IAB TCF 2.3: Was sich geändert hat und was Sie als Publisher jetzt tun müssen

Das IAB Transparency and Consent Framework (TCF) 2.3 ist am 28. Februar 2026 in Kraft getreten. Wenn Sie sich nicht sicher sind, ob Ihr Cookie-Banner die neuen Anforderungen erfüllt oder was sich gegenüber TCF 2.2 geändert hat, sind Sie hier richtig. In diesem Leitfaden erfahren Sie, was TCF 2.3 für Publisher und Webseitenbetreiber bedeutet und wie Sie Ihr Setup in weniger als fünf Minuten überprüfen können.

Was ist das IAB TCF 2.3 und warum ist es relevant?

Das Transparency and Consent Framework (TCF) ist der technische Standard, mit dem Publisher, Werbenetzwerke und Drittanbieter-Vendors Einwilligungsentscheidungen von Nutzer:innen im programmatischen Werbeökosystem kommunizieren. Wenn eine Nutzerin oder ein Nutzer auf Ihrer Website Cookies für Werbezwecke akzeptiert oder ablehnt, wird diese Entscheidung in einem sogenannten TC String codiert und an alle beteiligten Parteien weitergegeben.

TCF 2.3 wurde am 19. Juni 2025 veröffentlicht und ist seit dem 28. Februar 2026 verbindlich. Es handelt sich nicht um einen kompletten Neustart, sondern um eine gezielte technische Weiterentwicklung von TCF 2.2. Die Änderungen stehen im Kontext aktueller europäischer Gerichtsurteile, die einen technisch nachweisbaren Beleg dafür verlangen, dass Nutzer:innen tatsächlich über alle Vendors informiert wurden, bevor Einwilligungen oder Widersprüche verarbeitet werden.

TCF 2.3 vs. TCF 2.2: Was sich konkret geändert hat

Die neue Version des Transparency & Consent Framework 2.3 bringt mehrere Änderungen mit sich, die vor allem die Transparenz für Nutzer verbessern sollen.

Das Disclosed-Vendors-Segment ist jetzt Pflicht

Das ist die zentrale technische Neuerung. TCF 2.3 verlangt, dass Cookie-Banner klar anzeigen, welche Werbepartner tatsächlich Zugriff auf Nutzerdaten erhalten können. Dieser Abschnitt wird als „Disclosed Vendors“ bezeichnet. Nutzer:innen müssen nachvollziehen können, welche Anbieter ihre Daten verarbeiten, bevor sie ihre Einwilligung geben..

Was das für Sie bedeutet: Wenn Ihre CMP diese Information nicht automatisch erfasst und mitüberträgt, entspricht Ihr TC String nicht mehr dem gültigen TCF 2.3-Standard.

Einwilligung ist die einzige gültige Rechtsgrundlage für Werbepersonalisierung

TCF 2.2 hatte bereits die Nutzung von berechtigtem Interesse für Werbezwecke erheblich eingeschränkt. TCF 2.3 bestätigt und festigt diesen Kurs: Für die Personalisierung von Werbung und Inhalten ist die Einwilligung von Nutzer:innen die einzige zulässige Rechtsgrundlage. Vendors, die sich weiterhin auf berechtigtes Interesse für diese Zwecke berufen, verstoßen gegen das Framework.

Was das für Sie bedeutet: Wenn Ihr Banner bis Februar 2026 noch mit „berechtigtem Interesse" für diese Zwecke gearbeitet hat, entspricht er nicht mehr den TCF 2.3 Anforderungen. Nutzer:innen müssen aktiv zustimmen – nicht widersprechen.

Alle Consent-Buttons müssen gleichwertig sichtbar sein

TCF 2.3 schreibt explizit vor, dass alle Auswahlmöglichkeiten im Banner – Annehmen, Ablehnen, Einstellungen – visuell gleichwertig dargestellt sein müssen. Dark Patterns, bei denen der Ablehnen-Button grau, klein oder versteckt ist, verstoßen gegen den Standard.

Was das für Sie bedeutet: Prüfen Sie die visuelle Hierarchie Ihres Banners. Ist der „Ablehnen"-Button genauso auffällig wie „Alles akzeptieren"? Wenn nicht, besteht Handlungsbedarf.

Was passiert, wenn Sie die Frist verpasst haben?

Die Frist für die Umstellung auf IAB TCF 2.3 war der 28. Februar 2026. Alle neuen TC Strings, die nach dieser Frist generiert werden, also bei jedem neuen Seitenbesuch oder jeder neuen Consent-Entscheidung, müssen dem TCF 2.3-Standard entsprechen. Tun sie das nicht, können folgende Konsequenzen eintreten:

• Google behandelt den TC String als ungültig und schaltet nur noch „Limited Ads" ohne Personalisierung und Frequency Capping
• Ihre Werbeeinnahmen können sinken
• Aufsichtsbehörden können tätig werden, da ein nicht-konformes Banner gegen die Anforderungen an eine gültige Einwilligung nach DSGVO verstoßen kann.

Wenn Sie eine zertifizierte kommerzielle CMP wie Cookiebot einsetzen, hat Ihr Provider dieses Update in der Regel automatisch eingespielt. Sie müssen dennoch prüfen, ob TCF 2.3 in Ihrer Konfiguration aktiv ist.

Wer ist von TCF 2.3 betroffen? Publisher-Checkliste

Sie sind betroffen, wenn mindestens eines der folgenden Kriterien auf Ihre Website zutrifft:

• Sie betreiben eine Website mit programmatischer Werbung (Google Ad Manager, AdSense, AdMob)
• Ihre Website richtet sich an Nutzer:innen im EWR, im Vereinigten Königreich oder in der Schweiz
• Sie nutzen eine CMP mit TCF-Integration
• Sie arbeiten mit Drittanbieter-Vendors zusammen, die im IAB Global Vendor List (GVL) registriert sind
• Ihre Einnahmequellen hängen von personalisierten Werbeerlösen ab

Gilt das auch für kleinere Publisher? Ja. TCF 2.3 macht keinen Unterschied zwischen großen Medienportalen und kleinen Blogs, solange programmatische Werbung oder TCF-gebundenes Tracking eingesetzt wird.

Was Ihr Cookie Banner unter TCF 2.3 anders machen muss

Ein TCF-2.3-konformes Cookie-Banner muss folgende Anforderungen erfüllen:

Vor der Einwilligung:

• Klare und verständliche Erklärung, welche Daten zu welchen Zwecken verwendet werden
• Vollständige Liste aller Anbieter mit Verlinkung zu den jeweiligen Datenschutzrichtlinien
• Keine vorausgewählten Checkboxen für nicht essenzielle Zwecke
• Gleichwertige Darstellung aller Auswahlbuttons (keine manipulativen Designmuster)

Beim Einwilligungssignal:

• Das Segment „Disclosed Vendors“ im TC String enthalten
• Für Personalisierungszwecke darf nur eine Einwilligung verwendet werden, kein berechtigtes Interesse
• Korrektes TCF-2.3-Signalformat für alle angebundenen Technologiepartner

Nach der Einwilligung:

• Möglichkeit, die Einwilligung jederzeit zu widerrufen
• Dokumentation der Einwilligungen muss gespeichert und abrufbar sein
• Erneute Einholung der Einwilligung spätestens nach 12 Monaten

Die TCF 2.3-Zertifizierung von Cookiebot: Was das für Ihre Website bedeutet

Cookiebot ist als IAB-zertifiziertes CMP (CMP id 134) für TCF 2.3 registriert und unterstützt das Framework als optionale Erweiterung des Kern-Consent-Managements. Das bedeutet für Sie als Publisher:

Das Disclosed-Vendors-Segment wird automatisch in jeden neu generierten TC String eingebettet. Cookiebot scannt Ihre Website regelmäßig, erkennt eingebundene Vendors und gleicht sie automatisch mit der IAB Global Vendor List (GVL) ab. Die Audit-Trails zeigen für jede Consent-Interaktion, welche Vendors den Nutzer:innen angezeigt wurden. Die Integration mit Google Consent Mode v2 stellt sicher, dass Google-Tags keine Daten verarbeiten, bevor die entsprechende Einwilligung vorliegt.