Usercentrics CMP einrichten und prüfen: Auto-Blocking, Smart Data Protector oder manuell – was wirklich blockiert

Bei der Usercentrics CMP ist das Banner der einfache Teil. Die eigentliche Frage stellt sich eine Ebene tiefer: Wie soll Usercentrics Google Analytics, den Meta Pixel oder YouTube zurückhalten, bis ein Besucher zustimmt? Usercentrics bietet dafür mehrere Wege an – und jeder hat eigene Voraussetzungen. Wer nicht genau weiß, welcher Weg auf der eigenen Website aktiv ist, weiß auch nicht, ob tatsächlich etwas blockiert wird.

Usercentrics ist dabei nicht das Problem – die Einbindung ist es. Dieser Leitfaden ordnet die Optionen, zeigt die typischen Lücken und erklärt, wie Sie nachmessen, ob Ihr Setup hält.

Drei Wege, wie Usercentrics blockiert

1. Manuell: type="text/plain" und data-usercentrics

Jedes Skript, das eine Einwilligung braucht, wird umgeschrieben: Aus type="text/javascript" wird type="text/plain", dazu kommt das Attribut data-usercentrics mit dem Namen des Dienstes, etwa data-usercentrics="Google Analytics".

Zwei Stolperfallen nennt die Usercentrics-Dokumentation selbst:

• Der Name muss exakt mit dem Dienst im Admin Interface übereinstimmen – inklusive Groß- und Kleinschreibung und Leerzeichen. „Google analytics“ statt „Google Analytics“ reicht, damit nichts passiert.
• Auch Skripte ohne type-Attribut müssen type="text/plain" bekommen, sonst führt der Browser sie einfach aus.

Und: Jedes Snippet, das später jemand einfügt, ist unmarkiert und läuft durch.

2. Auto-Blocking

Beim Auto-Blocking müssen Sie die Skripte nicht anfassen. Usercentrics erzeugt die Blockierregeln aus einem Scan Ihrer Domain. Daraus folgen die Voraussetzungen:

• Die Domain muss in der Konfiguration hinterlegt sein, und es muss mindestens ein Scan gelaufen sein.
• Dienste, die der Scan als „Unknown“ meldet, blockiert Auto-Blocking erst, wenn Sie sie einem Dienst (Data Processing Service) zugeordnet haben.
• Es gibt zwei Skripte: Das Autoblocker-Skript muss vor dem Loader stehen, und beide gehören in den <head> vor alle anderen Drittanbieter-Skripte.
• Neue Dienste nach einem Website-Update greifen erst nach neuem Scan.

Ein Detail, das man beim Prüfen kennen sollte: Ressourcen mit data-uc-allowed="true" lässt Auto-Blocking immer durch.

3. Smart Data Protector

Der Smart Data Protector ist eine eigene Erweiterung mit eigenem Skript. Er erkennt bekannte Technologien anhand vordefinierter Dienst-Vorlagen und blockiert sie bis zur Einwilligung; für YouTube zeigt er zum Beispiel ein Vorschaubild. Laut Dokumentation gilt:

• Das Skript muss im <head> vor allen anderen Skripten stehen und darf nicht mit async oder defer geladen werden.
• Er erkennt standardmäßig nur vordefinierte Vorlagen. Eigene Dienste müssen erst einer Vorlage zugeordnet werden.
• Er kann den Download referenzierter JavaScript-Dateien nicht verhindern – die IP-Adresse des Besuchers kann also trotzdem beim Drittanbieter ankommen. CSS-Dateien und @import-Verweise blockiert er gar nicht; vollständig blockieren lassen sich nur iframes.
• In Kombination mit TCF empfiehlt Usercentrics ihn nicht.

Auto-Blocking und Smart Data Protector sind zwei getrennte Funktionen; Usercentrics rät in seinem Hilfecenter davon ab, beide gleichzeitig zu nutzen. Prüfen Sie daher zuerst, welche Methode bei Ihnen tatsächlich eingebunden ist.

Google Tag Manager: Usercentrics-Vorlage und consent_status

Läuft Ihr Tracking über den Google Tag Manager, entscheidet der GTM, wann ein Tag feuert. Usercentrics stellt dafür eine Vorlage in der GTM-Vorlagengalerie bereit (Suche nach „Usercentrics“). Für Tags, die auf die Einwilligung warten sollen, sendet Usercentrics das Data-Layer-Ereignis consent_status, auf das ein Trigger vom Typ „Benutzerdefiniertes Ereignis“ hören kann.

Zur Zuverlässigkeit sagt Usercentrics selbst: Auto-Blocking funktioniert am besten, wenn die Skripte direkt im Quellcode stehen. Wer alles über den GTM lädt, sollte die Einwilligung dort über Consent Mode oder Trigger steuern – und jeden Tag einzeln prüfen. Ein Tag auf „All Pages“ ohne Einwilligungsbedingung feuert unabhängig vom Banner.

Consent Mode v2: der Standardwert entscheidet

Usercentrics unterstützt Google Consent Mode v2. Den Standardzustand vor dem ersten Klick setzt entweder die GTM-Vorlage oder – ohne Vorlage – ein eigenes Skript, das laut Usercentrics-Beispiel ganz oben im <head> und vor dem Usercentrics-Loader steht. Darin müssen ad_storage, analytics_storage, ad_user_data und ad_personalization auf „denied“ stehen.

Fehlt dieser Standardwert oder steht er auf „granted“, erhält Google ein Einwilligungssignal, bevor der Besucher etwas angeklickt hat. Ob das bei Ihnen so ist, zeigt der Consent Mode Checker.

WordPress und Shopify: wo das Skript landet

WordPress: Wird das Usercentrics-Skript über ein Theme-Feld oder Header-Plugin eingefügt, zählt die Reihenfolge: Steht ein Google-Tag aus einem anderen Plugin weiter oben, oder verschiebt ein Caching- bzw. Optimierungs-Plugin das Skript nach hinten oder lädt es verzögert, greift weder die manuelle Markierung noch der Smart Data Protector rechtzeitig. Das Usercentrics-Skript daher vom Zusammenfassen und Verzögern ausnehmen.

Shopify: Usercentrics beschreibt für Shopify das Einfügen des Banner-Codes im Header des Shops. Apps mit eigenem Tracking-Code können aber unabhängig davon Daten senden. Nach jeder neuen App gilt: neu messen.

Was wir in unseren Daten sehen

Für Usercentrics allein ist unsere Stichprobe zu klein: Im Scan von 10.944 Websites kleiner und mittlerer Unternehmen in neun EU-Ländern (31. Oktober bis 1. November 2026) nutzten nur 38 Websites Usercentrics – zu wenige für belastbare Prozentwerte. Wir nennen deshalb die Werte für alle 4.101 Websites mit Cookie-Banner, unabhängig vom Anbieter:

• 59,8 % (2.453) luden Tracker, bevor der Besucher eine Wahl getroffen hatte.
• 49,5 % (2.030) feuerten einen Werbe-Pixel vor der Einwilligung.
• 67,0 % (2.747) luden Google Fonts direkt von Google-Servern.
• Von 1.881 Websites mit „Ablehnen“-Button auf der ersten Ebene sendeten 43,6 % (821) nach dem Klick auf „Ablehnen“ weiterhin Daten an Dritte.

Ein Banner allein schützt also nicht. Zu Google Fonts: Weil sie meist per CSS geladen werden, greift Skript-Blockierung dort nicht – lokal einbinden ist die verlässliche Lösung. Prüfen können Sie das mit dem Google Fonts Checker.

So testen Sie Ihr Usercentrics-Setup

Mit dem Browser:

1. Website in einem privaten Fenster öffnen, damit keine alte Einwilligung gespeichert ist.
2. Entwicklertools (F12) → Tab „Netzwerk“, Seite neu laden, nichts im Banner anklicken.
3. Nach google-analytics, googletagmanager, facebook, doubleclick, fonts.googleapis und tiktok filtern. Was jetzt erscheint, ging vor der Einwilligung raus.
4. „Alle ablehnen“ klicken, neu laden, erneut filtern.

Automatisch: Der kostenlose Cookie Check von Bannerproof lädt Ihre Website wie ein Erstbesucher aus der EU, misst vor der Einwilligung und nach „Ablehnen“, liest die Consent-Mode-Signale aus und zeigt jede gefundene Anfrage als Nachweis. Wir prüfen das Ergebnis, nicht das Werkzeug: Usercentrics kann korrekt blockieren – ob es das auf Ihrer Website tut, zeigt erst die Messung.

Checkliste für die Usercentrics CMP

• Klar festgelegt: manuell, Auto-Blocking oder Smart Data Protector – keine zufällige Mischung
• Usercentrics-Skripte ganz oben im <head>, vor allen Drittanbieter-Skripten; Smart Data Protector ohne async/defer
• Manuell: jedes Skript mit type="text/plain" und exakt geschriebenem data-usercentrics-Namen
• Auto-Blocking: aktueller Scan, keine „Unknown“-Dienste offen
• Google Tag Manager: jeder Tracking-Tag mit Einwilligungsbedingung
• Consent Mode v2: alle vier Signale standardmäßig „denied“
• Google Fonts lokal, YouTube und Karten erst nach Einwilligung
• Nach jedem neuen Plugin, jeder neuen App und jedem neuen Pixel: neu prüfen

Häufige Fragen

Usercentrics – was ist das genau? Eine Consent-Management-Plattform: Sie holt die Einwilligung der Besucher ein, dokumentiert sie und steuert, welche Dienste laden dürfen. Seit dem Zusammenschluss mit Cookiebot gehören beide Marken zu Usercentrics; die Usercentrics CMP ist ein eigenes Produkt mit eigener Einrichtung.

Ist die Usercentrics CMP DSGVO-konform? Sie ist ein Werkzeug. Ob Ihre Website die Anforderungen erfüllt, hängt von der Einbindung ab – und davon, ob vor der Einwilligung tatsächlich nichts lädt. Das lässt sich messen, ersetzt aber keine rechtliche Bewertung Ihres Falls.

Reicht der Scan im Usercentrics Admin Interface nicht? Der Scan findet Dienste und liefert die Grundlage für die Blockierregeln. Ob beim ersten Seitenaufruf trotzdem etwas vor der Einwilligung feuert, zeigt nur ein Test wie oben.

Messen statt hoffen

Starten Sie den kostenlosen Cookie Check – in rund zwei Minuten sehen Sie, ob vor der Einwilligung oder nach „Ablehnen“ noch etwas lädt, und was genau.

Methodik: Eigener Scan von Bannerproof, 31.10.–1.11.2026, 10.944 erfolgreich geladene Websites kleiner und mittlerer Unternehmen in Tschechien, Rumänien, Ungarn, der Slowakei, Kroatien, Slowenien, Litauen, Lettland und Bulgarien; 4.101 davon mit Cookie-Banner, 38 mit Usercentrics (zu wenige für eigene Werte). Serverseitiges Tracking ist für einen Browser nicht sichtbar. Keine Rechtsberatung; wir nennen keine einzelnen Websites. Usercentrics ist eine Marke der Usercentrics GmbH; Bannerproof steht in keiner Verbindung zur Usercentrics GmbH.