Websites herunterladen, die OneTrust nutzen

Über OneTrust

OneTrust kam im Vorfeld der europäischen Datenschutzregulierung auf den Markt, und seitdem werden Consent-Tools unter Termindruck gekauft. Eine Vorschrift tritt in Kraft, die Rechtsabteilung schreibt ein Memo, und noch im selben Quartal geht ein Banner online. Unser Katalog führt das Produkt in der Kategorie Cookie compliance, herausgegeben vom Anbieter OneTrust LLC, erstmals veröffentlicht 2016 und unter der Lizenz Proprietary vertrieben, und sein Auftauchen auf einer Domain sagt etwas über die rechtliche Haltung des Betreibers aus, nicht über das Design der Website, ihren Traffic oder ihren Geschmack bei Tools.

Stand Oktober 2026 erkennen wir die Plattform auf 32.483 Websites. 20.743 davon verorten wir in den USA, und ein großer Teil der übrigen Domains ist unter der Endung .com registriert. Ein Consent-Tool richtet sich nach der Aufsichtsbehörde, die für den Besucher zuständig ist, und nicht nach der, die für den Server zuständig ist. Eine nationale Konzentration in einem Datensatz wie diesem misst deshalb, wo die Käufer sitzen, und nicht, wo das Compliance-Risiko entsteht. Unternehmen mit Sitz in einem Markt installieren routinemäßig eine Consent-Schicht, weil ein Teil ihres Publikums aus einem anderen kommt.

Für die Forschung steht eine Enterprise-Consent-Plattform eher stellvertretend für eine bestimmte Klasse von Websites, als dass sie eine Aussage über die einzelne Website erlaubt. Domains mit einer solchen Plattform haben in der Regel eine juristische Prüfung durchlaufen, betreiben einen Marketing-Stack, der so groß ist, dass Consent-Signale nachgelagert an Tag-Manager und Data-Warehouses weitergereicht werden müssen, und haben einen Budgetposten für Datenschutzsoftware. Vertriebsteams, die Governance-, Security- oder Martech-Lösungen verkaufen, lesen das Signal als Qualifizierungsmerkmal. Konkurrierende Anbieter sehen darin eine erschließbare installierte Basis mit festem Verlängerungstermin. Datenschutzforscher nutzen es als Stichprobenrahmen, und nur so lässt sich untersuchen, wie sich Banner tatsächlich verhalten, wenn sie in freier Wildbahn im Einsatz sind und nicht auf einem Screenshot.

Die Erkennung erfolgt hier clientseitig und ist deshalb unvollständig. Wir identifizieren die Plattform an den Skripten und Endpunkten, die eine Seite lädt. Eine Einbindung, die über einen Pfad auf der eigenen Domain der Website ausgeliefert, über einen Container im Tag-Manager eingeschleust oder nur Besuchern aus bestimmten Regionen angezeigt wird, kann uns deshalb vollständig entgehen. Ein Banner, das per Geofencing nur für europäischen Traffic ausgespielt wird, bleibt für unseren Crawler womöglich stumm und wird nie erfasst. Die Zahl sollte man als die Websites lesen, auf denen das Tool zum Zeitpunkt des Abrufs nachweislich vorhanden war, und nicht als Vollerhebung jeder jemals verkauften Lizenz.

Ob eine einzelne Domain ein Consent-Banner zeigt, lässt sich mit einem Browser in wenigen Sekunden prüfen, und deshalb liegt der Wert einer herunterladbaren Liste woanders. Der Export beantwortet Fragen zum gesamten Bestand: welche Segmente des Webs Consent-Management eingeführt haben und welche nicht, wie sich die Einsätze über Länder und Endungen verteilen und welche Domains eine Consent-Schicht neben genau den Analyse-, Werbe- und Tag-Management-Tools betreiben, deren Ausführung sie eigentlich steuern soll. Consent-Tools mit den Trackern abzugleichen, die auf derselben Seite laden, ist genau die Art von Analyse, die die ganze Liste auf einmal braucht, und jede Technologiespalte im Export ist dafür gebaut, gegen jede andere gefiltert zu werden.