Cookie-Einwilligung für Bolt,
mit einem Prompt

Ein Standard-Bolt-Projekt lädt GA4 oder ein Pixel beim ersten Paint. Eine später per Prompt erzeugte Banner-Komponente zeigt eine Auswahl, kann aber ein bereits gelaufenes Skript nicht zurücknehmen.

Die Regel ist überall in der EU und im Vereinigten Königreich dieselbe: Ohne Zustimmung darf nichts über das unbedingt Notwendige hinaus auf dem Gerät eines Besuchers gespeichert oder von dort ausgelesen werden. Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, und die Zustimmung muss der DSGVO-Definition von Einwilligung genügen: freiwillig, spezifisch, informiert und unmissverständlich, mit einer Ablehnung, die so einfach ist wie die Annahme. Das Vereinigte Königreich hält dieselbe Regel in PECR fest, mit engen Ausnahmen für risikoarme Statistiken seit dem 5. Februar 2026. Kalifornien und die anderen US-Bundesstaaten funktionieren umgekehrt: kein Opt-in, aber ein Opt-out-Link und Unterstützung für das Global-Privacy-Control-Signal.

Für eine Website folgen daraus drei Dinge. Analyse-, Werbe- und Social-Media-Skripte müssen auf eine Entscheidung warten. Die Entscheidung muss so aufgezeichnet werden, dass Sie sie später vorzeigen können, denn Artikel 7 Absatz 1 legt die Beweislast bei Ihnen. Und der Widerruf muss so einfach sein wie die Zustimmung, also braucht es auf jeder Seite ein Bedienelement, das das Banner wieder öffnet. Ein Banner, das zwei Buttons zeigt und Google Analytics trotzdem lädt, fällt beim ersten Test durch, und genau dieses Versagen ahnden die Aufsichtsbehörden, von den CNIL-Entscheidungen gegen Google und SHEIN bis zu den Prüfwellen der niederländischen und belgischen Behörden.

Bolt.new betreibt eine vollständige Node-Umgebung im Browser und kann eine Vite-App, eine Next.js-App, eine Astro-Website oder reines HTML aufsetzen und dann mit einem Klick auf Netlify deployen. Wo die Consent-Runtime hingehört, hängt von Ihrer Wahl ab: index.html für Vite und reines HTML, app/layout.tsx mit next/script für Next.js, die Integration für Astro. Der Prompt auf dieser Seite deckt den Vite- und HTML-Fall ab, also die meisten Bolt-Projekte; die Leitfäden für Next.js und Astro decken den Rest ab.

Bolt ist gut darin, einer exakten Anweisung zu folgen, und schlecht darin zu raten, was „konform“ heißt. Sagen Sie ihm, wo das Tag hinkommt und was mit jedem Tracker zu tun ist, und es tut genau das. Bitten Sie es um ein konformes Banner, erfindet es eines, das ein Flag speichert und nichts blockiert. Der Prompt ist so geschrieben, dass kein Raum zum Raten bleibt: erstes Element im Head, dann type="text/plain" mit einer Kategorie an jedem Analyse-, Werbe- und Social-Skript.

Sobald die App deployt ist, liest der Scanner sie wie ein Besucher, listet auf, was noch vor der Einwilligung feuert, und das Dashboard sortiert jeden Anbieter einmal ein. Eine spätere Bolt-Sitzung, die einen neuen Tracker hinzufügt, taucht im nächsten geplanten Scan als Alarm auf, standardmäßig blockiert, bis Sie ihn einsortieren.

Bolt-Projekte mit Google Ads oder GA4 bekommen die Consent-Mode-Standardwerte von der Runtime, bevor diese Tags laden, sodass die Messung für Besucher, die Ja sagen, weiter funktioniert.

Google Consent Mode v2 ist die Signalebene zwischen dem Banner und Googles Tags. Bevor ein Tag läuft, werden sieben Signale (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) für Besucher im EWR, im Vereinigten Königreich und in der Schweiz auf „denied“ gesetzt. Sobald jemand entscheidet, aktualisiert die Runtime sie und Googles Tags passen sich an. Seit dem 15. Juni 2026 verwendet Google ad_storage als maßgebliches Signal für Ads-Daten, der richtige Standardwert ist also wichtiger als früher.

CookieCrumbs setzt die Standardwerte synchron, vor jedem Tag-Manager, aktualisiert sie bei jeder Entscheidung und liefert eine Google-Tag-Manager-Vorlage mit, damit die Consent-Trigger ohne handgeschriebene Listener existieren. Im Advanced-Modus halten Googles cookielose Pings die modellierten Conversions für Besucher am Laufen, die Nein gesagt haben. Was es nicht tut: sich als von Google zertifizierte CMP ausgeben. Für AdSense, Ad Manager oder AdMob im EWR brauchen Sie weiterhin eine mit IAB TCF, und das ist CookieCrumbs heute nicht.