Saubere Attribution auch ohne Consent.
Jeder Besucher, der den Consent-Banner ablehnt, kostet euch die Quelle — UTM-Parameter sind nach dem ersten internen Klick weg, und GA4 tippt einfach „Direct". utm-rescue ist ein Forschungsprojekt, das messen will, wie stark die Attribution dadurch beeinflusst wird — und beweist nebenbei, dass es ohne Cookies und ohne Consent geht.
Das Problem
DSGVO/ePrivacy verlangt Opt-In für Tracking-Cookies. Wer ablehnt, ist für klassisches Analytics ab dem nächsten Klick "Direct-Traffic" oder landet bei GA4 durch die datengetriebene Attribution meist bei einem Google-Dienst — die UTM-Parameter der Anzeige sind nach der Landing-Page verschwunden, weil sie nur in der initialen URL stehen.
Studien beziffern die Conversion-Loss-Quote durch Consent-Ablehnung in DE-Shops auf 20-40 %. Was davon nicht "verloren" sondern nur falsch attribuiert ist, weiß niemand — genau das möchten wir mit dem Forschungsprojekt utm-rescue herausfinden.
Wie es funktioniert
UTMs erkennen
Beim Page-Load liest das Skript utm_source, utm_medium … aus der URL.
UTMs weiterreichen
Alle internen <a>-, <form>- und window.open()-Targets bekommen die UTMs als Query-Parameter mitgegeben.
Referrer-Recovery
Wenn die UTMs unterwegs verloren gehen (z. B. JS-Redirect), rekonstruiert das Skript sie aus document.referrer.
Conversions zählen
Auf der Bestell-Bestätigung werden die Conversions mit den gesicherten UTMs erfasst und protokolliert.
Daten vergleichen
Um die Abweichung zu ermitteln müssen die Ergebnisse nur mit den Daten aus GA4 verglichen werden.
Datenschutz by Design
Wir greifen nichts ab, was über UTMs hinausgeht. Konkret:
- Keine Speicherung auf dem Endgerät. TDDDG §25 greift nicht — kein Consent nötig.
- Keine User-Identifier. Kein Client-Cookie, kein Fingerprint, kein IP-Hash. UTM-Werte selbst sind nicht personenbezogen.
- Wir speichern keine IPs. Wir fragen weder IPs ab noch loggen wir diese in unserem nginx.
- DNT respektiert. Browser mit
navigator.doNotTrack === '1'deaktivieren das Skript.
Integrations-Beispiel
Ein <script>-Tag im <head> jeder Seite, vor allen Tracking-Skripten:
<script>
window.UTM_RESCUE_CONFIG = {
apiKey: 'utmr_dein_shop_key',
// Eure Shop-Domains. Subdomains werden automatisch gematcht
// (also reicht 'shop.de' für www.shop.de und cdn.shop.de).
sameSiteDomains: ['shop.de'],
conversionUrlPatterns: ['/thank-you', '/order/success'],
fieldMapping: {
orderId: { dataLayer: 'ecommerce.transaction_id' },
value: { dataLayer: 'ecommerce.value' },
currency:{ dataLayer: 'ecommerce.currency' },
},
};
</script>
<script src="https://utm-rescue.org/v0.1/utm-rescue.min.js" async></script>Den Zugang zur Studie bekommst du beim Anmelden (siehe unten).
Werde Teil der Studie
Wir suchen 10–20 deutschsprachige Shops mit aktivem Werbe-Traffic (Google Ads, Meta, TikTok, Newsletter …), die mindestens 30 Tage lang als Co-Forscher Daten beisteuern. Ihr bekommt während der Studie ein privates Dashboard mit eurer Channel-Performance und Rescue-Diagnose — und nach Studienende den anonymisierten Branchen-Vergleich, bevor er öffentlich wird.
Integrieren
Du bekommst einen apiKey, ein <script>-Tag, und einen Magic-Link fürs Dashboard.
Mind. 30 Tage messen
Daten fließen automatisch. Du siehst täglich neue Zahlen im Dashboard.
Was nach der Studie passiert
Die Ergebnisse veröffentlichen wir am Ende der Studie als offenen Studienbericht unter CC-BY. Unser Ziel: Affiliate-Netzwerke, Tag-Manager-Anbieter und Analytics-Tools davon überzeugen, Referrer-Recovery und URL-Persistenz standardmäßig in ihre Lösungen aufzunehmen.
utm-rescue selbst soll nie ein kommerzielles Produkt werden. Der Code ist und bleibt MIT-lizenziert, die Studie steht unter Creative Commons. Wenn die Branche das Konzept übernimmt, hat das Projekt seinen Zweck erfüllt.
Häufige Fragen
Hat utm-rescue Auswirkungen auf mein SEO?
Nein. Der Einstieg eines Besuchers erfolgt ohnehin über eine Seite, die UTM-Parameter trägt —
damit greifen die SEO-Regeln deines Shops (robots.txt, Index/NoIndex-Direktiven,
Canonical-Tags etc.) genauso wie bisher. utm-rescue propagiert die UTMs lediglich beim Klick auf
interne Links weiter. Es entstehen keine neuen URLs, keine zusätzlichen indexierbaren Pfade und
keine Duplicate-Content-Risiken, sofern dein Shop Canonical-Tags korrekt setzt.
Warum darf ich utm-rescue ohne Consent nutzen?
Weil wir nicht in das Endgerät eingreifen. utm-rescue liest UTM-Parameter aus der URL und ggf.
aus dem Referer-Header und hängt sie an interne Links und Formular-Targets an.
Mehr passiert nicht.
Das TDDDG (§ 25) verlangt eine Einwilligung für die Speicherung von Informationen
in der Endeinrichtung des Endnutzers und für den Zugriff auf bereits dort gespeicherte
Informationen — das betrifft Cookies, localStorage, sessionStorage,
IndexedDB, Fingerprinting und vergleichbare Techniken. Auf utm-rescue trifft das
nicht zu: die URL ist Teil der HTTP-Anfrage und keine Information, die auf dem Endgerät
gespeichert oder von dort ausgelesen wird.
Auf welcher Rechtsgrundlage erfolgt die Verarbeitung der Daten?
UTM-Parameter selbst sind keine personenbezogenen Daten — sie beschreiben die Werbequelle, nicht die Person. IP-Adressen verarbeiten wir nicht (siehe Datenschutz-Section oben). Übrig bleibt die Order-ID, die wir zur Conversion-Zählung übermittelt bekommen.
Rechtsgrundlage für deren Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Attribution-Messung im Rahmen eines Forschungsprojekts), gestützt zusätzlich auf das Forschungsprivileg nach Art. 89 DSGVO i. V. m. Erwägungsgrund 159 (Verarbeitung zu wissenschaftlichen Forschungszwecken mit angemessenen Garantien).
Als angemessene Garantie gilt: Order-IDs werden nur für 90 Tage in Rohform gespeichert. Nach Ablauf dieser Frist werden sie automatisch über ein HMAC-SHA256-Verfahren mit serverseitigem Salt pseudonymisiert — ein Rückschluss auf die ursprüngliche Bestellung ist danach technisch nicht mehr möglich, die Daten bleiben aber für die statistische Auswertung im Forschungsprojekt nutzbar.