der Tracking-Code mit „disableCookies“.
- Serverstandort und Betreiber; bei einem Hoster der Auftragsverarbeitungsvertrag.
- Löschfristen für Rohdaten und Berichte.
- Der Entwurf für den Abschnitt in der Datenschutzerklärung samt Opt-out.
- Eine kurze Interessenabwägung: was gemessen wird, wozu, und warum es ohne Einwilligung vertretbar ist.
Wir liefern die Technik und die Unterlagen. Die Entscheidung trifft der Datenschutzbeauftragte, und wir setzen um, was er verlangt, notfalls auch ein Banner. Nur sollte es keines geben, weil niemand gefragt hat, ob es ohne geht.
Wie wir es auf dieser Website machen
Diese Website hat kein Cookie-Banner, weil kein Dienst eines braucht. Matomo läuft auf einem eigenen Server unserer Agenturgruppe, der Tracking-Code sitzt im Theme statt in einem Plugin, Cookies sind abgeschaltet, IP-Adressen werden um zwei Bytes gekürzt, „Do Not Track“ wird respektiert. Gezählt wird nur auf dem Live-System und nicht, wenn Redakteure eingeloggt sind.
Statt Personen messen wir Ereignisse: Kontakt-Overlay geöffnet, Telefon geklickt, E-Mail geklickt, Formular gesendet, Video oder Karte geladen, Videos und Karten laden erst nach Klick, Umschalten zwischen heller und dunkler Darstellung und ein Ereignis „KI-Verweis“ für Besuche, die von chatgpt.com, perplexity.ai oder anderen KI-Assistenten kommen. Drei davon sind als Ziele definiert: Formular gesendet, Telefon geklickt, E-Mail geklickt. Mehr brauchen wir nicht, um zu wissen, welche Seiten Anfragen bringen. Sobald wir Anzeigen mit Conversion-Tracking schalten, ändert sich das, und dann kommt ein Consent-Werkzeug dazu, für die Werbe-Tags, nicht für Matomo.
Fazit
Matomo ohne Cookie-Banner funktioniert, wenn du auf die Wiedererkennung über Tage verzichtest und die Einstellungen sauber setzt: keine Cookies, gekürzte IP, „Do Not Track“, Opt-out, kurze Löschfristen, eigener Server. Du misst dann Seiten, Herkunft, Ereignisse und Konversionen innerhalb eines Besuchs, für die meisten Unternehmen genug. Einwilligung brauchst du weiterhin für Werbenetzwerke, auch bei Server-Side-Tagging. Und die letzte Entscheidung liegt beim Datenschutzbeauftragten, dem du die Konfiguration vorlegst statt einer Behauptung. Wie wir Matomo einrichten und mit Search Console und Werbekonten zusammenführen, steht unter Tracking und Webanalyse.
Häufige Fragen
Braucht Matomo einen Cookie-Banner?
Nicht zwingend. Ohne Cookies und mit gekürzter IP speichert Matomo nichts auf dem Endgerät, damit entfällt der Teil, für den das TDDDG eine Einwilligung verlangt. Ob dein Setup insgesamt ohne Einwilligung auskommt, entscheidet dein Datenschutzbeauftragter.
Was verliere ich, wenn Matomo keine Cookies setzt?
Die Wiedererkennung von Besuchern über mehrere Tage: wiederkehrende Besucher, Konversionen Tage nach dem ersten Besuch und Pfade über mehrere Besuche. Seitenaufrufe, Herkunft, Ereignisse und Konversionen innerhalb eines Besuchs bleiben messbar.
Brauche ich trotz cookielosem Matomo eine Einwilligung für Google Ads?
Ja. Conversion-Tracking, Remarketing und Pixel von Werbenetzwerken geben Daten an Dritte weiter und brauchen weiterhin eine Einwilligung, auch über Server-Side-Tagging. Matomo und Werbe-Tags lassen sich aber trennen: Analyse ohne Banner, Werbe-Tags erst nach Zustimmung.
Muss Matomo in der Datenschutzerklärung stehen?
Ja. Auch ohne Cookies verarbeitet Matomo personenbezogene Daten, etwa gekürzte IP-Adressen. Dafür brauchst du eine Rechtsgrundlage, einen Abschnitt in der Datenschutzerklärung und eine Widerspruchsmöglichkeit.
Muss ich Matomo selbst hosten?
Nein, Matomo gibt es auch als kostenpflichtige Cloud-Version des Herstellers. Die selbst gehostete Version ist Open Source und läuft auf deinem eigenen Server. Für volle Kontrolle über die Daten empfehlen wir den eigenen Server in Deutschland oder der EU.
Stand: September 2026, wir aktualisieren diesen Artikel, wenn sich Rechtslage oder Technik ändern.
