Die WordPress-Einwilligung,
die vor dem Klick blockiert.

Ja, und die Blockade steckt im Markup, nicht in einem Versprechen. Im Strict-Modus, standardmäßig aktiv, wird das Dokument beim Ausliefern abgefangen, und fünf Durchläufe schreiben Skripte, iframes, Pixel, Verbindungs-Hints und Drittanbieter-Medien um. Zwei Grenzen solltest du kennen: Die tatsächliche Blockade stützt sich auf den Katalog mit 175 Signaturen und auf die Signaturen für Inline-Code – ein unbekanntes Drittanbieter-Skript ist standardmäßig erlaubt, ein unbekanntes iframe wird blockiert –, und wenn du den Strict-Modus abschaltest, werden nur die von WordPress registrierten Skripte behandelt, nicht die fest im Theme stehenden. Und schließlich: Ein Dokument über 8 MB oder ein Fehler der Regex-Engine wird unverändert ausgeliefert, statt kaputtzugehen.

Ja, das ist die Vorgabe, aus der alles andere folgt. Das ausgelieferte HTML ist für alle Besucher identisch, entschärfte Tracker eingeschlossen, und der Einwilligungszustand wird im Browser aus dem Cookie rekonstruiert und vor dem ersten Bildaufbau angewendet. Kein Cache kann also die Wahl des einen Besuchers an einen anderen ausliefern. Der Preis dafür wird offen benannt: Der Rechtsrahmen des Besuchers wird clientseitig entschieden, ohne JavaScript wird also nichts erfasst. Ein Besucher ohne JavaScript sieht einen noscript-Block, lädt nichts Nicht-Notwendiges und sitzt nie hinter einem Fenster fest, das er nicht schließen kann.

Es entscheidet über das Rechtsmodell: Opt-in für DSGVO, UK PECR, Schweizer revDSG, Loi 25, LGPD, POPIA, PIPL und DPDP; erteilt bis zum Widerspruch für CCPA, das allgemeine US-Profil und Australien. Es entscheidet auch über die Anzeige des „Do Not Sell or Share“-Links (nur CCPA und US-Allgemein), über die Bindungswirkung des GPC-Signals (dieselben zwei Profile – sonst wird das Signal auf dem Bildschirm gespiegelt, aber nichts erfasst) sowie über Sprache und Aufsichtsbehörde der erzeugten Dokumente. Die Länder-Erkennung ist optional und standardmäßig deaktiviert; sie schlägt geschlossen fehl, also hin zum strengsten Rahmen. Zwei bewusst hingenommene Grenzen: keine Granularität nach US-Bundesstaat oder kanadischer Provinz, und die MaxMind-Datei wird vom Plugin weder heruntergeladen noch lässt sie sich hochladen – du legst sie selbst in uploads/ow-geoip/ ab.

Es beweist so viel, wie der Schlüssel taugt, der es signiert – und das Plugin sagt dir das offen. Jede Zeile wird per HMAC mit dem Hash der vorherigen signiert, und der Kopf-Anker liegt außerhalb der Tabelle, sodass eine Änderung, eine Kürzung oder ein Leeren bei der Prüfung sichtbar wird. Stehen AUTH_KEY und AUTH_SALT aber nicht in deiner wp-config.php und hast du OWC_LEDGER_KEY nicht gesetzt, stammt der Schlüssel aus der Datenbank: Wer Zugriff auf die Datenbank hat, kann die Kette neu signieren. In diesem Fall zeigt das Plugin einen Admin-Hinweis und meldet selbst, dass die Kette nicht mehr fälschungssicher ist, statt es weiterhin zu behaupten.

Nein, und das gehört vor dem Einsatz gesagt statt danach. Das Modul implementiert TCF v2.2 im Browser – die __tcfapi-API, den kodierten TC-String, das Cookie euconsent-v2 –, aber es liefert keine CMP-ID: Die vergibt IAB Europe nach einer Registrierung, und ohne sie gibt das Modul schlicht gar nichts aus. Auch der Umfang ist begrenzt: nur das Core-Segment, keine Publisher Restrictions, zwei unterstützte Special Features, keine globale Geltung. Im Klartext: Es arbeitet als inoffiziell kompatible CMP, was für viele Integrationen reicht, eine offizielle Registrierung aber nicht ersetzt – Google AdSense insbesondere lehnt es im EWR im Produktivbetrieb ab. Das Modul ist standardmäßig deaktiviert.

Eine Deaktivierung rührt keine Daten an: Sie entfernt nur die geplanten Aufgaben. Beim Löschen verschwinden zwei Dinge immer, egal wie du es eingestellt hast: die geplanten Aufgaben und die Tabelle der Betroffenenanfragen – die einzige Tabelle mit direkt identifizierenden Daten Dritter, deren Aufbewahrung nichts mehr begrenzt, sobald das Plugin weg ist. Der Rest – Einwilligungsprotokoll, Scanner-Funde, Tracker-Katalog – bleibt erhalten, es sei denn, du hast die vollständige Löschung ausdrücklich angehakt, die standardmäßig aus ist: Dein Einwilligungsnachweis nach Artikel 7 Abs. 1 soll nicht mit einer Deinstallation verschwinden.