Cookie-Einwilligung für Next.js,
mit einem Befehl

Eine Next.js-App hat keine Consent-Ebene. next/script lädt GA4 oder das Meta-Pixel, sobald die Seite hydratisiert, und jeder Besucher aus der EU wird getrackt, bevor er irgendetwas gesagt hat.

Die Regel ist überall in der EU und im Vereinigten Königreich dieselbe: Ohne Zustimmung darf nichts über das unbedingt Notwendige hinaus auf dem Gerät eines Besuchers gespeichert oder von dort ausgelesen werden. Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, und die Zustimmung muss der DSGVO-Definition von Einwilligung genügen: freiwillig, spezifisch, informiert und unmissverständlich, mit einer Ablehnung, die so einfach ist wie die Annahme. Das Vereinigte Königreich hält dieselbe Regel in PECR fest, mit engen Ausnahmen für risikoarme Statistiken seit dem 5. Februar 2026. Kalifornien und die anderen US-Bundesstaaten funktionieren umgekehrt: kein Opt-in, aber ein Opt-out-Link und Unterstützung für das Global-Privacy-Control-Signal.

Für eine Website folgen daraus drei Dinge. Analyse-, Werbe- und Social-Media-Skripte müssen auf eine Entscheidung warten. Die Entscheidung muss so aufgezeichnet werden, dass Sie sie später vorzeigen können, denn Artikel 7 Absatz 1 legt die Beweislast bei Ihnen. Und der Widerruf muss so einfach sein wie die Zustimmung, also braucht es auf jeder Seite ein Bedienelement, das das Banner wieder öffnet. Ein Banner, das zwei Buttons zeigt und Google Analytics trotzdem lädt, fällt beim ersten Test durch, und genau dieses Versagen ahnden die Aufsichtsbehörden, von den CNIL-Entscheidungen gegen Google und SHEIN bis zu den Prüfwellen der niederländischen und belgischen Behörden.

Next.js bietet genau einen guten Ort für eine Consent-Runtime: ein next/script-Tag mit strategy="beforeInteractive". Skripte mit dieser Strategie werden ins initiale HTML eingefügt und laufen vor jeder Hydration, dem einzigen Zeitpunkt, der früh genug ist. afterInteractive (der Standard) läuft nach der Hydration, wenn ein mit derselben Strategie eingefügter Tag-Manager womöglich schon gefeuert hat. lazyOnload ist noch schlechter.

Im App Router kommt das Tag in app/layout.tsx, das jede Route umschließt. Im Pages Router kommt es in pages/_document.tsx. Die CLI erkennt, welchen Sie nutzen, und gibt das passende Snippet aus; @cookiecrumbs/next verpackt das Tag als Komponente und ergänzt Server-Helfer, sodass eine Server Component oder ein Route Handler das Einwilligungs-Cookie lesen und entscheiden kann, was gerendert wird, bevor der Client läuft.

Von da an ist das Sperren eine Frage der Kategorie. Ein Dritt-Tag wird zu type="text/plain" mit data-cc-category; ein React-Teilbaum, der einen Tracker lädt, kommt in ConsentGate. Die Runtime gibt beide frei, wenn die Kategorie erlaubt wird, in Dokumentreihenfolge, sodass ein GTM-Container, der auf Statistik wartet, genau so läuft wie sonst, nur später. Alles, was der Scan auf Ihrer Produktions-Domain gefunden hat, wird beim Veröffentlichen in eine Block-Map kompiliert, sodass auch ungetaggte Skripte mit bekanntem Host an Ort und Stelle neutralisiert werden.

Next.js-Websites laden Google Ads oder GA4 oft über GTM, eingefügt mit afterInteractive. Mit der Consent-Runtime an erster Stelle laden diese Tags mit den richtigen Standardwerten, ohne Codeänderung auf Ihrer Seite.

Google Consent Mode v2 ist die Signalebene zwischen dem Banner und Googles Tags. Bevor ein Tag läuft, werden sieben Signale (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) für Besucher im EWR, im Vereinigten Königreich und in der Schweiz auf „denied“ gesetzt. Sobald jemand entscheidet, aktualisiert die Runtime sie und Googles Tags passen sich an. Seit dem 15. Juni 2026 verwendet Google ad_storage als maßgebliches Signal für Ads-Daten, der richtige Standardwert ist also wichtiger als früher.

CookieCrumbs setzt die Standardwerte synchron, vor jedem Tag-Manager, aktualisiert sie bei jeder Entscheidung und liefert eine Google-Tag-Manager-Vorlage mit, damit die Consent-Trigger ohne handgeschriebene Listener existieren. Im Advanced-Modus halten Googles cookielose Pings die modellierten Conversions für Besucher am Laufen, die Nein gesagt haben. Was es nicht tut: sich als von Google zertifizierte CMP ausgeben. Für AdSense, Ad Manager oder AdMob im EWR brauchen Sie weiterhin eine mit IAB TCF, und das ist CookieCrumbs heute nicht.