Matomo DSGVO-konform: Tracking, das auch ohne Cookies zählt

Die meisten Matomo-Installationen laden das Tracking erst, wenn jemand im Cookie-Banner zustimmt, und verlieren damit je nach Zielgruppe die Hälfte bis zwei Drittel aller Besuche. Dabei kann Matomo zweistufig messen: eine cookielose, anonymisierte Basiszählung für alle, Cookies erst nach Einwilligung. Das ist kein Trick, sondern ein dokumentierter Betriebsmodus, und richtig eingerichtet trägt er auch rechtlich.

Wir haben genau diese Umstellung gerade auf unserer eigenen Website und der Matomo-Instanz dahinter durchgezogen, inklusive Messung beider Pfade. Dieser Beitrag fasst zusammen, was dabei zählt: die Rechtsgrundlage, die Einrichtung, die ehrlichen Grenzen und die Fehler, die wir in freier Wildbahn am häufigsten sehen.

Warum verlierst du mit „nur nach Einwilligung“ so viele Zahlen?

Wenn Matomo erst nach dem Klick auf „Alle akzeptieren“ lädt, zählst du nur die Zustimmer. Alle, die ablehnen, den Banner ignorieren oder mit einem Blocker unterwegs sind, existieren in deiner Statistik nicht. Die Folge ist nicht nur eine kleinere Zahl, sondern eine verzerrte: Technikaffine Besucher lehnen häufiger ab, mobile Besucher klicken Banner seltener weg. Du optimierst dann auf ein Publikum, das nicht repräsentativ ist.

Die zweistufige Messung dreht das um: Gezählt wird jeder Seitenaufruf, cookielos und anonymisiert. Die Einwilligung entscheidet nur noch über die Zusatzstufe, nämlich Cookies für die Wiedererkennung.

Wie zählt Matomo ohne Cookies, und was sagt das Gesetz?

Im cookielosen Modus schreibt Matomo nichts auf das Endgerät: keine Cookies, kein localStorage, kein Fingerprinting. Damit ist § 25 TDDDG, der den Zugriff auf Endgeräte regelt und die Einwilligungspflicht für Cookies begründet, gar nicht berührt (§ 25 TDDDG im Wortlaut).

Übrig bleibt die DSGVO-Frage, denn die IP-Adresse ist ein personenbezogenes Datum. Dafür braucht es eine Rechtsgrundlage, und bei einer anonymisierten Reichweitenmessung ohne seitenübergreifende Verfolgung ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) gut vertretbar, wenn vier Bedingungen stehen:

• IP-Kürzung vor jeder Speicherung, bei Matomo mindestens zwei Bytes (aus 203.0.113.7 wird 203.0.0.0).
• Do-Not-Track respektieren: Sendet der Browser das Signal, wird gar nicht gemessen. Matomo hat dafür einen Serverschalter.
• Löschfristen: Rohdaten nach einer definierten Frist automatisch löschen, üblich sind 12 bis 14 Monate.
• Widerspruchsmöglichkeit: Ein echter Opt-out, der auch die cookielose Zählung stoppt, gut auffindbar in den Datenschutzhinweisen.

Der cookielose Modus ist bei Matomo offiziell dokumentiert (Tracking-Consent-Guide), und Frankreichs Aufsichtsbehörde CNIL hat richtig konfiguriertes Matomo sogar ausdrücklich von der Einwilligungspflicht ausgenommen. Das gilt formal nur für Frankreich, zeigt aber, wo die Messlatte liegt: kein Endgerätezugriff, anonymisiert, kein Profiling, Opt-out vorhanden.

Eine Bedingung kommt noch dazu, und die wird am häufigsten verletzt: Der Banner darf nicht lügen. Wer „Ablehnen“ anbietet und danach trotzdem cookielos misst, muss das genau so sagen: Ablehnen bezieht sich auf Cookies, die anonymisierte Basiszählung läuft auf Grundlage berechtigten Interesses, Widerspruch jederzeit möglich. Ein Banner, der „kein Tracking“ suggeriert, während gezählt wird, ist irreführend, und Irreführung ist nicht nur ein Datenschutzthema, sondern ein Fall fürs Wettbewerbsrecht.

Wie richtest du die zweistufige Messung ein?

Im Tracking-Code ersetzt du das Nicht-Laden durch den Consent-Modus von Matomo. Der Kern sind drei Zeilen vor dem trackPageView:

_paq.push(["requireCookieConsent"]);   // cookielos, bis Zustimmung kommt
// nach Klick auf „Alle akzeptieren":
_paq.push(["setCookieConsentGiven"]);  // ab jetzt zusätzlich Cookies
// nach Ablehnen oder Widerruf:
_paq.push(["forgetCookieConsentGiven"]); // löscht vorhandene Matomo-Cookies

Wichtig ist die Reihenfolge: requireCookieConsent muss vor trackPageView stehen, sonst setzt der erste Seitenaufruf bereits Cookies. Und wer seine Einwilligung ohnehin in einem eigenen Cookie speichert, nimmt setCookieConsentGiven statt rememberCookieConsentGiven, damit Matomo nicht ein zweites Gedächtnis anlegt, das gegen das eigene driften kann.

Auf dem Matomo-Server gehören dazu: IP-Kürzung aktiv, Do-Not-Track-Schalter an, Löschfrist gesetzt, Opt-out-Endpunkt öffentlich erreichbar. Und die Texte: Banner, Datenschutzhinweise und Cookie-Richtlinie müssen die zwei Stufen ehrlich beschreiben. Wie das aussieht, kannst du dir bei uns ansehen, unsere Datenschutzhinweise beschreiben genau dieses Modell, inklusive Opt-out-Schalter, der beide Stufen stoppt.

Was siehst du ohne Cookies, und was erst mit?

Ohne Cookies bekommst du mehr, als viele erwarten: Seitenaufrufe, Besuche, Einstiegs- und Ausstiegsseiten, Verweildauer, Herkunftsquellen samt Kampagnenparametern, Geräteklasse, Land und Region. Für die Frage „welche Inhalte funktionieren“ reicht das fast immer.

Die Cookies der zweiten Stufe ergänzen das, was über den einzelnen Besuch hinausgeht: Wiederkehrer-Erkennung über mehr als 24 Stunden, die Verknüpfung mehrerer Besuche derselben Person und damit Kampagnen-Zuordnung über Tage hinweg. Ohne Cookies zählt ein Rückkehrer am nächsten Tag als neuer Besucher, die Besuchszahl fällt also etwas zu hoch aus. Das ist die ehrliche Grenze des Modells, und sie ist für die meisten Websites verschmerzbar, verglichen mit einer Statistik, in der die Mehrheit komplett fehlt.

Welche fünf Fehler sehen wir am häufigsten?

1. Die Geolokation arbeitet mit der gekürzten IP. Matomo kann die volle IP flüchtig für die Standortbestimmung nutzen und trotzdem nur die gekürzte speichern. Steht der Schalter falsch, wird die Ankeradresse x.y.0.0 geolokalisiert, und deutsche Mobilfunk-Besucher tauchen als Kanada oder USA auf. In unserer eigenen Auswertung wiesen vor dem Umlegen des Schalters rund 8 Prozent der Besuche nach Nordamerika, bei einer Zielgruppe, die fast vollständig deutsch ist.
2. Der Banner-Text passt nicht zum Verhalten. Entweder wird „kein Tracking“ versprochen und trotzdem gezählt, oder es wird cookielos gemessen, ohne dass Datenschutzhinweise und Banner es erwähnen. Beides fällt bei der ersten ernsthaften Prüfung auf.
3. Es gibt keinen Opt-out für die cookielose Stufe. Der Widerruf im Banner betrifft nur Cookies. Für die Basiszählung braucht es den Matomo-Opt-out, der das Messen komplett stoppt und diesen einen Wunsch in einem eigenen Cookie festhält, das ist zulässig, weil ausdrücklich gewollt.
4. Die eigene Sicherheitsrichtlinie blockiert den eigenen Tracker. Wer eine Content-Security-Policy führt, muss die Matomo-Domain in Skript-, Verbindungs- und Bild-Direktiven erlauben. Wir haben eine Website gesehen, die sechs Tage lang null Besuche zählte, weil die eigene CSP den Tracker aussperrte, und niemand hat es gemerkt, weil niemand beide Pfade misst.
5. Niemand prüft beide Hälften. Nach der Einrichtung gehören vier Fälle gemessen, nicht behauptet: Ohne Entscheidung wird cookielos gezählt und kein Cookie gesetzt. Nach Ablehnen genauso. Nach Zustimmen erscheinen die Matomo-Cookies. Nach Opt-out geht kein einziger Request mehr raus. Erst wenn alle vier stimmen, ist die Messung fertig.

Lohnt sich der Umstieg für deine Website?

Wenn deine Statistik seit Monaten verdächtig leer aussieht, obwohl die Zugriffszahlen des Servers etwas anderes sagen, ist die Antwort fast sicher ja. Die Umstellung selbst ist an einem Tag erledigt, die Texte eingerechnet. Entscheidend ist, dass Technik und Texte zusammen umgestellt werden, eine halbe Umstellung ist rechtlich schlechter als keine.

Wir richten die zweistufige Messung im Rahmen unserer Website-Betreuung ein, auf einer eigenen Matomo-Instanz in Deutschland, ohne Daten an Dritte. Wenn du wissen willst, ob deine aktuelle Einbindung sauber ist: Frag uns einfach, die vier Prüf-Fälle von oben sind bei uns Standard.