Enhanced Conversions Data Validator
Enhanced Conversions in Google Ads, User Data in GA4, zahlreiche manuell übergebene oder automatisch gesammelte Mailadressen sowie andere personenidentifizierbare Daten, die von modernen Marketing-Tags an die Dienstanbieter übergeben werden: Stimmen diese überhaupt?
ob wirklich die richtigen Daten in der richtigen Form ankommen, sieht man dem grünen Häkchen im Empfänger-Konto im Ernstfall nicht an. Ebenso ist vor allem die automatische Sammlung oft wenig transparent und so verlassen Hashwerte unbemerkt den Browser. Diese Chrome-Erweiterung öffnet die Blackbox: Sie prüft, hasht und validiert die an Google & Co. übertragenen Nutzerdaten (PII). Ein Indikator in der Toolbar zeigt zudem auf jeder Seite an, wenn E-Mail oder andere PII Puzzlestücke in Requests gefunden wurden.
Die Erweiterung dekodiert z. B. im Fall von Google-Tags den em-Parameter aus Google-Ads- und GA4-Requests, gleicht die enthaltenen Hashes gegen bekannte Klartextwerte ab und deckt auf, wenn sensible Daten unhashed an Marketing-Plattformen abfließen. Auch first-party-Transportwege wie Stape Custom Loader, Tag Gateway und server-side GTM werden erfasst, inklusive verschlüsselter Cloud-Edge-Token (eme).
Hinweis: Diese Erweiterung arbeitet als Sidepanel über mehrere Tabs und Domains hinweg und fokussiert sich vor allem auf die Verifikation von Nutzerdaten. Optional zeigt die Extension auch alle weiteren erkannten Requests an, selbst wenn keine PII Fundstellen vorhanden sind. Für das allgemeine Debugging von Marketing-Setups ohne besonderen Fokus auf PII-Validierung direkt in den DevTools statt einem Sidepanel empfiehlt sich als Alternative die Tracking Auditor Chrome Extension. Beide haben ihre eigenen Stärken; je nach Anwendungsfall. Ich nutze als Autor freilich beide ;)
Live-Recording von Ads- und GA4-Requests
Nach Angabe eines Domain-Musters (z. B. https://*.example-shop.com/*) zeichnet die Erweiterung alle relevanten Google-Ads- und GA4-Requests des Tabs in Echtzeit auf. Für jeden Hit werden Anbieter, übertragene PII-Felder (EM, PN, FN0, LN0 …) und der Consent-Mode-Status als farbige Pills angezeigt.
Besonders praktisch für moderne Setups: Neben dem klassischen google-analytics.com/g/collect und googleadservices.com werden auch first-party-Origins erkannt – etwa ein Tag Gateway unter tags.example-shop.com oder ein server-side GTM unter sgtm.example-shop.com/ccm/conversion. Verschlüsselte Cloud-Edge-Token (eme) werden als solche gekennzeichnet.
Aufzeichnung von Conversion-Hits über verschiedene Transportwege – Standard, Tag Gateway und sGTM nebeneinander.
PII-Parameter dekodieren und prüfen
Der PII Decoder nimmt den kompletten Parameter-String eines Requests entgegen und zerlegt ihn in seine Bestandteile: Version, Email-Hash, Phone-Hash sowie Vor- und Nachname-Hash. Ob die Werte hex- oder base64url-kodiert sind, erkennt das Tool automatisch.
Entscheidend ist die Gegenprobe: Gibt man den erwarteten Klartext (E-Mail, Telefonnummer, Name) ein, normalisiert die Erweiterung die Eingabe nach den Regeln des jeweiligen Anbieters und markiert übereinstimmende Hashes mit einem grünen MATCH. So lässt sich zweifelsfrei belegen, dass wirklich die erwartete Adresse übertragen wird. Eine Compliance-Ampel zeigt zudem, ob die Mindestanforderungen erfüllt sind – und warnt, wenn etwa bei einem adressbasierten Match Land oder PLZ fehlen.
Der dekodierte em-Parameter mit MATCH-Kennzeichnung gegen die eingegebenen Klartextwerte.
Zudem zeigt das Validierugs-Panel an, wenn ein Match zwar mit der Kontroll-Eingabe übereinstimmt, der Wert aber nach den Regeln der Empfängerplattform nicht korrekt normalisiert wurde (MATCH-Meldung ist dann orange). In einem solchen Fall ist die Implementierung zwar vorhanden, erzeugt aber beim Empfänger keinerlei Treffer und eine Korrektur ist unbedingt erforderlich.
user_data-Objekte aus dem dataLayer analysieren
Schon bevor man nfertige Requests untersuchen muss, kann die Extension eingesetzt werden. Oft liegt das user_data-Objekt schon im dataLayer.push, im gtag()-Aufruf oder als rohes JSON vor. Der Reiter Object Analysis nimmt genau das entgegen; JavaScript-Literale werden automatisch normalisiert, so dass z. B. der "API-Call" aus dem Google Tag Assistant hier einfach per Copy & Paste validiert werden kann (praktisch im Fall vorgehashter Daten).
Die Erweiterung validiert die Struktur (inklusive Adressfelder), prüft jeden Hash und meldet fehlende oder unvollständige Angaben. Auch hier lassen sich die Werte per Klartext-Eingabe verifizieren. Damit ist dieser Bereich eine gute Option, um schon vor dem Livegang sicherzustellen, dass das Setup die richtigen Felder in der richtigen Form liefert.
Object Analysis: Struktur- und Hash-Prüfung eines user_data-Objekts samt Hinweis auf unvollständige Adressfelder.
PII-Detektoren für weitere Plattformen
Optional überwacht die Erweiterung während der Aufzeichnung auch die Requests weiterer Marketing-Plattformen – Meta Pixel, TikTok, Pinterest, Bing UET, LinkedIn, Snapchat und Reddit. Erkannt werden dabei gehashte wie ungehashte Nutzerdaten.
Fließt eine E-Mail-Adresse im Klartext ab, kennzeichnet das Tool den betroffenen Hit deutlich (z. B. EM ⚠ RAW). So werden versehentliche PII-Leaks sichtbar, bevor sie zum Datenschutzproblem werden; als Zusatznutzen neben der eigentlichen Enhanced-Conversion-Prüfung.
PII-Detektoren markieren unhashed übertragene Daten – hier ein Meta-Hit mit RAW-Warnung.
Installation
Die Erweiterung ist kostenlos im Chrome Web Store verfügbar und läuft vollständig lokal – aufgezeichnete Daten verlassen den Browser nicht. Der Quellcode ist unter der MIT-Lizenz auf GitHub einsehbar.