Faktenprüfung: 2.8.2026. Alle Angaben wurden zu diesem Zeitpunkt anhand der unten genannten Quellen geprüft.
Viele Kampagnen kommen nicht als Bilddatei, sondern als Code: ein Skript-Tag einer Agentur, ein HTML5-Werbemittel, ein Messpixel eines Drittanbieters. Dieser Code läuft auf der Seite des Publishers – und hat dort im Zweifel dieselben Rechte wie die Seite selbst. Ohne Abschottung kann er Inhalte auslesen, das Layout verändern, Weiterleitungen auslösen oder die Ladezeit ruinieren.
Das Risiko konkret
- Ausbruch aus dem Werbeplatz: Ein Skript verändert Elemente außerhalb seines Containers oder überlagert die gesamte Seite.
- Erzwungene Weiterleitung: Der Nutzer landet ohne Klick auf einer fremden Seite – einer der häufigsten Beschwerdegründe.
- Unerlaubte Datenerhebung: Ein Drittanbieter-Pixel setzt Kennungen, für die keine Einwilligung vorliegt. Verantwortlich ist gegenüber dem Nutzer der Seitenbetreiber.
- Performanceverlust: Nachgeladene Skripte blockieren das Rendering; Ladezeit und Sichtbarkeit sinken gemeinsam.
Abschottung: iframe mit Sandbox
Der wirksamste Schutz ist die Auslieferung in einem eigenen Dokument mit eingeschränkten Rechten. Ein iframe mit sandbox-Attribut entzieht dem Inhalt standardmäßig alle kritischen Fähigkeiten; freigegeben wird nur, was das Werbemittel wirklich braucht.
Bewährte Grundkonfiguration für Standardwerbemittel:
- Skripte erlauben – sonst funktionieren HTML5-Werbemittel nicht
- Formulare, Pop-ups und automatische Navigation der obersten Ebene sperren – verhindert erzwungene Weiterleitungen
- Klick-Navigation nur über eine kontrollierte Klick-URL – der Klick läuft über den AdServer, nicht über beliebigen Code
- Kein Zugriff auf denselben Ursprung – das Werbemittel sieht die Seite des Publishers nicht
Ergänzend regelt eine Content Security Policy, von welchen Domains überhaupt Ressourcen nachgeladen werden dürfen. Der Standard SafeFrame verfolgt denselben Gedanken mit einer definierten Schnittstelle zwischen Werbemittel und Seite – etwa für Sichtbarkeitsinformationen und kontrollierte Größenänderungen.
Domain-Allowlist statt Vertrauensvorschuss
Jedes externe Werbemittel sollte eine Liste erlaubter Quelldomains mitbringen. Alles, was darüber hinaus nachgeladen wird, wird blockiert. Zwei Effekte: Weiterleitungsketten über unbekannte Dritte werden unterbunden, und Änderungen am Werbemittel nach der Freigabe fallen auf.
Prüfprozess vor der Freigabe
- Statische Sichtung. Code lesen: Werden unbekannte Domains angesprochen? Gibt es Umleitungen oder verschleierten Code?
- Testauslieferung. Werbemittel auf einer Testseite ausliefern und den Netzwerkverkehr protokollieren: Welche Domains werden tatsächlich kontaktiert?
- Größen- und Verhaltensprüfung. Bleibt das Werbemittel in seinem Container? Verändert es die Seitenhöhe? Startet Ton automatisch?
- Gewichtsprüfung. Gesamtgröße und Anzahl der Anfragen erfassen. Als Orientierung: Ein Standardwerbemittel sollte im niedrigen dreistelligen Kilobyte-Bereich bleiben.
- Consent-Prüfung. Setzt das Werbemittel Kennungen? Falls ja, darf es nur mit vorliegender Einwilligung ausgeliefert werden.
- Freigabe dokumentieren. Wer hat wann was freigegeben – mit Prüfprotokoll.
Laufende Überwachung
Drittanbieter-Tags sind nicht statisch: Hinter derselben URL kann morgen anderer Code liegen. Sinnvoll sind deshalb:
- Fehlerprotokollierung aus dem Werbeplatz heraus – Ladefehler, Zeitüberschreitungen, blockierte Ressourcen
- Stichproben in regelmäßigen Abständen, nicht nur bei Beschwerden
- Ein Notfallschalter, mit dem ein einzelnes Werbemittel oder eine ganze Kampagne sofort deaktiviert werden kann
- Beschwerdekanal für Nutzer, der Werbeplatz und Zeitpunkt mitliefert
Umsetzung in unserer Plattform
Externe HTML-Werbemittel und Drittanbieter-Tags werden bei uns als eigener Werbemitteltyp geführt. Sie werden grundsätzlich in einem abgeschotteten Rahmen ausgeliefert, mit hinterlegbarer Domain-Allowlist, Klickzählung über den AdServer und Fehlerprotokollierung. Der Klick läuft über eine signierte Klick-URL, sodass Klickzahlen unabhängig vom Drittanbieter überprüfbar bleiben.
Fazit
Drittanbieter-Werbemittel lassen sich sicher betreiben – aber nur mit Abschottung, Allowlist und einem dokumentierten Freigabeprozess. Der Aufwand ist einmalig, das Risiko ohne ihn dauerhaft.