Die Cookies _fbp und _fbc erklärt: Meta-Pixel, Laufzeit und Einwilligung

Was sind die Cookies _fbp und _fbc?

Wer eine Website mit Meta-Werbung scannt, findet fast immer diese beiden Einträge. Sie stammen vom Meta-Pixel (früher Facebook-Pixel), dem Skript fbevents.js, mit dem Werbetreibende Conversions messen und Zielgruppen für Facebook und Instagram aufbauen. Ihre Aufgabe: das, was auf Ihrer Website passiert, mit dem zu verknüpfen, was zuvor auf den Plattformen von Meta passiert ist.

Beschreibung des _fbp-Cookies

Laut Meta-Dokumentation speichert das Pixel, sofern es First-Party-Cookies verwendet, automatisch eine eindeutige Kennung im Cookie _fbp. Meta beschreibt _fbp als Cookie, das Browser identifiziert, um Werbe- und Website-Analysedienste bereitzustellen. Damit lässt sich derselbe Browser über mehrere Besuche hinweg wiedererkennen, auch wenn nie eine Anzeige angeklickt wurde.

Beschreibung des _fbc-Cookies

_fbc entsteht nur, wenn jemand über eine Meta-Anzeige kommt. Beim Klick auf eine Facebook- oder Instagram-Anzeige hängt Meta den Parameter fbclid (die ClickID) an die URL Ihrer Landingpage an. Das Pixel liest ihn aus und legt ihn in _fbc ab, damit ein späterer Kauf oder eine Anmeldung genau diesem Klick zugeordnet werden kann.

Was steht genau in _fbp und _fbc?

Die Dokumentation der Conversions API zu fbp und fbc legt das Format beider Werte fest. Sie bestehen jeweils aus vier Teilen:

• _fbp: version.subdomainIndex.creationTime.randomnumber, zum Beispiel fb.1.1596403881668.1116446470. Die Zufallszahl erzeugt der Code von Meta, damit der Wert eindeutig ist.
• _fbc: version.subdomainIndex.creationTime.fbclid, zum Beispiel fb.1.1554763741205.IwAR2F4-.... Der letzte Teil ist die aus der URL übernommene Klick-ID.
• version ist immer fb, subdomainIndex gibt die Domain-Ebene an, auf der das Cookie gesetzt wurde (de = 0, beispiel.de = 1, www.beispiel.de = 2), und creationTime ist ein UNIX-Zeitstempel in Millisekunden.

Name oder E-Mail-Adresse enthalten die Cookies nicht. Anonym sind sie trotzdem nicht: Eine eindeutige, dauerhafte Kennung eines Browsers ist eine Online-Kennung und damit ein personenbezogenes Datum im Sinne der DSGVO, sobald sie eine Person aussondern kann. Genau das ist ihr Zweck.

Wie lange bleiben _fbp und _fbc gespeichert?

In seinen Informationen zu Cookies auf Meta-Quest-Geräten gibt Meta für _fbp eine Lebensdauer von 90 Tagen an. Für _fbc empfiehlt die Entwicklerdokumentation von Meta ebenfalls 90 Tage, wenn Sie das Cookie selbst aus dem fbclid-Parameter erzeugen. Browser können diese Laufzeit verkürzen: Safari begrenzt beispielsweise die Lebensdauer bestimmter per JavaScript gesetzter Cookies.

Mehr zu Speicherfristen und der 13-Monats-Empfehlung lesen Sie in unserem Beitrag zur Cookie-Speicherdauer nach DSGVO.

First-Party-Cookies, aber im Dienst von Meta

Häufig heißt es, _fbp und _fbc seien unbedenklich, weil es First-Party-Cookies sind. Das stimmt nur technisch: Das Pixel-Skript läuft auf Ihrer Seite und schreibt die Cookies auf Ihre Domain. Der Browser behandelt sie daher als Ihre eigenen, und das Blockieren von Drittanbieter-Cookies greift nicht. Die Daten gehen aber mit jedem Pixel-Ereignis an Meta und fließen in dessen Werbeprodukte ein.

Daneben nutzt Meta eigene Cookies auf seinen Domains (etwa facebook.com), die aus Sicht Ihrer Website Drittanbieter-Cookies sind. Ob First- oder Third-Party, ändert das Verhalten der Browser, nicht die rechtliche Bewertung. Entscheidend ist der Zweck, und der ist hier Werbung.

Warum _fbp und _fbc eine vorherige Einwilligung brauchen

Nach § 25 Abs. 1 TDDDG (bis Mai 2024 TTDSG) ist das Speichern von Informationen auf dem Endgerät oder der Zugriff darauf nur zulässig, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Die Ausnahme des Absatzes 2 gilt nur für unbedingt erforderliche Zugriffe. Werbemessung und Retargeting gehören nicht dazu. Die Datenschutzkonferenz erläutert das in ihrer Orientierungshilfe für Anbieter:innen von digitalen Diensten vom November 2024.

Auch die Rechtsprechung ist eindeutig. Der EuGH entschied im Urteil Fashion ID (C-40/17) vom 29. Juli 2019, dass ein Websitebetreiber, der ein Facebook-Plugin einbindet, für die Erhebung und Übermittlung der Besucherdaten gemeinsam mit Facebook verantwortlich ist und die Einwilligung vorher selbst einholen muss. Der BGH hat mit „Cookie-Einwilligung II“ (Urteil vom 28. Mai 2020, I ZR 7/16) klargestellt, dass ein vorausgewähltes Ankreuzkästchen keine wirksame Einwilligung ist. Und das LG Leipzig hat mit Urteil vom 4. Juli 2025 (Az. 05 O 2351/23) einem Facebook-Nutzer 5.000 € Schadensersatz gegen Meta wegen der Datenerhebung über die Meta Business Tools zugesprochen. Dieses Verfahren richtete sich gegen Meta selbst, zeigt aber, wie kritisch Gerichte das Pixel-Tracking inzwischen sehen.

Für Ihre Website bedeutet das:

• kein _fbp- oder _fbc-Cookie und keine Anfrage an Meta, bevor der Besucher auf „Akzeptieren“ klickt oder die Marketing-Kategorie aktiviert;
• „Ablehnen“ muss so einfach sein wie „Akzeptieren“, Weitersurfen ist keine Einwilligung;
• ein Widerruf muss das Pixel auf den folgenden Seiten stoppen;
• die Einwilligung muss nachweisbar sein (Art. 7 Abs. 1 DSGVO).

Den Gesamtüberblick zum Pixel (Advanced Matching, Drittlandübermittlung, Limited Data Use) finden Sie in unserem Leitfaden zu Meta-Pixel und DSGVO.

_fbp, _fbc, fbclid und die Conversions API

Über die Conversions API (CAPI) sendet Ihr Server Ereignisse direkt an Meta. Damit Meta diese Server-Ereignisse einem Browser und einem Anzeigenklick zuordnen kann, erwartet es die Parameter fbp und fbc im selben Format wie die Cookies. Die meisten Integrationen lesen dazu einfach die Cookies _fbp und _fbc aus der eingehenden Anfrage aus. Fehlt _fbc, lässt sich der fbc-Wert laut Meta auch aus dem fbclid-Parameter der URL bilden.

Genau hier entstehen viele Fehler. Serverseitiges Tracking ist kein rechtsfreier Raum:

• Setzt Ihr Server oder Tag-Manager selbst ein _fbc-Cookie aus der fbclid, ist das weiterhin ein Speichern auf dem Endgerät nach § 25 TDDDG.
• Die Weitergabe von fbp, fbc, IP-Adresse und User-Agent an Meta zu Werbezwecken ist eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage, praktisch die Einwilligung.
• Server-Ereignisse müssen daher derselben Einwilligungsentscheidung folgen wie das Browser-Pixel, sonst werden Ablehnende durch die Hintertür getrackt.

Wie Sie das Einwilligungssignal an den Server weitergeben, erklärt unser Beitrag zu Server-Side Tagging und Einwilligung.

So blockieren Sie _fbp und _fbc bis zur Einwilligung

Zuverlässig ist nur ein Weg: Der Basiscode des Pixels darf vor der Einwilligung gar nicht ausgeführt werden. So gehen Sie vor:

1. Alle Einbindungen des Pixels erfassen: Theme-Code, Shopify-, WooCommerce- oder WordPress-Plugin, Google Tag Manager, Partner-Integrationen. Eine doppelte Einbindung ist der häufigste Grund, warum _fbp vor der Einwilligung auftaucht.
2. Den Basiscode an die Marketing-Kategorie koppeln, sodass fbevents.js erst nach Zustimmung geladen wird. Bei FlowConsent übernimmt das die vorherige Blockierung des Skripts, ohne Google Tag Manager.
3. Wenn das Snippet im Code bleiben muss, sieht der DSGVO-Leitfaden von Meta vor, fbq('consent', 'revoke') vor init aufzurufen und nach Zustimmung fbq('consent', 'grant'). Meta beschreibt das als Pausieren der Pixel-Übertragung, nicht als Verhindern des Cookie-Schreibens. Nichts vor der Einwilligung zu laden, bleibt die sicherere Lösung.
4. Die Conversions API angleichen und für Besucher, die abgelehnt haben, weder fbp noch fbc übermitteln.
5. Den Widerruf umsetzen: Pixel nicht mehr laden und die vorhandenen Cookies _fbp und _fbc möglichst löschen, was möglich ist, da sie auf Ihrer Domain liegen.
6. Dokumentieren: in der Cookie-Richtlinie aufführen und die Einwilligungen als Nachweis speichern.

So prüfen Sie, ob die Blockierung funktioniert

1. Öffnen Sie Ihre Website in einem privaten Fenster, ohne das Banner zu bedienen.
2. Prüfen Sie in den Chrome-Entwicklertools unter Application > Cookies, dass weder _fbp noch _fbc vorhanden ist.
3. Filtern Sie im Tab Network nach facebook: Weder fbevents.js noch Anfragen an facebook.com/tr dürfen erscheinen.
4. Hängen Sie ?fbclid=test123 an die URL an und laden Sie neu: auch jetzt kein _fbc vor der Einwilligung.
5. Klicken Sie auf Akzeptieren: _fbp sollte erscheinen, _fbc nur mit fbclid in der URL.
6. Wiederholen Sie den Test mit Ablehnen: Es darf nichts gesetzt werden, auch nach mehreren Seitenaufrufen nicht.

Wiederholen Sie diesen Test nach jedem Theme-Update oder neuen Plugin. Ein regelmäßiges Cookie-Audit hilft, ein wieder eingeschleustes Pixel zu entdecken.

Fazit

_fbp und _fbc sind unscheinbar, bilden aber das Fundament der Zuordnung bei Meta: eine Browser-Kennung und eine Klick-ID, rund 90 Tage gespeichert und an Meta übermittelt. Der First-Party-Status befreit nicht von der Einwilligungspflicht, ebenso wenig der Umstieg auf die Conversions API. Blockieren Sie das Pixel bis zur Zustimmung, spiegeln Sie die Entscheidung auf dem Server und testen Sie regelmäßig. Ob _fbp oder _fbc auf Ihrer Website vor der Einwilligung gesetzt wird, zeigt Ihnen ein kostenloser Scan. FlowConsent erkennt Cookies automatisch, blockiert Skripte bis zur Einwilligung und bewahrt die Einwilligungsnachweise 13 Monate auf.