"Erstanbieter" und "Drittanbieter" gehören zu den ersten Begriffen, denen Sie bei Cookies begegnen, und sie werden oft falsch verstanden. Viele nehmen an, Erstanbieter-Cookies seien harmlos und Drittanbieter-Cookies verboten. Beides stimmt nicht. Dieser Leitfaden erklärt, was beide Begriffe technisch bedeuten, wie Browser sie 2026 behandeln, wie Sie sie in der Praxis unterscheiden und was sie für die Einwilligung ändern (und was nicht). Einen Überblick über alle Cookie-Arten bietet unser Leitfaden Was sind Cookies? Arten und Funktionsweise.
Drittanbieter-Cookies und Erstanbieter-Cookies: der Unterschied
Erstanbieter-Cookies (First Party)
Ein Erstanbieter-Cookie wird für die Domain gesetzt, die in der Adresszeile steht. Sind Sie auf shop.example, ist jedes Cookie für shop.example ein Erstanbieter-Cookie, egal ob der Server es in einer HTTP-Antwort setzt oder ein Skript auf der Seite es schreibt.
Erstanbieter-Cookies sorgen für die Grundfunktionen: angemeldet bleiben, einen Warenkorb behalten, eine Sprachwahl speichern. Sie werden aber auch für Analyse und Werbung eingesetzt. Das Google-Analytics-Cookie _ga und das Meta-Cookie _fbp sind beide Erstanbieter-Cookies: Sie liegen auf Ihrer Domain, doch das Skript, das sie schreibt, sendet ihren Wert an Google oder Meta.
Drittanbieter-Cookies (Third Party)
Ein Drittanbieter-Cookie wird für eine andere Domain gesetzt als die, die Sie besuchen. Lädt shop.example ein Skript, ein Bild oder einen iFrame von ads.network und schreibt diese Ressource ein Cookie für ads.network, ist dieses Cookie ein Drittanbieter-Cookie.
Entscheidend ist die Reichweite. Der Browser sendet dasselbe ads.network-Cookie jedes Mal mit, wenn irgendeine Website eine Ressource von ads.network lädt. Ist dieses Netzwerk auf Tausenden Websites eingebunden, kann es einen Browser überall wiedererkennen und ein Surfprofil anlegen. Genau das ist mit websiteübergreifendem Tracking gemeint. Unser Artikel über Tracking-Cookies zeigt, wie solche Profile entstehen.
Beispiele für Erstanbieter- und Drittanbieter-Cookies
Typische Erstanbieter-Cookies:
- ein Session-Cookie wie
PHPSESSID, das Sie angemeldet hält (siehe Session-Cookies: Definition und Beispiele); - ein Warenkorb- oder Sprach-Cookie Ihres CMS oder Shops;
_gaund_ga_<ID>von Google Analytics 4;_fbpvom Meta Pixel und_gcl_auvom Google-Ads-Conversion-Tracking;- das Cookie, in dem Ihr Consent-Banner die Entscheidung des Besuchers speichert.
Typische Drittanbieter-Cookies:
IDEauf doubleclick.net, genutzt von Googles Werbediensten;- Cookies eines in einem iFrame eingebetteten YouTube- oder Vimeo-Players;
- Cookies von Social-Media-Widgets, etwa das Cookie
frauf facebook.com; - Cookies von Chat-, Bewertungs- oder Kommentar-Widgets, die von einer eigenen Domain geladen werden.
Derselbe Anbieter kann in beiden Listen auftauchen. Google und Meta haben einen Großteil ihrer Messung gerade deshalb auf Erstanbieter-Cookies umgestellt, weil Browser Drittanbieter-Cookies einschränken.
Wie Browser Erstanbieter und Drittanbieter unterscheiden
Browser vergleichen nicht vollständige Hostnamen, sondern "Sites": das Schema plus die registrierbare Domain. blog.example.com und www.example.com sind also dieselbe Site, und ein zwischen beiden geteiltes Cookie ist ein Erstanbieter-Cookie. Ein Cookie für example.net, geladen auf example.com, ist ein Drittanbieter-Cookie.
Drei Mechanismen bestimmen dann, was ein Drittanbieter-Cookie kann:
- SameSite. Seit Chrome 80 im Jahr 2020 wird ein Cookie ohne SameSite-Attribut als
SameSite=Laxbehandelt und bei den meisten websiteübergreifenden Anfragen nicht mitgesendet. Ein Cookie, das als Drittanbieter-Cookie funktionieren soll, mussSameSite=Noneund das AttributSecuresetzen. - Blockierung. Safari blockiert Drittanbieter-Cookies seit März 2020 standardmäßig über Intelligent Tracking Prevention. Chrome blockiert sie standardmäßig nur im Inkognito-Modus.
- Partitionierung. Der vollständige Cookie-Schutz von Firefox, seit 2022 für alle Nutzer standardmäßig aktiv, gibt jeder Website eine eigene "Keksdose": Ein auf Website A gesetztes Drittanbieter-Cookie ist nicht sichtbar, wenn derselbe Dienst auf Website B lädt. Chrome unterstützt mit CHIPS ein vergleichbares, freiwilliges Modell, bei dem ein Dienst sein Cookie als
Partitionedkennzeichnet.
Safari begrenzt außerdem einige Erstanbieter-Cookies: Per JavaScript über document.cookie geschriebene Cookies laufen nach sieben Tagen ab. Deshalb erscheinen wiederkehrende Safari-Besucher in Analysetools oft als neue Besucher.
Wie erkennen Sie, ob ein Cookie Erstanbieter oder Drittanbieter ist?
Öffnen Sie die Entwicklertools Ihres Browsers (F12 oder Cmd + Option + I auf dem Mac), dann den Tab Anwendung in Chrome oder Edge bzw. den Tab Web-Speicher in Firefox und Speicher in Safari, und sehen Sie sich die Spalte Domain an. Stimmt die Domain mit der Website in der Adresszeile überein (mit oder ohne führenden Punkt oder Subdomain), ist das Cookie ein Erstanbieter-Cookie. Alles andere ist ein Drittanbieter-Cookie. Unsere Anleitung Cookies einer Website anzeigen beschreibt jeden Browser Schritt für Schritt.
Zwei Einschränkungen. Erstens zeigt die Domain, wer das Cookie lesen kann, nicht wer die Daten erhält: _ga ist ein Erstanbieter-Cookie, speist aber Google Analytics. Zweitens sollten Sie die Prüfung in einem privaten Fenster machen, ohne das Banner anzuklicken, damit Sie sehen, was die Website ohne Ihre Einwilligung setzt.
Seite für Seite wird das auf einer echten Website schnell mühsam. Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Erstanbieter- und Drittanbieter-Cookies Ihre Website setzt.
Consent-Tools machen diese Unterscheidung meist sichtbar. In FlowConsent zum Beispiel trägt jeder Eintrag der Cookie-Liste, die Besucher sehen, den Typ Erstanbieter oder Drittanbieter, damit die Erklärung dem entspricht, was der Browser tatsächlich speichert.
Werden Drittanbieter-Cookies abgeschafft?
Nicht überall. Safari und Firefox schränken sie bereits ein, wie oben beschrieben. Google wollte sie lange aus Chrome entfernen und hat dann umgesteuert: Im Juli 2024 gab Google die Abschaffung auf, im April 2025 auch die geplante Auswahlabfrage, und im Oktober 2025 stellte Google die meisten Privacy-Sandbox-Technologien ein. Im Standard-Chrome bleiben Drittanbieter-Cookies aktiv, solange der Nutzer sie nicht abschaltet. Unser Artikel über Google Privacy Sandbox und Drittanbieter-Cookies erzählt diese Geschichte im Detail.
In der Praxis ist Ihr Publikum geteilt: Ein Drittanbieter-Cookie kann bei Ihren Chrome-Besuchern funktionieren und bei Ihren Safari-Besuchern nicht. Lücken in der Attribution sind daher normal. Die Lösung ist kein Workaround: Fingerprinting und andere Ersatztechniken unterliegen denselben Einwilligungsregeln.
Erstanbieter- und Drittanbieter-Cookies nach DSGVO und TDDDG
Die Einwilligung hängt vom Zweck ab, nicht von der Domain
Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt durch § 25 TDDDG, verlangt eine Einwilligung, bevor Informationen auf einem Endgerät gespeichert oder ausgelesen werden, sofern dies nicht für einen vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Die Regel unterscheidet nicht zwischen Erstanbietern und Drittanbietern. Ein Erstanbieter-Cookie für Analyse oder Werbung braucht ebenso eine Einwilligung wie ein Drittanbieter-Cookie. Umgekehrt kann auch ein Drittanbieter-Cookie ausgenommen sein, etwa ein Load-Balancing-Cookie eines Zahlungsdienstleisters im Bestellvorgang.
Die Aufsichtsbehörden sehen das genauso. Im Dezember 2020 verhängte die französische CNIL gegen Google Bußgelder von insgesamt 100 Millionen Euro, unter anderem weil auf google.fr, Googles eigener Website, automatisch Werbe-Cookies gesetzt wurden. Auch die Leitlinien 2/2023 des EDSA zum technischen Anwendungsbereich von Artikel 5 Absatz 3 stellen klar, dass die Regel jeden Zugriff auf das Endgerät erfasst, gleich wer ihn vornimmt.
Enthalten Cookies personenbezogene Daten oder sind sie mit solchen verknüpft, gilt zusätzlich die DSGVO: wirksame Einwilligung, Information und Nachweise, die Sie vorlegen können.
Die spanische Lesart: Wer nutzt die Daten?
Die spanische Aufsichtsbehörde AEPD ergänzt in ihrem Cookie-Leitfaden einen nützlichen rechtlichen Blickwinkel. Ein Cookie ist ein "eigenes" Cookie, wenn es von einer Domain gesendet wird, die der Websitebetreiber verwaltet. Wird ein Cookie zwar von Ihrer Domain ausgeliefert, die Information aber von einem Dritten für eigene Zwecke verwaltet, betrachtet die AEPD es nicht als eigenes Cookie. Nach dieser Lesart sollten Sie ein Cookie wie _fbp, das auf Ihrer Domain liegt, aber von Meta für eigene Zwecke genutzt wird, Ihren Besuchern als Cookie eines Dritten darstellen.
Wer ist für Drittanbieter-Cookies verantwortlich?
Sie, zumindest teilweise. Im Urteil Fashion ID (C-40/17, Juli 2019) entschied der Europäische Gerichtshof, dass eine Website, die den "Gefällt mir"-Button von Facebook einbindet, für die Erhebung und Übermittlung der Besucherdaten gemeinsam mit Facebook verantwortlich ist. Ein Drittanbieter-Skript einzubinden ist Ihre Entscheidung, also ist es auch Ihre Aufgabe, es bis zur Einwilligung zu blockieren, nicht die des Anbieters.
Sollten Sie Drittanbieter-Cookies akzeptieren oder blockieren?
Als Besucher macht das Blockieren von Drittanbieter-Cookies in den Browsereinstellungen selten etwas Wichtiges kaputt und unterbindet den Großteil des websiteübergreifenden Trackings. Manche eingebetteten Dienste (Anmeldung über eine andere Domain, bestimmte Zahlungs- oder Chat-Widgets) können sie benötigen, und Sie können Ausnahmen pro Website erlauben. Erstanbieter-Cookies sind etwas anderes: Würden Sie alle blockieren, wären Sie überall abgemeldet. Nicht notwendige Cookies im Banner abzulehnen ist die gezielte Option. Unser Artikel Cookies akzeptieren: was passiert? erklärt, was jede Entscheidung bewirkt.
Als Websitebetreiber helfen Ihnen diese Punkte:
- Jedes Cookie mit seiner Domain erfassen und als Erstanbieter oder Drittanbieter kennzeichnen.
- Jedes Cookie nach Zweck einordnen: notwendig, Präferenzen, Statistik, Marketing.
- Jedes nicht notwendige Skript, ob Erstanbieter oder Drittanbieter, bis zur Zustimmung blockieren.
- Die Dritten, die Daten erhalten, im Banner und in der Cookie-Richtlinie nennen.
- Nach jedem neuen Tag, Plugin oder eingebetteten Inhalt erneut scannen.
Wie FlowConsent Erstanbieter- und Drittanbieter-Cookies umsetzt
FlowConsent blockiert nicht notwendige Skripte vor der Einwilligung, unabhängig davon, auf welcher Domain ihre Cookies landen, und übermittelt die Entscheidung des Besuchers über Consent Mode v2 an Google. Die Cookie-Liste im Banner wird aus Ihren aktiven Diensten erzeugt, und jeder Eintrag trägt den Typ Erstanbieter oder Drittanbieter. Eigene Erstanbieter-Cookies fügen Sie von Hand hinzu. Der automatische Scan vergleicht dann, was Ihre Seiten tatsächlich setzen, mit dem, was Sie angeben, und meldet jedes nicht deklarierte Cookie mit Domain und Typ. Die Dokumentation zur Cookie-Erklärung zeigt, wie das funktioniert. FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos, wird in Europa gehostet und ist in etwa zehn Minuten installiert.