> Drittanbieter-Cookies und Erstanbieter-Cookies: Unterschied, Beispiele, Verhalten von Safari, Firefox und Chrome 2026 und wann Sie eine Einwilligung brauchen. > > Canonical: https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied [Vergleiche](https://www.flowconsent.com/de/blog?category=comparisons) # Drittanbieter-Cookies vs. Erstanbieter-Cookies: Unterschied, Beispiele, DSGVO Von Roland Vekemans · Veröffentlicht am 22. Oktober 2026 · 7 Min. Lesezeit Kurz gesagt Der Unterschied zwischen Erstanbieter-Cookies und Drittanbieter-Cookies liegt darin, wer sie im Verhältnis zur Website in Ihrer Adresszeile setzt. Ein Erstanbieter-Cookie (First-Party-Cookie) gehört zur besuchten Website, ein Drittanbieter-Cookie (Third-Party-Cookie) zu einer anderen Domain, die auf der Seite geladen wird, etwa einem Werbenetzwerk oder einem eingebetteten Videoplayer. Drittanbieter-Cookies können Sie über viele Websites hinweg wiedererkennen. Deshalb blockieren oder isolieren Safari und Firefox sie, während Chrome sie standardmäßig weiter zulässt. Ob eine Einwilligung nötig ist, entscheidet im EU-Recht aber nicht die Herkunft des Cookies, sondern sein Zweck. "Erstanbieter" und "Drittanbieter" gehören zu den ersten Begriffen, denen Sie bei Cookies begegnen, und sie werden oft falsch verstanden. Viele nehmen an, Erstanbieter-Cookies seien harmlos und Drittanbieter-Cookies verboten. Beides stimmt nicht. Dieser Leitfaden erklärt, was beide Begriffe technisch bedeuten, wie Browser sie 2026 behandeln, wie Sie sie in der Praxis unterscheiden und was sie für die Einwilligung ändern (und was nicht). Einen Überblick über alle Cookie-Arten bietet unser Leitfaden [Was sind Cookies? Arten und Funktionsweise](https://www.flowconsent.com/de/blog/was-sind-cookies-arten-funktionsweise). ## Drittanbieter-Cookies und Erstanbieter-Cookies: der Unterschied ### Erstanbieter-Cookies (First Party) Ein Erstanbieter-Cookie wird für die Domain gesetzt, die in der Adresszeile steht. Sind Sie auf shop.example, ist jedes Cookie für shop.example ein Erstanbieter-Cookie, egal ob der Server es in einer HTTP-Antwort setzt oder ein Skript auf der Seite es schreibt. Erstanbieter-Cookies sorgen für die Grundfunktionen: angemeldet bleiben, einen Warenkorb behalten, eine Sprachwahl speichern. Sie werden aber auch für Analyse und Werbung eingesetzt. Das Google-Analytics-Cookie `_ga` und das Meta-Cookie `_fbp` sind beide Erstanbieter-Cookies: Sie liegen auf Ihrer Domain, doch das Skript, das sie schreibt, sendet ihren Wert an Google oder Meta. ### Drittanbieter-Cookies (Third Party) Ein Drittanbieter-Cookie wird für eine andere Domain gesetzt als die, die Sie besuchen. Lädt shop.example ein Skript, ein Bild oder einen iFrame von ads.network und schreibt diese Ressource ein Cookie für ads.network, ist dieses Cookie ein Drittanbieter-Cookie. Entscheidend ist die Reichweite. Der Browser sendet dasselbe ads.network-Cookie jedes Mal mit, wenn irgendeine Website eine Ressource von ads.network lädt. Ist dieses Netzwerk auf Tausenden Websites eingebunden, kann es einen Browser überall wiedererkennen und ein Surfprofil anlegen. Genau das ist mit websiteübergreifendem Tracking gemeint. Unser Artikel über [Tracking-Cookies](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) zeigt, wie solche Profile entstehen. ## Beispiele für Erstanbieter- und Drittanbieter-Cookies Typische Erstanbieter-Cookies: - ein Session-Cookie wie `PHPSESSID`, das Sie angemeldet hält (siehe [Session-Cookies: Definition und Beispiele](https://www.flowconsent.com/de/blog/session-cookies-definition-beispiele)); - ein Warenkorb- oder Sprach-Cookie Ihres CMS oder Shops; - `_ga` und `_ga_` von Google Analytics 4; - `_fbp` vom Meta Pixel und `_gcl_au` vom Google-Ads-Conversion-Tracking; - das Cookie, in dem Ihr Consent-Banner die Entscheidung des Besuchers speichert. Typische Drittanbieter-Cookies: - `IDE` auf doubleclick.net, genutzt von Googles Werbediensten; - Cookies eines in einem iFrame eingebetteten YouTube- oder Vimeo-Players; - Cookies von Social-Media-Widgets, etwa das Cookie `fr` auf facebook.com; - Cookies von Chat-, Bewertungs- oder Kommentar-Widgets, die von einer eigenen Domain geladen werden. Derselbe Anbieter kann in beiden Listen auftauchen. Google und Meta haben einen Großteil ihrer Messung gerade deshalb auf Erstanbieter-Cookies umgestellt, weil Browser Drittanbieter-Cookies einschränken. ## Wie Browser Erstanbieter und Drittanbieter unterscheiden Browser vergleichen nicht vollständige Hostnamen, sondern "Sites": das Schema plus die registrierbare Domain. blog.example.com und www\.example.com sind also dieselbe Site, und ein zwischen beiden geteiltes Cookie ist ein Erstanbieter-Cookie. Ein Cookie für example.net, geladen auf example.com, ist ein Drittanbieter-Cookie. Drei Mechanismen bestimmen dann, was ein Drittanbieter-Cookie kann: - **SameSite.** Seit Chrome 80 im Jahr 2020 wird ein Cookie ohne SameSite-Attribut als `SameSite=Lax` behandelt und bei den meisten websiteübergreifenden Anfragen nicht mitgesendet. Ein Cookie, das als Drittanbieter-Cookie funktionieren soll, muss `SameSite=None` und das Attribut `Secure` setzen. - **Blockierung.** Safari blockiert Drittanbieter-Cookies seit März 2020 standardmäßig über Intelligent Tracking Prevention. Chrome blockiert sie standardmäßig nur im Inkognito-Modus. - **Partitionierung.** Der vollständige Cookie-Schutz von Firefox, seit 2022 für alle Nutzer standardmäßig aktiv, gibt jeder Website eine eigene "Keksdose": Ein auf Website A gesetztes Drittanbieter-Cookie ist nicht sichtbar, wenn derselbe Dienst auf Website B lädt. Chrome unterstützt mit CHIPS ein vergleichbares, freiwilliges Modell, bei dem ein Dienst sein Cookie als `Partitioned` kennzeichnet. Safari begrenzt außerdem einige Erstanbieter-Cookies: Per JavaScript über `document.cookie` geschriebene Cookies laufen nach sieben Tagen ab. Deshalb erscheinen wiederkehrende Safari-Besucher in Analysetools oft als neue Besucher. ## Wie erkennen Sie, ob ein Cookie Erstanbieter oder Drittanbieter ist? Öffnen Sie die Entwicklertools Ihres Browsers (F12 oder Cmd + Option + I auf dem Mac), dann den Tab Anwendung in Chrome oder Edge bzw. den Tab Web-Speicher in Firefox und Speicher in Safari, und sehen Sie sich die Spalte Domain an. Stimmt die Domain mit der Website in der Adresszeile überein (mit oder ohne führenden Punkt oder Subdomain), ist das Cookie ein Erstanbieter-Cookie. Alles andere ist ein Drittanbieter-Cookie. Unsere Anleitung [Cookies einer Website anzeigen](https://www.flowconsent.com/de/blog/cookies-einer-website-anzeigen) beschreibt jeden Browser Schritt für Schritt. Zwei Einschränkungen. Erstens zeigt die Domain, wer das Cookie lesen kann, nicht wer die Daten erhält: `_ga` ist ein Erstanbieter-Cookie, speist aber Google Analytics. Zweitens sollten Sie die Prüfung in einem privaten Fenster machen, ohne das Banner anzuklicken, damit Sie sehen, was die Website ohne Ihre Einwilligung setzt. Seite für Seite wird das auf einer echten Website schnell mühsam. **Prüfen Sie in 30 Sekunden mit dem** [**kostenlosen Cookie-Scanner**](https://www.flowconsent.com/de/scan)**, welche Erstanbieter- und Drittanbieter-Cookies Ihre Website setzt.** Consent-Tools machen diese Unterscheidung meist sichtbar. In FlowConsent zum Beispiel trägt jeder Eintrag der Cookie-Liste, die Besucher sehen, den Typ Erstanbieter oder Drittanbieter, damit die Erklärung dem entspricht, was der Browser tatsächlich speichert. ## Werden Drittanbieter-Cookies abgeschafft? Nicht überall. Safari und Firefox schränken sie bereits ein, wie oben beschrieben. Google wollte sie lange aus Chrome entfernen und hat dann umgesteuert: Im Juli 2024 gab Google die Abschaffung auf, im April 2025 auch die geplante Auswahlabfrage, und im Oktober 2025 stellte Google die meisten Privacy-Sandbox-Technologien ein. Im Standard-Chrome bleiben Drittanbieter-Cookies aktiv, solange der Nutzer sie nicht abschaltet. Unser Artikel über [Google Privacy Sandbox und Drittanbieter-Cookies](https://www.flowconsent.com/de/blog/google-privacy-sandbox-einwilligung-drittanbieter-cookies) erzählt diese Geschichte im Detail. In der Praxis ist Ihr Publikum geteilt: Ein Drittanbieter-Cookie kann bei Ihren Chrome-Besuchern funktionieren und bei Ihren Safari-Besuchern nicht. Lücken in der Attribution sind daher normal. Die Lösung ist kein Workaround: Fingerprinting und andere Ersatztechniken unterliegen denselben Einwilligungsregeln. ## Erstanbieter- und Drittanbieter-Cookies nach DSGVO und TDDDG ### Die Einwilligung hängt vom Zweck ab, nicht von der Domain Artikel 5 Absatz 3 der [ePrivacy-Richtlinie](https://www.flowconsent.com/de/laws/eprivacy-richtlinie), in Deutschland umgesetzt durch [§ 25 TDDDG](https://www.flowconsent.com/de/laws/tdddg), verlangt eine Einwilligung, bevor Informationen auf einem Endgerät gespeichert oder ausgelesen werden, sofern dies nicht für einen vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Die Regel unterscheidet nicht zwischen Erstanbietern und Drittanbietern. Ein Erstanbieter-Cookie für Analyse oder Werbung braucht ebenso eine Einwilligung wie ein Drittanbieter-Cookie. Umgekehrt kann auch ein Drittanbieter-Cookie ausgenommen sein, etwa ein Load-Balancing-Cookie eines Zahlungsdienstleisters im Bestellvorgang. Die Aufsichtsbehörden sehen das genauso. Im Dezember 2020 verhängte die französische CNIL gegen Google Bußgelder von insgesamt 100 Millionen Euro, unter anderem weil auf google.fr, Googles eigener Website, automatisch Werbe-Cookies gesetzt wurden. Auch die Leitlinien 2/2023 des EDSA zum technischen Anwendungsbereich von Artikel 5 Absatz 3 stellen klar, dass die Regel jeden Zugriff auf das Endgerät erfasst, gleich wer ihn vornimmt. Enthalten Cookies personenbezogene Daten oder sind sie mit solchen verknüpft, gilt zusätzlich die [DSGVO](https://www.flowconsent.com/de/laws/dsgvo): wirksame Einwilligung, Information und Nachweise, die Sie vorlegen können. ### Die spanische Lesart: Wer nutzt die Daten? Die spanische Aufsichtsbehörde AEPD ergänzt in ihrem Cookie-Leitfaden einen nützlichen rechtlichen Blickwinkel. Ein Cookie ist ein "eigenes" Cookie, wenn es von einer Domain gesendet wird, die der Websitebetreiber verwaltet. Wird ein Cookie zwar von Ihrer Domain ausgeliefert, die Information aber von einem Dritten für eigene Zwecke verwaltet, betrachtet die AEPD es nicht als eigenes Cookie. Nach dieser Lesart sollten Sie ein Cookie wie `_fbp`, das auf Ihrer Domain liegt, aber von Meta für eigene Zwecke genutzt wird, Ihren Besuchern als Cookie eines Dritten darstellen. ### Wer ist für Drittanbieter-Cookies verantwortlich? Sie, zumindest teilweise. Im Urteil Fashion ID (C-40/17, Juli 2019) entschied der Europäische Gerichtshof, dass eine Website, die den "Gefällt mir"-Button von Facebook einbindet, für die Erhebung und Übermittlung der Besucherdaten gemeinsam mit Facebook verantwortlich ist. Ein Drittanbieter-Skript einzubinden ist Ihre Entscheidung, also ist es auch Ihre Aufgabe, es bis zur Einwilligung zu blockieren, nicht die des Anbieters. ## Sollten Sie Drittanbieter-Cookies akzeptieren oder blockieren? Als Besucher macht das Blockieren von Drittanbieter-Cookies in den Browsereinstellungen selten etwas Wichtiges kaputt und unterbindet den Großteil des websiteübergreifenden Trackings. Manche eingebetteten Dienste (Anmeldung über eine andere Domain, bestimmte Zahlungs- oder Chat-Widgets) können sie benötigen, und Sie können Ausnahmen pro Website erlauben. Erstanbieter-Cookies sind etwas anderes: Würden Sie alle blockieren, wären Sie überall abgemeldet. Nicht notwendige Cookies im Banner abzulehnen ist die gezielte Option. Unser Artikel [Cookies akzeptieren: was passiert?](https://www.flowconsent.com/de/blog/cookies-akzeptieren-was-passiert) erklärt, was jede Entscheidung bewirkt. Als Websitebetreiber helfen Ihnen diese Punkte: 1. Jedes Cookie mit seiner Domain erfassen und als Erstanbieter oder Drittanbieter kennzeichnen. 2. Jedes Cookie nach Zweck einordnen: notwendig, Präferenzen, Statistik, Marketing. 3. Jedes nicht notwendige Skript, ob Erstanbieter oder Drittanbieter, bis zur Zustimmung blockieren. 4. Die Dritten, die Daten erhalten, im Banner und in der Cookie-Richtlinie nennen. 5. Nach jedem neuen Tag, Plugin oder eingebetteten Inhalt erneut scannen. ## Wie FlowConsent Erstanbieter- und Drittanbieter-Cookies umsetzt FlowConsent blockiert nicht notwendige Skripte vor der Einwilligung, unabhängig davon, auf welcher Domain ihre Cookies landen, und übermittelt die Entscheidung des Besuchers über Consent Mode v2 an Google. Die Cookie-Liste im Banner wird aus Ihren aktiven Diensten erzeugt, und jeder Eintrag trägt den Typ Erstanbieter oder Drittanbieter. Eigene Erstanbieter-Cookies fügen Sie von Hand hinzu. Der automatische Scan vergleicht dann, was Ihre Seiten tatsächlich setzen, mit dem, was Sie angeben, und meldet jedes nicht deklarierte Cookie mit Domain und Typ. Die [Dokumentation zur Cookie-Erklärung](https://www.flowconsent.com/de/doc/cookie-declaration) zeigt, wie das funktioniert. FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos, wird in Europa gehostet und ist in etwa zehn Minuten installiert. [Zurück zum Blog](https://www.flowconsent.com/de/blog) Artikel teilen · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fdrittanbieter-cookies-erstanbieter-cookies-unterschied) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fdrittanbieter-cookies-erstanbieter-cookies-unterschied) Fragen ## Häufige Fragen zu diesem Thema. Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Wie erkennen Sie, ob ein Cookie Erstanbieter oder Drittanbieter ist? Öffnen Sie die Entwicklertools Ihres Browsers (F12), dann den Tab Anwendung in Chrome oder Edge bzw. Speicher in Firefox und Safari, und lesen Sie die Spalte Domain. Entspricht die Domain des Cookies der Website in der Adresszeile, einschließlich Subdomains, ist es ein Erstanbieter-Cookie. Jede andere Domain bedeutet Drittanbieter. Auch ein Erstanbieter-Cookie wie \_ga kann Daten an ein anderes Unternehmen senden. ### Sollten Sie Erstanbieter-Cookies akzeptieren? Erstanbieter-Cookies, die Sie angemeldet halten, den Warenkorb speichern oder die Sprache merken, sind für die Website notwendig, und das Banner fragt nicht danach. Andere Erstanbieter-Cookies dienen Analyse oder Werbung und hängen von Ihrer Entscheidung ab. Sie zu akzeptieren ist nicht gefährlich, aber Ablehnen ist Ihr Recht: Eine konforme Website muss nach Klick auf Alle ablehnen normal funktionieren. ### Sollten Sie Drittanbieter-Cookies blockieren? Das Blockieren von Drittanbieter-Cookies in den Browsereinstellungen unterbindet den Großteil des websiteübergreifenden Trackings und macht selten etwas Wichtiges kaputt. Safari blockiert sie bereits standardmäßig, Firefox isoliert sie pro Website. Einige Dienste, etwa Anmeldungen über eine andere Domain oder manche Zahlungs- und Chat-Widgets, können sie benötigen. Dafür können Sie in den Einstellungen Ausnahmen für einzelne Websites zulassen. ### Werden Drittanbieter-Cookies abgeschafft? Nur in manchen Browsern. Safari blockiert sie seit 2020 standardmäßig, Firefox partitioniert sie pro Website. Google wollte sie aus Chrome entfernen, gab diesen Plan 2024 aber auf, verzichtete im April 2025 auch auf die geplante Auswahlabfrage und stellte im Oktober 2025 die meisten Privacy-Sandbox-Technologien ein. Standard-Chrome akzeptiert Drittanbieter-Cookies weiterhin, solange der Nutzer sie nicht abschaltet. ### Brauchen Erstanbieter-Cookies eine Einwilligung nach DSGVO? Das hängt vom Zweck ab, nicht von der Domain. Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in Deutschland § 25 TDDDG, verlangt eine Einwilligung für jedes Cookie, das für den gewünschten Dienst nicht unbedingt erforderlich ist. Ein Erstanbieter-Cookie für Analyse oder Werbung wie \_ga oder \_fbp braucht also eine Einwilligung, ein Login- oder Warenkorb-Cookie dagegen nicht. Die DSGVO kommt hinzu, sobald personenbezogene Daten betroffen sind. Weiterlesen ## Mehr zum Thema. [Alle Artikel](https://www.flowconsent.com/de/blog) [Vergleiche · 20. Oktober 2026](https://www.flowconsent.com/de/blog/opt-in-opt-out-unterschied-dsgvo) ### [Opt-in vs. Opt-out: Unterschied, Beispiele und Regeln nach DSGVO](https://www.flowconsent.com/de/blog/opt-in-opt-out-unterschied-dsgvo) [Opt-in und Opt-out erklärt: was beide Modelle bedeuten, was DSGVO, TDDDG und UWG für Cookies und Newsletter verlangen und wo Opt-out noch erlaubt ist.](https://www.flowconsent.com/de/blog/opt-in-opt-out-unterschied-dsgvo) [Artikel lesen ](https://www.flowconsent.com/de/blog/opt-in-opt-out-unterschied-dsgvo)· [Marketing-Tools · 21. Mai 2026](https://www.flowconsent.com/de/blog/google-privacy-sandbox-einwilligung-drittanbieter-cookies) ### [Google Privacy Sandbox: Auswirkungen auf Cookie-Consent und Drittanbieter-Cookies](https://www.flowconsent.com/de/blog/google-privacy-sandbox-einwilligung-drittanbieter-cookies) [Chrome behält Drittanbieter-Cookies, und Google hat die meisten Privacy-Sandbox-APIs eingestellt. Was sich tatsächlich geändert hat und warum Ihre Einwilligungspflichten nach TDDDG und DSGVO unverändert gelten.](https://www.flowconsent.com/de/blog/google-privacy-sandbox-einwilligung-drittanbieter-cookies) [Artikel lesen ](https://www.flowconsent.com/de/blog/google-privacy-sandbox-einwilligung-drittanbieter-cookies)· [Best Practices · 16. Oktober 2026](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) ### [Tracking-Cookies: Was sie sind, Beispiele und wie Sie sie blockieren](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) [Was Tracking-Cookies sind, wie sie Sie über Besuche und Websites hinweg wiedererkennen, echte Beispiele, was das Recht verlangt und wie Sie sie prüfen oder blockieren.](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) [Artikel lesen](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)