Internetseiten der Verteidigungsindustrie im Datenschutz-Check 2026: 57 % der Websites mit Datenschutzmängeln

decareto hat die Websites von 21 Unternehmen der Verteidigungsindustrie automatisiert auf Datenschutzmängel untersucht. Das Ergebnis: 57 % weisen technische Schwachstellen auf. Besonders häufig werden externe Dienste und nicht notwendige Cookies bereits vor einer Einwilligung geladen beziehungsweise gesetzt.

Unternehmen der Sicherheits- und Verteidigungsindustrie unterliegen hohen Anforderungen an Informationssicherheit und den Schutz sensibler Informationen. Diese Anforderungen prägen auch den Umgang mit digitalen Technologien. Umso auffälliger sind die Ergebnisse der aktuellen decareto Analyse: Auf zahlreichen Unternehmenswebsites bestehen Defizite bei der Umsetzung datenschutzrechtlicher Vorgaben. Besonders betroffen sind die Einbindung externer Dienste, die Cookie-Konfiguration und die Transparenz der Datenschutzerklärungen.

21 Unternehmen der Verteidigungsindustrie untersucht

Für die Untersuchung analysierte decareto die Websites von 21 Unternehmen der Verteidigungsindustrie hinsichtlich ihrer technischen Datenschutzkonfiguration. Im Fokus standen die Einhaltung der Einwilligungspflichten nach § 25 TDDDG sowie die Transparenz der Datenverarbeitung gemäß DSGVO – insbesondere:

Einsatz von Consent-Bannern und Consent-Management-Plattformen

Laden externer Dienste

Setzen von Cookies

Vollständigkeit der Datenschutzerklärungen

Die Ergebnisse zeigen, dass Datenschutzmängel trotz eingesetzter Consent-Management-Lösungen auftreten. Insgesamt weisen 12 von 21 Websites (57 %) technische Datenschutzschwachstellen auf.

57 % laden externe Dienste ohne Einwilligung

Externe Dienste werden auf Unternehmenswebsites unter anderem für Webanalyse, Marketing, Werbung und die Bereitstellung von Inhalten eingesetzt. Je nach technischer Einbindung und Verwendungszweck können sie eine vorherige Einwilligung erfordern.

Die Analyse ergab, dass 12 von 21 Unternehmen (57 %) externe Dienste bereits beim Seitenaufruf laden, obwohl noch keine Einwilligung erteilt wurde.

Besonders kritisch ist dies, wenn ein Consent-Banner den Eindruck vermittelt, die Entscheidung der Besucher abzuwarten, die entsprechenden Dienste jedoch bereits vorher aktiviert werden.

52 % setzen nicht notwendige Cookies ohne Einwilligung

Cookies sind eine von mehreren Technologien zur Speicherung oder zum Auslesen von Informationen auf Endgeräten. Nach § 25 TDDDG ist dafür grundsätzlich eine Einwilligung erforderlich, sofern keine gesetzliche Ausnahme greift.

Bei 11 von 21 Websites (52 %) wurden nicht notwendige Cookies bereits vor einer Einwilligung der Besucher gesetzt.

Die Ergebnisse zeigen, dass eine Consent-Management-Plattform allein keine rechtskonforme Cookie-Konfiguration gewährleistet. Entscheidend ist, dass einwilligungspflichtige Technologien bis zur Zustimmung technisch blockiert werden.

43 % mit fehlender Transparenz in Datenschutzerklärungen

Neben der technischen Konfiguration untersuchte decareto auch die Datenschutzerklärungen der Unternehmen.

Das Ergebnis: Bei 9 von 21 Websites (43 %) wurden externe Dienste identifiziert, deren Einsatz in den jeweiligen Datenschutzerklärungen nicht oder nicht eindeutig erläutert wurde.

Damit bestehen möglicherweise Defizite bei den Informationspflichten nach Art. 13 DSGVO. Verantwortliche müssen transparent über die Verarbeitung personenbezogener Daten informieren, einschließlich der Verarbeitungszwecke, Rechtsgrundlagen und Empfänger oder Kategorien von Empfängern.

Google und Marketing-Technologien unter den häufigsten Anbietern

Die Untersuchung zeigt, dass auf den Websites der Verteidigungsindustrie verschiedene externe Technologien eingesetzt werden. Unter den fünf am häufigsten identifizierten Anbietern von Diensten, die ohne vorherige Einwilligung geladen wurden, befinden sich:

Rang – Anbieter – Kategorien

1 – Google – Webanalyse, Marketing, Werbung, Tag Management

2 – HubSpot – Marketing, CRM und Lead-Generierung

3 – Cloudflare – Content Delivery, Websicherheit und Performance

4 – Meta – Social-Media-Integration, Onlinewerbung und Conversion-Tracking

5 – Microsoft – Cloudhosting, Webanalyse, CRM und Marketing-Automatisierung

Google führt die Rangliste der am häufigsten identifizierten Anbieter externer Dienste an, die ohne Einwilligung geladen wurden. Daneben wurden insbesondere Technologien von HubSpot, Cloudflare, Meta und Microsoft festgestellt.

Die gescannten Dienste in der Gesamtübersicht

Im Detail betrachtet sind dies die insgesamt die 13 häufigsten Dienste, die wir gescannt und erkannt haben. In der Tabelle befinden sich Dienste, die ohne Einwilligung geladen wurden. Tracking, Webanalyse und Onlinewerbung prägen den Einsatz externer Dienste auf den untersuchten Websites. Besonders häufig vertreten sind Google Analytics, Meta Pixel und Matomo. Der  Google Tag Manager gehört mit elf Erkennungen zu den meistgenutzten Technologien.

Ein methodischer Hinweis: Die 62 Nennungen sind keine 62 unterschiedlichen Websites. Da auf einer Website mehrere Dienste vorkommen können, lassen sich daraus keine Anteile betroffener Websites ableiten. Ebenso lässt sich aus der bloßen Erkennung eines Dienstes kein Datenschutzverstoß ableiten.Datenübermittlungen in die USA bleiben relevant

Beim Einsatz externer Dienste können personenbezogene Daten an Drittanbieter übermittelt werden, gegebenenfalls auch in Länder außerhalb der Europäischen Union.

Das EU-US Data Privacy Framework ermöglicht unter bestimmten Voraussetzungen Datenübermittlungen an zertifizierte US-Unternehmen. Unabhängig davon müssen die Anforderungen der DSGVO und des TDDDG eingehalten werden. Für einwilligungspflichtige Tracking- und Marketing-Technologien ist weiterhin eine wirksame Einwilligung erforderlich.

Gerade für Unternehmen der Verteidigungsindustrie ist die Kontrolle externer Dienste wichtig, um Datenflüsse nachvollziehen und mögliche Datenschutzrisiken bewerten zu können.

Gesamtbewertung der Websites der Verteidigungsindustrie

Die Gesamtbewertung der untersuchten Websites fällt unterschiedlich aus.

A: 9 Websites (43 %)

B: 3 Websites (14 %)

C: 1 Website (5 %)

D: 5 Websites (24 %)

E: 3 Websites (14 %)

Damit weisen 12 von 21 Websites (57 %) Datenschutzschwachstellen auf. Acht Websites (38 %) erhalten sogar einen Risiko-Score von D oder E.

Die Ergebnisse zeigen, dass bei einem erheblichen Teil der untersuchten Unternehmen Handlungsbedarf bei der technischen Umsetzung des Website-Datenschutzes besteht.

Kernergebnisse der Analyse

57 % der untersuchten Websites weisen Datenschutzschwachstellen auf.

57 % laden externe Dienste vor einer Einwilligung.

52 % setzen nicht notwendige Cookies ohne Zustimmung.

43 % weisen Transparenzmängel in ihren Datenschutzerklärungen auf.

Google führt die Rangliste der am häufigsten identifizierten Anbieter externer Dienste an, die ohne vorherige Einwilligung geladen wurden.

Ãœber die Analyse

Für die Analyse untersuchte decareto vom 27. September bis 24. Oktober 2026 die Websites von 21 Unternehmen der Verteidigungsindustrie. Dafür wurde die decareto Plattform zur automatisierten Website-Compliance-Analyse eingesetzt.

Bewertet wurden die technische Umsetzung der Einwilligungsmechanismen, der Einsatz externer Dienste, Cookie-Setzungen sowie die Transparenz der Datenschutzerklärungen. Grundlage waren die Anforderungen der DSGVO, des TDDDG sowie die europäische und deutsche Rechtsprechung zum Einsatz einwilligungspflichtiger Technologien.

Folgende Unternehmen der Verteidigungsindustrie wurden untersucht

Airbus, ARX Robotics GmbH, Dynamit Nobel Defence, ELAC SONAR GmbH, Fr. Fassmer GmbH & Co. KG, GERMAN NAVAL YARDS, Heckler & Koch, HEGGEMANN, Helsing GmbH, HENSOLDT AG, IABG, JUNGHANS Microtec GmbH, MTU Aero Engines, NVL B.V. & Co. KG, PLATH GmbH & Co. KG, Quantum Systems, RENK Group AG, Rheinmetall, Rohde & Schwarz GmbH & Co. KG, TKMS, VINCORION SE