Tracking-Audit: woran Sie erkennen, dass Ihre Marketing-Entscheidungen auf falschen Zahlen beruhen

Kurz gesagt: der eine Abgleich, der kaputtes Tracking verrät

Ob Ihr Tracking verlässlich misst, erkennen Sie zuerst an einem einzigen Abgleich: Stimmen die im Werbekonto gemeldeten Conversions mit den echten Bestellungen in Ihrem Shop-Backend oder CRM überein? Weichen sie systematisch ab, verteilen Sie Ihr Werbebudget nach einem Bild, das es so nie gab, und steuern es auf Basis falscher Zahlen. Dieser Abgleich lohnt sich, bevor irgendeine Technik ins Spiel kommt.

Eine Conversion ist eine gewünschte Handlung eines Nutzers, etwa ein Kauf, eine Anfrage oder eine Anmeldung. Das Werbekonto, also Google Ads oder Meta, meldet, wie viele solcher Handlungen es einer Anzeige zugeordnet hat. Das Backend ist das interne System, in dem die tatsächlichen Bestellungen liegen, zum Beispiel das Shop-System, ein Warenwirtschaftssystem (ERP) oder ein Kundenverwaltungssystem (CRM). Dort ist der reale Umsatz verbucht, deshalb ist es die verlässlichste Referenz.

Werbebudget wird auf Basis von Conversion-Zahlen gesteuert, von Menschen ebenso wie von den automatischen Algorithmen der Werbeplattformen. Sind diese Zahlen falsch, optimieren beide auf ein verzerrtes Bild.

Man kann es deutlich sagen: In vielen Konten trifft nicht mehr der Mensch die teuersten Entscheidungen, sondern ein Algorithmus, der jeden gemeldeten Wert für bare Münze nimmt und das Budget danach verschiebt. Eine falsche Zahl bleibt dann nicht folgenlos, sie wird automatisch und in großem Maßstab in Ausgaben übersetzt.

Warum heute Zahlen fehlen: nicht wegen „sterbender Cookies”, sondern wegen Safari, iOS, Consent und Blockern

Die Messlücke entsteht 2026 nicht durch ein Ende der Cookies in Chrome, sondern durch den Browser-Schutz von Safari, die App-Tracking-Abfrage auf dem iPhone, abgelehnte Einwilligungen und Werbe-Blocker.

Ein Cookie ist eine kleine Merkdatei, die eine Website im Browser eines Besuchers ablegt, um ihn bei einem späteren Besuch wiederzuerkennen. Über solche Merkdateien ordnet das Tracking Besuche, Klicks und Käufe demselben Nutzer zu.

Ein verbreiteter Irrtum lautet, die Third-Party-Cookies stürben 2024 oder 2025, und danach sei alles anders. Ein Third-Party-Cookie stammt nicht von der Seite, die man gerade besucht, sondern von einem eingebundenen Dritten, etwa einem Werbenetzwerk.

Für Chrome ist dieses Ende jedoch ausgeblieben: Google hat am 22. April 2025 offiziell entschieden, Third-Party-Cookies in Chrome nicht abzuschaffen; Nutzer steuern sie weiter über die bestehenden Datenschutzeinstellungen des Browsers. Bis Oktober 2025 hat Google zentrale Bausteine seiner „Privacy Sandbox” eingestellt oder zurückgefahren. Die Privacy Sandbox war Googles geplanter Ersatz für Third-Party-Cookies, also ein Bündel neuer Techniken, das Werbung ohne diese Cookies ermöglichen sollte; dieser Ersatz kommt nun größtenteils nicht mehr zustande.

Die Messlücke besteht dennoch; sie entsteht heute nur an anderer Stelle. Vier reale Quellen speisen sie.

Safari-Browser-Schutz: Cookies auf 7 Tage, bei Werbe-Klicks auf 24 Stunden gekürzt

Die erste Quelle ist der Browser-Schutz von Safari. Intelligent Tracking Prevention (ITP) ist Apples in Safari eingebaute Schutzfunktion, die das seitenübergreifende Verfolgen von Nutzern einschränkt. Seit ITP 2.1 werden alle Cookies, die per JavaScript im Browser gesetzt werden, auf maximal sieben Tage Lebensdauer gekürzt; „per JavaScript gesetzt” heißt, vom Code der Seite im Browser selbst erzeugt.

Kommt ein Besucher über einen Werbe-Link mit angehängten Tracking-Parametern, etwa einem Google-Ads- oder Meta-Parameter in der Adresse, kürzt Safari diese Cookies sogar auf 24 Stunden. Diese Verkürzung durch angehängte Link-Parameter, auch Link-Dekoration genannt, trifft ausgerechnet den bezahlten Traffic am härtesten, denn Klicks aus Anzeigen tragen fast immer solche Parameter.

Zusätzlich blockiert Safari Third-Party-Cookies seit März 2020 standardmäßig vollständig; Firefox blockiert Third-Party-Tracking-Cookies ebenfalls standardmäßig. Für diese Browser ist der Third-Party-Cookie also längst weg, unabhängig von der Entscheidung in Chrome.

App-Tracking-Abfrage auf dem iPhone: nur etwa 25 bis 35 Prozent stimmen zu

Die zweite Quelle ist die App-Tracking-Abfrage auf dem iPhone. App Tracking Transparency (ATT) ist Apples seit 2021 verpflichtender Zustimmungsdialog: Eine App darf einen Nutzer nur dann app- und websiteübergreifend verfolgen, wenn er im Dialog aktiv zustimmt. Die verfolgende Kennung ist die IDFA, eine anonyme Werbe-Kennung auf iPhones, mit der Werbenetzwerke einen Nutzer über Apps hinweg wiedererkennen. Ohne aktives „Ja” bleibt sie für den Werbetreibenden verborgen.

Die berichteten Zustimmungsquoten liegen niedrig, im Durchschnitt grob bei 25 bis 35 Prozent; diese Werte streuen je nach Messmethode stark und sind als Größenordnung zu verstehen, nicht als exakte Quote.

Abgelehnte Einwilligungen: was der Nutzer wegklickt, fehlt in den Zahlen

Die dritte Quelle sind abgelehnte Einwilligungen. „Consent” ist die Einwilligung eines Besuchers ins Tracking, das Consent-Banner ist das Fenster, das beim Seitenaufruf danach fragt. Nach den geltenden Datenschutzregeln dürfen nicht-essenzielle Tracking-Cookies erst nach aktiver Einwilligung gesetzt werden. Was ein Nutzer ablehnt, darf im Browser nicht gemessen werden und fehlt entsprechend in den Zahlen.

Berichtete durchschnittliche Zustimmungsquoten liegen bei rund 30 Prozent, wobei Studien je nach Bannergestaltung sehr weite Spannen nennen; in Deutschland und Österreich wird überdurchschnittlich häufig abgelehnt. Auch diese Quote ist panel- und designabhängig und als Größenordnung zu verstehen.

Ad-Blocker: wo das Mess-Skript nicht lädt, fehlt der Besucher ganz

Die vierte Quelle sind Ad-Blocker. Ein Ad-Blocker ist ein Zusatzprogramm im Browser, das Werbung ausblendet und dabei häufig auch die kleinen Mess-Skripte stoppt, mit denen eine Website ihre Besucher zählt. Lädt das Analyse- oder Pixel-Skript gar nicht erst, fehlt der Besucher vollständig in der Messung.

Ad-Blocker sind weit verbreitet: berichtet werden Größenordnungen von rund 29 bis 30 Prozent der Internetnutzer weltweit, in Europa etwa 40 Prozent und in Deutschland an der Spitze etwa 49 Prozent; auf dem Desktop liegen die Anteile höher. Diese Adoptionszahlen streuen je nach Panel und sind als Größenordnung zu verstehen.

Verlorene Herkunftsinformation: Besuche ohne zuordenbare Quelle

Hinzu kommt der Verlust der Herkunftsinformation. Ein „Referrer” ist die Information, von welcher Seite ein Besucher kam. Er geht verloren, wenn Links über private Kanäle wie Messenger oder E-Mail-Apps weitergegeben werden, wenn Kampagnen-Links keine Herkunfts-Parameter tragen, wenn Weiterleitungen falsch konfiguriert sind und diese Parameter abschneiden, und zunehmend bei Klicks aus KI-Assistenten, die oft ohne Referrer ankommen. Ohne Herkunftsinformation kann das Analyse-Tool einen Besuch keiner Quelle zuordnen.

Die vier Fehlerklassen: gar nicht, zu wenig, zu viel oder das falsche Ereignis gemessen

Fehlmessung hat vier Formen: Ein Ereignis wird gar nicht gemessen, zu wenig, zu viel, oder das falsche Ereignis wird erfasst. Jede Form verzerrt die Steuerung auf ihre eigene Weise.

Ein Tag ist ein kleiner Mess-Codeschnipsel auf der Seite; „feuern” heißt, dass er auslöst und ein Ereignis meldet. Die vier Fehlerklassen unterscheiden sich danach, wie dieses Feuern von der Realität abweicht.

Die Klasse „zu viel gemessen” entsteht vor allem durch Doppelzählung. Dieselbe Conversion wird zweimal erfasst, etwa durch ein Google-Ads-Tag und einen gleichzeitigen GA4-Import, durch Tags, die sowohl auf einer Weiterleitung als auch auf der Zielseite feuern, oder durch manuell ergänzte Tags, die im Tag-Manager bereits existieren.

Zur selben Klasse gehören modellierte Conversions: Das sind nicht direkt gemessene, sondern statistisch geschätzte Conversions, mit denen die Software fehlende Daten hochrechnet, etwa für Nutzer ohne Einwilligung. Modellierung ist nicht grundsätzlich falsch; sie erhöht aber die Unsicherheit, sobald unklar bleibt, welcher Anteil der Zahlen geschätzt ist. Die Klasse „falsches Ereignis” schließlich entsteht durch falsch ausgelöste Tags, die ein anderes als das beabsichtigte Ereignis melden.

Google Ads und GA4 zeigen andere Zahlen: erst über 15 bis 20 Prozent ist es ein Defekt

Eine gewisse Abweichung zwischen Google Ads und GA4 ist normal, weil beide unterschiedlich zuordnen und zählen; erst Differenzen über etwa 15 bis 20 Prozent deuten auf einen Konfigurationsfehler hin. Diese Schwelle ist eine Erfahrungs-Faustregel aus der Praxis, keine amtliche Grenze von Google; sie hilft, Rauschen von echtem Defekt zu trennen.

GA4 steht für Google Analytics 4, das kostenlose Web-Analyse-Werkzeug von Google. GA4 und Google Ads zählen Conversions unterschiedlich, weil sie verschiedene Attributionsmodelle und Lookback-Fenster verwenden. „Attribution” ist die Regel, welchem Kanal eine Conversion gutgeschrieben wird.

Ein „Lookback-Fenster” ist der Zeitraum, in dem ein früherer Klick noch für eine spätere Conversion zählt; Google Ads nutzt hier standardmäßig oft 30 Tage, GA4 rechnet anders. Meta wiederum nutzt standardmäßig ein Klickfenster von 7 Tagen. Weil die beiden Werkzeuge nach unterschiedlichen Regeln zuordnen, ergeben sich zwangsläufig unterschiedliche Zahlen, ganz ohne Fehler.

Erst wenn die Differenz die Größenordnung der Faustregel überschreitet, ist ein Konfigurationsfehler wahrscheinlich.

Ein weiteres Warnsignal ist ein auffällig hoher Anteil an Traffic, der in GA4 als „Direct” oder „(none)” geführt wird. „Direct / (none)” bedeutet im Bericht, dass das Werkzeug die Herkunft eines Besuchs nicht bestimmen konnte; es ist nicht immer echte Direkteingabe der Adresse, sondern oft nur fehlende Herkunftsinformation, etwa durch geblockte oder gelöschte Cookies, verlorene Referrer, nicht gekennzeichnete Links oder fehlerhafte Weiterleitungen. Ein gewisser Direct-Anteil ist normal; erst ein auffällig hoher oder plötzlich steigender Anteil ist verdächtig.

Was ein Tracking-Audit konkret prüft

Ein Tracking-Audit prüft, ob die Mess-Tags korrekt und ohne Doppelungen feuern, ob der Consent Mode v2 sauber eingerichtet ist, ob der Data-Layer verlässliche Werte liefert und ob serverseitige Wege wie die Meta Conversions API oder Google Enhanced Conversions korrekt angebunden sind.

Die einzelnen Prüfpunkte sind:

• Google Tag Manager (GTM): Der GTM ist das Werkzeug, das alle Mess-Tags einer Seite zentral verwaltet. Geprüft wird die korrekte Installation und ob Tags dupliziert oder falsch ausgelöst sind, denn genau das erzeugt Doppelzählungen.
• GA4-Konfiguration: Geprüft wird, ob das GA4-Tag auf allen Seiten auslöst und ob die wichtigen Ereignisse korrekt definiert sind.
• Standardisierung der Herkunfts-Parameter: Geprüft wird, ob ausgehende Links einheitlich mit Herkunfts-Parametern versehen sind, damit die Kanäle im Bericht sauber zugeordnet werden.
• Consent Mode v2: Geprüft wird, ob dieser Mechanismus korrekt eingerichtet ist (siehe unten).
• Data-Layer: Der Data-Layer ist eine unsichtbare Datenablage auf der Seite, in der wichtige Werte wie Produkt, Preis oder Bestellnummer bereitliegen, damit die Mess-Tags sie zuverlässig auslesen können. Geprüft wird, ob diese Werte sauber und verlässlich vorliegen.
• Deduplizierung: Geprüft wird, ob dasselbe Ereignis nicht doppelt gezählt wird, wenn es über mehrere Wege gemeldet wird.
• Attributionsmodell und Lookback-Fenster: Geprüft wird, ob diese über die Werkzeuge hinweg konsistent gewählt sind.
• Serverseitiges Tagging: Geprüft wird, ob eine serverseitige Messung vorhanden oder nötig ist.

Consent Mode v2: für Werbung an EU-Nutzer seit März 2024 Pflicht

Ein zentraler Prüfpunkt ist der Consent Mode v2. Das ist Googles Mechanismus, der den Zustimmungsstatus eines Nutzers an die Google-Tags weitergibt und diese entsprechend drosselt oder freigibt. Seit März 2024 verlangt Google, dass Websites, die Nutzern in der EU beziehungsweise im Europäischen Wirtschaftsraum Anzeigen ausspielen oder deren Verhalten messen, den Consent Mode v2 einrichten und die nötigen Zustimmungssignale übergeben. Ohne korrekten Consent Mode lassen sich neue Nutzer aus diesem Raum nicht mehr in Remarketing- oder Zielgruppenlisten aufnehmen.

Es gibt eine Basic- und eine Advanced-Variante; die Advanced-Variante sendet bei Ablehnung cookielose Signale und erlaubt mehr Modellierung. Der Consent Mode ersetzt kein rechtskonformes Banner; er ergänzt es.

Meta Conversions API und Google Enhanced Conversions: die serverseitigen Wege

Zwei serverseitige Wege prüft das Audit gesondert. Die Meta Conversions API (CAPI) sendet Conversion-Ereignisse direkt vom eigenen Server an Meta, also nicht aus dem Browser des Besuchers, wo Blocker und Browser-Beschränkungen greifen. Wird sie parallel zum Browser-Pixel betrieben, verhindert eine Deduplizierung die Doppelzählung: Pixel und CAPI senden dasselbe Ereignis mit einer identischen Ereignis-Kennung (event_id); erkennt Meta zwei Ereignisse mit gleicher Kennung, behält es nur eines. Die Güte dieser Zuordnung weist Meta als Event Match Quality auf einer Skala von 0 bis 10 aus.

Der zweite Weg sind Google Enhanced Conversions. Sie ergänzen eine gemessene Conversion um gehashte First-Party-Kundendaten wie E-Mail-Adresse, Name oder Telefonnummer. „Hashen” heißt, Daten mit einem Einweg-Verfahren (SHA-256) in eine Zeichenfolge umzuwandeln, aus der sich das Original nicht zurückrechnen lässt; die E-Mail-Adresse selbst verlässt das Unternehmen also nicht im Klartext. Google gleicht diesen Hash mit den Hashes eingeloggter Google-Konten ab und gewinnt so einen zweiten Zuordnungsweg zum Anzeigenklick, auch ohne Cookie. Voraussetzung dafür ist, dass die First-Party-Daten sauber im Data-Layer bereitliegen.

Wie kaputt ist Ihre Datenbasis? Eine Selbst-Einordnung

Unter uns gesprochen: Kaum jemand rechnet diesen Abgleich freiwillig nach, weil das Dashboard im Werbekonto so ordentlich aussieht: saubere Kurven, runde Summen, ein Bild, dem man gern glaubt. Die unbequeme Erfahrung ist, dass die zweite Zahl aus dem Backend fast immer daneben liegt, sobald man sie das erste Mal danebenhält. Das ist kein Grund zur Panik, sondern der eigentliche Anfang der Prüfung.

Für den schnellen Selbsttest vergleichen Sie über einen festen Zeitraum die im Werbekonto gemeldeten Conversions mit den echten Aufträgen in Ihrem Backend: Bis etwa 10 Prozent Abweichung ist die Lage meist unkritisch, ab rund 20 Prozent besteht Prüfbedarf. Auch diese Toleranz ist eine Erfahrungs-Faustregel, keine amtliche Grenze.

Sie können die Abweichung selbst ausrechnen. Nehmen Sie die im Werbekonto gemeldete Zahl und die tatsächliche Zahl aus dem Backend für denselben Zeitraum und bilden Sie die prozentuale Differenz. Ein hypothetisches Rechenbeispiel: Meldet das Werbekonto 120 Conversions und liegen im Backend 100 reale Aufträge, beträgt die Abweichung 20 Prozent. Die eingesetzten Zahlen sind hier frei gewählte Annahmen und keine Messgröße; das Ergebnis ist eine Orientierung, kein festgelegter Grenzwert.

Schon die Richtung der Abweichung ist ein Hinweis. Meldet das Werbekonto weniger als das Backend, deutet das auf Signalverlust hin, also auf gar nicht oder zu wenig gemessene Ereignisse. Meldet es mehr, spricht das häufig für Doppelzählung oder falsche Zuordnung. Als zusätzliches Prüfsignal dient die Höhe des Direct-Traffics in GA4: Ein auffällig hoher Anteil spricht dafür, dass viele Besuche keiner Herkunft mehr zugeordnet werden können. So lässt sich die eigene Datenbasis abgestuft einordnen, statt sie nur als „funktioniert” oder „kaputt” zu betrachten.

Was ein Audit realistisch leistet, und was nicht

Ein Audit macht die Messlücke sichtbar und teilweise schließbar, stellt aber nie 100 Prozent der verlorenen Daten wieder her; und ein seriöser Audit darf durchaus ergeben, dass alles in Ordnung ist.

Der typische Ablauf ist eine Bestandsaufnahme, welche Tags wo feuern, ein Abgleich zwischen Werbekonto und Backend, die Prüfung von Einwilligung, Tag-Manager, GA4-Konfiguration und Data-Layer und am Ende ein Befund. Ein Teil der verlorenen Conversions lässt sich über serverseitige Wege und Enhanced Conversions oder die Conversions API zurückgewinnen, Vollständigkeit jedoch nicht.

Und darin liegt die eigentlich gute Nachricht: Sobald Sie wissen, wo und wie stark Ihre Messung danebenliegt, verliert die Zahl im Werbekonto ihre Macht, Sie in die Irre zu führen. Aus einer Datenbasis, der man blind vertrauen musste, wird eine, deren Grenzen Sie kennen und einkalkulieren können. Datenschutzkonforme Messung und maximale Datenmenge stehen in einem Zielkonflikt; ein Audit findet dazwischen das machbare Optimum.

Zu Recovery-Effekten kursieren in der Fachliteratur Prozentzahlen, etwa zur Wiederherstellung eines Teils der Conversions über serverseitige Messung. Diese Werte streuen stark nach Ausgangslage (nach Traffic-Mix, iPhone- und Safari-Anteil und Blocker-Quote) und sind keine garantierten, allgemeingültigen Größen. Dass der Effekt existiert und in welche Richtung er wirkt, ist belegt; eine feste Prozentzahl als Zusage ist es nicht.

Bei Dometrics ist der Einstieg ein bezahlter Daten-Check mit einer klaren Ja/Nein-Entscheidung; findet die Prüfung keinen Hebel, gibt es eine ehrliche Absage und das Honorar zurück.

Wenn die Messung im Browser an ihre Grenze stößt: Server-Side als nächster Schritt

Ein Teil der im Browser verlorenen Conversions lässt sich über serverseitige Messung zurückgewinnen. Server-Side-Tracking verlagert die Messung vom Browser des Besuchers auf einen eigenen Server, wo Ad-Blocker und die Cookie-Kürzung durch den Browser-Schutz nicht greifen; getragen wird es von denselben Bausteinen wie die Conversions API, Enhanced Conversions und First-Party-Cookies. Was das genau bedeutet, welche Kosten es hat und wann es sich lohnt, behandelt ein eigener Ratgeber.

Weiterlesen: Server-Side-Tracking im Detail

Nächster Schritt: der Tracking-Audit

Wer wissen will, ob die eigene Datenbasis trägt, lässt sie in einem Tracking-Audit prüfen, und erhält als Ergebnis eine klare Ja/Nein-Entscheidung. Bei Dometrics ist dieser Einstieg ein bezahlter Daten-Check; wird kein Hebel gefunden, gibt es eine Absage und das Honorar zurück. Dometrics ist als Google Partner und Meta Business Partner zertifiziert. Tracking bildet dort das Fundament, auf dem die weiteren Leistungen aufbauen.

Zum Tracking-Audit: Tracking & Analytics bei Dometrics

Begriffe nachschlagen: Tracking-Pixel · Third-Party-Cookie und ITP · Consent Mode · Conversion · Attribution · Lookback-Fenster · GA4 · Google Tag Manager · First-Party-Daten · Server-Side-Tracking · alle Begriffe im Glossar

Häufige Fragen

Woran erkenne ich, dass mein Conversion-Tracking kaputt ist?

Am deutlichsten daran, dass die im Werbekonto gemeldeten Conversions systematisch von den echten Bestellungen oder Anfragen in Ihrem Backend, ERP oder CRM abweichen. Weicht das Werbekonto dauerhaft nach oben oder unten von der tatsächlichen „Kasse" ab, misst mindestens eine Seite falsch.

Warum weichen Google Ads und GA4 voneinander ab?

Weil beide Werkzeuge Conversions nach unterschiedlichen Attributionsmodellen und Lookback-Fenstern zählen. Eine gewisse Abweichung ist deshalb normal; erst Differenzen über etwa 15 bis 20 Prozent, als Erfahrungs-Faustregel verstanden, deuten auf einen Konfigurationsfehler hin.

Warum habe ich so viel Direct-Traffic in GA4?

Weil „Direct / (none)" das Sammelbecken für Besuche ist, deren Herkunft GA4 nicht bestimmen konnte. Ursachen sind geblockte oder gelöschte Cookies, verlorene Referrer, nicht gekennzeichnete Links, fehlerhafte Weiterleitungen und zunehmend Klicks aus KI-Assistenten ohne Herkunftsinformation. Ein auffällig hoher oder plötzlich steigender Anteil ist ein Warnsignal.

Sterben Third-Party-Cookies jetzt oder nicht?

Für Chrome nicht. Google hat am 22. April 2025 entschieden, Third-Party-Cookies in Chrome nicht abzuschaffen, und hat zentrale Bausteine seiner Privacy Sandbox bis Oktober 2025 eingestellt. In Safari und Firefox sind Third-Party-Cookies dagegen bereits standardmäßig blockiert. Die Messlücke besteht also weiter, entsteht aber über Safari, iOS, Einwilligung und Blocker, nicht über ein Cookie-Ende in Chrome.

Was prüft ein Tracking-Audit?

Es prüft unter anderem den Google Tag Manager auf doppelte oder falsch ausgelöste Tags, die GA4-Konfiguration, die Standardisierung der Herkunfts-Parameter, den Consent Mode v2, die Sauberkeit des Data-Layers, die Deduplizierung, das Attributionsmodell mit Lookback-Fenster sowie die serverseitigen Anbindungen über die Meta Conversions API und Google Enhanced Conversions.

Brauche ich Consent Mode v2?

Wenn Sie Nutzern in der EU beziehungsweise im Europäischen Wirtschaftsraum Anzeigen ausspielen oder deren Verhalten messen, verlangt Google seit März 2024 den Consent Mode v2. Ohne ihn lassen sich neue Nutzer aus diesem Raum nicht mehr in Remarketing- oder Zielgruppenlisten aufnehmen. Er ersetzt kein rechtskonformes Consent-Banner, sondern ergänzt es.