Die Cookies _ga, _gid und _gat erklärt: Zweck, Laufzeit und Einwilligung nach DSGVO

Wenn Sie in den Entwicklertools Ihres Browsers eine Reihe von Cookies mit dem Präfix _ga entdeckt haben, sind Sie in guter Gesellschaft. Sie gehören zu den häufigsten Cookies im Netz und zugleich zu den am meisten missverstandenen. Dieser Beitrag erklärt, was jedes Cookie tut, wie lange es tatsächlich lebt, wie die deutschen Aufsichtsbehörden es bewerten und was sich mit Google Consent Mode v2 ändert.

Die Google-Analytics-Cookies im Überblick

Google dokumentiert seine Analyse-Cookies an zwei offiziellen Stellen: im GA4-Hilfeartikel zur Cookie-Nutzung auf Websites und in der Übersicht der Werbe- und Mess-Cookies von Google. Zusammengeführt ergibt sich folgendes Bild:

Für die Konfiguration des Tags behandelt unsere Übersicht zu Google Analytics 4 den Consent Mode und die für die DSGVO relevanten Einstellungen.

• _ga: Standardlaufzeit 2 Jahre. Dient zur Unterscheidung von Nutzern. Enthalten ist eine zufällig erzeugte Client-ID, nicht Ihr Name oder Ihre E-Mail-Adresse.
• _ga_<container-id>: Standardlaufzeit 2 Jahre. Speichert den Sitzungsstatus (zum Beispiel _ga_ABC123XYZ, wobei der Zusatz Ihrer Mess-ID ohne das Präfix G- entspricht).
• _gid: Laufzeit 24 Stunden. Von Google als Analyse-Cookie geführt, unterscheidet Nutzer innerhalb eines Tages. Es gehört zu Universal Analytics.
• _gat (oder _gat_<eigener Name>): Laufzeit 1 Minute. Wurde von Universal Analytics genutzt, um die Anfragerate auf stark besuchten Websites zu drosseln.

Alle vier sind First-Party-Cookies: Googles JavaScript schreibt sie auf Ihre eigene Domain, nicht auf google.com. An der rechtlichen Bewertung ändert das nichts, wie wir gleich sehen.

Die Meta-Cookies _fbp und _fbc funktionieren genauso, wie unser Artikel über die Cookies _fbp und _fbc erklärt.

_ga und _ga_<container-id>: die beiden Cookies, die GA4 tatsächlich setzt

Googles aktuelle GA4-Tabelle nennt genau zwei Cookies: _ga und _ga_<container-id>. Das erste erkennt einen Browser über mehrere Besuche hinweg, damit GA4 Nutzer statt bloßer Seitenaufrufe zählen kann. Das zweite speichert Sitzungsdaten wie Sitzungs-ID und Sitzungszähler und entscheidet so, ob zwei Seitenaufrufe zum selben Besuch gehören.

Die „2 Jahre“ sind ein Standardwert, und zwar ein rollierender. Laut Googles Konfigurationsreferenz wird das Ablaufdatum bei jedem gesendeten Treffer auf den aktuellen Zeitpunkt plus den Wert von cookie_expires gesetzt (standardmäßig 63.072.000 Sekunden). Wer einmal im Monat wiederkommt, behält also dauerhaft dasselbe _ga-Cookie. Mit cookie_expires lässt sich die Laufzeit verkürzen, mit cookie_update: false die automatische Verlängerung abschalten.

Ist Ihre GA4-Property mit Google Ads verknüpft, kann das Tag zusätzlich Werbe-Cookies wie _gcl_au setzen (laut Googles Übersicht 90 Tage). Mehr zur GA4-Konfiguration lesen Sie in unserem Beitrag GA4-Cookies und DSGVO-Konformität.

Setzt GA4 noch _gid und _gat?

Laut Googles Dokumentation nicht: Der GA4-Artikel nennt nur _ga und _ga_<container-id>. _gid und _gat wurden von analytics.js gesetzt, der Bibliothek von Universal Analytics. Universal Analytics hat 2023 die Datenverarbeitung eingestellt und wurde am 1. Juli 2024 endgültig abgeschaltet.

Findet ein Scan auf Ihrer Website trotzdem _gid oder _gat, sollten Sie das als Hinweis verstehen, nicht als normales GA4-Verhalten. Typische Ursachen sind:

Wie Sie jedes Cookie erfassen und dem Skript zuordnen, das es setzt, zeigt unser vollständiger Leitfaden zum Cookie-Audit.

• ein altes analytics.js-Snippet, das noch fest in einem Theme, Footer oder Landingpage-Template steckt;
• ein Plugin, eine Erweiterung oder ein Drittanbieter-Widget mit eigenem, veraltetem Tracking-Code;
• ein Universal-Analytics-Tag, das im Google Tag Manager noch veröffentlicht ist;
• ein Scanner mit veralteter Datenbank, der Cookies nach Namen statt nach tatsächlichem Verhalten zuordnet.

Toten Code zu entfernen lohnt sich in jedem Fall: Ein Tag, das Daten an eine nicht mehr existierende Property schickt, lädt trotzdem Skripte, schreibt trotzdem Cookies und muss trotzdem von Ihrem Cookie-Banner abgedeckt werden.

Warum das _ga-Cookie eine Einwilligung braucht

Maßgeblich ist zunächst § 25 TDDDG (bis Mai 2024 TTDSG), der Art. 5 Abs. 3 der ePrivacy-Richtlinie umsetzt: Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf sind nur mit Einwilligung erlaubt, es sei denn, sie sind unbedingt erforderlich, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Webanalyse nützt Ihnen als Betreiber, ist für den Besucher aber nicht nötig, um Ihre Seite zu lesen. Der EuGH hat im Urteil Planet49 (C-673/17, 2019) klargestellt, dass vorangekreuzte Kästchen keine wirksame Einwilligung sind und die Regel unabhängig davon gilt, ob die gespeicherten Informationen personenbezogen sind. Der BGH hat diese Linie 2020 im Verfahren Cookie-Einwilligung II (I ZR 7/16) für Deutschland übernommen.

Hinzu kommt die DSGVO: Die Client-ID in _ga ist eine eindeutige, gerätebezogene Kennung. Die anschließende Verarbeitung in Google Analytics ist daher eine Verarbeitung personenbezogener Daten, für die Sie eine Rechtsgrundlage brauchen. In der Praxis ist das ebenfalls die Einwilligung.

Gibt es eine Ausnahme für Reichweitenmessung?

Anders als die französische CNIL haben die deutschen Aufsichtsbehörden keine pauschale Ausnahme für Reichweitenmessung formuliert. In der Orientierungshilfe Digitale Dienste der DSK (Version 1.2, Stand November 2024) heißt es sinngemäß, dass sich eine Aussage, ob eine Reichweitenmessung ohne Einwilligung zulässig ist, allenfalls für eine genau definierte Konfiguration und Zweckbestimmung treffen lässt. Zugleich betont die DSK, dass Drittanbieter für Reichweitenmessung regelmäßig sehr weitgehende Informationen über Nutzende verarbeiten. Google Analytics mit rollierendem 2-Jahres-Cookie und eigenen Verarbeitungszwecken des Anbieters fällt nicht unter eine solche Ausnahme. Den Gesamtzusammenhang einschließlich Drittlandtransfer finden Sie in unserem Beitrag Ist Google Analytics DSGVO-konform?.

Was das konkret für ein Tool wie Matomo bedeutet, beleuchtet unser Artikel zu Matomo und dem Cookie-Banner.

Was Google Consent Mode v2 am Cookie-Verhalten ändert

Mit Consent Mode übermittelt Ihr Cookie-Banner die Entscheidung des Besuchers über vier Signale an die Google-Tags: analytics_storage, ad_storage, ad_user_data und ad_personalization. Die beiden letzten kamen mit v2 hinzu. Für die _ga-Familie ist analytics_storage entscheidend.

Laut Googles Dokumentation zu Consent Mode lesen und schreiben Google-Tags keine First-Party-Analyse-Cookies, solange analytics_storage abgelehnt ist. Also kein _ga und kein _ga_<container-id>. Was dann passiert, hängt von der Implementierung ab:

• Basic Mode: Die Google-Tags werden erst geladen, wenn der Besucher eine Wahl getroffen hat. Vorher geht nichts an Google, nicht einmal der Standard-Einwilligungsstatus.
• Advanced Mode: Die Tags laden sofort mit dem Standardstatus denied und senden cookielose Pings (Einwilligungsstatus, Zeitstempel, User Agent, Ereignisse). Google nutzt sie für Modellierungen.

Klickt der Besucher auf „Akzeptieren“, wechselt der Status auf granted und GA4 setzt _ga und _ga_<container-id> wie gewohnt. Bei Ablehnung entsteht kein Analyse-Cookie. Beachten Sie aber, dass auch cookielose Pings Daten aus dem Browser an Google übertragen. Ob der Advanced Mode mit § 25 TDDDG vereinbar ist, sollten Sie deshalb sorgfältig prüfen. Unser Vergleich Consent Mode Basic vs. Advanced zeigt die Abwägungen.

Wenn Ablehnungen zu große Lücken in Ihren Daten hinterlassen, stellt unser Leitfaden zu Cookieless Analytics Möglichkeiten vor, ohne Einwilligung zu messen.

So prüfen Sie selbst, welche Google-Cookies gesetzt werden

Für eine schnelle Kontrolle brauchen Sie kein Spezialwerkzeug. Öffnen Sie Ihre Website in einem privaten Browserfenster, damit keine alten Cookies das Ergebnis verfälschen, und rufen Sie die Entwicklertools auf. In Chrome und Edge finden Sie die Cookies unter „Anwendung“ beziehungsweise „Application“ und dort unter „Cookies“, in Firefox im Tab „Web-Speicher“.

• Vor jeder Interaktion mit dem Banner sollte die Liste keine _ga-, _gid-, _gat- oder _gcl_-Einträge enthalten.
• Nach „Alle ablehnen“ und einem Neuladen der Seite sollte sich daran nichts ändern.
• Nach „Alle akzeptieren“ sollten _ga und _ga_<container-id> erscheinen. Prüfen Sie in der Spalte „Expires“, ob die Laufzeit Ihrer Konfiguration entspricht.
• Im Netzwerk-Tab können Sie zusätzlich nach Anfragen an google-analytics.com filtern und sehen, ob vor der Einwilligung bereits Daten übertragen werden.

Wiederholen Sie den Test auf mehreren Seitentypen, etwa Startseite, Blogartikel und Checkout. Gerade Landingpages aus älteren Kampagnen oder Unterseiten mit eigenem Template enthalten häufig noch Tracking-Code, der am Consent-Management vorbeiläuft.

Praktische Checkliste für Ihre Website

1. Scannen Sie Ihre Website und erfassen Sie jedes tatsächlich gesetzte _ga-, _gid-, _gat- und _gcl_-Cookie mit der jeweiligen Seite.
2. Entfernen Sie Universal-Analytics-Code, falls _gid oder _gat noch auftauchen.
3. Blockieren Sie GA4 bis zur Einwilligung oder nutzen Sie Consent Mode mit analytics_storage standardmäßig auf denied.
4. Testen Sie die Ablehnung: Alles ablehnen, Seite neu laden und in den Entwicklertools prüfen, dass kein _ga-Cookie entsteht.
5. Dokumentieren Sie die Cookies in Ihrer Cookie-Richtlinie mit tatsächlichem Zweck und tatsächlicher Laufzeit und bewahren Sie Nachweise jeder Einwilligung auf.
6. Verkürzen Sie die Laufzeit über cookie_expires. Warum 13 Monate ein verbreiteter Richtwert sind, erklärt unser Beitrag zur Cookie-Speicherdauer.

Eine Consent-Management-Plattform wie FlowConsent nimmt Ihnen einen Großteil dieser Liste ab: Sie blockiert Skripte vor der Einwilligung, scannt Ihre Website automatisch nach Cookies, speichert Einwilligungsnachweise 13 Monate lang und sendet Google-Consent-Mode-v2-Signale ohne zusätzlichen Google Tag Manager. Die Anleitung zu Google Consent Mode zeigt die Einrichtung Schritt für Schritt.

Fazit

_ga und _ga_<container-id> sind die einzigen Cookies, die Google für GA4 dokumentiert, und beide laufen standardmäßig 2 Jahre mit Verlängerung bei jedem Besuch. _gid und _gat gehören der Vergangenheit an; tauchen sie heute auf, läuft meist noch alter Code. In Deutschland darf keines dieser Cookies vor der Einwilligung gesetzt werden, und Consent Mode v2 ist der Mechanismus, mit dem GA4 diese Entscheidung respektiert. Sie möchten wissen, welche Google-Cookies Ihre Website gerade setzt? Starten Sie einen kostenlosen Cookie-Scan mit FlowConsent und sehen Sie das Ergebnis in weniger als einer Minute.