BFSG-Report 2026: Wie barrierefrei und cookie-sauber sind deutsche Onlineshops?

Ergebnisse nach Branche

Gesamtzahlen als CSV herunterladen

Barrierefreiheit: die wichtigsten Ergebnisse

96,5 % der Shops hatten mindestens einen automatisch erkennbaren Fehler, 95,8 % mindestens einen der Schwere kritisch oder ernst. Im Mittel (Median) fanden wir 4 verschiedene Fehlerarten und 30 betroffene Elemente pro Shop.

Am häufigsten war die Regel „Text mit zu wenig Kontrast“ (71,8 % der Shops). Auf 93,6 % der geprüften Produktseiten gab es mindestens einen Fehler, also genau dort, wo gekauft wird.

Cookies und Tracking: die wichtigsten Ergebnisse

87,9 % der Shops zeigten ein erkennbares Cookie-Banner. 38,4 % setzten dennoch vor jeder Einwilligung Cookies von Analyse-, Werbe- oder Aufzeichnungsdiensten oder sendeten Messdaten an diese Dienste.

Bei 267 Shops konnten wir den Ablehnen-Knopf automatisch klicken und die Seite neu laden. Danach lief bei 24,7 % davon weiter Tracking.

Nicht mitgezählt haben wir Shops, die nur Google Consent Mode mit abgelehnter Einwilligung senden und dabei kein Cookie setzen (15,2 %), und Shops, die nur eine Tracker-Bibliothek laden, ohne Daten zu senden (10,4 %).

Was das rechtlich bedeutet

Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt für Dienstleistungen im elektronischen Geschäftsverkehr, die nach dem 28. Juni 2025 für Verbraucher erbracht werden (§ 1 Abs. 3 Nr. 5 BFSG). Kleinstunternehmen, die Dienstleistungen erbringen, sind von den Anforderungen ausgenommen (§ 3 Abs. 3 BFSG). Wer eine Dienstleistung entgegen den Anforderungen anbietet oder erbringt, handelt ordnungswidrig; die Geldbuße kann bis zu 100.000 Euro betragen (§ 37 Abs. 1 Nr. 8 und Abs. 2 BFSG).

Für Cookies und vergleichbare Techniken gilt § 25 TDDDG: Speichern und Auslesen von Informationen auf dem Endgerät ist nur mit Einwilligung zulässig, außer es ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich. Die deutschen Datenschutzaufsichtsbehörden sehen eine fehlende, gleich einfache Ablehnmöglichkeit auf der ersten Ebene kritisch, wenn das Banner zur Interaktion zwingt (DSK-Orientierungshilfe Telemedien, Rn. 56 bis 58 und 122).

Ein automatischer Fund ist ein Hinweis, kein Rechtsverstoß im Einzelfall. Diese Studie ist keine Rechtsberatung.

Methodik

Stichprobe: Ausgangspunkt ist die öffentliche Tranco-Liste JZPGY vom 4. November 2026, ein in der Forschung genutztes Ranking der meistbesuchten Domains. Aus den ersten 1 Million Einträgen nahmen wir alle 29.761 .de-Domains und prüften die 8.000 reichweitenstärksten mit einem einzigen Abruf der Startseite auf Shop-Merkmale (Warenkorb plus mindestens zwei weitere Merkmale wie Shopsystem, Produkt-Markup oder Euro-Preise). Das ergab 676 Kandidaten. Ein Sprachmodell (gpt-4.1-mini, Temperatur 0) ordnete anhand von Titel und Beschreibung zu, ob es ein B2C-Shop für physische Waren ist, und in welche Branche er gehört. Übrig blieben 523 deutschsprachige Shops, davon die 500 mit dem höchsten Rang.

Kleinstunternehmen haben wir nicht gezielt aufgenommen. Die Auswahl nach Reichweite bevorzugt größere Händler. Prüfzeitraum: 5. November 2026. Auswertbar waren 479 Shops; 21 Shops blockierten den automatischen Abruf oder lieferten einen Fehler und sind nicht enthalten.

Prüfung: Je Shop die Startseite und, wenn auf der Startseite ein Produktlink zu finden war, eine Produktseite (327 Shops). Headless Chromium mit axe-core 4.14 (Regelsätze WCAG 2.0, 2.1 und 2.2, Stufen A und AA). Cookie-Prüfung auf der Startseite: Cookies und Netzwerkanfragen in den ersten Sekunden ohne jede Interaktion, Erkennung des Banners und seiner Knöpfe, dann Klick auf Ablehnen, Neuladen und erneute Messung.

• Passiv: keine Formulareingaben, keine Käufe, kein Login. Einzige Interaktion ist der Klick auf Ablehnen im Cookie-Banner.
• Höchstens drei Shops gleichzeitig, eigener User-Agent mit Verweis auf diese Seite, robots.txt wurde beachtet.
• Tracking zählt nur, wenn ein Analyse-, Werbe- oder Aufzeichnungsdienst ein Cookie setzt oder eine Messanfrage sendet.
• Jede Zahl auf dieser Seite wird per Skript aus den Rohdaten berechnet. Die Rohdaten mit Shopnamen bleiben intern; veröffentlicht werden nur Summen.

Grenzen automatischer Prüfung

• Automatische Tests finden nur einen Teil der Barrieren. Deque, Hersteller von axe-core, beziffert den Anteil in einer eigenen Auswertung auf 57 Prozent der gefundenen Probleme; viele WCAG-Kriterien, etwa sinnvolle Alternativtexte oder Tastaturbedienung im Ablauf, lassen sich nur von Menschen prüfen. Die tatsächliche Fehlerquote liegt also eher höher.
• Wir haben nur zwei Seiten pro Shop geprüft, nicht Warenkorb, Kasse oder Konto. Ein Shop ohne Fund ist deshalb nicht automatisch barrierefrei.
• Cookie-Banner werden über bekannte Anbieter und typische Beschriftungen erkannt. Ungewöhnliche Banner können übersehen werden. Ein fehlender Ablehnen-Knopf ist nach Ansicht der Aufsichtsbehörden vor allem dann kritisch, wenn das Banner den Inhalt verdeckt; ob das so war, haben wir nicht einzeln geprüft.
• Die Messung ist eine Momentaufnahme aus Deutschland mit deutschem Browser-Profil. Shops ändern sich laufend.

Häufige Fragen