Server-Side-Tagging: Ab 11. Januar bekommen Google-Ads-Tags die volle IP-Adresse – was das für Datenschutz und Einwilligung heißt und wie du es abschaltest

01 / Was sich ändert

Was Google am 11. Januar 2027 im Server-Container umstellt.

Die Mail trägt den Betreff „Updates to network signal processing in server-side tagging“, ist undatiert und kam an Google-Ads-Kunden. Öffentlich wurde sie am 2. November 2026, als der Google-Ads-Freelancer Adriaan Dekker sie auf LinkedIn teilte; PPC Land und Search Engine Journal haben den Wortlaut zitiert [1][2]. Ab dem 11. Januar 2027 soll der serverseitige Tag Manager (sGTM) Tags erlauben, „Standard-Netzwerksignale wie die IP-Adresse“ zu verarbeiten, um Anzeigenmessung und Personalisierung zu verbessern [1].

Technisch wechseln Server-Container von einer containerweiten IP-Schwärzung zu einer Verarbeitung je Tag. Daraus folgen laut Mail vier Regeln [1][2]:

• Tags, die Daten an Google Ads, Display & Video 360, Search Ads 360 und Campaign Manager 360 (Floodlight) senden, akzeptieren künftig die volle IP-Adresse.
• Google-Analytics-Tags schwärzen die IP weiterhin.
• Tags von Drittanbietern behalten ihre eigene Steuerung, welche Signale sie annehmen.
• Transformationen können diese Signale schwärzen, bevor ein Tag auf die Daten zugreift.

Google begründet das mit datenschutzfreundlichen Technologien (PETs) sowie besserer Spam- und Invalid-Traffic-Filterung, nennt aber weder konkrete Technologien noch Zahlen [1]. Wichtig ist die Richtung: Wer nichts tut, gibt ab dem Stichtag mehr Daten an Googles Werbesysteme weiter als heute. Die Mail beschreibt den Ausweg als Opt-out und verweist auf einen Hilfeartikel, ohne ihn zu verlinken [1].

Stand 4. November 2026 enthalten die Tag-Manager-Versionshinweise keinen Eintrag zu der Änderung; der jüngste ist vom 12. Oktober 2026 [9]. Die Details stammen also aus der Mail, nicht aus einer offiziellen Ankündigung. Den passenden Hilfeartikel gibt es dagegen schon, dazu gleich mehr.

02 / Betroffen?

Für wen die Änderung gilt und für wen nicht.

Beim Server-Side-Tracking schickt der Browser deiner Besucher die Messdaten nicht direkt an Google, Meta und Co., sondern zuerst an einen eigenen Tagging-Server, meist unter einer Subdomain deines Shops. Dort nimmt ein sogenannter Client die Anfrage an und übersetzt sie in ein Event-Datenobjekt, aus dem die Tags lesen [5]. Eines der Standardfelder darin heißt ip_override und enthält die IP-Adresse [1]. Genau deshalb entscheidest beim Server-Side-Tagging du, was weitergeht. Ruft der Browser Google direkt auf, sieht Google die IP ohnehin, weil das Internet so funktioniert [1].

Die Änderung betrifft nur Server-Container. Zum Google-Tag oder zu Web-Containern im Browser sagt die Mail nichts [2]. Ob du einen Server-Container betreibst, erkennst du so:

• Im Tag Manager gibt es in deinem Konto einen Container vom Typ „Server“.
• Du oder deine Agentur habt ein Konto bei einem Hoster wie Stape oder einen Tagging-Server in Google Cloud Run.
• Im Google-Tag deines Web-Containers ist eine eigene Server-URL eingetragen (Parameter server_container_url).

Läuft dein Tracking nur über den Google-Tag oder einen normalen Web-Container, musst du hier nichts umbauen. Auch Google Tag Gateway ist etwas anderes: Dort leitet dein CDN die Anfragen nur weiter, es gibt keinen Server-Container mit Tags und Transformationen. Die Mail erwähnt das Gateway nicht. Was es kann, steht im Beitrag zu Google Tag Gateway und erweiterten Conversions. Ob die Gateway-Anfragen anders behandelt werden, ist nicht belegt (Einschätzung: eher nicht betroffen, weil die Änderung an Server-Containern ansetzt).

03 / Datenschutz

Was die volle IP-Adresse für Datenschutz und Einwilligung heißt.

Google selbst schiebt die Verantwortung zu dir. Laut Mail müssen „angemessene Hinweise für Endnutzer und gesetzlich erforderliche Einwilligungen“ vorliegen, bevor die Datenerhebung beginnt. Wer Googles Werbeprodukte im Europäischen Wirtschaftsraum nutzt, muss sich strikt an die EU-Richtlinie zur Nutzereinwilligung halten [1].

Diese Richtlinie gilt für Nutzer im EWR, in Großbritannien und der Schweiz. Sie verlangt eine rechtsgültige Einwilligung für Cookies, wo gesetzlich nötig, und für das Erheben, Teilen und Nutzen personenbezogener Daten zur Personalisierung von Anzeigen. Du musst Einwilligungen dokumentieren, den Widerruf klar erklären und jede Partei benennen, die durch dein Google-Produkt personenbezogene Daten erhält [7]. Dass eine IP-Adresse personenbezogen sein kann, hat der EuGH 2016 im Fall Breyer für dynamische IP-Adressen entschieden [1].

Unklar ist das Zusammenspiel mit dem Consent Mode. Googles Doku zum Consent Mode im Server-Container beschreibt, wie Tags Cookies und Messungen je nach Einwilligung anpassen. Zur IP-Adresse steht dort nichts [6]. Seit dem 28. Juli 2025 senden Floodlight-Tags im sGTM zudem Anfragen ohne Einwilligung von Server zu Server, um Conversions zu modellieren. Ob diese ab Januar die volle IP tragen, sagt Google nicht [1].

Meine Einschätzung, keine Rechtsberatung: Für Shops mit Kundschaft in Deutschland ist die gekürzte IP der sichere Standard. Wer die volle IP an Google Ads weitergeben will, braucht eine Einwilligung, die genau das abdeckt, und eine Datenschutzerklärung, die es nennt. Die Informationspflichten aus Art. 13 DSGVO verlangen Angaben zu Zwecken, Rechtsgrundlage und Empfängern [10]. Server-Side-Tracking ersetzt keine Einwilligung, es verlagert nur den Ort der Verarbeitung. Kläre die Entscheidung mit deinem Datenschutzbeauftragten oder deiner Rechtsberatung.

04 / Abschalten

So kürzt du die IP-Adresse im Server-Container.

Der Hilfeartikel „IP address redaction for server-side tagging“ beschreibt den Weg. Er nennt den 11. Januar nicht und ist bisher nur auf Englisch verfügbar [3]. Das Opt-out ist kein Schalter, sondern eine Transformation, die du selbst baust:

1. Öffne im Tag Manager den Arbeitsbereich deines Server-Containers.
2. Lege unter „Variablen“ eine neue benutzerdefinierte Vorlagenvariable an, die die IP kürzt (Code siehe unten) [3].
3. Lege unter „Transformationen“ eine neue Transformation vom Typ „Augment event“ an. Sie überschreibt das Feld ip_override mit deiner Variable [3].
4. Wähle unter „Matching Conditions“ oder „Affected Tags“ die Tags, die die gekürzte IP bekommen sollen, etwa Google Ads und Floodlight [3]. Ohne Auswahl gilt eine Transformation für alle Tags [5].
5. Starte die Vorschau, löse die Tags aus und prüfe, dass die IP gekürzt ist, bevor die Daten den Server verlassen. Dann speichern und veröffentlichen [3].

Die Variable besteht laut Hilfe aus zwei Zeilen [3]:

const getAnonymizedIpAddress = require('getAnonymizedIpAddress');

return getAnonymizedIpAddress();

Die Funktion setzt bei IPv4 das letzte Oktett auf 0, aus 198.51.100.42 wird 198.51.100.0. Bei IPv6 bleiben nur die ersten 48 Bit stehen. Ist die IP ungültig, liefert sie „::“ zurück [4]. Die Vorlage braucht dafür die Berechtigung user_ip [4]. Google nennt das Ergebnis eine „teilweise geschwärzte IP“ [3]. Ganz anonym ist sie also nicht, aber deutlich gröber.

Tags von Drittanbietern und Hoster-Funktionen

Viele Vorlagen von Drittanbietern lesen die IP ebenfalls aus ip_override. Dann greift deine Transformation automatisch mit, sofern du diese Tags einschließt [3]. Manche Anbieter holen die IP aber aus eigenen Headern oder Event-Parametern. Für sie brauchst du eine zweite Transformation auf genau dieses Feld. Welches Feld ein Tag nutzt, findest du in der Doku des Anbieters oder per Tag Assistant [3]. Wie du dort Anfragen prüfst, steht im Beitrag zu Tag Assistant und DebugView.

Bei Stape gibt es mit dem Anonymizer-Power-up eine eigene IP-Kürzung, auch im Gratis-Tarif. Laut Doku wirkt sie aber auf Anfragen an Google Analytics 4 und wird über eine eigene Server-URL im Google-Tag eingebunden [8]. Für Google-Ads-Tags würde ich mich darauf nicht verlassen und zusätzlich die Transformation von Google bauen (Einschätzung). Die Transformation funktioniert unabhängig davon, ob der Container bei Stape, in Cloud Run oder anderswo läuft, weil sie Teil der Container-Konfiguration ist.

05 / Entscheiden

Volle IP oder gekürzt: Wie du die Entscheidung triffst.

Es gibt Argumente für beide Seiten. Google verspricht mit der vollen IP bessere Messung, bessere Personalisierung und eine genauere Erkennung von Bot-Traffic [1]. Belegt ist davon nichts mit Zahlen. Auf der anderen Seite steht, dass viele Shops Server-Side-Tagging gerade eingerichtet haben, um zu begrenzen, was bei Google ankommt. Für sie kippt am 11. Januar eine bewusst getroffene Einstellung [1].

Offen ist laut PPC Land auch, was außer der IP noch zu den „Netzwerksignalen“ zählt und ob die Transformation die heutige containerweite Schwärzung exakt nachbildet [1]. Bis Google das klärt, ist die Transformation der einzige dokumentierte Weg [2][3]. Mein Vorgehen für Shops in Hamburg und anderswo:

1. Bestand aufnehmen: Alle Server-Container auflisten, darin alle Google-Ads-, Floodlight- und Drittanbieter-Tags. Je Tag notieren, aus welchem Feld er die IP liest.
2. Entscheidung dokumentieren: Gekürzt oder voll, mit Begründung und Rücksprache mit Datenschutz. Das Ergebnis gehört in dein Verzeichnis der Verarbeitungstätigkeiten (Einschätzung).
3. Vor Weihnachten umsetzen: Transformation bauen, in der Vorschau testen, veröffentlichen. Nicht erst in der ersten Januarwoche.
4. Texte anpassen: Datenschutzerklärung und Consent-Banner prüfen, falls du die volle IP zulässt. Google musst du als Empfänger klar benennen und erklären, was mit den Daten passiert [7].
5. Mitte Januar nachmessen: Conversions in Google Ads mit dem Dezember vergleichen und die ausgehenden Anfragen im Server-Debugger stichprobenartig ansehen.

Wenn du ohnehin am Container arbeitest: Google baut den Tag Manager gerade an mehreren Stellen um. Was die Zusammenführung von Google-Tag und Container für dein Web-Tracking bedeutet, steht im Beitrag zum Google-Tag als Tag-Manager-Container.

FAQ

Häufige Fragen zu Server-Side-Tagging und IP-Adresse.

Bekommt Google Analytics ab Januar die volle IP?

Nein. Laut Mail schwärzen Google-Analytics-Tags die IP weiter [1]. Die Hilfe ergänzt, dass Analytics-Server-Tags die IP standardmäßig teilweise kürzen [3].

Gibt es einen Schalter zum Abschalten?

Dokumentiert ist bisher nur die Transformation mit getAnonymizedIpAddress [3]. Ob Google bis Januar eine einfachere Einstellung nachreicht, ist nicht bekannt.

Brauche ich mit Server-Side-Tracking keinen Cookie-Banner mehr?

Doch. Google verlangt in der Mail ausdrücklich die gesetzlich nötigen Einwilligungen vor der Datenerhebung [1]. Der Server ändert, wo Daten verarbeitet werden, nicht ob du fragen musst.

Quellen

Quellen

1. PPC Land (Luis Rijo): „Google ad tags gain full visitor IP addresses in server-side GTM in 2027“, 2. November 2026 – ppc.land · abgerufen 04.11.2026.
2. Search Engine Journal (Matt G. Southern): „Google Ad Tags In Server-Side GTM To Get Full IP Addresses“, 3. November 2026 – searchenginejournal.com · abgerufen 04.11.2026.
3. Tag Manager-Hilfe: „IP address redaction for server-side tagging“ – support.google.com · abgerufen 04.11.2026.
4. Google for Developers: „Server-side tagging APIs“ (getAnonymizedIpAddress), zuletzt aktualisiert 30. Oktober 2026 – developers.google.com · abgerufen 04.11.2026.
5. Google for Developers: „Control the event parameters available to tags with Transformations“, zuletzt aktualisiert 30. Juli 2026 – developers.google.com · abgerufen 04.11.2026.
6. Google for Developers: „Implement consent mode with server-side Tag Manager“, zuletzt aktualisiert 30. Juli 2026 – developers.google.com · abgerufen 04.11.2026.
7. Google: „EU user consent policy“ – google.com · abgerufen 04.11.2026.
8. Stape: „Anonymizer power-up“, aktualisiert 26. Oktober 2026 – stape.io · abgerufen 04.11.2026.
9. Tag Manager-Hilfe: „Release notes“ – support.google.com · abgerufen 04.11.2026.
10. Art. 13 DSGVO – Informationspflicht bei Erhebung von personenbezogenen Daten – dsgvo-gesetz.de · abgerufen 04.11.2026.

Alle Quellen am 4. November 2026 abgerufen. Die Google-Mail selbst ist nicht öffentlich verlinkt; ihr Wortlaut stammt aus den Zitaten bei PPC Land und Search Engine Journal. Rechtliche Aussagen sind eine Einschätzung und keine Rechtsberatung; Aussagen ohne belastbare Quelle sind als Einschätzung gekennzeichnet. Die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.