Cookieless Analytics und Cookieless Tracking umfassen alle Methoden, Reichweite zu messen und Conversions zuzuordnen, ohne auf einwilligungspflichtige Cookies angewiesen zu sein, allen voran Drittanbieter-Cookies. Es gibt zwei sehr unterschiedliche Wege: die behördliche Ausnahme für streng konfigurierte Reichweitenmessung (die Ausnahme der französischen CNIL) und technische Alternativen wie cookielose Analyse-Tools, serverseitiges Tracking, First-Party-Daten, kontextbezogenes Targeting oder Modellierung. Keine Option ersetzt allein alles, was Cookies geleistet haben: Die richtige Strategie kombiniert mehrere. Dieser Leitfaden zeigt die Optionen, ihre rechtlichen Bedingungen, ihre echten Grenzen und wie Sie eine belastbare Strategie aufbauen.
Warum Messen ohne Cookies unverzichtbar geworden ist
Browser schränken Drittanbieter-Cookies ein. Safari und Firefox blockieren sie seit Jahren standardmäßig. Chrome hat die geplante Abschaffung aufgegeben, und im Oktober 2025 hat Google die meisten APIs der Privacy Sandbox eingestellt, darunter Topics und Protected Audience. In Chrome funktionieren Drittanbieter-Cookies standardmäßig weiter, doch ein großer Teil Ihrer Besucher surft in einer Umgebung, in der sie nicht ankommen.
Einwilligung ist Pflicht und wird oft verweigert. DSGVO und ePrivacy-Richtlinie, in Deutschland umgesetzt im TDDDG, verlangen eine vorherige Einwilligung für nicht notwendige Cookies. Die Ablehnungsquoten sind hoch, vor allem wenn der Banner einen echten „Ablehnen“-Button bietet, und viele Websites erfassen mit ihrem gewohnten Tool nur noch einen Teil ihres Traffics.
Nutzer schützen sich selbst. Werbeblocker und Anti-Tracking-Erweiterungen verringern die Zuverlässigkeit browserseitiger Messung zusätzlich.
Was bedeutet „cookieless“ wirklich?
Cookieless heißt weder „ohne Daten“ noch „ganz ohne Cookies“. First-Party-Cookies bleiben für Sessions, Warenkorb oder die Speicherung der Einwilligung unverzichtbar. Ziel ist es, die Abhängigkeit von Drittanbieter-Cookies und einwilligungspflichtigen Trackern zu beseitigen.
Ohne Cookie gilt das Recht trotzdem. Die ePrivacy-Regeln (in Deutschland § 25 TDDDG) erfassen jedes Speichern von und jeden Zugriff auf Informationen im Endgerät, nicht nur Cookies: localStorage, Fingerprinting und ähnliche Techniken unterliegen derselben Einwilligungspflicht. Verarbeitet ein Tool personenbezogene Daten (IP-Adresse, Kennungen, ein Hash, der eine Person herausgreift), gilt die DSGVO. Die entscheidende Frage lautet also nicht „Setzt es ein Cookie?“, sondern „Liest oder schreibt es auf dem Endgerät, und kann es jemanden identifizieren?“
Zwei Wege: Ausnahme oder alternative Techniken
- Die behördliche Ausnahme: Tools zur Reichweitenmessung, die so streng konfiguriert sind, dass sie ohne Einwilligung laufen dürfen. Sie dürfen sogar ein First-Party-Cookie verwenden, sofern alle Bedingungen erfüllt sind.
- Cookielose Alternativen: Tools und Techniken, die messen, ohne etwas im Endgerät zu speichern (Server-Logs, aggregierte Daten, Modellierung), oder die Erfassung auf Ihren Server verlagern. Bedingungen und Genauigkeit unterscheiden sich stark.
Die CNIL-Ausnahme für Reichweitenmessung
In Frankreich befreit die CNIL Reichweitenmessung von der Einwilligung (Beschluss 2020-091), aber nur, wenn alle Bedingungen erfüllt sind:
- Zweck strikt auf Reichweitenmessung beschränkt, ausschließlich im Auftrag des Betreibers.
- Keine Verknüpfung mit anderen Verarbeitungen, kein websiteübergreifendes Tracking.
- Keine Weitergabe der Daten an Dritte.
- IP-Adresse vor jeder Verarbeitung anonymisiert.
- Laufzeit der Tracker höchstens 13 Monate, Aufbewahrung der Daten höchstens 25 Monate.
Besucher müssen trotzdem (in der Datenschutzerklärung) informiert werden und widersprechen können. Wichtig: Diese Ausnahme ist eine französische Regel. Andere Aufsichtsbehörden, auch die deutschen, legen eigene Maßstäbe an. Prüfen Sie die Position der für Ihr Publikum zuständigen Behörde, bevor Sie die Einwilligung für Analytics streichen, und stimmen Sie sich im Zweifel mit Ihrem Datenschutzbeauftragten ab.
Welche Tools kommen infrage?
Matomo ist das bekannteste Tool, sofern es in seiner ausgenommenen Konfiguration läuft: keine Verknüpfung, anonymisierte IP, Daten nur für den Betreiber. In der Standardkonfiguration ist es nicht ausgenommen. Die CNIL nennt weitere Lösungen, die sich entsprechend konfigurieren lassen. Google Analytics 4 erfüllt diese Bedingungen in der Standardkonfiguration nicht und bleibt einwilligungspflichtig: siehe Ist Google Analytics DSGVO-konform?. Unser Artikel zu Matomo und dem Cookie-Banner erklärt die Einstellungen.
In FlowConsent tragen dafür geeignete Dienste die Rechtsgrundlage „CNIL-Ausnahme möglich“, und der Builder zeigt die obige Checkliste an: siehe Dienste und Rechtsgrundlagen. Die Checkliste dient der Information; die Prüfung Ihrer eigenen Analytics-Konfiguration bleibt Ihre Verantwortung.
Cookielose Analyse-Tools im Vergleich
Dies sind die am häufigsten genutzten Lösungen. Prüfen Sie die aktuelle Dokumentation und Preise der Anbieter, die sich regelmäßig ändern.
Matomo
Die vollständigste Alternative zu Google Analytics, selbst gehostet oder in der Cloud. Matomo kann ohne Cookies laufen und erfüllt in der ausgenommenen Konfiguration die CNIL-Ausnahme. Funnels, Ziele und E-Commerce-Berichte sind verfügbar.
Plausible Analytics
Ein sehr schlankes Skript, das keine Cookies setzt und darauf ausgelegt ist, keine personenbezogenen Daten zu erheben. Aggregierte Kennzahlen: Seitenaufrufe, Traffic-Quellen, Land, Gerät. Kein individuelles Tracking. Ideal für Unternehmenswebsites und Blogs.
Fathom Analytics
Gleiches Prinzip wie Plausible (schlankes Skript, keine Cookies), ergänzt um benutzerdefinierte Events und E-Commerce-Tracking. Aufgeräumte Oberfläche, weniger Integrationen.
Simple Analytics
Nur aggregierte Seitenaufrufe und Referrer, ohne Cookies und ohne Fingerprinting. Einfach, aber für anspruchsvolle Anforderungen begrenzt.
Piwik PRO
Eine Analytics-Suite für Unternehmen mit integriertem Consent-Manager und Tag-Manager. Bietet einen cookielosen Modus sowie Funnels und erweiterte Segmentierung.
PostHog
Eine Open-Source-Plattform für Produktanalyse (Session-Aufzeichnungen, Feature Flags, A/B-Tests), die ohne Cookies betrieben werden kann. Eher produkt- als marketingorientiert.
Der Kompromiss ist bei allen gleich: kein individuelles Tracking, begrenzte Segmentierung und keine kanalübergreifende Attribution. Bevor Sie Ihren Banner entfernen, prüfen Sie, dass das Tool so konfiguriert ist, dass es nichts im Endgerät speichert und Besucher nicht identifiziert.
Weitere Techniken ohne Cookies
Server-Log-Analyse
Die Zugriffsprotokolle Ihres Servers (Apache, Nginx) erfassen jede Anfrage ohne Cookie. Sie liefern Gesamtzahlen zum Traffic. Grenzen: Bots sind schwer von Menschen zu unterscheiden, es gibt kein Verhalten auf der Seite (Scrollen, Klicks) und die Genauigkeit liegt unter der eines Analyse-Tools. Nützlich für einfache Websites oder als Ergänzung.
Serverseitiges Tracking
Serverseitiges Tracking verlagert die Datenerfassung vom Browser auf Ihren Server. Es umgeht Werbeblocker, gibt Ihnen volle Kontrolle darüber, was an Dritte geht, und verbessert die Qualität der Conversion-Daten. Es befreit nicht von der Einwilligung, wenn personenbezogene Daten verarbeitet werden: siehe unseren Leitfaden zu serverseitigem Tagging und Einwilligung. Verarbeitungen, die Ihr Server auslöst, entgehen jedem Banner; mit dem Server-SDK von FlowConsent respektiert Ihr Backend die Entscheidung des Besuchers.
First-Party-Daten
Daten, die Sie direkt bei Ihren Nutzern erheben (Newsletter-Anmeldungen, Konten, Kaufhistorie), sind die zuverlässigsten und dauerhaftesten. Werbeplattformen bieten einen Abgleich über gehashte E-Mail-Adressen (Customer Match, Custom Audiences), der ebenfalls eine gültige Rechtsgrundlage braucht.
Kontextbezogenes Targeting
Anzeigen werden nach dem Inhalt der Seite statt nach dem Nutzerprofil ausgewählt. Von Grund auf datenschutzfreundlich, aber ohne Remarketing und ohne individuelle Attribution.
Google Consent Mode v2 und Conversion-Modellierung
Der Google Consent Mode v2 passt Google-Tags an die Entscheidung des Besuchers an. Im Basic-Modus laden die Tags vor der Einwilligung gar nicht. Im Advanced-Modus senden sie bei Ablehnung cookielose Pings (gcs=G100), die Googles Conversion-Modellierung speisen, ohne Cookies zu schreiben. So holen Sie einen Teil der verlorenen Conversions zurück, ersetzen aber keine vollständige Messung. Lesen Sie Basic- oder Advanced-Modus, unseren Leitfaden zur Implementierung des Consent Mode v2 und wie FlowConsent den Google Consent Mode umsetzt: abgelehnte Standardwerte vor jedem Tag und cookielose Pings, die seine Scans als konform erkennen.
Die Grenzen von Cookieless Tracking
Geräteübergreifendes Tracking bleibt schwierig. Ohne gemeinsame Kennung lässt sich die Customer Journey über mehrere Geräte nur über angemeldete Sitzungen oder probabilistische Modelle verbinden.
Remarketing verändert sich. Es läuft nun über Conversion-APIs, gehashte E-Mail-Listen oder Lookalike Audiences, mit geringerer Genauigkeit und Reichweite.
Serverseitiges Tracking bleibt einwilligungspflichtig, sobald personenbezogene Daten verarbeitet werden. Achten Sie bei der Auswahl Ihrer CMP darauf, wie sie die Einwilligung für serverseitige Setups verwaltet.
Fingerprinting ist keine Alternative. Es gilt nach ePrivacy-Recht und DSGVO als Tracking, braucht eine Einwilligung und wird von Browsern aktiv bekämpft.
Modellierung braucht Volumen. Sie zeigt Trends, ersetzt bei kleinen Mengen aber keine individuellen Conversion-Daten.
Häufige Fehler
- „Cookieless“ mit „einwilligungsfrei“ verwechseln. Ein Tool kann ohne Cookies arbeiten und trotzdem auf das Endgerät zugreifen oder personenbezogene Daten verarbeiten.
- Matomo für automatisch ausgenommen halten. Die Standardkonfiguration ist es nicht; die Ausnahme erfordert eine genaue, dokumentierte Einrichtung.
- Die Information der Nutzer vergessen. Auch mit Ausnahme bleiben Informationspflicht und Widerspruchsrecht bestehen.
- GA4 für ausgenommen halten. Das ist es nicht: Für einen rechtmäßigen Einsatz in der EU braucht es eine konforme CMP und den Consent Mode v2.
- Tools ohne Audit stapeln. Ein cookieloses Tool parallel zu GA4 erzeugt doppelte Daten und Fragen zur Rechtsgrundlage. Erfassen Sie jede Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten.
So entwickeln Sie eine Strategie für die Messung ohne Cookies
- Beginnen Sie mit einem Audit. Nutzen Sie einen Cookie-Scanner, um alle Cookies und Tracker Ihrer Website zu sehen und jene, die von Drittanbieter-Cookies abhängen. Unser Leitfaden zum Cookie-Audit der Website beschreibt die Methode.
- Klären Sie Ihren Bedarf. Einfache Reichweitenmessung oder Conversion-Tracking und Werbeattribution?
- Richten Sie eine konforme CMP ein, die Skripte vor der Einwilligung wirklich blockiert, mit einem Consent-Management, das jeden Dienst abdeckt.
- Wählen Sie Ihre Messebene: ein ausgenommenes oder cookieloses Tool für die Reichweite, den Consent Mode v2 für Google-Dienste, serverseitiges Tracking für Conversion-APIs.
- Bauen Sie Ihre First-Party-Datenbasis auf.
- Testen und überwachen Sie: Prüfen Sie im privaten Fenster, dass nichts Einwilligungspflichtiges ohne Zustimmung läuft, und wiederholen Sie das nach jeder Änderung. Die Konformitätsprüfung von FlowConsent scannt Ihre Seiten mit abgelehnter Einwilligung.
Checkliste Cookieless Analytics
- Alle Cookies und Tracker der Website prüfen.
- Tracker identifizieren, die von Drittanbieter-Cookies abhängen.
- Bedarf klären: nur Reichweitenmessung oder auch Conversions und Werbung.
- Für die Reichweite: Matomo im ausgenommenen Modus oder ein cookieloses Tool bewerten.
- Jede Bedingung der Ausnahme prüfen: Zweck, keine Verknüpfung, keine Weitergabe, anonymisierte IP, Grenzen von 13 und 25 Monaten.
- Eine CMP einrichten, die Skripte vor der Einwilligung blockiert.
- Den Consent Mode v2 für Google-Dienste aktivieren.
- Serverseitiges Tracking für Conversion-APIs konfigurieren, mit Einwilligung.
- Jede Analytics-Verarbeitung im Verarbeitungsverzeichnis erfassen.
- Besucher in der Datenschutzerklärung informieren, mit Widerspruchslink.
- Conversion-Tracking durchgängig testen und Marketingteams in den neuen Kennzahlen schulen.
- Nach jedem Update eines Analyse-Tools erneut scannen und bei mehreren kombinierten Tools den Datenschutzbeauftragten einbeziehen.
Fazit
Messen ohne Cookies ist betriebliche Realität, kein Zukunftsthema: Safari, Firefox, Werbeblocker und abgelehnte Einwilligungen entziehen schon heute einen großen Teil Ihrer Besucher dem klassischen Tracking. Die CNIL-Ausnahme ist in Frankreich der direkteste Weg zur Reichweitenmessung ohne Banner, unter strengen Bedingungen; für Conversions und Werbung bleiben Consent Mode v2 und serverseitiges Tracking mit Einwilligung unverzichtbar. Beginnen Sie mit einem Scan Ihrer Website, um zu sehen, welche Analytics-Cookies heute aktiv sind.