Website-Heatmaps richtig lesen: was die Karten zeigen — und was nicht

Eine Website-Heatmap färbt einen Screenshot Ihrer Seite dort ein, wo viele Besucher geklickt, gescrollt oder die Maus bewegt haben. Sie richtig zu lesen heißt: zuerst festhalten, was die Karte nicht zeigen kann — Absicht, Blick, verdeckte Elemente und alle Besucher ohne Einwilligung. Erst danach deuten. Wer diesen Schritt überspringt, optimiert zuverlässig an der falschen Stelle.

Kurze Einordnung vorweg: Der Begriff Heatmap wird in mehreren Feldern benutzt — für Farbmatrizen in der Statistik und in Tabellenkalkulationen, für Kursübersichten im Börsenhandel und für Wärmebilder. Hier geht es ausschließlich um Website-Heatmaps: die eingefärbte Darstellung des Nutzungsverhaltens auf einer Webseite, wie sie Werkzeuge wie Mouseflow, Hotjar oder Microsoft Clarity erzeugen.

1. Was eine Website-Heatmap ist — und was sie im Kern tut

Technisch passiert etwas sehr Einfaches: Ein kleines Skript im Browser notiert Ereignisse — einen Klick an Position X, eine Scrolltiefe, alle hundert Millisekunden die Position des Mauszeigers. Diese Ereignisse werden über viele Sitzungen aufsummiert und als Farbschicht über eine Aufnahme der Seite gelegt. Warm bedeutet viel, kalt bedeutet wenig.

Damit ist auch klar, was eine Heatmap ist: eine Verdichtung. Sie beantwortet zuverlässig die Frage, was viele Besucher getan haben. Sie beantwortet nie die Frage, warum. Und sie beantwortet nur für die Menschen, die überhaupt erfasst wurden — dazu kommen wir in Abschnitt 6, weil dieser Punkt in der Praxis der folgenreichste ist.

Der Unterschied zur klassischen Web-Analyse ist die Auflösung. Eine Analyse-Software sagt Ihnen, welcher Anteil der Besucher die Seite ohne Interaktion verlässt. Die Heatmap zeigt Ihnen, an welcher Stelle sie stehen geblieben sind. Beides zusammen ergibt ein Bild; getrennt betrachtet, führt beides in die Irre. Wie Sie die Zahlenseite sauber aufsetzen, beschreiben wir im Beitrag zum Einrichten von Google Analytics 4.

Eine letzte Vorbemerkung, die viel Zeit spart: Eine Heatmap ist ein Findewerkzeug, kein Beweismittel. Sie zeigt Ihnen, wo Sie genauer hinsehen sollten. Was dort tatsächlich schiefläuft, klären Aufzeichnungen, Nutzergespräche und am Ende ein Test.

2. Die sechs Kartentypen: zeigt, zeigt nicht, typischer Fehlschluss

Fast alle Fehldeutungen entstehen, weil ein Kartentyp für etwas gehalten wird, das er nicht misst. Die folgende Tabelle listet deshalb je Typ drei Dinge: was er zeigt, was er nachweislich nicht zeigt und welcher Fehlschluss uns in Projekten am häufigsten begegnet. Die mittlere Spalte ist die wichtigere.

Bei der Bewegungskarte lohnt ein genauer Blick auf die Herstellersprache. Mouseflow schreibt zur Bewegungskarte, dass Mausverhalten der Augenbewegung häufig folge und die Karte deshalb ein starkes Signal für Aufmerksamkeit liefere (Quelle: Mouseflow-Hilfe, Understanding Heatmaps, abgerufen am 5. September 2026). Das ist ehrlich formuliert — „häufig" und „Signal", nicht „misst". Zur Aufmerksamkeitskarte nennt derselbe Text die Kennwerte: Anteil der Nutzer, die einen Abschnitt gesehen haben, Durchschnittszeit und aktive Interaktionszeit. Das ist Sichtbarkeitsdauer, kein Blickverlauf. Wer die Karte trotzdem als Eye-Tracking liest, hat sich die Fehldeutung selbst gebaut.

Bevor Sie eine Karte öffnen, hilft eine banale Vorbereitung: Schreiben Sie die Frage auf, die Sie beantworten wollen. „Wird der zweite Warenkorb-Knopf weiter unten benutzt?" ist eine Frage. „Mal schauen, was die Heatmap sagt" ist keine. Ohne Frage findet man in einer Farbschicht immer etwas, das die eigene Vermutung bestätigt.

Die fünf Fehlerquellen der folgenden Abschnitte im Überblick:

• Falle 1 — Zu wenige Sitzungen: Einzelne Besucher dominieren das Bild; das Muster wackelt von Tag zu Tag.
• Falle 2 — Geräte und Seitenlängen vermischt: Desktop und Mobil in einer Karte, oder mehrere unterschiedlich lange Seiten in einer Scrollkarte.
• Falle 3 — Above-the-fold-Verzerrung: Oben häufen sich Klicks, weil alle dort ankommen — nicht, weil es dort wichtig ist.
• Falle 4 — Einwilligungs-Bias: Sichtbar ist nur, wer eingewilligt hat. Die Karte weist die fehlende Gruppe nicht aus.
• Falle 5 — Unsichtbares und Unechtes: Verdeckte Elemente fehlen, Bots und Stichproben-Grenzen des Tarifs verfälschen still.

3. Falle 1: zu wenige Sitzungen

Die erste Karte wird meist zu früh gelesen. Nach zwei Tagen liegen dreißig Sitzungen vor, ein Bereich leuchtet, und die Schlussfolgerung steht. Nur: Bei dreißig Sitzungen entspricht eine einzige Person gut drei Prozent des Bildes. Ein Besucher, der aus Frust zwanzigmal auf dasselbe Element klickt, erzeugt sichtbare Hitze. Bei tausend Sitzungen verschwindet er im Rauschen.

Eine belastbare Mindestzahl veröffentlicht kein Anbieter, und wir erfinden hier keine. In den Hilfe-Bereichen von Hotjar und Mouseflow steht keine Zahl, ab der eine Karte als aussagekräftig gilt — nur der Hinweis, dass die Bewegungskarte bei wenigen Seitenaufrufen wie eine Klickkarte aussieht und sich Muster erst mit mehr Daten herausbilden (Quelle: Hotjar-Dokumentation, Types of Heatmaps, abgerufen am 5. September 2026).

Nachvollziehbar ist die Größenordnung trotzdem, und zwar über das Gewicht einer Einzelsitzung. Bei 50 Sitzungen macht eine Person zwei Prozent der Karte aus, bei 200 ein halbes Prozent, bei 1.000 ein Zehntel Prozent. Wenn Sie einen Unterschied zwischen zwei Bereichen von wenigen Prozentpunkten beurteilen wollen, brauchen Sie so viele Sitzungen, dass einzelne Personen diesen Unterschied nicht mehr erzeugen können. Das ist keine Formel, aber eine ehrliche Faustregel.

Praktisch nützlicher als jede Zahl ist ein Stabilitätstest: Sehen Sie sich dieselbe Karte an drei aufeinanderfolgenden Tagen an. Ändert sich die Rangfolge der heißen Bereiche noch, sammeln Sie weiter. Bleibt sie stabil, können Sie deuten. Dieser Test kostet nichts und beantwortet die Frage für Ihre Seite genauer als jeder allgemeine Richtwert.

Ein zweiter Punkt gehört dazu: Die angezeigte Sitzungszahl ist nicht die Zahl der Sitzungen, die zur Karte beigetragen haben. Hotjar erklärt ausdrücklich, dass die Anzeige alle erfassten Sitzungen auf der Zielseite mitzählt, auch solche ohne jede Interaktion — im Beispiel der Dokumentation zeigt eine Karte 1.000 Sitzungen an, während nur 800 Klick-, Bewegungs- oder Scrolldaten beigesteuert haben (Quelle: Hotjar-Dokumentation, Heatmap FAQs, abgerufen am 5. September 2026). Ihre tatsächliche Datenbasis ist also kleiner als die Zahl über der Karte.

4. Falle 2: Geräte und Seitenlängen vermischt

Der zweite Fehler ist der teuerste, weil er so harmlos aussieht: Desktop- und Mobilkarten werden gemeinsam betrachtet. Das darf man nicht. Auf dem Mobilgerät steht das Layout in einer anderen Reihenfolge, Elemente rutschen untereinander, die Seite ist ein Vielfaches länger. Derselbe Knopf liegt auf dem Bildschirm an völlig verschiedenen Stellen. Eine gemittelte Karte zeigt beides gleichzeitig und damit nichts.

Dieselbe Logik gilt innerhalb einer Geräteklasse für Seitenlängen. Hotjar hält für Scrollkarten ausdrücklich fest, dass sie ungenau werden, wenn eine Karte mehrere Seiten unterschiedlicher Länge zusammenfasst. Wer also eine Karte auf ein URL-Muster wie „alle Produktseiten" richtet, mittelt kurze und lange Seiten zusammen. Die Aussage „40 Prozent erreichen die Bewertungen" ist dann für keine einzelne Seite wahr.

Es gibt eine dritte Vermischung, die seltener bedacht wird: unterschiedliche Seitenzustände. Eine Kategorieseite mit acht Artikeln und dieselbe Seite mit vierhundert Artikeln sind aus Nutzersicht verschiedene Seiten. Ein Banner, das nur in einer Aktionswoche lief, verändert die gesamte obere Hälfte. Eine Karte, die über den Zeitraum davor und danach mittelt, zeigt eine Seite, die es nie gab.

Die Regel dagegen ist unspektakulär und wirksam: Eine Karte, ein Gerätetyp, eine Seitenvariante, ein klar abgegrenzter Zeitraum. Lieber vier saubere Karten als eine große. Und wenn Sie Desktop und Mobil vergleichen wollen, legen Sie die beiden Karten nebeneinander, statt sie zu einer zu verrechnen.

Bei Mobilkarten kommt eine technische Grenze dazu, die zu falschen Schlüssen einlädt. Hotjar dokumentiert, dass auf Touch-Geräten Tippen und vertikales Scrollen erfasst werden — horizontales Wischen dagegen ausdrücklich nicht, genannt wird das Beispiel eines Karussells oder einer Bildergalerie. Ein Karussell, durch das alle Besucher wischen, sieht in der Karte deshalb tot aus. Wer daraufhin das Karussell entfernt, entfernt etwas, das benutzt wurde.

5. Falle 3: die Above-the-fold-Verzerrung

Klicks häufen sich oben. Das ist kein Befund, sondern eine Selbstverständlichkeit: Jeder Besucher sieht den oberen Bereich, aber nur ein Teil scrollt weiter. Trotzdem wird aus „oben ist es rot" regelmäßig „oben ist das Wichtige" — und Elemente wandern nach oben, die dort niemandem helfen.

Sauber wird der Vergleich erst, wenn Sie die Klicks ins Verhältnis zur Sichtbarkeit setzen. Ein Knopf, den 100 Prozent der Besucher sehen und 4 Prozent klicken, ist schwächer als ein Knopf, den 20 Prozent sehen und ebenfalls 4 Prozent klicken — beim zweiten klickt jeder fünfte Sehende. Die Scrollkarte liefert Ihnen den Nenner dafür, denn sie sagt, welcher Anteil eine bestimmte Höhe überhaupt erreicht hat. Ohne diesen Nenner ist jede Klickkarte eine Rangliste der Bildschirmposition.

Dieselbe Verzerrung wirkt in die andere Richtung. Ein Abschnitt weit unten wirkt kalt, weil ihn wenige erreichen. Wenn ihn aber fast jeder nutzt, der ihn erreicht, ist er kein Kandidat zum Streichen, sondern einer zum Höherziehen. Genau diese Umkehr geht verloren, wenn man Karten nur nach Farbe liest.

Vorsicht ist auch bei der beliebten Kennzahl „durchschnittliche Scrolltiefe" geboten. Sie mittelt zwei sehr verschiedene Gruppen: Menschen, die sofort abspringen, und Menschen, die alles lesen. Ein Mittelwert von 45 Prozent kann bedeuten, dass fast alle bis 45 Prozent lesen — oder dass die Hälfte sofort geht und die andere Hälfte bis zum Ende scrollt. Sehen Sie sich deshalb den Verlauf an, nicht die eine Zahl. Was daraus für den Seitenaufbau folgt, führen wir im Beitrag zum Optimieren von Landingpages aus; hier bleibt es bei der Frage, wie man die Karte liest.

6. Falle 4: Sie sehen nur die einwilligenden Besucher

Diese Falle ist die unbequemste, weil kein Werkzeug sie anzeigt. Heatmap- und Aufzeichnungswerkzeuge dürfen in Deutschland erst nach einer Einwilligung laufen (die rechtliche Herleitung steht in Abschnitt 10). Ihre Karte bildet damit nicht Ihre Besucher ab, sondern die Teilmenge, die dem Banner zugestimmt hat. Und diese Teilmenge ist nicht zufällig gezogen.

Der Anbieter bestätigt den Mechanismus selbst. Microsoft schreibt zu Clarity, dass im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz eine ausdrückliche Einwilligung nötig ist, und weiter: Ohne diese Einwilligung können die Clarity-Cookies nicht genutzt werden, wodurch Funktionen wie Funnel-Auswertung und Session-Recordings beeinträchtigt sind (Quelle: Microsoft Learn, Clarity FAQ, abgerufen am 5. September 2026). Das ist keine Randnotiz, sondern die Beschreibung Ihrer Datenbasis.

Zur Einwilligung kommen technische Lücken. Hotjar listet in der eigenen Dokumentation auf, warum Sitzungen nicht erfasst werden: nicht unterstützter Browser, deaktiviertes JavaScript, deaktivierte Cookies, aktiviertes Do-Not-Track, privates oder Inkognito-Fenster, deaktivierter lokaler Speicher, Erweiterungen und Trackingblocker, restriktive Netzwerke sowie eine Content Security Policy, die das Skript blockiert (Quelle: Hotjar-Dokumentation, Does Hotjar Track All Your Users?, abgerufen am 5. September 2026).

Entscheidend ist nun nicht, dass Daten fehlen — das ist bei jeder Messung so. Entscheidend ist, dass sie nicht zufällig fehlen. Wer einen Trackingblocker einsetzt, im privaten Fenster surft oder das Banner ablehnt, tut das aus einem Grund. Diese Menschen bilden deshalb keine Zufallsauswahl, sondern eine Gruppe mit einem gemeinsamen Merkmal: dem Wunsch nach Datensparsamkeit und meist auch dem technischen Wissen, ihn durchzusetzen. Genau diese Gruppe fehlt in jeder Ihrer Karten — vollständig und unbemerkt. Wie stark das ins Gewicht fällt, hängt von Ihrer Zielgruppe ab; belastbare allgemeine Zahlen dazu gibt es nicht, wohl aber Ihre eigene Einwilligungsquote.

Der Umgang damit ist unaufgeregt, aber er muss bewusst stattfinden:

• Halten Sie die Einwilligungsquote fest und notieren Sie sie neben der Karte. Sie ist der Umrechnungsfaktor zwischen Karte und Wirklichkeit.
• Vergleichen Sie die Zahl der erfassten Sitzungen mit den Seitenaufrufen aus Ihrer Web-Analyse oder aus dem Server-Log. Die Differenz ist Ihr blinder Fleck, grob beziffert.
• Behandeln Sie die Karte als Aussage über eine Stichprobe mit bekannter Schieflage, nicht über Ihre Besucher insgesamt. Formulieren Sie Befunde entsprechend: „Unter den erfassten Sitzungen …".
• Prüfen Sie große Entscheidungen gegen eine Quelle ohne Einwilligungsfilter — Bestell- und Umsatzdaten aus der Warenwirtschaft erfassen jeden Kauf, unabhängig vom Banner.

Und ein Hinweis, der in die andere Richtung geht: Ein Banner so zu gestalten, dass die Einwilligungsquote künstlich steigt, verschiebt das Problem nur und wirft neue Fragen auf. Wie Sie den Einwilligungsdialog rechtlich sauber und trotzdem benutzbar bauen, behandeln wir im Beitrag zum Umsetzen des Cookie-Banners.

7. Falle 5: Unsichtbares, Unechtes und Stichproben-Grenzen

Drei kleinere Fehlerquellen bleiben, die zusammen viel Schaden anrichten, weil sie stillschweigend wirken.

Verdecktes wird nicht ausgewertet. Eine Klickkarte liegt über einer Aufnahme der Seite. Hotjar dokumentiert, dass nur Interaktionen mit Elementen ausgewertet werden, die in dieser Aufnahme sichtbar sind; als Beispiel wird ein Aufklappmenü genannt, dessen Einträge in der Aufnahme nicht ausgeklappt sind. Alles hinter Akkordeons, Reitern, Dialogfenstern und Menüs fehlt daher, obwohl es geklickt wurde. Wer daraus schließt, das Menü werde nicht benutzt, irrt vollständig. Abhilfe schaffen interaktive Karten, der Rohdatenexport oder ein Blick in einzelne Aufzeichnungen.

Nicht jede Sitzung ist ein Mensch. Hotjar weist darauf hin, dass automatisierte Sitzungen in Heatmaps auftauchen können, und nennt als typische Ursache Überwachungsdienste, die Seiten regelmäßig aufrufen — beispielhaft genannt werden Amazon CloudWatch Synthetics und Dynatrace Synthetic Monitoring. Solche Zugriffe erzeugen immer dasselbe Muster an derselben Stelle. Bei kleinen Stichproben kann das ein auffälliges Signal sein, das gar keines ist. Prüfen Sie im Zweifel mit dem eigenen Team, welche Überwachungsdienste auf die Seite zugreifen.

Ihr Tarif kann still eine Stichprobe ziehen. Hotjar erklärt, dass jede Website ein tägliches Aufzeichnungslimit hat und der Dienst bei Überschreitung eine gleichmäßig über den Tag verteilte Stichprobe erfasst (Quelle: Hotjar-Dokumentation, How Does Sampling Work?, abgerufen am 5. September 2026). Das ist sauber gelöst und trotzdem wichtig zu wissen: Ihre Karte zeigt dann nicht alle einwilligenden Besucher, sondern einen Ausschnitt davon. Vor jeder Aussage über absolute Zahlen gehört ein Blick auf die Erfassungsquote im Werkzeug.

Alle drei Punkte laufen auf dieselbe Arbeitsweise hinaus: Bevor Sie eine Karte deuten, klären Sie, wie sie zustande kam. Welcher Zeitraum, welches Gerät, welche Erfassungsquote, welche Seitenvariante. Diese vier Angaben gehören in jede Notiz, die Sie zu einem Befund machen — sonst ist der Befund in drei Monaten nicht mehr nachvollziehbar.

8. Drei Lesebeispiele: Kategorie, Produkt, Checkout

Der beste Schutz gegen Fehlschlüsse ist eine feste Routine: Zu jeder Beobachtung formulieren Sie zwei Deutungen und überlegen sich, womit Sie zwischen ihnen entscheiden. Die folgenden drei Fälle stammen aus typischen Shop-Situationen und zeigen die Routine in Aktion.

Kategorieseite

Beobachtung: Die Filterleiste ist kalt, die Produktbilder weiter unten sind heiß. Die Scrollkarte fällt nach den ersten Reihen deutlich ab.

Naheliegende Deutung: Die Filter werden nicht gebraucht und können weg. Konkurrierende Deutung: Die Filter werden nicht gefunden, weil sie auf dem Mobilgerät hinter einem Symbol liegen, oder die Kategorie ist so klein, dass Filtern sich nicht lohnt.

Gegenprobe: Trennen Sie nach Gerät und vergleichen Sie eine große mit einer kleinen Kategorie. Zählen Sie zusätzlich die Nutzung der internen Suche auf derselben Seite.

Produktseite

Beobachtung: Auf dem Produktbild häufen sich Klicks, obwohl es keine Zoomfunktion gibt. Der Warenkorb-Knopf ist vergleichsweise kühl.

Naheliegende Deutung: Das Bild ist der beliebteste Inhalt der Seite. Konkurrierende Deutung: Besucher erwarten eine Vergrößerung und klicken ins Leere. Diese Klicks tauchen in der Friktionskarte als tote Klicks auf.

Gegenprobe: Schauen Sie sich fünf Aufzeichnungen mit genau diesem Klickmuster an. Wenn danach das Fenster geschlossen oder wiederholt geklickt wird, ist es Frust, nicht Interesse.

Checkout

Beobachtung: Die Formular-Analyse zeigt lange Bearbeitungszeit und viele Abbrüche im Feld für die Rechnungsadresse.

Naheliegende Deutung: Das Feld ist zu kompliziert und wird vereinfacht. Konkurrierende Deutung: Die Fehlermeldung erscheint erst nach dem Absenden, oder die automatische Vervollständigung des Browsers schreibt Werte in das falsche Feld.

Gegenprobe: Testen Sie das Formular selbst mit aktiver Browser-Vervollständigung auf einem Mobilgerät. Prüfen Sie in Aufzeichnungen, ob vor dem Abbruch eine Fehlermeldung stand.

In allen drei Fällen ist die naheliegende Deutung die, die zu einer schnellen Änderung führt — und die konkurrierende die, die häufiger zutrifft. Das ist kein Zufall: Karten machen Symptome sichtbar, und Symptome legen die Behandlung des Symptoms nahe. Die Gegenprobe kostet meist zwanzig Minuten und verhindert Änderungen, die nichts bringen oder schaden. Welche Maßnahmen sich anschließen, wenn die Ursache geklärt ist, beschreiben wir im Beitrag zum Optimieren der Conversion Rate.

Eine Beobachtung aus unseren Projekten, ohne Zahlen, weil wir keine belastbaren veröffentlichen können: Der häufigste Fund in Klickkarten von Shops sind Klicks auf Elemente, die nicht klickbar sind — Produktbilder ohne Vergrößerung, Textblöcke, die wie Reiter aussehen, durchgestrichene Preise, hinter denen eine Erklärung vermutet wird. Das sind meist kleine Korrekturen, und sie sind fast immer eindeutiger als jede Umgestaltung, die aus einer kalten Fläche abgeleitet wird.

9. Session-Recordings: der zweite Blick und seine Pflichten

Wenn die Karte die auffällige Stelle gefunden hat, beantwortet die Aufzeichnung die Frage nach dem Warum. Ein Session-Recording spielt eine einzelne Sitzung als Verlauf nach: Bewegungen, Klicks, Scrollen, Eingaben, Seitenwechsel. Zehn gezielt ausgewählte Aufzeichnungen erklären in der Regel mehr als hundert zufällige.

Gezielt heißt: Filtern Sie, bevor Sie schauen. Sinnvolle Filter sind das Auftreten wiederholter Frustklicks, ein Abbruch im Checkout, ein bestimmtes Gerät, ein Einstieg über eine bestimmte Kampagne. Ohne Filter sehen Sie überwiegend unauffällige Sitzungen und verlieren eine Stunde. Für die Auswertung über mehrere Kanäle hinweg — welcher Kontakt vor dem Besuch lag und was danach passierte — ist die Ebene der Customer Journey der passende Rahmen; die Aufzeichnung bleibt beim einzelnen Besuch.

Damit zur Pflichtseite. Aufzeichnungen erfassen sehr detailliertes Verhalten, deshalb ist die Maskierung von Eingabefeldern nicht optional. Die großen Anbieter lösen das im Kern schon in der Voreinstellung, aber unterschiedlich weit:

• Hotjar unterdrückt laut Dokumentation Tastatureingaben in allen Eingabefeldern bereits im Browser des Besuchers; die Daten erreichen die Anbieterserver nach dieser Beschreibung gar nicht erst.
• Mouseflow schließt Passwort- und Kreditkartenfelder automatisch aus und stellt ein Werkzeug bereit, um weitere Bereiche von der Aufzeichnung auszunehmen; IP-Adressen werden laut Hilfe-Center nicht gespeichert.
• Microsoft beschreibt für Clarity, dass der Inhalt der Seite in der Voreinstellung unterdrückt wird und der Website-Betreiber steuert, welche Inhalte übertragen werden; maskierte Daten werden laut FAQ nicht hochgeladen.

Verlassen Sie sich trotzdem nie auf die Voreinstellung. Prüfen Sie Ihre eigenen Formulare Feld für Feld — besonders Freitextfelder, Geburtsdaten, Kundennummern und alles, was in einem Bestellprozess sichtbar auf der Seite steht statt in einem Eingabefeld. Eine Bestellübersicht mit Name und Adresse ist Text, kein Eingabefeld, und wird von automatischer Feldmaskierung nicht erfasst.

Zwei Dinge gehören gar nicht erst erhoben: Zahlungsdaten und Gesundheitsdaten. Bei Zahlungsdaten ist der einfachste Weg, den Zahlungsschritt vollständig von der Aufzeichnung auszunehmen — dort ist ohnehin meist ein fremder Dienstleister eingebunden. Gesundheitsbezogene Angaben sind besonders geschützt; wenn Ihr Formular danach fragt, gehört die betreffende Seite auf die Ausschlussliste, nicht in eine Maskierungsregel.

Legen Sie zusätzlich eine kurze Löschfrist fest. Aufzeichnungen, die älter als ein paar Wochen sind, werden praktisch nie noch einmal angesehen, erhöhen aber dauerhaft das Risiko. Microsoft nennt für Clarity eine Verfügbarkeit von bis zu 30 Tagen ab der Aufzeichnung — und dass sich Daten einzelner Nutzer nur durch Löschen des gesamten Projekts entfernen lassen. Das ist eine Angabe, die Sie kennen sollten, bevor eine Auskunfts- oder Löschanfrage eintrifft.

10. Der Rechtsrahmen in Kurzform

Vier Punkte genügen für die Praxis. Alle Fundstellen stehen mit Abrufdatum in der Quellenliste.

Erstens: Einwilligung nach § 25 Absatz 1 TDDDG. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz regelt in § 25 Absatz 1, dass „die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind", nur zulässig sind, „wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat" (Quelle: § 25 TDDDG bei gesetze-im-internet.de, abgerufen am 5. September 2026). Das betrifft Cookies ebenso wie andere Speicherzugriffe im Browser.

Zweitens: Die Ausnahme greift hier nicht. § 25 Absatz 2 Nummer 2 lässt die Einwilligung entfallen, wenn der Zugriff „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann". Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, ordnet Messung und Analyse von Besucherzahlen sowie A/B-Tests ausdrücklich nicht ohne Weiteres dem Basisdienst zu und hält fest: „Selbst die einfache Messung von Besucherzahlen ist daher nicht per se als Bestandteil des Basisdienstes einzustufen, sondern abhängig vom jeweils konkret verfolgten Zweck." (Quelle: DSK, Orientierungshilfe für Anbieter:innen von Telemedien, Version 1.1 vom 30. November 2022, abgerufen am 5. September 2026). Heatmaps und Aufzeichnungen dienen der Optimierung durch den Betreiber, nicht dem vom Besucher gewünschten Dienst. Sie brauchen daher eine Einwilligung.

Drittens: Rechtsgrundlage und Auftragsverarbeitung. Neben der Einwilligung für den Gerätezugriff braucht die anschließende Verarbeitung eine Rechtsgrundlage nach Artikel 6 Absatz 1 DSGVO — bei einwilligungsbasierten Analysewerkzeugen regelmäßig die Einwilligung selbst. Der Anbieter des Werkzeugs verarbeitet in Ihrem Auftrag; dafür ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO abzuschließen, und das Werkzeug gehört in Ihr Verarbeitungsverzeichnis und in die Datenschutzerklärung.

Viertens: Drittlandtransfer. Liegen Daten außerhalb der EU oder greift der Anbieter von dort zu, gelten zusätzlich die Artikel 44 ff. DSGVO. Für die USA führt die Europäische Kommission einen Angemessenheitsbeschluss, der ausdrücklich nur für Unternehmen gilt, die am EU-US Data Privacy Framework teilnehmen (Quelle: Europäische Kommission, Adequacy decisions, Stand 5. September 2026). Wo dieser Rahmen nicht greift, kommen Standardvertragsklauseln zum Einsatz. Prüfen Sie deshalb vor der Auswahl, wo die Daten Ihres Werkzeugs liegen — die Angaben dazu stehen in der nächsten Tabelle.

11. Werkzeug-Kategorien im Überblick

Die Auswahl des Werkzeugs ist die letzte Frage, nicht die erste. Alle verbreiteten Werkzeuge erzeugen brauchbare Karten; sie unterscheiden sich vor allem in der Datenhaltung, im Funktionsumfang und im Preismodell. Die folgende Übersicht nennt nur, was die Anbieter selbst dokumentieren. Preise lassen wir bewusst weg, weil sie sich häufig ändern und je nach Sitzungsvolumen ohnehin individuell ausfallen.

Zwei Einordnungen dazu, ehrlich und ohne Empfehlung. Microsoft Clarity ist weit verbreitet, weil es kostenlos ist — in der Suche nach Website-Heatmaps steht es in Deutschland ganz vorn. Die Funktionen sind solide. Gleichzeitig beschreibt Microsoft selbst eine Konstellation, die Sie bewusst entscheiden müssen: Die Daten liegen im Azure-Clouddienst ohne genannte Region, EU-Kunden kontrahieren mit der irischen Microsoft-Gesellschaft, und diese hat Standardvertragsklauseln mit der Microsoft Corporation in den USA, die grenzüberschreitende Übermittlungen erlauben. Dazu kommt, dass sich Daten einzelner Nutzer nur durch Löschen des gesamten Projekts entfernen lassen. Das ist kein Ausschlussgrund, aber es ist ein zusätzlicher Drittlandtransfer und eine Einschränkung bei Betroffenenrechten — beides gehört vor die Entscheidung, nicht danach.

Für uns ist die Frage nach dem Speicherort deshalb ein Auswahlkriterium und keine Fußnote. In eigenen Projekten arbeiten wir mit Mouseflow, weil sich der Speicherort in der EU festlegen lässt und die Voreinstellungen zur Maskierung zu unseren Anforderungen passen; wie wir das Werkzeug einrichten, steht auf der Seite zur Mouseflow-Beratung. Diese Wahl ist eine Entscheidung, keine Wertung über die anderen Werkzeuge. Achten Sie bei Mouseflow darauf, dass die Region beim Anlegen des Kontos festgelegt wird und sich später nicht umstellen lässt.

12. Von der Beobachtung zur Hypothese

Eine Heatmap beweist nichts. Sie liefert eine Beobachtung, aus der eine Hypothese wird, die man prüft. Dieser letzte Schritt wird am häufigsten übersprungen — die Karte wirkt so anschaulich, dass die Änderung sofort plausibel erscheint.

Eine brauchbare Hypothese hat vier Teile: die Beobachtung, die vermutete Ursache, die geplante Änderung und die Kennzahl, an der Sie den Erfolg messen. Ausformuliert klingt das — hier mit Platzhalterwerten — so: „Weil 60 Prozent der Mobilbesucher die Versandinformation nie erreichen (Beobachtung) und deshalb im Checkout überrascht werden (Ursache), verschieben wir sie in die Produktbox (Änderung); Erfolg messen wir an der Abbruchquote im ersten Checkout-Schritt (Kennzahl)."

Ist die Kennzahl notiert, entscheidet die Größe der Änderung über das weitere Vorgehen. Kleine, eindeutige Korrekturen — ein Bild klickbar machen, eine unverständliche Fehlermeldung ersetzen — setzen Sie einfach um und beobachten die Kennzahl. Eingriffe in Anordnung, Preisdarstellung oder Formularaufbau gehören in einen A/B-Test, weil hier auch das Gegenteil des Erwarteten eintreten kann. Wie Sie so einen Test aufsetzen und wie lange er laufen muss, steht im Beitrag zum Optimieren von Landingpages.

Halten Sie beides schriftlich fest, auch die Fehlschläge. Eine Liste geprüfter Hypothesen ist nach einem Jahr wertvoller als jede einzelne Karte — sie verhindert, dass dieselbe Vermutung alle sechs Monate neu diskutiert wird. Aus unseren Projekten: Die Teams, die diese Liste führen, treffen spürbar schnellere Entscheidungen, weil die Diskussion bei „das haben wir geprüft" endet statt bei „ich glaube".

Alle Hersteller- und Rechtsangaben wurden am 5. September 2026 an der Originalquelle geprüft; die vollständige Liste steht am Ende des Beitrags. Anbieter ändern Voreinstellungen, Speicherorte und Aufbewahrungsfristen — prüfen Sie die Angaben vor jeder Einrichtung erneut.

13. Fazit: erst die Grenzen, dann die Deutung

Heatmaps sind ein gutes Werkzeug mit einer unangenehmen Eigenschaft: Sie sehen immer vollständig aus. Eine Karte zeigt eine geschlossene, farbige Fläche, egal ob dahinter 30 oder 30.000 Sitzungen stehen, ob Desktop und Mobil vermischt wurden und ob die Hälfte der Besucher nie erfasst wurde. Genau deshalb muss die Prüfung der Entstehung vor die Deutung.

Vier Fragen reichen dafür aus, und sie kosten zusammen fünf Minuten: Aus wie vielen Sitzungen entsteht diese Karte, und wie viele davon haben wirklich Daten beigesteuert? Ist sie auf einen Gerätetyp und eine Seitenvariante begrenzt? Welcher Anteil der Besucher fehlt, weil er nicht eingewilligt hat oder blockt? Und liegt hinter dem betrachteten Bereich etwas Verdecktes, das gar nicht ausgewertet wurde?

Der Punkt, der diesen Beitrag von den meisten Ratgebern trennt, ist der dritte. Die Einwilligung ist rechtlich geklärt, aber ihre Folge für die Datenqualität wird selten ausgesprochen: Sie sehen nie Ihre Besucher, sondern nur die zustimmende Teilmenge — und die ist nicht zufällig gezogen. Wer das notiert, statt es zu verdrängen, zieht aus denselben Karten deutlich verlässlichere Schlüsse.

Und der letzte Schritt bleibt derselbe wie bei jeder Beobachtung: Aus dem Befund wird eine Hypothese mit einer Kennzahl, und die wird geprüft. Die Karte zeigt, wo Sie hinsehen sollten. Was Sie ändern, entscheidet der Test.

Hinweis: Dieser Beitrag gibt den Stand vom 5. September 2026 wieder und ersetzt keine Rechtsberatung. Ob und in welcher Form Sie ein Analyse-Werkzeug einsetzen dürfen, hängt von Ihrer konkreten Konfiguration, den erhobenen Daten und Ihrer Einwilligungslösung ab. Für eine verbindliche Bewertung wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt für IT- und Datenschutzrecht beziehungsweise an Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten.

14. Häufige Fragen zu Heatmaps und Session-Recordings

Was ist eine Heatmap auf einer Website?

Eine Website-Heatmap legt eine Farbschicht über einen Screenshot Ihrer Seite und zeigt darin verdichtet das Verhalten vieler Besucher: wo geklickt oder getippt wurde, wie weit gescrollt wurde, wo die Maus verweilte. Warme Farben stehen für viel Aktivität, kalte für wenig. Gemeint ist damit etwas anderes als eine Heatmap in einer Tabellenkalkulation oder im Börsenhandel.

Wie viele Sitzungen braucht eine Heatmap, um aussagekräftig zu sein?

Eine belastbare Mindestzahl veröffentlicht kein Anbieter, deshalb nennen wir hier auch keine. Nachvollziehbar ist die Größenordnung über das Gewicht einer einzelnen Sitzung: Bei 50 Sitzungen macht eine Person zwei Prozent der Karte aus, bei 1.000 Sitzungen ein Zehntel Prozent. Lesen Sie eine Karte erst, wenn sich das Muster über mehrere Tage nicht mehr wesentlich ändert.

Zeigt eine Bewegungs-Heatmap, wohin Besucher geschaut haben?

Nein. Sie zeigt die Position des Mauszeigers, sonst nichts. Mouseflow formuliert selbst nur, dass Mausverhalten der Augenbewegung häufig folge und deshalb ein Hinweis auf Aufmerksamkeit sei. Manche Menschen zeigen mit der Maus mit, andere parken sie am Rand. Auf Touch-Geräten gibt es überhaupt keinen Mauszeiger und damit keine Bewegungskarte.

Darf ich Desktop- und Mobile-Heatmaps zusammen auswerten?

Nein, das ist einer der häufigsten Fehler. Die Seiten unterscheiden sich in Layout, Reihenfolge und Länge, deshalb liegen dieselben Elemente an völlig anderen Stellen. Werten Sie jede Ansicht getrennt aus. Hotjar weist zudem darauf hin, dass Scrollkarten ungenau werden, sobald eine Karte mehrere unterschiedlich lange Seiten zusammenfasst.

Brauchen Heatmap-Tools eine Einwilligung nach der DSGVO?

In aller Regel ja. Nach § 25 Absatz 1 TDDDG ist das Speichern oder Auslesen von Informationen im Endgerät nur mit Einwilligung zulässig. Die Ausnahme für unbedingt erforderliche Vorgänge greift hier nicht: Die Datenschutzkonferenz stellt klar, dass selbst die einfache Messung von Besucherzahlen nicht ohne Weiteres zum Basisdienst gehört. Optimierung dient dem Betreiber.

Verfälscht die Einwilligungspflicht meine Heatmap-Daten?

Ja, und zwar systematisch. Sie sehen ausschließlich Besucher, die eingewilligt haben. Wer ablehnt, keine Cookies zulässt, im privaten Fenster surft oder einen Trackingblocker nutzt, taucht nie auf. Hotjar listet diese Erfassungslücken selbst auf. Die Karte weist die fehlende Gruppe nicht aus, sie sieht genauso vollständig aus wie eine lückenlose Erhebung.

Was ist der Unterschied zwischen Heatmap und Session-Recording?

Die Heatmap verdichtet viele Sitzungen zu einem Muster und beantwortet die Frage, was viele Besucher tun. Ein Session-Recording spielt eine einzelne Sitzung als Verlauf nach und beantwortet, warum jemand etwas tat. Nutzen Sie die Karte zum Finden der auffälligen Stelle und Aufzeichnungen anschließend zum Verstehen der Ursache.

Werden bei Session-Recordings Passwörter und Zahlungsdaten aufgezeichnet?

Bei sauberer Konfiguration nicht. Mouseflow schließt Passwort- und Kreditkartenfelder automatisch aus, Hotjar unterdrückt Tastatureingaben in allen Eingabefeldern bereits im Browser, sodass sie den Anbieterserver nie erreichen. Verlassen Sie sich trotzdem nie auf Voreinstellungen, sondern prüfen Sie eigene Formularfelder einzeln und maskieren Sie sensible Bereiche zusätzlich.

Warum zeigt meine Klick-Heatmap keine Klicks im Aufklappmenü?

Weil die Karte auf einem Screenshot beruht. Hotjar dokumentiert, dass nur Elemente ausgewertet werden, die in dieser Aufnahme sichtbar sind. Inhalte hinter Aufklappmenüs, Akkordeons oder Dialogfenstern fehlen deshalb, obwohl sie geklickt wurden. Nutzen Sie dafür interaktive Karten, den Rohdatenexport oder Aufzeichnungen einzelner Sitzungen.

15. Quellen & offizielle Informationen

Alle wurden am 5. September 2026 abgerufen und im Text gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• § 25 TDDDG — Schutz der Privatsphäre bei Endeinrichtungen — Wortlaut der Einwilligungspflicht für das Speichern und Auslesen von Informationen im Endgerät sowie der eng gefassten Ausnahme für unbedingt erforderliche Vorgänge (Gesetzestext, Bundesministerium der Justiz).
• Datenschutzkonferenz — Orientierungshilfe für Anbieter:innen von Telemedien, Version 1.1 (PDF) — Auslegung der Ausnahme durch die deutschen Aufsichtsbehörden; Messung und Analyse von Besucherzahlen sowie A/B-Tests gehören nicht per se zum Basisdienst. Das Dokument nennt das Gesetz noch bei seinem früheren Kürzel TTDSG.
• Europäische Kommission — Adequacy decisions — Liste der Länder mit Angemessenheitsbeschluss; für die USA gilt er ausdrücklich nur für Unternehmen, die am EU-US Data Privacy Framework teilnehmen.
• Hotjar-Dokumentation — Types of Heatmaps — Funktionsweise der Karten; Klickkarten werten nur Elemente aus, die im Screenshot sichtbar sind; Bewegungskarten erfassen die Cursor-Position alle 100 Millisekunden; Scrollkarten werden über verschieden lange Seiten ungenau (Herstellerdokumentation).
• Hotjar-Dokumentation — Heatmap FAQs — die angezeigte Sitzungszahl umfasst auch Sitzungen ohne Interaktion; auf Touch-Geräten werden Tippen und vertikales Scrollen erfasst, horizontales Wischen nicht; automatisierte Überwachungsdienste können in Karten erscheinen (Herstellerdokumentation).
• Hotjar-Dokumentation — Does Hotjar Track All Your Users? — Aufstellung der Gründe, aus denen Sitzungen nicht erfasst werden: Browser, JavaScript, Cookies, Do-Not-Track, privates Fenster, lokaler Speicher, Blocker, Netzwerk, Content Security Policy (Herstellerdokumentation).
• Hotjar-Dokumentation — How Does Sampling Work? — tägliches Aufzeichnungslimit je Tarif und gleichmäßig verteilte Stichprobe bei Überschreitung (Herstellerdokumentation).
• Hotjar-Dokumentation — Data Safety, Privacy & Security — Speicherung in Irland auf AWS-Infrastruktur in der Region eu-west-1; Tastatureingaben in Eingabefeldern werden bereits im Browser unterdrückt (Herstellerdokumentation).
• Mouseflow-Hilfe — Understanding Heatmaps — Beschreibung der Kartentypen einschließlich Aufmerksamkeits-, Bewegungs- und Friktionskarte samt der jeweiligen Kennwerte (Herstellerdokumentation).
• Mouseflow-Hilfe — Where is the data stored? — Speicherung wahlweise in Amsterdam (EU) oder Virginia (USA) je nach Anmeldung, ohne Wechsel zwischen den Regionen; automatischer Ausschluss von Passwort- und Kreditkartenfeldern; keine Speicherung von IP-Adressen (Herstellerdokumentation).
• Microsoft Learn — Clarity FAQ — Speicherung im Azure-Clouddienst, Vertragsverhältnis von EU-Kunden mit Microsoft Ireland Operations Limited und Standardvertragsklauseln für Übermittlungen an die Microsoft Corporation in den USA; ausdrückliche Einwilligungspflicht im EWR, im Vereinigten Königreich und in der Schweiz; Aufbewahrung bis zu 30 Tagen; Löschung einzelner Nutzerdaten nur durch Löschen des Projekts (Herstellerdokumentation).

Die Lese-Routinen, Gegenproben und Beispielsituationen in diesem Beitrag sind Erfahrungswerte aus unseren Projekten und keine normierten Vorgaben. Wir nennen bewusst keine Prozentwerte für die Wirkung von Heatmap-Auswertungen und keine Mindest-Stichprobengröße, weil sich für beides keine belastbare, auf einzelne Websites übertragbare Quelle anführen lässt.