„Microsoft tritt für den Schutz Ihrer Privatsphäre ein.“ So beginnt das Cookie-Banner auf msn.com, Microsofts Nachrichtenportal, das viele als Startseite des Edge-Browsers kennen. Es folgen acht Zeilen über Cookies, eindeutige IDs und personalisierte Anzeigen. Und in der letzten Zeile steht: „Anzahl der Partner (Anbieter): 960.“
960 Partner, um mir eine Startseite mit Wetter und Nachrichten zu zeigen? Ich wollte wissen, ob das normal ist, wer diese Partner sind und was eigentlich passiert, wenn man auf „Akzeptieren“ klickt. Dazu habe ich am 5. Oktober 2026 acht große Nachrichtenseiten und die Seiten von Microsoft, Google, Amazon, Meta, Apple und Netflix automatisiert aufgerufen. Gezählt habe ich die Partner, die das Banner nennt, und die fremden Domains, die eine Seite nach dem Klick tatsächlich anfragt.
Microsoft führt, mit Abstand
Die 960 sind keine Auswahl, sondern die ganze Liste. Fast alle Werbebanner nutzen einen Branchenstandard des Verbands IAB Europe, das Transparency & Consent Framework. Dazu gehört eine öffentliche Liste aller Werbefirmen, die mitmachen.1IAB Europe: Global Vendor List (TCF) Das MSN-Banner arbeitet mit der Version dieser Liste vom 29. Januar 2026. Sie hatte genau 960 aktive Einträge. Microsoft fragt also nach meiner Einwilligung für jede Firma, die damals registriert war, und hat die Liste seit neun Monaten nicht aktualisiert. Wer nichts anklickt, hat übrigens schon 331 davon ein „berechtigtes Interesse“ eingeräumt.
Warum alle? Microsoft verkauft die Werbefläche auf MSN über die eigene Werbebörse an jeden Käufer, „über die DSP seiner Wahl“.2Microsoft Advertising: Inventory in-house through Monetize SSP (März 2023) Wer mitbieten darf, muss in der Einwilligung stehen. Nötig ist das nicht: Der Spiegel kommt mit 185 Partnern aus, die Süddeutsche mit 142. Die belgische Datenschutzbehörde hat 2022 festgehalten, dass eine so große Zahl Dritter „nicht vereinbar“ ist mit einer hinreichend informierten Einwilligung.3Belgische Datenschutzbehörde, Entscheidung 21/2022 (IAB Europe)
Kurios: Nach dem Klick fragt mein Browser bei MSN nur 16 fremde Domains an, fast alle von Microsoft selbst. Die Auktion um die Anzeigen läuft auf Microsofts Servern. Was dort mit meinen Daten passiert und welche der 960 Partner sie bekommen, sieht man von außen nicht.
Google, Meta und Apple nennen gar keine Zahl. Sie brauchen keine Partner, sie sind selbst der Partner, der in den Listen der anderen steht. Googles Werbedomain doubleclick.net lädt jede der sieben Nachrichtenseiten mit Werbung, Amazons Werbenetz ebenso.
Wer die Partner sind
Die 149 fremden Domains, die auf mindestens drei der gemessenen Seiten vorkamen, gehören zu 101 Firmen. 45 davon sitzen in den USA, 13 in Deutschland. Die sechs verbreitetsten sind alle US-Konzerne: Google, Adobe, LinkedIn, Meta, Microsoft und OneTrust, der Hersteller vieler Cookie-Banner. Die Bandbreite ist riesig, von Google mit 295 Milliarden Dollar Werbeumsatz bis zu einer Firma mit 5 Millionen Euro Umsatz, die für den Spiegel einen Teil der Auktionen abwickelt.
Die meisten davon zeigen mir nie eine Anzeige. Sie sind dabei, um mitzubieten, mitzulesen oder mitzumessen.
Woher wissen die, was mich interessiert?
Nicht von den Nachrichtenseiten allein. Die besseren Hinweise liefern Firmenseiten, denn wer dort unterwegs ist, will meist etwas kaufen. Auf den Seiten der DAX-Konzerne finden sich nach „Alle akzeptieren“ drei Arten von Datensammlern.
Retargeting. BMW meldet unter anderem Criteo, Meta, LinkedIn und Pinterest, dass dieser Browser gerade einen Wagen angesehen hat. Criteo erkennt den Browser später auf dem Spiegel wieder, bietet mit und zeigt das Auto noch einmal. Die Deutsche Bank und Mercedes-Benz arbeiten ähnlich, mit Criteo, The Trade Desk, Amazon oder TikTok.
Kaufabsicht von Firmen. Auf sap.com und siemens.com läuft Bombora, bei Siemens zusätzlich Demandbase. Diese Firmen interessiert nicht die Person, sondern ihr Arbeitgeber, den sie meist an der IP-Adresse erkennen. Aus Millionen Seitenaufrufen wird ein Signal: Firma X liest gerade auffällig viel über ERP-Software. Das kaufen Vertriebsabteilungen, um anzurufen, bevor die Konkurrenz es tut.
Warum macht SAP da mit? Bombora ist eine „Genossenschaft“ für Daten, mit stattlichen Mitgliedsbeiträgen. Über 5.000 B2B-Seiten liefern, welche Firma welche Themen liest, und bekommen dafür Zugriff auf das Gesamtbild.4Bombora: Company Surge und Data Co-op Wer die Signale nutzen will, zahlt nach Schätzungen ab 25.000 Dollar im Jahr, große Kunden ein Vielfaches.5Docket: Bombora Pricing 2026 (Schätzung, Bombora veröffentlicht keine Preise) SAP nutzt diese Daten nach eigener Aussage, um zu sehen, welche Kunden gerade suchen.6Bombora: SAP utilizes Intent data as a catalyst for digital transformation Die Kehrseite: Was Besucher auf sap.com lesen, fließt in denselben Topf, aus dem auch Oracle oder Microsoft kaufen können. Verraten wird dabei nicht, auf welcher Seite gelesen wurde, nur dass eine Firma sich für ERP interessiert. Nützlich für die Konkurrenz ist das trotzdem.
Datenplattformen. Adobes Audience Manager (demdex.net) lief auf 12 der 40 Konzernseiten, bei Siemens zusätzlich der Datenvermittler LiveRamp. Hier baut die Firma eigene Zielgruppen und gleicht ihre Kennungen mit denen der Werbebörsen ab. Zusammengeführt wird alles über den schon erwähnten Abgleich der Cookie-IDs.
Mein Profil entsteht also nicht da, wo die Werbung läuft, sondern da, wo ich einkaufe, mich informiere oder arbeite. Die Nachrichtenseite ist nur der Ort, an dem es zu Geld gemacht wird.
Was beim Spiegel nach dem Klick passiert
Vor dem Klick ist der Spiegel sauber, fast. Bis zur Einwilligung lädt die Seite 44 Dateien, fast alle von eigenen Servern. Keine einzige Werbefirma. Sechs Anfragen gehen allerdings an sams.spiegel.de. Hinter dieser Adresse steckt laut DNS ein Server von Adobe. Er bekommt den Seitenaufruf, und das Skript fordert eine Adobe-Kennung an, mit der sich laut Spiegel „der Browser Ihres Endgeräts identifizieren“ lässt. Im Datensatz steht ausdrücklich: has_consent:(none). Der Spiegel nennt das in seiner Datenschutzerklärung „Basistracking“ und stützt es auf die gesetzliche Ausnahme für unbedingt erforderliche Zugriffe. Eine Einwilligung braucht es dann nicht.7DER SPIEGEL: Datenschutzerklärung Die Datenschutzbehörden sehen Reichweitenmessung nur im Einzelfall als erforderlich an.8DSK: Orientierungshilfe für Anbieter digitaler Dienste Weil die Adresse zu spiegel.de gehört, lässt sie sich auch mit einer Sperrliste im Router nicht blocken.
Nach dem Klick geht es los. In der ersten Sekunde 35 Anfragen, nach fünf Sekunden 427, nach zehn über tausend. Nach anderthalb Minuten liegen 207 Cookies von 73 Firmen im Browser. 98 Domains haben meinen Zustimmungs-Code bekommen.
Die meisten Anfragen gehören zu einer einzigen Auktion, die in zwei Stufen läuft:
- Die Börsen bieten. Ein Skript des Vermarkters iq digital fragt für jeden Werbeplatz gleichzeitig bei rund zwei Dutzend Werbebörsen an, teils direkt aus dem Browser, teils über einen eigenen Auktionsserver. Jede Börse fragt dahinter wieder die Einkaufsplattformen der Werbekunden. Nach gut einer Sekunde ist Schluss.
- Google entscheidet. Das höchste Gebot geht an Googles Werbeserver. Der vergleicht es mit direkt verkauften Kampagnen und mit Googles eigener Börse und liefert den Gewinner aus.
- Danach wird gemessen und abgeglichen. Sichtbarkeitsprüfer melden, ob die Anzeige zu sehen war, und die Börsen tauschen untereinander ihre Kennungen für meinen Browser aus. Daher kommen die meisten der über tausend Anfragen.
Was meine Aufmerksamkeit wert war: Jedes Gebot nennt den Werbekunden. Auf einem Platz bot action.com 0,83 €, gefolgt von noch einmal action.com über eine andere Börse mit 0,79 €. Green Planet Energy bot 0,48 € und fiel am Mindestpreis durch. Auf drei anderen Plätzen gewann der Onlineshop grizly.de mit je 0,80 €. Das sind Preise für tausend Einblendungen. Meine Aufmerksamkeit für diese eine Seite war über die Auktion also rund ein Drittel Cent wert. Laut Preisliste kostet dieselbe Fläche, fest gebucht, 40 bis 80 € pro tausend Einblendungen.9iq digital: Preise 2026 In die offene Auktion geht, was übrig bleibt.
Der Tagesspiegel nutzt denselben Vermarkter und dieselben Börsen, nur mehr davon: 142 Anfragen schon vor dem Klick, danach 381 Cookies von 109 Firmen.
Und jetzt?
Einen zentralen Knopf, mit dem man allen 960 auf einmal widerspricht, gibt es nicht. Der US-Werbeverband NAI hat sein Opt-out-Werkzeug 2025 eingestellt.10NAI: Sunset der Opt-out-Werkzeuge Und die Pflicht, Signale aus dem Browser zu beachten, die die EU-Kommission vorgeschlagen hatte, haben die Mitgliedstaaten im Juni 2026 wieder gestrichen.11PPC Land: EU-Rat streicht Browsersignal (Art. 88b) Was hilft, hilft nur zum Teil. Eine Erweiterung wie Consent-O-Matic lehnt Banner automatisch ab. Ein Blocker wie uBlock Origin geht weiter und lässt die Skripte der Datensammler gar nicht erst laden, in Firefox erkennt er sogar getarnte Adressen wie sams.spiegel.de. Wer die Werbung finanzieren will, ohne getrackt zu werden, kann bei vielen Verlagen ein Pur-Abo abschließen.
Eines bleibt immer: die IP-Adresse. Jeder Server, mit dem mein Browser spricht, sieht sie, ob ich zugestimmt habe oder nicht. Wer im Büro surft, ist für Bombora und Co. nicht Herr Müller, sondern seine Firma. Dagegen hilft nur, die Adresse zu verstecken, mit einem VPN, Apples Privat-Relay oder Tor.
Und wer auf „Akzeptieren“ klickt, sollte wissen: Es sind nicht ein paar Partner, es sind die Partner der Partner, und die meisten davon hat die Seite selbst nie gesehen.