Dieser Leitfaden richtet sich an alle, die sehen möchten, was eine Website im Browser speichert: neugierige Besucher, Marketer, die ein neues Tag prüfen, oder Website-Betreiber, die wissen wollen, ob ihr Consent-Banner wirklich funktioniert. Wenn Sie die vollständige Methode für die Compliance suchen (Inventar, Einordnung, datierter Bericht), lesen Sie unseren Leitfaden zum Cookie-Audit: Website auf Cookies prüfen. Hier bleiben wir praktisch: wo Sie in jedem Browser klicken, wie Sie die Liste lesen und wie Sie herausfinden, wer ein Cookie gesetzt hat.
Warum sollten Sie die Cookies einer Website prüfen?
Als Besucher. Sie sehen, wer Sie von Besuch zu Besuch wiedererkennen kann. Nach Art. 5 Abs. 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt durch § 25 TDDDG, darf eine Website nicht notwendige Informationen erst nach Ihrer Einwilligung auf Ihrem Gerät speichern. Ein Blick in die Cookie-Liste zeigt am einfachsten, ob ein Klick auf „Alle ablehnen" respektiert wird.
Als Website-Betreiber. Banner und Cookie-Richtlinie müssen beschreiben, was Ihre Seiten tatsächlich tun. Marketing-Tags, Plugins, Chat-Widgets und eingebettete Videos fügen regelmäßig Cookies hinzu, die niemand angegeben hat.
Als Entwickler. Die Cookie-Liste hilft beim Debuggen von Login-Sessions, domainübergreifenden Problemen und SameSite-Warnungen.
Cookies einer Website in Chrome anzeigen
Mit den Entwicklertools
- Öffnen Sie die Seite, die Sie prüfen möchten.
- Drücken Sie F12 (Windows, Linux) oder Cmd + Option + I (Mac). Alternativ: Rechtsklick auf die Seite und „Untersuchen".
- Öffnen Sie den Tab Application (Anwendung). Ist er nicht sichtbar, klicken Sie auf den Doppelpfeil oben im Panel.
- Klappen Sie links unter Storage (Speicher) den Eintrag Cookies auf und klicken Sie auf die Adresse der Website.
Die Tabelle zeigt jedes Cookie, auf das die Seite zugreifen kann. Die Spalte Domain verrät, ob ein Cookie zur Website selbst gehört oder zu einer anderen Domain, also zu einem Drittanbieter wie einem Analyse- oder Werbedienst. Ein Klick auf eine Zeile zeigt unten im Panel den vollständigen Wert.
Ohne Entwicklertools
Klicken Sie auf das Symbol links neben der Adressleiste (Website-Informationen) und öffnen Sie den Bereich zu Cookies und Websitedaten. Chrome zeigt, welche Websites während des Besuchs Daten gespeichert haben, und lässt Sie diese löschen. Das geht schnell, Namen und Laufzeiten sehen Sie aber nicht. Für mehr als einen ersten Eindruck nutzen Sie die Entwicklertools.
Cookies in Firefox anzeigen
- Drücken Sie F12 oder Cmd + Option + I.
- Öffnen Sie den Tab Storage (Web-Speicher).
- Klappen Sie Cookies auf und klicken Sie auf die Adresse der Website.
Firefox zeigt dieselben Spalten wie Chrome. Der vollständige Cookie-Schutz von Firefox, seit 2022 standardmäßig für alle aktiviert, legt Drittanbieter-Cookies für jede Website in einem eigenen Bereich ab: Ein Drittanbieter-Cookie, das Sie auf einer Website sehen, kann auf einer anderen nicht gelesen werden.
Cookies in Safari anzeigen
Safari blendet die Entwicklertools standardmäßig aus.
- Öffnen Sie Safari > Einstellungen > Erweitert und aktivieren Sie „Funktionen für Webentwickler anzeigen" (in älteren Versionen: „Menü ‚Entwickler' in der Menüleiste anzeigen").
- Öffnen Sie die Seite und dann Entwickler > Webinformationen einblenden (Cmd + Option + I).
- Öffnen Sie den Tab Storage (Speicher) und klicken Sie auf Cookies.
Safari blockiert Drittanbieter-Cookies standardmäßig mit Intelligent Tracking Prevention, Sie sehen dort also oft weniger Cookies als in Chrome. Wenn Sie Ihre eigene Website prüfen, testen Sie auch in Chrome: Das zeigt, was die Browser der meisten Besucher akzeptieren. Unter Einstellungen > Datenschutz > Websitedaten verwalten sehen Sie, welche Websites Daten auf Ihrem Mac gespeichert haben, aber keine einzelnen Cookies.
Cookies in Microsoft Edge anzeigen
Edge nutzt dieselbe Engine wie Chrome, die Schritte sind also identisch: F12, Tab Application, Storage > Cookies, dann die Adresse der Website.
Cookies auf dem Smartphone prüfen
Mobile Browser haben keine eingebauten Entwicklertools. Auf dem iPhone listen die Safari-Einstellungen (Erweitert > Websitedaten) die Websites auf, die Daten gespeichert haben. In Chrome für Android leistet Einstellungen > Website-Einstellungen > Alle Websites dasselbe. Cookie-Namen zeigt keines von beiden. Um die mobile Version einer Seite zu prüfen, öffnen Sie sie am Computer mit der Geräte-Symbolleiste der Chrome-Entwicklertools oder verbinden das Smartphone und nutzen Remote-Debugging.
So lesen Sie die Cookie-Liste
Jede Zeile ist ein Cookie. Die wichtigen Spalten:
- Name und Value: die Kennung und ihr Inhalt, oft eine zufällige Zeichenfolge.
- Domain: wem das Cookie gehört. Eine andere Domain als die besuchte Website bedeutet ein Drittanbieter-Cookie.
- Expires / Max-Age: wann der Browser es löscht. „Session" bedeutet, dass es beim Schließen des Browsers verschwindet. Ein Datum Monate oder Jahre in der Zukunft bedeutet ein dauerhaftes Cookie, oft zum Tracking.
- HttpOnly: Das Cookie ist für JavaScript unsichtbar. Deshalb zeigt
document.cookiein der Konsole weniger Cookies als die Tabelle. - Secure und SameSite: Sicherheitsattribute, die steuern, wann das Cookie gesendet wird.
Achten Sie auf die Ablaufdaten. Die französische CNIL hält für einwilligungspflichtige Cookies höchstens 13 Monate für angemessen: unser Artikel zur Cookie-Speicherdauer nach DSGVO erklärt die Regel.
Welcher Dienst hat ein Cookie gesetzt?
Die meisten Cookies folgen einem erkennbaren Namensschema:
- _ga und _ga_ mit einer ID: Google Analytics 4 (siehe die Cookies _ga, _gid und _gat erklärt).
- _gcl_au: Conversion-Linker von Google Ads.
- _fbp und _fbc: Meta-Pixel.
- _ttp: TikTok-Pixel.
- bcookie, lidc, li_gc: LinkedIn.
- _hjSessionUser_: Hotjar.
- hubspotutk, __hstc: HubSpot.
- _clck, _clsk: Microsoft Clarity.
- PHPSESSID, JSESSIONID: technische Session-Cookies des Servers.
Einen unbekannten Namen suchen Sie in Anführungszeichen und prüfen dann die Spalte Domain. Um die genaue Anfrage zu finden, die das Cookie erzeugt hat, öffnen Sie den Tab Network (Netzwerk), laden die Seite neu, klicken auf die Anfragen an die betreffende Domain und suchen in den Antwort-Headern eine Zeile Set-Cookie.
Cookies sind nicht die einzigen Tracker
Im selben Panel finden Sie Local Storage, Session Storage und IndexedDB. Skripte speichern dort Kennungen, die wie Cookies funktionieren. Tracking-Pixel und Fingerprinting-Skripte hinterlassen dort nichts Sichtbares, senden aber trotzdem Daten: Sie erkennen sie im Netzwerk-Tab als Anfragen an Domains wie facebook.com oder analytics.google.com. Die Leitlinien 2/2023 des EDSA zum technischen Anwendungsbereich von Art. 5 Abs. 3 bestätigen, dass die Einwilligungsregel auch diese Techniken erfasst, nicht nur Cookies.
Prüfen, was eine Website vor und nach der Einwilligung setzt
Das ist der nützlichste Test, und er dauert fünf Minuten:
- Öffnen Sie ein privates Fenster, damit keine vorhandenen Cookies stören.
- Öffnen Sie zuerst die Entwicklertools und laden Sie dann die Seite.
- Klicken Sie das Banner nicht an. Sehen Sie sich die Cookies an: Nur technisch notwendige dürfen erscheinen, etwa ein Session- oder Load-Balancing-Cookie.
- Klicken Sie auf „Alle ablehnen", laden Sie neu und besuchen Sie zwei oder drei Seiten. Kein Analyse- oder Werbe-Cookie (_ga, _fbp, _gcl_au) darf auftauchen.
- Schließen Sie das Fenster, öffnen Sie ein neues privates Fenster und klicken Sie auf „Alle akzeptieren". Jetzt sollten die Tags ihre Cookies setzen.
Erscheinen in Schritt 3 oder 4 Analyse- oder Werbe-Cookies, zeigt das Banner zwar eine Auswahl an, blockiert aber nichts.
Seite für Seite zu prüfen kostet Zeit. Prüfen Sie in 30 Sekunden, welche Cookies Ihre Website setzt, mit dem kostenlosen Cookie-Scanner: Er öffnet Ihre Seite in einem echten Browser und listet jedes Cookie, jeden Speichereintrag und jedes Drittanbieter-Skript mit dem dahinterstehenden Dienst auf.
Online-Tools, um die Cookies einer Website anzuzeigen
Der kostenlose Scanner von FlowConsent. Er liefert in 1 bis 3 Minuten einen Bericht mit einem Datenschutz-Score von maximal 100 Punkten, jedem erkannten und eingeordneten Dienst sowie der Trennung zwischen einwilligungspflichtigen und technisch notwendigen Diensten.
Prüftools anderer Anbieter. CookieYes (Cookieserve), Cookie-Script und Cookiebot bieten kostenlose Online-Prüfungen an. Für eine erste Liste sind sie nützlich; prüfen Sie, ob sie die Seite nach einer Ablehnung testen oder nur auflisten, was sie finden.
CookieViz. Ein kostenloses Open-Source-Tool der französischen Aufsichtsbehörde CNIL, das beim Surfen in Echtzeit Cookies und Anfragen an Dritte anzeigt.
Browser-Erweiterungen. Cookie-Editor und ähnliche Erweiterungen zeigen, exportieren und bearbeiten die Cookies des aktuellen Tabs.
Kein Scan sieht alles: Login-Bereiche, Cookies nach einem Scroll oder Klick, Inhalte, die je nach Land wechseln. Kombinieren Sie einen Scanner mit der manuellen Prüfung oben und bewahren Sie datierte Screenshots oder Berichte auf: Sie stützen Ihren Nachweis der Cookie-Einwilligung bei einer Prüfung durch die Aufsichtsbehörde.
Wie FlowConsent die Cookie-Prüfung umsetzt
FlowConsent scannt Ihre Website automatisch und listet die gefundenen Dienste auf, damit Banner und Cookie-Erklärung dem entsprechen, was Ihre Seiten laden. Einwilligungspflichtige Skripte werden vor der Einwilligung blockiert, Google Consent Mode v2 ist integriert. Die Compliance-Prüfung lädt Ihre Seiten mit abgelehnter Einwilligung und listet alles auf, was trotzdem noch läuft: derselbe Test wie oben, automatisiert. Der Einwilligungsnachweis lässt sich jederzeit exportieren, die Daten werden in Europa gehostet. Die Installation dauert etwa zehn Minuten, auf Webflow, WordPress, Shopify, Wix, Framer oder über GTM. FlowConsent ist bis 25.000 Sessions pro Monat kostenlos, danach kostet Pro 14,99 € pro Monat für bis zu 100.000 Sessions.