Handbuch: Cookie-Plugin einrichten und betreiben

Was Ehrenplatz-Cookie tut

Ehrenplatz-Cookie ist ein Consent-Management-Plugin für WordPress. Es findet die Dienste, die auf Ihrer Webseite Daten an Dritte senden, blockiert sie, bis der Besucher zustimmt, und dokumentiert diese Zustimmung nachvollziehbar.

Drei Dinge unterscheiden es von einem reinen Cookie-Banner:

• Es findet Dienste selbst, statt sie von Ihnen erwarten zu lassen — per Scan der gesamten Webseite und wöchentlich automatisch im Hintergrund.
• Es blockiert wirklich, auch Inhalte, die ein Page-Builder erst per JavaScript nachlädt. Ein Banner, das nur fragt, aber nichts aufhält, erfüllt seinen Zweck nicht.
• Es hostet Google Fonts und den Tag Manager lokal, ohne Zusatz-Plugin und dauerhaft.

Voraussetzungen

Das Plugin läuft auf gewöhnlichem Shared Hosting. Es braucht keinen eigenen Server, kein Node.js und keinen Chromium.

Installation

• ZIP-Datei herunterladen
• In WordPress unter Plugins → Installieren → Plugin hochladen auswählen
• Jetzt installieren, danach Aktivieren
• Im WordPress-Menü erscheint Ehrenplatz-Cookie

So finden Sie sich zurecht

Das Plugin bringt eine eigene Seitenleiste mit. Sie erreichen alle Bereiche über den einen Menüpunkt Ehrenplatz-Cookie, nicht über WordPress-Untermenüs:

Zwei Kleinigkeiten, die den Alltag erleichtern: Mit ⌘K öffnen Sie eine Befehlspalette und springen direkt zu einem Bereich. Unten in der Seitenleiste schalten Sie zwischen hellem und dunklem Erscheinungsbild um.

Das Dashboard zeigt auf einen Blick, ob das automatische Blockieren aktiv ist, wie viele Dienste aktiv sind, wie viele Einwilligungen protokolliert wurden, wann zuletzt gescannt wurde und ob offene Scan-Funde auf Sie warten. Von dort starten Sie auch Als Besucher testen.

Der erste Schritt nach der Installation ist aber der Lizenzschlüssel — ohne ihn bleiben die übrigen Bereiche gesperrt.

Schlüssel eintragen

Der Lizenzschlüssel hat die Form EPC-XXXX-XXXX-XXXX-XXXX. Sie finden ihn in der Kauf-E-Mail und im Lizenzzertifikat.

Solange keine Lizenz hinterlegt ist, zeigt das Plugin ausschließlich die Lizenzseite — alle anderen Bereiche sind gesperrt. Nach dem Eintragen finden Sie die Lizenz unter Einstellungen.

• Schlüssel einfügen
• Lizenz speichern

Groß- und Kleinschreibung spielen keine Rolle, Leerzeichen werden entfernt. Nach dem Speichern wird der Schlüssel nur noch verkürzt angezeigt (EPC-A7F3-••••-••••-••••) — so ist er auch dann nicht lesbar, wenn jemand Zugriff auf Ihr WordPress-Backend bekommt. Wollen Sie andere Einstellungen ändern, ohne den Schlüssel anzufassen, lassen Sie das Feld einfach leer.

Unter dem Feld sehen Sie, wie viele Plätze Ihrer Lizenz belegt sind. Mit Lizenz entfernen lösen Sie die Installation wieder von der Lizenz.

Wie Plätze gezählt werden

Jede Installation belegt einen Platz — auch Staging-Umgebungen, lokale Kopien und Installationen auf Subdomains. Ein Projekt aus Live-Seite, Staging und lokaler Kopie verbraucht also drei Plätze.

www.ihre-domain.de und ihre-domain.de gelten als dieselbe Webseite und belegen zusammen nur einen Platz.

Auf eine andere Webseite umziehen

• Auf der alten Webseite das Plugin deaktivieren — der Platz wird sofort frei
• Auf der neuen Webseite den Schlüssel eintragen

Das funktioniert beliebig oft. Sie brauchen dafür kein Kundenportal und keine Rückfrage beim Support.

Support-Code

Im Lizenzbereich fordern Sie über Support-Code anfordern einen Code an. Er ist 30 Minuten gültig und weist Ihre Installation gegenüber dem Support aus.

Schicken Sie diesen Code bei Anfragen mit — nicht Ihren Lizenzschlüssel. So lässt sich Ihre Installation zuordnen, ohne dass der Schlüssel durch Postfächer und Ticketsysteme wandert.

Wenn der Lizenzserver nicht erreichbar ist

Kurz gesagt: Es passiert nichts.

Das Plugin prüft die Lizenz einmal täglich und merkt sich die letzte gültige Antwort. Eine Störung auf unserer Seite schaltet Ihr Consent-Management nicht ab — das wäre genau der falsche Zeitpunkt für einen Ausfall.

• Ab 7 Tagen ohne erfolgreichen Kontakt erscheint ein Hinweis im Backend
• Nach 30 Tagen ohne jeden Kontakt wird die Lizenz abgestuft

Nur eine ausdrückliche Absage des Servers — etwa bei einer gekündigten Lizenz — schaltet sofort ab. Ein frisch eingetragener Schlüssel sperrt ebenfalls nie sofort: Ist der Server beim Speichern nicht erreichbar, wird der Schlüssel trotzdem gespeichert und die Aktivierung automatisch nachgeholt.

Meldungen beim Aktivieren

Setup-Assistent

Nach dem Aktivieren der Lizenz führt Sie der Setup-Assistent in fünf Schritten durch die Grundeinstellungen. Sie können ihn jederzeit erneut aufrufen: Einstellungen → Setup-Assistent erneut starten.

Schritt 1 — Willkommen

Der Einstieg erklärt, was in den nächsten Schritten passiert.

Schritt 2 — Scan

Der Assistent durchsucht Ihre Webseite und teilt die Funde in zwei Gruppen: Erkannt und aktiviert — Dienste, die das Plugin kennt und selbst zuordnen konnte — und Unbekannte Dienste, die Sie zuordnen müssen. Die zweite Gruppe ist die wichtige: Alles, was hier liegen bleibt, ist nicht korrekt kategorisiert.

Schritt 3 — Design

Hier wählen Sie das Grundaussehen des Banners. Feinheiten stellen Sie später unter Design ein.

Schritt 4 — Texte

Sprache, Anrede — Du oder Sie — und der Verweis auf Ihre Datenschutzerklärung. Die Anrede zieht sich durch alle Banner-Texte; sie hier richtig zu setzen, spart späteres Nacharbeiten.

Schritt 5 — Fertig

Zusammenfassung und Absprung in die Bereiche, die als Nächstes sinnvoll sind.

Erster Scan

Ehrenplatz-Cookie → Scan durchsucht Ihre Webseite nach Diensten, die Daten an Dritte senden.

• Es werden bis zu 150 Adressen je Durchlauf geprüft — nicht nur die Startseite
• Der Scan läuft in Abschnitten, damit er nicht in ein Zeitlimit Ihres Servers läuft
• Sehr große Seiten werden bis 3 MB ausgewertet
• Webseiten mit mehr als 150 Adressen sind vorgesehen; die gefundenen Dienste bleiben über die Durchläufe hinweg erhalten

Zusätzlich läuft einmal wöchentlich ein automatischer Scan im Hintergrund und meldet neu hinzugekommene Dienste. Das ist der Fall, der in der Praxis zählt: Jemand baut ein YouTube-Video auf einer Unterseite ein, und niemand denkt an das Cookie-Banner.

Die vier Kategorien

Jeder Dienst gehört zu genau einer Kategorie:

Wird einem Dienst keine Kategorie zugewiesen, landet er automatisch unter Statistik — nie unter Essenziell. Ein unbekannter Dienst wird also nie versehentlich ohne Einwilligung geladen.

Dienste zuordnen

Unter Ehrenplatz-Cookie → Dienste ordnen Sie jedem gefundenen Dienst seine Kategorie zu und hinterlegen die Angaben, die später in der Cookie-Tabelle erscheinen.

Der KI-Assistent kann Ihnen diese Zuordnung vorschlagen. Er läuft über Ihren eigenen API-Schlüssel bei Anthropic oder OpenAI — die Kosten sind nicht in der Lizenz enthalten, dafür gibt es auch keine Beschränkung durch uns. Die Vorschläge sollten Sie prüfen, besonders bei allem, was als Essenziell vorgeschlagen wird.

Wo Sie die Zuordnung vornehmen

• Dienste öffnen und den gewünschten Dienst zum Bearbeiten aufrufen
• Im Formular den erweiterten Bereich aufklappen
• Unter „Google Consent Mode steuern“ die Felder zuordnen

Ohne eigene Zuordnung gilt:

Shortcodes

Für die Datenschutzerklärung brauchen Sie in der Regel [epc_cookie_list] und [epc_settings]. Den passenden Shortcode samt Vorschau finden Sie unter Dienste-Liste.

Consent-Log

Unter Ehrenplatz-Cookie → Consent-Log finden Sie die protokollierten Einwilligungen, exportierbar als CSV. IP-Adressen werden gehasht gespeichert, nicht im Klartext.

Anbieter

Unter Anbieter hinterlegen Sie je Dienst, wer die Daten verarbeitet. Diese Angaben erscheinen im Banner und in der Cookie-Tabelle.

Statistik

Statistik zeigt, wie Besucher auf das Banner reagieren — Zustimmungen, Ablehnungen, Teilzustimmungen.

Ein Dienst wird nicht blockiert

Prüfen Sie zuerst den Hauptschalter: Einstellungen → „Automatisches Blockieren“. Ist er aus, blockiert das Plugin nichts, egal wie die Dienste konfiguriert sind.

Das klingt banal, ist aber die mit Abstand häufigste Ursache — und wird regelmäßig übersehen, weil zuerst an Caches und Konfigurationsfehler gedacht wird. Erst wenn dieser Schalter an ist, lohnt die weitere Suche.

Ob der Schalter aktiv ist, sehen Sie auch auf einen Blick im Dashboard.

Ein Video in Elementor wird nicht blockiert

Page-Builder wie Elementor laden Videos oft erst per JavaScript nach. Klassische Blocker, die nur den HTML-Quelltext durchsuchen, finden sie deshalb nicht. Ehrenplatz-Cookie hat dafür einen Wächter im Browser, der auch nachgeladene Einbettungen abfängt.

Ein Sonderfall: YouTube tritt in mehreren Adressvarianten auf — youtube.com, youtu.be und youtube-nocookie.com, letztere bei aktiviertem Privacy Mode in Elementor. Alle Varianten werden erkannt und derselben Dienstdefinition zugeordnet.

Google Fonts werden trotz lokalem Hosting geladen

Meist liegt es daran, dass die Schrift nur auf einer Unterseite eingebunden ist. Führen Sie einen vollständigen Scan aus, nicht nur eine Prüfung der Startseite.

Das Banner erscheint nicht

Bekannte Ursache: WP Rocket mit aktiviertem LazyRender. Die Funktion setzt content-visibility: auto, wodurch das Banner im DOM vorhanden, aber unsichtbar ist. Nehmen Sie den Banner-Container von LazyRender aus.

Erscheint das Banner auf einer frischen Installation gar nicht, prüfen Sie in der Browser-Konsole, ob die Konfiguration geladen werden konnte.

Ist Google reCAPTCHA nicht essenziell?

Nein. reCAPTCHA gehört zu Externe Medien und ist einwilligungspflichtig.

Die häufige Gegenannahme lautet, reCAPTCHA sei zum Betrieb des Formulars technisch notwendig. Das trifft nicht zu: Es gibt einwilligungsfreie Alternativen zum Spam-Schutz, und damit entfällt die Grundlage für eine Einordnung als essenziell.

Ehrenplatz-Cookie erkennt reCAPTCHA und ordnet es seit Version 1.52.0 korrekt ein.

Nach einem Plugin-Update sehe ich alte Inhalte

Das Plugin leert nach jedem eigenen Update automatisch den Cache der gängigen Caching-Plugins: WP Rocket einschließlich Minify-Cache, W3 Total Cache, WP Super Cache, LiteSpeed Cache und SiteGround Optimizer. Sie müssen nichts tun.

Nutzen Sie ein anderes Caching-Plugin oder einen Server-Cache, leeren Sie diesen nach dem Update selbst.

Was passiert, wenn meine Lizenz abläuft?

Siehe Kapitel 02. Kurz: Eine Störung des Lizenzservers ändert nichts, eine tatsächlich abgelaufene oder gekündigte Lizenz führt zur Abstufung.

Konstanten für die wp-config.php

Grenzwerte und Fristen

Bereiche in der Seitenleiste

Dashboard · Scan · Dienste · Anbieter · KI-Assistent · Design · Google Fonts · Consent-Log · Statistik · Dienste-Liste · Eigenes CSS · Einstellungen

Die Lizenz liegt in den Einstellungen, ebenso der Aufruf Setup-Assistent erneut starten. Mit ⌘K öffnen Sie die Befehlspalette und springen direkt zu einem Bereich.