Was sind Cookies?
Cookies sind kleine Textdateien, die eine Website im Browser speichert. Sie können Informationen über die Seitennavigation, Spracheinstellungen, Anmeldedaten, den Inhalt eines Warenkorbs oder andere Präferenzen enthalten und ermöglichen so eine persönliche Nutzung der Website. Trotz ihrer geringen Größe spielen Cookies eine zentrale Rolle für die Funktion moderner Websites und für die Messung von Online-Marketingkampagnen.
Ähnlich arbeiten andere Speicherorte im Browser, etwa der Web Storage. Rechtlich werden sie wie Cookies behandelt.
1st-Party-Cookies und 3rd-Party-Cookies
1st-Party-Cookies setzt die besuchte Website selbst. Sie sind für grundlegende Funktionen wie Login und Warenkorb nötig und werden auch für die Messung von Nutzeraktionen auf der eigenen Seite verwendet, etwa durch Webanalyse.
3rd-Party-Cookies setzen Drittanbieter wie Werbenetzwerke, deren Inhalte auf der Seite eingebunden sind. Sie werden vor allem für zielgerichtete Werbung und das Verfolgen von Nutzer:innen über verschiedene Websites hinweg eingesetzt, zum Beispiel für Retargeting.
Cookies und Einwilligung: was das Gesetz verlangt
In Deutschland regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) den Einsatz von Cookies. Das Gesetz hieß bis Mai 2024 TTDSG, die Cookie-Regel in § 25 ist inhaltlich gleich geblieben. Informationen dürfen nur mit Einwilligung auf dem Endgerät gespeichert oder ausgelesen werden. Ausgenommen sind Cookies, die für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind, etwa für den Warenkorb oder den Login. Die Regel gilt ebenso für den Web Storage, Zählpixel und das Auslesen von Gerätemerkmalen. Die Regel setzt die ePrivacy-Richtlinie der EU um, ähnliche Vorgaben gelten daher in der ganzen EU.
Für die weitere Verarbeitung der Daten gilt zusätzlich die Datenschutz-Grundverordnung (DSGVO). In der Praxis heißt das: Analyse- und Marketing-Cookies brauchen eine Einwilligung über ein Cookie-Banner, und Ablehnen muss so einfach sein wie Zustimmen. Wie Google Analytics und Google Ads mit abgelehnten Cookies umgehen, regelt der Consent Mode v2.
Was die Browser heute zulassen
Unabhängig vom Gesetz schränken die Browser Cookies selbst ein:
- Safari blockiert 3rd-Party-Cookies vollständig. Per JavaScript gesetzte 1st-Party-Cookies laufen dort nach höchstens sieben Tagen ab, in manchen Fällen schon nach 24 Stunden.
- Firefox sperrt Cookies seit 2022 standardmäßig in einen eigenen Speicher je Website. Ein Cookie, das auf einer Seite gesetzt wurde, ist auf anderen Seiten nicht lesbar.
- Chrome lässt 3rd-Party-Cookies weiterhin zu. Google hat den lange angekündigten Ausstieg abgesagt und die als Ersatz gedachten Werbetechniken der Privacy Sandbox im Oktober 2025 weitgehend eingestellt.
Hinzu kommen Werbeblocker und datenschutzfreundliche Browser. 3rd-Party-Cookies erreichen deshalb nur noch einen Teil der Nutzer:innen, und auch 1st-Party-Cookies leben in Safari kürzer als gedacht.
Drittanbieter-Cookies und Datenschutz
Drittanbieter-Cookies sind aus Datenschutzsicht problematisch, weil sie es ermöglichen, das Verhalten von Nutzer:innen über viele Websites hinweg zu verfolgen, ohne dass sie dies immer erkennen oder kontrollieren können. Datenschutzgesetze wie die DSGVO und der California Consumer Privacy Act (CCPA) verlangen deshalb Transparenz und Kontrolle über die eigenen Daten.
Für Unternehmen bedeutet das: Marketing, das allein auf Drittanbieter-Cookies setzt, verliert Reichweite und Messgenauigkeit. Wer seine Zielgruppen weiter verstehen und ansprechen will, braucht eigene Daten und eine wirksame Einwilligung.
Die Bedeutung von serverseitigem Tracking
Mit den Einschränkungen für Cookies rückt serverseitiges Tracking in den Fokus. Dabei werden Messdaten zuerst an einen eigenen Server gesendet und von dort an die Analyse- und Werbedienste weitergegeben. Cookies setzt dieser Server als 1st-Party-Cookies. In Safari können sie länger gültig bleiben als per JavaScript gesetzte, allerdings nur, wenn der Tracking-Server technisch zur Website gehört. Erkennt Safari hinter der Subdomain einen fremden Server, begrenzt es auch diese Cookies auf sieben Tage. Serverseitiges Tracking verbessert die Qualität der Daten und gibt Ihnen die Kontrolle darüber, welche Daten Dritte erhalten.
Wichtig: Auch serverseitiges Tracking braucht eine Einwilligung, wenn dabei Informationen im Browser gespeichert oder ausgelesen werden. Auch ohne Zugriff auf das Endgerät braucht die Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach der DSGVO, für Marketingzwecke in der Regel die Einwilligung. Das Cookie-Banner bleibt also nötig. Serverseitiges Tracking macht die Messung mit Einwilligung zuverlässiger. Den Unterschied erklären wir im Artikel Client-Side- vs. Server-Side-Tracking.
Best Practices im Umgang mit Cookies
- Transparenz und Einwilligung: Setzen Sie ein klares Cookie-Banner ein, in dem Nutzer:innen ebenso einfach ablehnen wie zustimmen können. Das schafft Vertrauen und entspricht den rechtlichen Anforderungen.
- Technik an die Einwilligung binden: Alle Tags dürfen erst nach der passenden Einwilligung Cookies setzen. Dabei helfen eine Cookie- und Tracking-Weiche und der Consent Mode.
- Schwerpunkt auf 1st-Party-Daten: Bauen Sie auf eigene Daten statt auf Drittanbieter-Cookies. Sie sind datenschutzfreundlicher und für Ihre Analyse genauer.
- Serverseitiges Tracking prüfen: Es macht die Messung unabhängiger von Browser-Beschränkungen und gibt Ihnen die Kontrolle über die Weitergabe von Daten.
- Gesetzesänderungen verfolgen: Halten Sie sich über Änderungen im Datenschutzrecht auf dem Laufenden und passen Sie Banner und Datenschutzerklärung an.
- Regelmäßige Prüfung: Kontrollieren Sie regelmäßig, welche Cookies Ihre Website tatsächlich setzt, vor und nach der Einwilligung.
