Implementierung von IAB TCF 2.3: Ein praktischer Leitfaden für Publisher und Werbetreibende

7. Juli 2026 · 14 Min. Lesezeit

Kurzantwort: IAB TCF 2.3 ist die aktuelle Version des IAB Europe Transparency and Consent Frameworks, das seit dem 1. März 2026 für alle Publisher und Werbetreibenden, die personalisierte Anzeigen für Nutzer in der EU/EWR schalten, obligatorisch ist. Es führt ein "Disclosed Vendors"-Segment im TC-String ein, das Unklarheiten darüber beseitigt, welche Anbieter den Nutzern angezeigt wurden. Publisher müssen eine registrierte Consent Management Platform (CMP) einsetzen, Anbieterlisten konfigurieren und gültige TCF 2.3 Consent Strings an ihren Ad-Tech-Stack übermitteln, um konform zu bleiben und Werbeeinnahmen zu schützen.

Wichtigste Erkenntnisse

Seit dem 1. März 2026 müssen alle TC-Strings den TCF 2.3-Spezifikationen entsprechen, die Übergangsfrist ist abgelaufen [1]
TCF 2.3 führt ein obligatorisches "Disclosed Vendors"-Segment ein, das die in früheren Versionen vorhandene "Ghost Vendor"-Unklarheit beseitigt [5]
Die TC-String-Struktur ist nun: [Core String].[DisclosedVendors].[Publisher TC], alle drei Segmente müssen korrekt generiert werden [5]
Google (Ad Manager, AdSense, AdMob) akzeptiert TCF 2.3-Strings, wodurch die Compliance direkt an programmatische Einnahmen gekoppelt ist [3]
Nicht-Compliance kann dazu führen, dass Werbenetzwerke nur nicht-personalisierte Anzeigen schalten oder den Zugang ganz einschränken [2]
Eine Studie vom Februar 2026 ergab, dass 66,2 % der TCF-basierten Android-Apps personenbezogene Daten ohne rechtmäßige Grundlage weitergaben, was unterstreicht, wie weit verbreitet die Nicht-Compliance immer noch ist [7]
Kleine Publisher können TCF 2.3 über eine registrierte CMP mit relativ geringen Kosten implementieren; große Publisher benötigen eine tiefere technische Integration und rechtliche Prüfung
Das Testen und Validieren über den offiziellen CMP-Validator von IAB Europe ist ein unverzichtbarer Schritt vor dem Go-Live

Was ist IAB TCF 2.3 und warum benötigen Publisher es?

IAB TCF 2.3 ist die neueste Version des standardisierten Frameworks, das regelt, wie Publisher die Nutzereinwilligung zur Datenverarbeitung gemäß DSGVO und ePrivacy-Vorschriften sammeln, aufzeichnen und an Werbeanbieter übermitteln. Publisher benötigen es, da ohne ein gültiges TCF 2.3-Einwilligungssignal die meisten programmatischen Werbenetzwerke, einschließlich Google, die Bereitstellung personalisierter Anzeigen einschränken oder ganz einstellen werden, was die Einnahmen direkt reduziert [2][3].

Das Framework definiert:

Rechtsgrundlagen, unter denen Anbieter Nutzerdaten verarbeiten dürfen (Einwilligung, berechtigtes Interesse)
Zwecke der Datenverarbeitung (z. B. Anzeigenpersonalisierung, Messung, Inhaltsbereitstellung)
Anbieterlisten, die bei IAB Europe's Global Vendor List (GVL) registriert sind
TC-String-Format, das Nutzerentscheidungen kodiert und durch die Ad-Tech-Lieferkette übermittelt wird [6]

Jeder Publisher, der EU/EWR-Traffic durch programmatische Werbung monetarisiert, muss die TCF 2.3-Compliance als grundlegende betriebliche Anforderung betrachten, nicht als optionale Verbesserung.

Wie sich IAB TCF 2.3 von früheren Versionen unterscheidet

Der bedeutendste Unterschied von TCF 2.3 zu TCF 2.2 ist die obligatorische Aufnahme des "Disclosed Vendors"-Segments in den TC-String. In früheren Versionen hatten Anbieter keine zuverlässige Möglichkeit zu bestätigen, ob sie einem Nutzer tatsächlich offengelegt worden waren, ein Problem, das als "Ghost Vendor"-Problem bekannt ist [5]. TCF 2.3 löst dies direkt.

Wesentliche Unterschiede zu TCF 2.2:

Merkmal	TCF 2.2	TCF 2.3
Disclosed Vendors Segment	Optional	Obligatorisch
Ghost Vendor Problem	Vorhanden	Gelöst
TC String Struktur	Core + Publisher TC	Core + DisclosedVendors + Publisher TC
Compliance Frist	N/A	1. März 2026 [1]
Google Akzeptanz	TCF 2.2 Strings	TCF 2.3 Strings erforderlich [3]

Die strukturelle Änderung des TC-Strings bedeutet, dass CMPs und Ad-Tech-Integrationen, die für TCF 2.2 entwickelt wurden, aktive Updates erforderten; eine passive Übernahme von der vorherigen Version war nicht ausreichend [1].

Schritt-für-Schritt-Anleitung zur Implementierung von TCF 2.3 auf Ihrer Website

Die Implementierung von IAB TCF 2.3 folgt einer definierten Reihenfolge. Das Überspringen von Schritten, insbesondere des Testens, ist die häufigste Ursache für Compliance-Fehler nach dem Start.

Schritt 1: Registrieren oder bestätigen Sie Ihre CMP Wählen Sie eine CMP, die auf der offiziellen CMP-Liste von IAB Europe registriert ist. Biscotti CMP ist eine solche registrierte Plattform, die TCF 2.3 unterstützt. Nicht registrierte CMPs können keine gültigen TC-Strings generieren.

Schritt 2: Konfigurieren Sie die Global Vendor List (GVL) Rufen Sie die aktuelle GVL von IAB Europe ab und gleichen Sie Ihre aktiven Ad-Tech-Anbieter damit ab. Nur Anbieter auf der GVL können TCF-Einwilligungssignale erhalten.

Schritt 3: Gestalten Sie Ihre Consent UI Erstellen Sie einen Einwilligungsbanner, der Zwecke, Anbieter und Rechtsgrundlagen klar darstellt. Die UI muss es den Nutzern ermöglichen, die Einwilligung pro Zweck und pro Anbieter zu erteilen, zu verweigern oder zu widerrufen.

Schritt 4: Generieren Sie den TCF 2.3-konformen TC-String Stellen Sie sicher, dass Ihre CMP Strings im Format [Core String].[DisclosedVendors].[Publisher TC] generiert. Das DisclosedVendors-Segment muss genau widerspiegeln, welche Anbieter in der Consent UI angezeigt wurden [5].

Schritt 5: Integration in Ihren Ad-Stack Übergeben Sie den TC-String über die __tcfapi JavaScript API an alle nachgeschalteten Anbieter. Bestätigen Sie, dass Google Ad Manager, Header Bidding Wrapper und SSPs das Signal korrekt lesen [3].

Schritt 6: Validieren und testen Verwenden Sie das CMP Validator Tool von IAB Europe, um die String-Struktur und Vollständigkeit vor dem Go-Live zu bestätigen.

Schritt 7: Implementieren Sie eine kontinuierliche Überwachung Planen Sie regelmäßige Audits Ihrer Anbieterliste gegen die GVL und überwachen Sie die CMP-Update-Logs, wenn IAB Europe GVL-Updates veröffentlicht.

IAB TCF 2.3 Compliance-Anforderungen für Publisher

Die TCF 2.3-Compliance für Publisher konzentriert sich auf vier nicht verhandelbare Anforderungen: die Verwendung einer registrierten CMP, die Bereitstellung eines rechtlich angemessenen Einwilligungsbanners, die Generierung eines gültigen TC-Strings und die genaue Weitergabe dieses Strings an alle Anbieter [1][6].

Compliance-Checkliste:

CMP ist auf der offiziellen Liste von IAB Europe registriert
Consent UI präsentiert alle aktiven Anbieter und deren Zwecke
Nutzer können die Einwilligung akzeptieren, ablehnen oder granular konfigurieren
TC-String enthält das DisclosedVendors-Segment
Einwilligungsdatensätze werden mit Zeitstempeln für Audit-Zwecke gespeichert
Die Einwilligung kann so einfach widerrufen werden, wie sie erteilt wurde
CMP SDK/API-Version unterstützt TCF 2.3 (nicht nur 2.2)
Publisher TC-Segment ist für publisherspezifische Zwecke korrekt ausgefüllt

Publisher, die in mehreren Gerichtsbarkeiten tätig sind, sollten auch überprüfen, ob ihre CMP-Konfiguration regionale Unterschiede (z. B. UK DSGVO vs. EU DSGVO) berücksichtigt, ohne das Kern-TCF-Signal zu invalidieren.

Wie viel kostet die Implementierung von IAB TCF 2.3?

Die Implementierungskosten variieren erheblich je nach Größe des Publishers und der bestehenden Infrastruktur. Es gibt keine einzelne Lizenzgebühr für TCF 2.3 selbst, das Framework ist offen, aber Kosten entstehen durch CMP-Lizenzierung, Entwicklerzeit und rechtliche Prüfung.

Geschätzte Kostenbereiche (2026):

Kleine Publisher (unter 500.000 monatliche Sitzungen): CMP SaaS-Gebühren reichen typischerweise von kostenlosen Tarifen bis zu 50-200 $/Monat. Entwicklerintegration: 4-16 Stunden.
Mittelgroße Publisher: 200-800 $/Monat für CMP-Lizenzierung, plus 20-60 Stunden Entwickler- und QA-Zeit.
Enterprise Publisher: Benutzerdefinierte CMP-Verträge, dedizierte rechtliche Prüfung und Integrationsarbeiten können jährlich über 50.000 $ liegen, wenn man die laufende Wartung berücksichtigt.

Dies sind Schätzungen, die auf öffentlich verfügbaren CMP-Preisstrukturen und typischen Stundensätzen für Entwickler basieren; die tatsächlichen Kosten hängen von der Komplexität Ihres bestehenden Tech-Stacks ab.

Häufige Fehler bei der Implementierung von IAB TCF 2.3

Die schädlichsten Fehler bei der TCF 2.3-Implementierung sind keine technischen Fehler, sondern Prozessfehler: Starten ohne Validierung, Verwendung veralteter Anbieterlisten und die Behandlung der Einwilligung als einmalige Konfiguration statt als fortlaufenden Vorgang.

Fehler, die vermieden werden sollten:

Verwendung einer nicht registrierten CMP: TC-Strings von nicht registrierten CMPs sind unabhängig von der technischen Genauigkeit ungültig
Weglassen des DisclosedVendors-Segments: Dies ist die entscheidende Änderung in TCF 2.3 und die häufigste Lücke beim Upgrade von 2.2 [5]
Veraltete GVL-Daten: Anbieter ändern ihre deklarierten Zwecke; das Versäumnis, die GVL zu aktualisieren, bedeutet, dass Nutzer möglicherweise veralteten Verarbeitungsbeschreibungen zugestimmt haben
Blockieren von Ad-Calls, bevor die Einwilligung erteilt wurde: Verursacht Einnahmeverluste während des Seitenaufbaus; verwenden Sie ein nicht-blockierendes CMP-Initialisierungsmuster
Nicht auf Mobilgeräten testen: Das Verhalten der Consent UI auf mobilen Browsern unterscheidet sich von dem auf Desktops, und viele Compliance-Fehler treten nur auf Mobilgeräten auf

IAB TCF 2.3 Implementierung für kleine vs. große Publisher

Kleine und große Publisher unterliegen den gleichen Compliance-Verpflichtungen gemäß TCF 2.3, aber die Implementierungskomplexität unterscheidet sich erheblich. Kleine Publisher können die Compliance in der Regel durch eine schlüsselfertige CMP-Lösung mit minimaler kundenspezifischer Entwicklung erreichen. Große Publisher benötigen eine tiefere Integration über mehrere Ad-Systeme hinweg, benutzerdefinierte Consent UIs und eine dedizierte rechtliche Aufsicht.

Kleine Publisher: Wählen Sie eine registrierte CMP mit einem vorgefertigten Einwilligungsbanner, konfigurieren Sie Ihre Anbieterliste über das CMP-Dashboard und überprüfen Sie die TC-String-Ausgabe mit dem IAB-Validator. Gesamte Implementierungszeit: 1-5 Werktage.

Große Publisher: Erfordern eine benutzerdefinierte CMP-API-Integration, Koordination über mehrere SSPs und DSPs, A/B-Tests des Consent UI-Textes zur Auswirkungsanalyse auf die Konversionsrate und rechtliche Genehmigung der Zweckbeschreibungen. Gesamte Implementierungszeit: 4-12 Wochen.

Entscheidungsregel: Wenn Ihr Ad-Stack mehr als 5 SSPs, Header Bidding oder ein benutzerdefiniertes DMP umfasst, behandeln Sie dies als ein Engineering-Projekt mit einem dedizierten Projektverantwortlichen, nicht als ein CMS-Plugin-Update.

Was passiert, wenn Sie IAB TCF 2.3 nicht einhalten?

Die Nichteinhaltung von TCF 2.3 hat sowohl regulatorische als auch kommerzielle Konsequenzen. Auf kommerzieller Seite werden Werbenetzwerke, einschließlich Google, die Bereitstellung personalisierter Anzeigen einschränken oder blockieren, wenn sie keinen gültigen TCF 2.3-Einwilligungsstring erhalten, was die CPMs und Füllraten direkt reduziert [2][3]. Auf regulatorischer Seite können die DSGVO-Durchsetzungsbehörden Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes für unrechtmäßige Datenverarbeitung verhängen.

Eine Studie vom Februar 2026, die TCF-basierte Android-Anwendungen analysierte, ergab, dass 66,2 % der Apps personenbezogene Daten ohne rechtmäßige Grundlage weitergaben, ein Ergebnis, das eine verstärkte regulatorische Prüfung von TCF-Implementierungen über alle Plattformen hinweg signalisiert [7].

Wie der IAB TCF 2.3 Consent String funktioniert

Der TC-String ist eine Base64-kodierte Datenstruktur, die die Einwilligungs- und berechtigten Interessen-Signale eines Nutzers für alle Anbieter und Zwecke kodiert. Unter TCF 2.3 besteht der String aus drei durch Punkte getrennten Segmenten: [Core String].[DisclosedVendors].[Publisher TC] [5].

Core String: Enthält Einwilligungs- und berechtigte Interessen-Signale für jeden Anbieter und Zweck, plus Metadaten (CMP ID, Version, Zeitstempel)
DisclosedVendors: Listet auf, welche Anbieter dem Nutzer tatsächlich in der Consent UI präsentiert wurden, die wichtigste Ergänzung in TCF 2.3 [1]
Publisher TC: Kodiert publisherspezifische Zweckbeschränkungen und Einwilligungen

Der String wird im Browser gespeichert (typischerweise als Cookie oder localStorage-Eintrag) und von Anbietern über die __tcfapi JavaScript API abgerufen. Anbieter lesen den String, um festzustellen, ob sie eine gültige Rechtsgrundlage zur Datenverarbeitung für einen bestimmten Nutzer haben, bevor sie Tracking- oder Personalisierungslogik auslösen [6].

Müssen Werbetreibende IAB TCF 2.3 separat implementieren?

Werbetreibende und DSPs müssen sich als Anbieter auf der Global Vendor List von IAB Europe registrieren und ihre Systeme aktualisieren, um TCF 2.3-Einwilligungsstrings korrekt zu lesen und zu respektieren. Publisher implementieren den Mechanismus zur Einholung der Einwilligung; Werbetreibende implementieren den Mechanismus zur Nutzung der Einwilligung, beide Seiten müssen TCF 2.3-konform sein, damit das System rechtmäßig funktioniert.

Insbesondere müssen Werbetreibende:

Eine aktuelle GVL-Registrierung mit genauen Zweckdeklarationen pflegen
Ihre Bidding- und Tracking-Systeme aktualisieren, um das TCF 2.3-String-Format zu parsen
Die Datenverarbeitung für Nutzer unterdrücken, die keine Einwilligung für relevante Zwecke erteilt haben
Sicherstellen, dass ihre DSP oder ihr Ad-Server den TC-String an nachgeschaltete Sub-Prozessoren weiterleitet

IAB TCF 2.3 Test- und Validierungs-Best Practices

Testen ist nicht optional, es ist der Mechanismus, durch den Compliance tatsächlich nachgewiesen werden kann. IAB Europe bietet einen offiziellen CMP Validator an, der die TC-String-Struktur, die Versionskonformität und die Vollständigkeit der Segmente überprüft.

Validierungs-Checkliste:

Führen Sie den TC-String vor dem Start durch den CMP Validator von IAB Europe
Überprüfen Sie, ob das DisclosedVendors-Segment für verschiedene Einwilligungsszenarien (vollständige Annahme, vollständige Ablehnung, teilweise) korrekt ausgefüllt wird
Testen Sie den Empfang des Einwilligungssignals im Google Ad Manager mit dem Tool "Consent debugging" [3]
Bestätigen Sie, dass die __tcfapi-Antworten sowohl auf Desktop- als auch auf mobilen Browsern korrekt sind
Testen Sie den Einwilligungswiderruf-Workflow End-to-End: Nutzer widerruft die Einwilligung, TC-String wird aktualisiert, Ad-Calls passen sich entsprechend an
Protokollieren und prüfen Sie die TC-String-Versionen in Ihrem Einwilligungsdatensatzsystem

Wie lange dauert die Implementierung? Kleine Publisher: 1-5 Tage. Mittelgroße: 2-4 Wochen. Unternehmen: 4-12 Wochen. Die primäre Variable ist die Anzahl der Ad-Tech-Integrationen, die eine Validierung erfordern.

Fazit: Umsetzbare nächste Schritte für die TCF 2.3-Compliance

Die Implementierung von IAB TCF 2.3 ist kein zukunftsorientiertes Projekt mehr, die Frist für die Durchsetzung am 1. März 2026 ist abgelaufen, und jeder Publisher oder Werbetreibende, der noch mit TCF 2.2 oder früher arbeitet, ist bereits nicht konform [1]. Die praktischen Konsequenzen sind unmittelbar: reduzierte Werbeeinnahmen, eingeschränkter Zugang zu programmatischer Nachfrage und die Gefahr regulatorischer Maßnahmen.

Umsetzbare nächste Schritte:

Überprüfen Sie Ihre aktuelle CMP, bestätigen Sie, dass sie bei IAB Europe registriert ist und TCF 2.3-konforme Strings mit dem DisclosedVendors-Segment generiert. Wenn Sie eine konforme Lösung benötigen, prüfen Sie Biscotti CMP.
Aktualisieren Sie Ihre Global Vendor List, stellen Sie sicher, dass Ihre aktive Anbieterkonfiguration die aktuellen GVL-Einträge und genauen Zweckdeklarationen widerspiegelt.
Führen Sie den IAB CMP Validator aus, gehen Sie nicht von Compliance aus; überprüfen Sie sie mit dem offiziellen Tool.
Koordinieren Sie sich mit Ihrem Ad-Ops-Team, bestätigen Sie, dass Google Ad Manager und alle SSP-Integrationen TCF 2.3-Strings korrekt empfangen und parsen [3].
Legen Sie einen Überprüfungsrhythmus fest, planen Sie vierteljährliche Audits Ihrer Anbieterliste, CMP-Version und Einwilligungsdatensatzprotokolle.

Die Einhaltung von TCF 2.3 ist kein Wettbewerbsvorteil, sondern die Grundlage. Publisher, die dies so behandeln und eine zuverlässige Einwilligungs-Infrastruktur darum herum aufbauen, schützen sowohl ihre Einnahmen als auch das Vertrauen ihrer Nutzer.

FAQ

Was ist die TCF 2.3 Compliance-Frist? Die Übergangsfrist endete am 28. Februar 2026. Seit dem 1. März 2026 müssen alle TC-Strings den TCF 2.3-Spezifikationen entsprechen [1].

Was ist das "Disclosed Vendors"-Segment in TCF 2.3? Es ist ein obligatorisches Segment, das in TCF 2.3 zum TC-String hinzugefügt wurde und explizit aufzeichnet, welche Anbieter dem Nutzer in der Consent UI präsentiert wurden, wodurch die "Ghost Vendor"-Unklarheit aus früheren Versionen gelöst wird [5].

Unterstützt Google TCF 2.3? Ja. Google akzeptiert TCF 2.3-Strings über Ad Manager, AdSense und AdMob. Publisher müssen sicherstellen, dass ihre CMP TCF 2.3-konforme Strings generiert, damit die Consent Management-Lösungen von Google korrekt funktionieren [3].

Kann ein kleiner Publisher TCF 2.3 ohne Entwickler implementieren? In vielen Fällen ja. Registrierte CMPs wie Biscotti CMP bieten No-Code- oder Low-Code-Setup-Workflows an. Die Validierung der TC-String-Ausgabe erfordert jedoch weiterhin eine technische Überprüfung.

Was passiert mit den Werbeeinnahmen ohne TCF 2.3-Compliance? Werbenetzwerke können nur nicht-personalisierte Anzeigen schalten oder den Zugang ganz einschränken, was die CPMs erheblich reduziert [2].

Ist TCF 2.3 außerhalb der EU erforderlich? TCF 2.3 gilt für die Verarbeitung von Nutzerdaten aus der EU/EWR gemäß DSGVO und ePrivacy. Publisher außerhalb der EU, die EU-Nutzer bedienen, unterliegen weiterhin diesen Anforderungen.

Wie unterscheidet sich der TCF 2.3-String von TCF 2.2? TCF 2.3 fügt das obligatorische DisclosedVendors-Segment hinzu, wodurch sich die String-Struktur von zwei auf drei durch Punkte getrennte Segmente ändert [5].

Was ist eine registrierte CMP und warum ist sie wichtig? Eine registrierte CMP ist eine, die IAB Europe als den technischen und politischen Anforderungen des TCF entsprechend verifiziert hat. Nur registrierte CMPs können gültige TC-Strings generieren, die von Anbietern und Werbenetzwerken erkannt werden [6].

Wie oft sollten Publisher ihre Anbieterliste aktualisieren? IAB Europe aktualisiert die Global Vendor List regelmäßig. Publisher sollten ihre aktive Anbieterkonfiguration mindestens vierteljährlich oder immer dann überprüfen, wenn eine neue GVL-Version veröffentlicht wird.

Was ist das größte Compliance-Risiko für TCF 2.3? Basierend auf einer Studie vom Februar 2026 ist das am weitesten verbreitete Risiko die Weitergabe personenbezogener Daten ohne gültige Rechtsgrundlage, die in 66,2 % der analysierten TCF-basierten Anwendungen festgestellt wurde [7]. Sowohl die korrekte TC-String-Generierung als auch die anbieterseitige Nutzung sind erforderlich.

Referenzen

[1] All You Need To Know About The Transition To TCF V2.3 - https://iabeurope.eu/all-you-need-to-know-about-the-transition-to-tcf-v2-3/?utm_source=openai

[2] The Complete Guide To Iubenda CMP And IAB TCF - https://www.iubenda.com/en/help/7440-the-complete-guide-to-iubenda-cmp-and-iab-tcf/?utm_source=openai

[3] Google Ad Manager TCF Support - https://support.google.com/admanager/answer/9999955?hl=en&utm_source=openai

[4] TCF 2.3 - Didomi - https://www.didomi.io/regulations/tcf-2-3?utm_source=openai

[5] IAB TCF 2.3 - Verve Developer Docs - https://developers.verve.com/docs/iab-tcf-23?utm_source=openai

[6] IAB Transparency And Consent Framework TCF 2.2/2.3 - CookieHub - https://support.cookiehub.com/article/378-iab-transparency-and-consent-framework-tcf-2-2?utm_source=openai

[7] TCF Privacy Analysis in Android Applications (arXiv, 2026) - https://arxiv.org/abs/2602.20222?utm_source=openai