> Was sind technisch notwendige Cookies? Der Maßstab nach § 25 TDDDG, echte Beispiele, häufige Fehleinstufungen und wie Sie Ihre Cookie-Liste prüfen. > > Canonical: https://www.flowconsent.com/de/blog/technisch-notwendige-cookies-beispiele [Best Practices](https://www.flowconsent.com/de/blog?category=practices) # Technisch notwendige Cookies: Was zählt dazu? Mit Beispielen Von Roland Vekemans · Veröffentlicht am 14. Oktober 2026 · 6 Min. Lesezeit Kurz gesagt Technisch notwendige Cookies (auch unbedingt erforderliche oder essenzielle Cookies) sind die Cookies, ohne die eine Website einen vom Besucher ausdrücklich gewünschten Dienst nicht erbringen kann: Login, Warenkorb, Absicherung eines Formulars, Speicherung der Cookie-Entscheidung selbst. Nur sie sind nach der ePrivacy-Richtlinie und § 25 TDDDG von der Einwilligung befreit. Der Maßstab ist eng: „nützlich für das Geschäft“ heißt nicht „unbedingt erforderlich“, deshalb bleiben Analyse-, Werbe- und A/B-Test-Cookies außen vor. Notwendige Cookies brauchen keine Einwilligung, Besucher sollten aber trotzdem über sie informiert werden. Fast jedes Cookie-Banner hat einen Schalter „Notwendig“, der eingeschaltet und ausgegraut ist. Genau in dieser Kategorie verstecken sich viele Compliance-Probleme: Ein Cookie landet dort, das Banner fragt nie nach, und niemand prüft, ob das Cookie die Voraussetzungen wirklich erfüllt. Dieser Leitfaden erklärt, was die Ausnahme abdeckt, welche Cookies sie erfüllen, welche nicht, und wie Sie Ihre eigene Liste prüfen. Die Grundlagen zur Funktionsweise und zu den Cookie-Arten finden Sie in unserem Leitfaden [Was sind Cookies? Arten und Funktionsweise](https://www.flowconsent.com/de/blog/was-sind-cookies-arten-funktionsweise). ## Was sind technisch notwendige Cookies? Die rechtliche Definition stammt aus Artikel 5 Absatz 3 der [ePrivacy-Richtlinie](https://www.flowconsent.com/de/laws/eprivacy-richtlinie). Das Speichern von Informationen auf dem Endgerät eines Besuchers oder der Zugriff darauf erfordert eine Einwilligung. Es gibt zwei Ausnahmen: 1. **Übertragungsausnahme:** Speicherung oder Zugriff dient allein der Übertragung einer Nachricht über ein Kommunikationsnetz. 2. **Ausnahme der unbedingten Erforderlichkeit:** Speicherung oder Zugriff ist unbedingt erforderlich, damit der Anbieter eines vom Nutzer ausdrücklich gewünschten Dienstes diesen Dienst erbringen kann. In Deutschland setzt [§ 25 TDDDG](https://www.flowconsent.com/de/laws/tdddg) (früher TTDSG) diese Regel um, mit nahezu identischem Wortlaut. Fast alle notwendigen Cookies einer Website fallen unter die zweite Ausnahme. Entscheidend sind zwei Begriffe: Der Dienst muss vom Besucher **ausdrücklich gewünscht** sein (eine Seite, ein Checkout, ein Kundenkonto), und das Cookie muss dafür **unbedingt erforderlich** sein, nicht nur hilfreich. Die Regel gilt nicht nur für Cookies. Die EDSA-Leitlinien zum technischen Anwendungsbereich von Artikel 5 Absatz 3 bestätigen, dass auch Local Storage, Session Storage, Pixel und andere Techniken erfasst sind, die Informationen auf einem Gerät speichern oder auslesen. ## Wie erkennen Sie, ob ein Cookie unbedingt erforderlich ist? Die Artikel-29-Datenschutzgruppe (der Vorgänger des EDSA) hat die Logik in ihrer Stellungnahme 04/2012 zur Ausnahme von der Einwilligungspflicht beschrieben. Stellen Sie zu jedem Cookie drei Fragen: 1. **Fordert der Besucher den Dienst, den das Cookie ermöglicht, ausdrücklich an?** Seiten aufrufen, sich einloggen, ein Produkt in den Warenkorb legen oder ein Formular absenden sind solche Anforderungen. Gemessen, profiliert oder mit Werbung angesprochen zu werden, ist es nicht. 2. **Würde der Dienst ohne das Cookie nicht funktionieren?** Wenn die Website trotzdem liefert, was der Besucher wollte, auch weniger komfortabel, ist das Cookie nicht unbedingt erforderlich. 3. **Ist das Cookie auf diesen Zweck und diese Dauer beschränkt?** Ein Cookie, das einem notwendigen und einem nicht notwendigen Zweck dient, verliert die Ausnahme insgesamt. Ein Cookie muss alle drei Fragen bestehen. Die Datenschutzaufsichtsbehörden betonen denselben Punkt: Ein Cookie kann für Ihr Geschäft wichtig sein und trotzdem für den Besucher nicht unbedingt erforderlich. Genau deshalb gibt es die vier üblichen [DSGVO-Cookie-Kategorien](https://www.flowconsent.com/de/blog/dsgvo-cookie-kategorien-vollstaendiger-leitfaden), von denen nur die erste befreit ist. ## Beispiele für technisch notwendige Cookies ### Beispiele, die die Behörden anerkennen - **Authentifizierungs-Cookies**, die einen Besucher während einer Sitzung eingeloggt halten, einschließlich solcher, die den Login absichern (Begrenzung wiederholter oder automatisierter Anmeldeversuche). - **Eingabe-Cookies**, die speichern, was der Besucher während des Besuchs eingegeben oder gewählt hat: Warenkorb, mehrstufiges Formular, Checkout. - **Sicherheits-Cookies**, die einen genutzten Dienst schützen, etwa CSRF-Token in Formularen. - **Load-Balancing-Cookies**, die einen Besucher während einer Sitzung auf demselben Server halten. - **Das Consent-Cookie**, das die Entscheidung des Besuchers im Banner speichert. Ohne es könnte das Banner eine Ablehnung nicht respektieren. - **Cookies zur Anpassung der Oberfläche** (Sprache, Darstellung), wenn diese Anpassung ein wesentlicher und erwarteter Teil des Dienstes ist, etwa eine im Sprachwähler gewählte Sprache. - **Sitzungs-Cookies eines Mediaplayers**, die zum Abspielen eines vom Besucher gestarteten Videos nötig sind, ohne Tracking. ### Cookie-Namen, die Sie häufig sehen - `PHPSESSID`, `JSESSIONID`, `ASP.NET_SessionId`: Server-Sitzungskennungen in PHP, Java und .NET. - `csrftoken`, `XSRF-TOKEN`: Formularschutz in Django-, Laravel- und Angular-Anwendungen. - `wordpress_logged_in_*`: WordPress-Login für angemeldete Nutzer. - `woocommerce_cart_hash`, `cart` (Shopify): Warenkorbinhalt in Onlineshops. - `AWSALB`: Load Balancing bei Amazon Web Services. - `__cf_bm`: kurzlebiger Bot-Schutz von Cloudflare. Ein Name allein beweist nichts. Eine Sitzungskennung, die zur websiteübergreifenden Wiedererkennung genutzt wird, wäre nicht befreit. Entscheidend ist, was das Cookie auf Ihrer Website tatsächlich tut. ## Welche Cookies sind nicht unbedingt erforderlich? Diese Cookies werden am häufigsten fälschlich als notwendig eingestuft: - **Analyse-Cookies** (`_ga`, `_gid`, Hotjar, Clarity). Statistiken helfen Ihnen beim Betrieb der Website, liefern dem Besucher aber nichts, was er angefordert hat. In Frankreich erlaubt die CNIL eine enge Ausnahme für Reichweitenmessung unter strengen Bedingungen, die [Matomo im befreiten Modus erfüllen kann](https://www.flowconsent.com/de/blog/matomo-cookies-dsgvo-cookie-banner). In Deutschland gibt es keine solche allgemeine Ausnahme, und Standard-Google-Analytics erfüllt sie ohnehin nicht. - **Werbe- und Retargeting-Cookies** (Meta Pixel, Google Ads, LinkedIn Insight). Nie unbedingt erforderlich. - **A/B-Test- und Personalisierungs-Cookies**. Der Besucher hat nicht darum gebeten, einer Testgruppe zugeteilt zu werden. - **Social-Media-Plugins**, die Besucher verfolgen, die das Plugin nie angeklickt haben. - **Chat-Widgets, die auf jeder Seite laden**, bevor der Besucher den Chat öffnet. - **Komfort-Präferenzen**, etwa das Merken eines geschlossenen Newsletter-Popups. So finden Sie schnell heraus, was Ihre Website tatsächlich setzt: Prüfen Sie in 30 Sekunden mit dem [kostenlosen Cookie-Scanner](https://www.flowconsent.com/de/scan), welche Cookies Ihre Website setzt, und vergleichen Sie das Ergebnis mit der Liste, die Ihr Banner als notwendig anzeigt. ## Brauchen technisch notwendige Cookies eine Einwilligung? Nein. Unbedingt erforderliche Cookies dürfen schon beim Laden der Seite gesetzt werden, vor jeder Interaktion mit dem Banner, und der Besucher kann sie nicht ablehnen. Deshalb zeigen die meisten Banner diese Kategorie als immer aktiv. Keine Einwilligung bedeutet nicht keine Pflichten: - **Information wird weiterhin erwartet.** Führen Sie jedes notwendige Cookie in Ihrer [Cookie-Richtlinie](https://www.flowconsent.com/de/blog/cookie-richtlinie-dsgvo-leitfaden) mit Zweck, Anbieter und Speicherdauer auf. Die DSGVO-Transparenzpflichten verlangen das, sobald personenbezogene Daten betroffen sind. - **Die DSGVO gilt weiterhin**, wenn das Cookie personenbezogene Daten betrifft, etwa eine an ein Kundenkonto gebundene Sitzungskennung. Sie brauchen eine Rechtsgrundlage (meist Vertrag oder berechtigtes Interesse), eine Datenschutzerklärung und Sicherheitsmaßnahmen. - **Keine versteckten Zusatzzwecke.** Wird ein notwendiges Cookie auch für Analyse oder Werbung genutzt, braucht es insgesamt eine Einwilligung. ## Darf man notwendige Cookies akzeptieren? Aus Sicht des Besuchers: ja. Notwendige Cookies sorgen dafür, dass Login, Warenkorb oder Formular funktionieren, und eine Website, die sich an die Regeln hält, nutzt sie für nichts anderes. Sie „akzeptieren“ sie eigentlich nicht: Sie werden unabhängig von Ihrer Wahl gesetzt. Wählen Sie im Banner „Nur notwendige Cookies“ oder „Alle ablehnen“, darf die Website ihre notwendigen Cookies behalten, aber keine Analyse-, Werbe- oder sonstigen optionalen Cookies setzen. Finden Sie nach dieser Wahl trotzdem `_ga` oder ein Meta-Cookie in Ihrem Browser, verstößt die Website gegen die Regeln. ## Wie lange darf ein notwendiges Cookie gespeichert werden? Es gibt keine einheitliche gesetzliche Höchstdauer für notwendige Cookies, aber die Dauer muss dem Zweck angemessen sein. Login- und Warenkorb-Cookies sind oft [Session-Cookies](https://www.flowconsent.com/de/blog/session-cookies-definition-beispiele), die beim Schließen des Browsers verschwinden. Ein „Angemeldet bleiben“-Cookie oder das Consent-Cookie dürfen länger leben, weil ihr Zweck das erfordert. Ein als notwendig eingestuftes Cookie, das zwei Jahre lang eine eindeutige Kennung trägt, sollte eine Frage aufwerfen: Welchen Dienst erbringt es, den ein kürzeres Cookie nicht erbringen könnte? ## So prüfen Sie, welche Ihrer Cookies notwendig sind 1. **Scannen Sie Ihre Website in einem frischen Browser** und erfassen Sie jedes Cookie und jeden Speichereintrag, der vor einem Klick auf das Banner gesetzt wird. 2. **Identifizieren Sie jedes Element:** Name, Domain, Anbieter, Dauer und Funktion. Die Dokumentation des Anbieters hilft meist weiter. 3. **Wenden Sie den Drei-Fragen-Test an**, Cookie für Cookie. 4. **Verschieben Sie alles, was durchfällt,** in die richtige Kategorie (Statistik, Marketing oder Präferenzen), damit es bis zur Einwilligung blockiert wird. 5. **Scannen Sie nach einer Ablehnung erneut,** um zu belegen, dass nur notwendige Cookies übrig bleiben. Consent-Management-Plattformen automatisieren einen Teil dieser Arbeit. FlowConsent ordnet zum Beispiel jeden erkannten Dienst einer Kategorie mit dokumentierter Rechtsgrundlage zu, sodass ein Dienst wie Google Analytics nicht versehentlich bei den notwendigen Cookies landet. ## Wie FlowConsent technisch notwendige Cookies umsetzt FlowConsent lässt notwendige Cookies ab dem ersten Seitenaufruf aktiv und blockiert alle anderen Kategorien, bis der Besucher einwilligt. Der automatische Cookie-Scan erkennt die Dienste, die Ihre Website lädt, und ordnet sie einem gepflegten Katalog zu, in dem jeder Dienst seine Kategorie und seine plausible Rechtsgrundlage trägt: Einwilligung, Vertrag, berechtigtes Interesse oder eine mögliche CNIL-Ausnahme. Notwendige Cookies erscheinen dann mit Zweck und Dauer in der generierten Cookie-Erklärung. Nach einer Ablehnung zeigt der Compliance-Scan, welche Cookies übrig bleiben, damit Sie belegen können, dass nur notwendige verbleiben. Die Einrichtung dauert etwa zehn Minuten, und FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos. Lesen Sie, [wie Dienste, Kategorien und Rechtsgrundlagen funktionieren](https://www.flowconsent.com/de/doc/services-and-legal-basis). [Zurück zum Blog](https://www.flowconsent.com/de/blog) Artikel teilen · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Ftechnisch-notwendige-cookies-beispiele) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Ftechnisch-notwendige-cookies-beispiele) Fragen ## Häufige Fragen zu diesem Thema. Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Welche Cookies sind technisch notwendig? Cookies, ohne die ein vom Besucher ausdrücklich gewünschter Dienst nicht funktioniert: Login- und Sitzungs-Cookies, Warenkorb-Cookies, Sicherheits-Token in Formularen, Load-Balancing-Cookies und das Cookie, das die Einwilligungsentscheidung speichert. Auch Oberflächen-Cookies wie eine gewählte Sprache können dazugehören, wenn sie ein erwarteter Teil des Dienstes sind. Analyse-, Werbe- und A/B-Test-Cookies gehören nie dazu. ### Was bedeutet „nur notwendige Cookies“? Das ist die Option im Cookie-Banner, die alle optionalen Kategorien ablehnt. Die Website darf die Cookies behalten, die sie zum Funktionieren braucht, etwa Sitzung, Warenkorb und das Consent-Cookie selbst, aber keine Analyse-, Werbe-, Social-Media- oder Personalisierungs-Cookies setzen. Tauchen solche Cookies nach dieser Wahl trotzdem in Ihrem Browser auf, respektiert die Website Ihre Ablehnung nicht. ### Kann man notwendige Cookies bedenkenlos akzeptieren? Ja. Notwendige Cookies sorgen dafür, dass Login, Warenkorb oder Formular funktionieren, und eine regelkonforme Website nutzt sie für nichts anderes. Ablehnen können Sie sie ohnehin nicht: Sie werden unabhängig von Ihrer Wahl im Banner gesetzt, deshalb wird die Kategorie als immer aktiv angezeigt. Entscheidend ist Ihre Wahl bei den optionalen Cookies wie Analyse und Werbung. ### Müssen technisch notwendige Cookies in der Cookie-Richtlinie stehen? Sie brauchen keine Einwilligung, sollten aber aufgeführt werden. Die DSGVO-Transparenzpflichten gelten, sobald das Cookie personenbezogene Daten betrifft, etwa eine an ein Kundenkonto gebundene Sitzung. Eine gute Cookie-Richtlinie nennt für jedes notwendige Cookie Name, Anbieter, Zweck und Speicherdauer, genauso wie für optionale Cookies. So können Besucher und Aufsichtsbehörden nachvollziehen, warum das Cookie ohne Einwilligung gesetzt wird. ### Sind funktionale Cookies technisch notwendig? Meist nicht. Funktionale oder Präferenz-Cookies machen eine Website komfortabler, etwa indem sie ein Layout oder ein geschlossenes Popup speichern, aber die Website funktioniert auch ohne sie, daher brauchen sie eine Einwilligung. Ausnahme ist eine Anpassung, die ein erwarteter Teil des gewünschten Dienstes ist, etwa eine im Sprachwähler gewählte Sprache. Im Zweifel fragen Sie, ob der gewünschte Dienst ohne das Cookie ausfallen würde. Weiterlesen ## Mehr zum Thema. [Alle Artikel](https://www.flowconsent.com/de/blog) [Best Practices · 11. Oktober 2026](https://www.flowconsent.com/de/blog/session-cookies-definition-beispiele) ### [Session-Cookies: Definition, Beispiele und Einwilligung](https://www.flowconsent.com/de/blog/session-cookies-definition-beispiele) [Was ein Session-Cookie ist, wie es funktioniert, worin es sich von persistenten Cookies unterscheidet und wann es nach DSGVO und TDDDG eine Einwilligung braucht.](https://www.flowconsent.com/de/blog/session-cookies-definition-beispiele) [Artikel lesen ](https://www.flowconsent.com/de/blog/session-cookies-definition-beispiele)· [Best Practices · 16. Oktober 2026](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) ### [Tracking-Cookies: Was sie sind, Beispiele und wie Sie sie blockieren](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) [Was Tracking-Cookies sind, wie sie Sie über Besuche und Websites hinweg wiedererkennen, echte Beispiele, was das Recht verlangt und wie Sie sie prüfen oder blockieren.](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele) [Artikel lesen ](https://www.flowconsent.com/de/blog/tracking-cookies-erklaert-beispiele)· [Vergleiche · 22. Oktober 2026](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied) ### [Drittanbieter-Cookies vs. Erstanbieter-Cookies: Unterschied, Beispiele, DSGVO](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied) [Was Drittanbieter-Cookies von Erstanbieter-Cookies unterscheidet, konkrete Beispiele, wie Safari, Firefox und Chrome sie 2026 behandeln und warum die Einwilligung vom Zweck abhängt.](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied) [Artikel lesen](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)