> _ga, _ga_, _gid und _gat: Zweck, tatsächliche Laufzeit, Einwilligungspflicht nach § 25 TDDDG und die Wirkung von Google Consent Mode v2. > > Canonical: https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo [Marketing-Tools](https://www.flowconsent.com/de/blog?category=tools) # Die Cookies \_ga, \_gid und \_gat erklärt: Zweck, Laufzeit und Einwilligung nach DSGVO Veröffentlicht am 1. Juli 2026 · Aktualisiert am 1. Oktober 2026 · 7 Min. Lesezeit Kurz gesagt `_ga` ist das zentrale Google-Analytics-Cookie: Es speichert eine zufällige Client-ID, mit der GA4 einen Browser standardmäßig 2 Jahre lang wiedererkennt. `_ga_` hält für dieselbe Dauer den Sitzungsstatus fest. `_gid` (24 Stunden) und `_gat` (1 Minute) stammen aus dem alten Universal Analytics und stehen nicht mehr in Googles aktueller GA4-Cookie-Liste. In Deutschland dürfen alle diese Cookies nach § 25 TDDDG erst nach einer Einwilligung gesetzt werden. Wenn Sie in den Entwicklertools Ihres Browsers eine Reihe von Cookies mit dem Präfix `_ga` entdeckt haben, sind Sie in guter Gesellschaft. Sie gehören zu den häufigsten Cookies im Netz und zugleich zu den am meisten missverstandenen. Dieser Beitrag erklärt, was jedes Cookie tut, wie lange es tatsächlich lebt, wie die deutschen Aufsichtsbehörden es bewerten und was sich mit Google Consent Mode v2 ändert. ## Die Google-Analytics-Cookies im Überblick Google dokumentiert seine Analyse-Cookies an zwei offiziellen Stellen: im GA4-Hilfeartikel zur Cookie-Nutzung auf Websites und in der [Übersicht der Werbe- und Mess-Cookies von Google](https://business.safety.google/adscookies/). Zusammengeführt ergibt sich folgendes Bild: Für die Konfiguration des Tags behandelt unsere [Übersicht zu Google Analytics 4](https://www.flowconsent.com/de/services/analytik/google-analytics-4) den Consent Mode und die für die DSGVO relevanten Einstellungen. - **`_ga`**: Standardlaufzeit 2 Jahre. Dient zur Unterscheidung von Nutzern. Enthalten ist eine zufällig erzeugte Client-ID, nicht Ihr Name oder Ihre E-Mail-Adresse. - **`_ga_`**: Standardlaufzeit 2 Jahre. Speichert den Sitzungsstatus (zum Beispiel `_ga_ABC123XYZ`, wobei der Zusatz Ihrer Mess-ID ohne das Präfix `G-` entspricht). - **`_gid`**: Laufzeit 24 Stunden. Von Google als Analyse-Cookie geführt, unterscheidet Nutzer innerhalb eines Tages. Es gehört zu Universal Analytics. - **`_gat`** (oder `_gat_`): Laufzeit 1 Minute. Wurde von Universal Analytics genutzt, um die Anfragerate auf stark besuchten Websites zu drosseln. Alle vier sind First-Party-Cookies: Googles JavaScript schreibt sie auf Ihre eigene Domain, nicht auf google.com. An der rechtlichen Bewertung ändert das nichts, wie wir gleich sehen. Die Meta-Cookies \_fbp und \_fbc funktionieren genauso, wie unser Artikel über [die Cookies \_fbp und \_fbc](https://www.flowconsent.com/de/blog/fbp-fbc-cookies-meta-erklaert) erklärt. ## \_ga und \_ga\_\: die beiden Cookies, die GA4 tatsächlich setzt Googles aktuelle GA4-Tabelle nennt genau zwei Cookies: `_ga` und `_ga_`. Das erste erkennt einen Browser über mehrere Besuche hinweg, damit GA4 Nutzer statt bloßer Seitenaufrufe zählen kann. Das zweite speichert Sitzungsdaten wie Sitzungs-ID und Sitzungszähler und entscheidet so, ob zwei Seitenaufrufe zum selben Besuch gehören. Die „2 Jahre“ sind ein Standardwert, und zwar ein rollierender. Laut Googles Konfigurationsreferenz wird das Ablaufdatum bei jedem gesendeten Treffer auf den aktuellen Zeitpunkt plus den Wert von `cookie_expires` gesetzt (standardmäßig 63.072.000 Sekunden). Wer einmal im Monat wiederkommt, behält also dauerhaft dasselbe `_ga`-Cookie. Mit `cookie_expires` lässt sich die Laufzeit verkürzen, mit `cookie_update: false` die automatische Verlängerung abschalten. Ist Ihre GA4-Property mit Google Ads verknüpft, kann das Tag zusätzlich Werbe-Cookies wie `_gcl_au` setzen (laut Googles Übersicht 90 Tage). Mehr zur GA4-Konfiguration lesen Sie in unserem Beitrag [GA4-Cookies und DSGVO-Konformität](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform). ## Setzt GA4 noch \_gid und \_gat? Laut Googles Dokumentation nicht: Der GA4-Artikel nennt nur `_ga` und `_ga_`. `_gid` und `_gat` wurden von `analytics.js` gesetzt, der Bibliothek von Universal Analytics. Universal Analytics hat 2023 die Datenverarbeitung eingestellt und wurde am 1. Juli 2024 endgültig abgeschaltet. Findet ein Scan auf Ihrer Website trotzdem `_gid` oder `_gat`, sollten Sie das als Hinweis verstehen, nicht als normales GA4-Verhalten. Typische Ursachen sind: Wie Sie jedes Cookie erfassen und dem Skript zuordnen, das es setzt, zeigt unser [vollständiger Leitfaden zum Cookie-Audit](https://www.flowconsent.com/de/blog/cookie-audit-website-vollstaendige-methode). - ein altes `analytics.js`-Snippet, das noch fest in einem Theme, Footer oder Landingpage-Template steckt; - ein Plugin, eine Erweiterung oder ein Drittanbieter-Widget mit eigenem, veraltetem Tracking-Code; - ein Universal-Analytics-Tag, das im Google Tag Manager noch veröffentlicht ist; - ein Scanner mit veralteter Datenbank, der Cookies nach Namen statt nach tatsächlichem Verhalten zuordnet. Toten Code zu entfernen lohnt sich in jedem Fall: Ein Tag, das Daten an eine nicht mehr existierende Property schickt, lädt trotzdem Skripte, schreibt trotzdem Cookies und muss trotzdem von Ihrem Cookie-Banner abgedeckt werden. ## Warum das \_ga-Cookie eine Einwilligung braucht Maßgeblich ist zunächst § 25 TDDDG (bis Mai 2024 TTDSG), der Art. 5 Abs. 3 der ePrivacy-Richtlinie umsetzt: Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf sind nur mit Einwilligung erlaubt, es sei denn, sie sind unbedingt erforderlich, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Webanalyse nützt Ihnen als Betreiber, ist für den Besucher aber nicht nötig, um Ihre Seite zu lesen. Der EuGH hat im Urteil _Planet49_ (C-673/17, 2019) klargestellt, dass vorangekreuzte Kästchen keine wirksame Einwilligung sind und die Regel unabhängig davon gilt, ob die gespeicherten Informationen personenbezogen sind. Der BGH hat diese Linie 2020 im Verfahren _Cookie-Einwilligung II_ (I ZR 7/16) für Deutschland übernommen. Hinzu kommt die DSGVO: Die Client-ID in `_ga` ist eine eindeutige, gerätebezogene Kennung. Die anschließende Verarbeitung in Google Analytics ist daher eine Verarbeitung personenbezogener Daten, für die Sie eine Rechtsgrundlage brauchen. In der Praxis ist das ebenfalls die Einwilligung. ### Gibt es eine Ausnahme für Reichweitenmessung? Anders als die französische CNIL haben die deutschen Aufsichtsbehörden keine pauschale Ausnahme für Reichweitenmessung formuliert. In der [Orientierungshilfe Digitale Dienste der DSK](https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf) (Version 1.2, Stand November 2024) heißt es sinngemäß, dass sich eine Aussage, ob eine Reichweitenmessung ohne Einwilligung zulässig ist, allenfalls für eine genau definierte Konfiguration und Zweckbestimmung treffen lässt. Zugleich betont die DSK, dass Drittanbieter für Reichweitenmessung regelmäßig sehr weitgehende Informationen über Nutzende verarbeiten. Google Analytics mit rollierendem 2-Jahres-Cookie und eigenen Verarbeitungszwecken des Anbieters fällt nicht unter eine solche Ausnahme. Den Gesamtzusammenhang einschließlich Drittlandtransfer finden Sie in unserem Beitrag [Ist Google Analytics DSGVO-konform?](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform). Was das konkret für ein Tool wie Matomo bedeutet, beleuchtet unser Artikel zu [Matomo und dem Cookie-Banner](https://www.flowconsent.com/de/blog/matomo-cookies-dsgvo-cookie-banner). ## Was Google Consent Mode v2 am Cookie-Verhalten ändert Mit Consent Mode übermittelt Ihr Cookie-Banner die Entscheidung des Besuchers über vier Signale an die Google-Tags: `analytics_storage`, `ad_storage`, `ad_user_data` und `ad_personalization`. Die beiden letzten kamen mit v2 hinzu. Für die `_ga`-Familie ist `analytics_storage` entscheidend. Laut [Googles Dokumentation zu Consent Mode](https://developers.google.com/tag-platform/security/concepts/consent-mode) lesen und schreiben Google-Tags keine First-Party-Analyse-Cookies, solange `analytics_storage` abgelehnt ist. Also kein `_ga` und kein `_ga_`. Was dann passiert, hängt von der Implementierung ab: - **Basic Mode**: Die Google-Tags werden erst geladen, wenn der Besucher eine Wahl getroffen hat. Vorher geht nichts an Google, nicht einmal der Standard-Einwilligungsstatus. - **Advanced Mode**: Die Tags laden sofort mit dem Standardstatus `denied` und senden cookielose Pings (Einwilligungsstatus, Zeitstempel, User Agent, Ereignisse). Google nutzt sie für Modellierungen. Klickt der Besucher auf „Akzeptieren“, wechselt der Status auf `granted` und GA4 setzt `_ga` und `_ga_` wie gewohnt. Bei Ablehnung entsteht kein Analyse-Cookie. Beachten Sie aber, dass auch cookielose Pings Daten aus dem Browser an Google übertragen. Ob der Advanced Mode mit § 25 TDDDG vereinbar ist, sollten Sie deshalb sorgfältig prüfen. Unser Vergleich [Consent Mode Basic vs. Advanced](https://www.flowconsent.com/de/blog/consent-mode-basic-vs-advanced-vergleich) zeigt die Abwägungen. Wenn Ablehnungen zu große Lücken in Ihren Daten hinterlassen, stellt unser [Leitfaden zu Cookieless Analytics](https://www.flowconsent.com/de/blog/cookieless-analytics-leitfaden) Möglichkeiten vor, ohne Einwilligung zu messen. ## So prüfen Sie selbst, welche Google-Cookies gesetzt werden Für eine schnelle Kontrolle brauchen Sie kein Spezialwerkzeug. Öffnen Sie Ihre Website in einem privaten Browserfenster, damit keine alten Cookies das Ergebnis verfälschen, und rufen Sie die Entwicklertools auf. In Chrome und Edge finden Sie die Cookies unter „Anwendung“ beziehungsweise „Application“ und dort unter „Cookies“, in Firefox im Tab „Web-Speicher“. - **Vor jeder Interaktion mit dem Banner** sollte die Liste keine `_ga`-, `_gid`-, `_gat`- oder `_gcl_`-Einträge enthalten. - **Nach „Alle ablehnen“** und einem Neuladen der Seite sollte sich daran nichts ändern. - **Nach „Alle akzeptieren“** sollten `_ga` und `_ga_` erscheinen. Prüfen Sie in der Spalte „Expires“, ob die Laufzeit Ihrer Konfiguration entspricht. - **Im Netzwerk-Tab** können Sie zusätzlich nach Anfragen an `google-analytics.com` filtern und sehen, ob vor der Einwilligung bereits Daten übertragen werden. Wiederholen Sie den Test auf mehreren Seitentypen, etwa Startseite, Blogartikel und Checkout. Gerade Landingpages aus älteren Kampagnen oder Unterseiten mit eigenem Template enthalten häufig noch Tracking-Code, der am Consent-Management vorbeiläuft. ## Praktische Checkliste für Ihre Website 1. **Scannen Sie Ihre Website** und erfassen Sie jedes tatsächlich gesetzte `_ga`-, `_gid`-, `_gat`- und `_gcl_`-Cookie mit der jeweiligen Seite. 2. **Entfernen Sie Universal-Analytics-Code**, falls `_gid` oder `_gat` noch auftauchen. 3. **Blockieren Sie GA4 bis zur Einwilligung** oder nutzen Sie Consent Mode mit `analytics_storage` standardmäßig auf `denied`. 4. **Testen Sie die Ablehnung**: Alles ablehnen, Seite neu laden und in den Entwicklertools prüfen, dass kein `_ga`-Cookie entsteht. 5. **Dokumentieren Sie die Cookies** in Ihrer Cookie-Richtlinie mit tatsächlichem Zweck und tatsächlicher Laufzeit und bewahren Sie Nachweise jeder Einwilligung auf. 6. **Verkürzen Sie die Laufzeit** über `cookie_expires`. Warum 13 Monate ein verbreiteter Richtwert sind, erklärt unser Beitrag zur [Cookie-Speicherdauer](https://www.flowconsent.com/de/blog/cookie-speicherdauer-dsgvo-13-monate). Eine Consent-Management-Plattform wie FlowConsent nimmt Ihnen einen Großteil dieser Liste ab: Sie blockiert Skripte vor der Einwilligung, scannt Ihre Website automatisch nach Cookies, speichert Einwilligungsnachweise 13 Monate lang und sendet Google-Consent-Mode-v2-Signale ohne zusätzlichen Google Tag Manager. Die [Anleitung zu Google Consent Mode](https://www.flowconsent.com/de/doc/google-consent-mode) zeigt die Einrichtung Schritt für Schritt. ## Fazit `_ga` und `_ga_` sind die einzigen Cookies, die Google für GA4 dokumentiert, und beide laufen standardmäßig 2 Jahre mit Verlängerung bei jedem Besuch. `_gid` und `_gat` gehören der Vergangenheit an; tauchen sie heute auf, läuft meist noch alter Code. In Deutschland darf keines dieser Cookies vor der Einwilligung gesetzt werden, und Consent Mode v2 ist der Mechanismus, mit dem GA4 diese Entscheidung respektiert. Sie möchten wissen, welche Google-Cookies Ihre Website gerade setzt? [Starten Sie einen kostenlosen Cookie-Scan](https://www.flowconsent.com/de/scan) mit FlowConsent und sehen Sie das Ergebnis in weniger als einer Minute. [Zurück zum Blog](https://www.flowconsent.com/de/blog) Artikel teilen · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fga-cookie-gid-gat-erklaert-dsgvo) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fga-cookie-gid-gat-erklaert-dsgvo) Fragen ## Häufige Fragen zu diesem Thema. Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Was ist das \_ga-Cookie? \`\_ga\` ist das zentrale Cookie von Google Analytics. Es speichert eine zufällig erzeugte Client-ID, damit GA4 denselben Browser über mehrere Besuche wiedererkennt. Die Standardlaufzeit beträgt 2 Jahre und verlängert sich bei jedem gesendeten Treffer. ### Braucht das \_ga-Cookie eine Einwilligung? Ja. Nach § 25 TDDDG ist das Speichern auf dem Endgerät nur ohne Einwilligung erlaubt, wenn es für den gewünschten Dienst unbedingt erforderlich ist. Das trifft auf Google Analytics nicht zu, und die DSK sieht keine pauschale Ausnahme für Reichweitenmessung vor. ### Was ist das \_gid-Cookie und nutzt GA4 es noch? \`\_gid\` ist ein 24-Stunden-Cookie, das Nutzer innerhalb eines Tages unterscheidet. Es wurde von Universal Analytics gesetzt; Googles aktuelle GA4-Liste nennt nur \`\_ga\` und \`\_ga\_\\`. Taucht \`\_gid\` noch auf, sollten Sie nach altem Tracking-Code suchen. ### Wofür ist das \_gat-Cookie? \`\_gat\` ist ein Universal-Analytics-Cookie mit einer Laufzeit von 1 Minute, das zur Drosselung der Anfragerate diente. Es steht nicht in Googles GA4-Cookie-Liste und deutet meist auf ein altes \`analytics.js\`-Tag hin. ### Setzt Google Analytics bei Ablehnung mit Consent Mode v2 Cookies? Nein. Ist \`analytics\_storage\` abgelehnt, lesen und schreiben Google-Tags keine Analyse-Cookies. Im Advanced Mode können sie dennoch cookielose Pings an Google senden; im Basic Mode werden sie vor der Entscheidung gar nicht geladen. Weiterlesen ## Mehr zum Thema. [Alle Artikel](https://www.flowconsent.com/de/blog) [Marketing-Tools · 29. Juni 2026](https://www.flowconsent.com/de/blog/fbp-fbc-cookies-meta-erklaert) ### [Die Cookies \_fbp und \_fbc erklärt: Meta-Pixel, Laufzeit und Einwilligung](https://www.flowconsent.com/de/blog/fbp-fbc-cookies-meta-erklaert) [Was die Meta-Cookies \_fbp und \_fbc enthalten, wie lange sie gespeichert werden, wie sie mit fbclid und der Conversions API zusammenhängen und warum sie erst nach Einwilligung gesetzt werden dürfen.](https://www.flowconsent.com/de/blog/fbp-fbc-cookies-meta-erklaert) [Artikel lesen ](https://www.flowconsent.com/de/blog/fbp-fbc-cookies-meta-erklaert)· [Marketing-Tools · 6. März 2026](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform) ### [Ist Google Analytics DSGVO-konform? Der vollständige GA4-Leitfaden](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform) [Google Analytics 4 lässt sich in Europa rechtskonform nutzen, aber nur mit vorheriger Einwilligung, Consent Mode v2 und datensparsamer Konfiguration. Was die Behörden entschieden haben und wie Sie GA4 Schritt für Schritt einrichten.](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform) [Artikel lesen ](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform)· [Rechtliches · 7. Juli 2026](https://www.flowconsent.com/de/blog/cookie-speicherdauer-dsgvo-13-monate) ### [Cookie-Speicherdauer nach DSGVO: die 13-Monats-Regel erklärt](https://www.flowconsent.com/de/blog/cookie-speicherdauer-dsgvo-13-monate) [Cookie-Laufzeit, Einwilligungsgültigkeit und Datenaufbewahrung sind drei verschiedene Uhren. So lange darf jede nach DSGVO und CNIL laufen, und so konfigurieren Sie sie.](https://www.flowconsent.com/de/blog/cookie-speicherdauer-dsgvo-13-monate) [Artikel lesen](https://www.flowconsent.com/de/blog/cookie-speicherdauer-dsgvo-13-monate) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)