DSGVO-Website-Scanner im Vergleich 2026: Was taugen die Tools wirklich?

Inhalt in Kürze

• Scanner und CMP sind zwei verschiedene Dinge — die meisten Unternehmen brauchen beides, verwechseln aber eins mit dem anderen.
• Kein Tool prüft alles: Cookie-Scanner übersehen E-Mail-Sicherheit und Security Headers. CMPs scannen gar nicht richtig.
• Hugo Check, PrivacyChecker und wwwschutz sind echte Scanner. Cookiebot, Usercentrics und Consentmanager sind primär CMPs mit eingebautem Cookie-Scan.
• Für KMU: Kombination aus einem guten Scanner (ab 0 EUR) und einer schlanken CMP (ab 0 EUR) deckt 95 % der Anforderungen ab.

Sie haben gerade Ihre Website gelauncht. Oder letztes Jahr einen Cookie-Banner eingebaut. Und jetzt fragen Sie sich: Reicht das? Bin ich wirklich DSGVO-konform?

Die ehrliche Antwort: Wahrscheinlich nicht. Ein Cookie-Banner allein ist wie ein Rauchmelder ohne Batterien — er hängt da, tut aber nichts. Die eigentliche Frage ist: Was passiert hinter dem Banner? Werden trotzdem Daten in die USA geschickt? Fehlen Security Headers? Ist Ihr Impressum überhaupt vollständig?

Genau dafür gibt es DSGVO-Scanner. Aber der Markt ist unübersichtlich. Wir haben sechs Tools getestet und verglichen — transparent, mit echten Preisen, ohne Marketing-Sprech.

Scanner vs. CMP — der wichtigste Unterschied

Bevor wir in den Vergleich einsteigen: Die meisten Unternehmen verwechseln zwei grundlegend verschiedene Tool-Kategorien.

Ein DSGVO-Scanner untersucht Ihre Website und deckt Verstöße auf: Cookies ohne Consent, fehlendes Impressum, unsichere Headers, Tracking-Dienste, E-Mail-Konfiguration. Er liefert einen Bericht mit konkreten Handlungsempfehlungen.

Eine CMP (Consent Management Platform) stellt den Cookie-Banner bereit, kategorisiert Cookies und speichert die Einwilligungen Ihrer Besucher. Sie löst Probleme — aber nur die, die mit Einwilligungen zu tun haben.

Die sechs Tools im Überblick

Wir haben drei reine Scanner und drei CMPs mit Scan-Funktion verglichen:

Hugo Check — der tiefste Scan auf dem Markt

Hugo Check ist unser eigenes Tool — das sagen wir offen. Trotzdem: Wenn wir den Vergleich gescheut hätten, hätten wir diesen Artikel nicht geschrieben.

Was Hugo Check von allen anderen unterscheidet: Es geht über Cookie-Scanning hinaus. 29 technische Checks in vier Kategorien:

1. Datenschutz (9 Checks): Cookies vor Consent, Consent-Banner-Analyse, Google Fonts, Tracking ohne Consent, DSE-Erreichbarkeit, Impressum, SSL, Third-Party Requests, Kontaktformular.
2. E-Mail-Sicherheit (3 Checks): SPF, DKIM, DMARC — kein anderer Scanner außer PrivacyChecker prüft das. Ohne diese Records landen Ihre Geschäftsmails im Spam oder werden für Phishing missbraucht.
3. Security Headers (6 Checks): HSTS, X-Frame-Options, CSP, X-Content-Type-Options, Referrer-Policy, Permissions-Policy. Cookiebot, Usercentrics und Consentmanager prüfen keinen einzigen davon.
4. Domain (2 Checks): Zertifikatsablauf und HTTP-zu-HTTPS-Redirect.

Dazu kommen 10 KI-Analysen — von der Cookie-Klassifikation über Dark-Pattern-Erkennung bis zum Abmahn-Risiko-Score. Im Pro-Plan gibt es außerdem CMS-spezifische Fix-Anleitungen: WordPress, Shopify, Jimdo oder was auch immer Sie nutzen.

Preise:

PrivacyChecker — der stärkste Konkurrent

PrivacyChecker (privacychecker.pro) bietet über 50 automatisierte Checks in 12 Audit-Modulen. Das Besondere: Neben den klassischen Datenschutz-Prüfungen testet das Tool auch auf Barrierefreiheit (EAA 2025) und EU-AI-Act-Konformität — Themen, die 2026 zunehmend relevant werden.

Stärken:

• Sehr breites Prüfspektrum (Cookies, Tracker, Security Headers, E-Mail, Supply Chain)
• Pro+-Plan mit Datenleck-Erkennung und Vendor Risk Scores
• Wöchentliches Monitoring im höheren Plan
• Preislich attraktiv (ab 15 €/Mo)

Schwächen:

• Firmensitz und Datenhaltung nicht transparent kommuniziert
• Keine persönliche Beratung inklusive
• Keine CMS-spezifischen Fix-Anleitungen

Preis: Free (10 Scans/Mo), Pro ab 15 €/Mo, Einmal-Reports ab 49 €.

wwwschutz — der deutsche Veteran

Die IT Logic GmbH aus Idstein betreibt wwwschutz.de seit über 35 Jahren in der IT-Branche. Der Ansatz ist radikal pragmatisch: Statt Cookies per Consent-Banner zu verwalten, versucht wwwschutz, Cookies und Tracking komplett zu eliminieren.

Stärken:

• Deutsche Firma mit langer Erfahrung
• Fokus auf Cookie-Eliminierung statt -Verwaltung
• Detaillierter Bericht mit DSE-Textvorschlägen
• Pro-Check (manuelle Expertenprüfung) ab 199 €

Schwächen:

• Kein kostenloser Plan (ab 12,99 €/Mo oder 15 € einmalig)
• Keine Security-Header- oder E-Mail-Checks
• Kein Monitoring
• Website wirkt optisch veraltet

Cookiebot — der CMP-Platzhirsch

Cookiebot (jetzt Teil von Usercentrics) ist die bekannteste Consent Management Platform für KMU. Das Tool scannt Cookies, stellt einen konfigurierbaren Banner bereit und speichert Einwilligungen nach IAB TCF v2.2.

Stärken:

• Plug-and-Play: Banner in 5 Minuten eingerichtet
• Google CMP Partner, IAB TCF v2.2
• Automatische Cookie-Kategorisierung per KI
• WordPress-Plugin, Shopify-App und viele Integrationen

Schwächen:

• Kein echter DSGVO-Scanner — prüft weder Impressum, Security Headers, E-Mail-Sicherheit noch DSE
• Preis pro Domain: Bei 5 Websites zahlen Sie 5× den vollen Preis
• Free-Plan auf 50 Unterseiten begrenzt
• 2021: Gerichtliche Bedenken wegen US-Datentransfer (seitdem auf EU-CDN umgestellt)

Preis: Free (1 Domain/50 Seiten), Premium ab ~16 $/Mo (je nach Seitenanzahl).

Usercentrics — Enterprise-CMP aus München

Usercentrics ist der große Bruder von Cookiebot. Gleicher Konzern, aber auf Enterprise ausgerichtet: 8,8 Milliarden Consents pro Monat, Web- + App- + Connected-TV-Unterstützung, granulare Geo-Targeting-Regeln.

Stärken:

• Marktführer im CMP-Segment (G2 Award 2026)
• Web, App und Connected TV in einem Tool
• Google Consent Mode v2 nativ
• Eigene EU-Server (München/Frankfurt)

Schwächen:

• Session-basiertes Pricing — wird bei Traffic schnell teuer
• Kein DSGVO-Scanner (keine Security Headers, E-Mail, Impressum)
• Für kleine Websites Overkill
• Enterprise-Preise nur auf Anfrage

Preis: Essential ab ~8 $/Mo (1.500 Sessions), Business ~56 $/Mo (50.000 Sessions).

Consentmanager — der Geheimtipp mit A/B-Testing

Consentmanager aus Schweden/Hamburg hat ein Alleinstellungsmerkmal: A/B-Testing für Cookie-Banner. Das Tool testet automatisch verschiedene Banner-Designs und optimiert die Opt-in-Rate. Für Unternehmen, denen die Zustimmungsrate wichtig ist, ist das Gold wert.

Stärken:

• Einziges Tool mit automatischer Banner-Optimierung
• Eigene EU-Server (keine Cloud-Anbieter)
• 29+ Sprachen, IAB TCF v2.2, Google Consent Mode v2
• Faire Preise mit kostenlosem Einstiegsplan

Schwächen:

• Schwedische Firma (für manche ein Argument)
• Kein DSGVO-Scanner im eigentlichen Sinne
• Cookie-Crawler ist integriert, aber kein vollständiger Audit

Preis: Free (3.000 Views/Mo), Beginner 19 €/Mo, Standard 49 €/Mo.

Aus der Praxis

Viele unserer Mandanten kommen zu uns, nachdem sie einen Cookie-Banner eingebaut haben — und denken, das Thema Datenschutz sei damit erledigt. Dann scannen wir die Website und finden: Google Fonts werden extern geladen, kein SPF-Record, keine Security Headers, Tracking läuft vor dem Consent. Ein Cookie-Banner löst vielleicht 20 Prozent der Probleme. Den Rest muss man aktiv suchen.

Nils OehmichenDatenschutzberater bei frag.hugo

Welches Tool für welchen Anwendungsfall?

• KMU mit einer Website, kein Cookie-Banner vorhanden: Starten Sie mit Hugo Check Free oder PrivacyChecker Free. Finden Sie zuerst Ihre Probleme, bevor Sie ein CMP installieren.
• KMU mit Website + Cookie-Banner-Bedarf: Hugo Check (Scanner) + Cookiebot oder Consentmanager (CMP). Erst scannen, dann Banner einrichten.
• Agentur mit mehreren Kunden-Websites: Hugo Check Agentur (99 €/Mo, API, White-Label) + Consentmanager Standard (49 €/Mo, 3 Websites). Deutlich günstiger als Cookiebot pro Domain.
• Enterprise mit hohem Traffic: Usercentrics (CMP) + PrivacyChecker Pro+ oder Hugo Check Pro (Scanner). Monitoring auf beiden Seiten.
• Einzelunternehmer, kleines Budget: Hugo Check Free (5 Scans/Mo) + Consentmanager Free (3.000 Views/Mo). Beides kostenlos, deckt das Wesentliche ab.

Die versteckten Risiken, die kein CMP findet

Die folgenden Prüfpunkte werden von Cookiebot, Usercentrics und Consentmanager nicht abgedeckt — nur von echten Scannern:

Preisvergleich: Was kostet DSGVO-Compliance wirklich?

Für ein typisches KMU (1 Website, 100 Unterseiten, Pro-Features):

Realistische Kombination für ein KMU: Scanner (15–29 €) + CMP (0–19 €) = 15–48 €/Monat. Das ist günstiger als eine einzige Abmahnung wegen externer Google Fonts (100–150 €).

Häufige Fragen (FAQ)

Was ist der Unterschied zwischen einem DSGVO-Scanner und einer CMP?

Ein DSGVO-Scanner prüft Ihre Website auf Datenschutz-Verstöße — Cookies, Tracking, fehlende Angaben, unsichere Security Headers. Eine CMP (Consent Management Platform) stellt den Cookie-Banner bereit und verwaltet die Einwilligungen Ihrer Besucher. Sie brauchen oft beides.

Welcher DSGVO-Scanner ist der beste für kleine Unternehmen?

Für KMU empfehlen wir Hugo Check (kostenloser Einstieg, 29 Checks inkl. E-Mail-Sicherheit) oder PrivacyChecker (kostenlos, 50+ Checks). Wer zusätzlich einen Cookie-Banner braucht, kombiniert den Scanner mit Cookiebot oder Consentmanager.

Kann ich Cookiebot als DSGVO-Scanner nutzen?

Nur eingeschränkt. Cookiebot scannt Cookies und Tracker, prüft aber keine Security Headers, E-Mail-Sicherheit (SPF/DKIM/DMARC), kein Impressum und keine Datenschutzerklärung. Als CMP ist Cookiebot stark — als umfassender Scanner nicht ausreichend.

Was kostet ein professioneller DSGVO-Website-Check?

Die Spanne reicht von kostenlos (Hugo Check Free, PrivacyChecker Free) über 15–29 €/Monat (Pro-Pläne) bis zu mehreren hundert Euro für manuelle Expertenprüfungen. Für die meisten KMU reicht ein Pro-Plan.

Brauche ich einen Cookie-Scanner, wenn ich schon eine CMP habe?

Ja. Eine CMP verwaltet Einwilligungen, prüft aber nicht, ob Ihre Website die Regeln tatsächlich einhält. Ein Scanner deckt blinde Flecken auf: Tracking trotz Ablehnung, fehlende Security Headers, unsichere E-Mail-Konfiguration. Unser kostenloser Check zeigt in 60 Sekunden, wo Sie stehen.