Die meisten Cookies auf einer Website erfüllen einen Zweck, den Sie selbst angefordert haben: angemeldet bleiben, den Warenkorb behalten, die Sprache speichern. Tracking-Cookies sind anders. Sie existieren, damit jemand Sie messen, verfolgen oder gezielt ansprechen kann. Dieser Leitfaden erklärt, was Tracking-Cookies sind, wie sie funktionieren, welchen Sie am häufigsten begegnen, was das Recht verlangt und wie Sie sie prüfen oder blockieren. Die Grundlagen zu Funktionsweise und Cookie-Arten finden Sie in unserem Leitfaden Was sind Cookies?.
Was sind Tracking-Cookies?
Ein Tracking-Cookie ist eine kleine Textdatei im Browser, die eine eindeutige Kennung enthält, meist eine zufällige Zeichenfolge wie GA1.1.1234567890.1700000000. Bei jeder Anfrage an die Domain, die das Cookie gesetzt hat, sendet der Browser diese Kennung mit. Der Server kann den neuen Besuch so mit den früheren verknüpfen.
„Tracking-Cookie“ ist keine rechtliche Kategorie. Es ist die übliche Bezeichnung für Cookies, deren Zweck die Verfolgung eines Nutzers ist: die meisten Analyse-Cookies und fast alle Werbe-Cookies. Aufsichtsbehörden sprechen lieber allgemein von Trackern oder Endgerätezugriffen, weil Local Storage, Tracking-Pixel oder Fingerprinting dieselbe Aufgabe erfüllen können. Für alle gelten dieselben Regeln.
Ebenso wichtig ist, was ein Tracking-Cookie meist nicht enthält: Ihren Namen oder Ihre E-Mail-Adresse. Es enthält eine pseudonyme Kennung, und die Daten über Sie (aufgerufene Seiten, geklickte Anzeigen, Käufe) liegen auf dem Server des Unternehmens, das das Cookie ausliest.
Wie funktionieren Tracking-Cookies?
Jedes Tracking-Cookie durchläuft denselben Ablauf:
- Ein Skript oder eingebettetes Element auf der Seite (Analyse-Tag, Werbepixel, Social-Media-Widget) lässt den Browser ein Cookie mit einer neuen Kennung speichern.
- Auf der nächsten Seite oder beim nächsten Besuch sendet der Browser dieses Cookie mit jeder Anfrage an dieselbe Domain zurück.
- Der Server speichert das Ereignis (Seitenaufruf, Klick, Kauf) unter dieser Kennung.
- Mit der Zeit entsteht ein Verlauf: welche Seiten Sie gelesen haben, welche Kampagne Sie gebracht hat, ob Sie konvertiert haben.
Was sich von Cookie zu Cookie unterscheidet, ist, wer es lesen kann, und damit, wie weit das Tracking reicht.
First-Party-Tracking-Cookies
Ein First-Party-Cookie wird auf der Domain gesetzt, die Sie besuchen. Google Analytics, das Meta-Pixel und das TikTok-Pixel schreiben heute First-Party-Cookies: Das Cookie liegt auf beispiel.de, aber das Skript sendet seinen Wert an Google, Meta oder TikTok. Das Tracking bleibt auf eine Website beschränkt, es sei denn, der Anbieter verknüpft die Kennung mit weiteren Daten, etwa einem angemeldeten Konto.
Drittanbieter-Tracking-Cookies
Ein Drittanbieter-Cookie wird von einer anderen Domain gesetzt, zum Beispiel von einem Werbeserver, dessen Skript oder iframe auf vielen Websites eingebunden ist. Da der Browser dasselbe Cookie von jeder dieser Websites an den Werbeserver sendet, kann das Netzwerk einen Browser websiteübergreifend verfolgen und ein Interessenprofil erstellen. Diese Form des Trackings schränken Browser am stärksten ein. Safari und Firefox blockieren oder isolieren Drittanbieter-Cookies bereits standardmäßig, Chrome hat sie beibehalten. Unser Artikel zu Google Privacy Sandbox und Drittanbieter-Cookies erzählt die Hintergründe.
Beispiele für Tracking-Cookies
Dieselben Namen finden Sie auf Tausenden Websites. Einige häufige Beispiele mit den Laufzeiten, die ihre Anbieter angeben:
_gaund_ga_<id>(Google Analytics): eine Client-ID, die den Browser standardmäßig 2 Jahre lang wiedererkennt und bei jedem Besuch verlängert wird. Details in unserem Artikel zu den Cookies _ga, _gid und _gat._gcl_au(Google Ads Conversion Linker): verknüpft Anzeigenklicks mit Conversions, 90 Tage.IDEauf doubleclick.net: ein Werbe-Cookie von Google, als Drittanbieter-Cookie gesetzt._fbpund_fbc(Meta-Pixel): eine Browser-ID und eine Klick-ID, etwa 90 Tage, erklärt in unserem Beitrag zu den Cookies _fbp und _fbc._ttp(TikTok-Pixel): eine Kennung für Targeting und Conversion-Messung, 13 Monate.MUID,_uetsidund_uetvid(UET-Tag von Microsoft Advertising): Nutzer- und Sitzungskennungen für Bing-Anzeigen.bcookie(LinkedIn): eine Browser-Kennung, 2 Jahre.
Das Muster ist immer gleich: eine eindeutige Kennung, eine lange Laufzeit und ein Dritter, der den Wert erhält. Genau diese Kombination macht ein Cookie zum Tracking-Cookie.
Tracking-Cookies im Vergleich zu anderen Cookies
Zwei Vergleiche tauchen häufig auf.
Ein Session-Cookie wird beim Schließen des Browsers gelöscht. Auch ein Session-Cookie kann eine Tracking-Kennung tragen, die meisten Tracking-Cookies sind aber dauerhaft, weil ihr Nutzen gerade darin liegt, Sie Tage oder Monate später wiederzuerkennen.
Technisch notwendige Cookies sind das Gegenteil von Tracking-Cookies. Sie stellen einen Dienst bereit, den Sie angefordert haben, etwa einen Login oder einen Warenkorb, und sind die einzigen Cookies ohne Einwilligungspflicht. Ein Cookie, das Nutzer misst oder gezielt anspricht, gehört nie dazu, auch wenn das Unternehmen seine Statistiken für unverzichtbar hält.
Sind Tracking-Cookies schädlich?
Tracking-Cookies sind keine Schadsoftware. Ein Cookie ist passiver Text: Es kann keinen Code ausführen, keine Dateien lesen und nichts installieren. Wenn ein Virenscanner „Tracking-Cookies“ meldet, weist er auf ein Datenschutzthema hin, nicht auf eine Infektion.
Das Problem liegt darin, was die Daten ermöglichen. Eine einzelne Website, die ihre eigene Reichweite misst, sieht wenig. Ein Netzwerk, das dieselbe Kennung auf Tausenden Websites sieht, kann aus den besuchten Seiten Interessen, Gewohnheiten und manchmal sensible Merkmale (Gesundheit, Finanzen, politische Ansichten) ableiten. Diese Profile speisen das Ad-Targeting und können an andere Unternehmen weitergegeben werden. Deshalb behandelt das europäische Recht Tracking als Entscheidung des Nutzers und nicht als Voreinstellung.
Sind Tracking-Cookies erlaubt? DSGVO, TDDDG und ePrivacy
Artikel 5 Absatz 3 der ePrivacy-Richtlinie verlangt eine Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden, es sei denn, dies ist für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich. In Deutschland setzt § 25 TDDDG diese Regel um. Tracking-Cookies fallen nie unter die Ausnahme, sie brauchen also eine Einwilligung. Die DSGVO legt fest, was eine wirksame Einwilligung ist: freiwillig, für den bestimmten Fall, informiert, unmissverständlich, durch eine eindeutige Handlung erteilt und so leicht widerrufbar wie erteilt.
In der Praxis muss eine konforme Website:
- vor der Entscheidung des Besuchers kein Tracking-Cookie setzen;
- eine Ablehnen-Option anbieten, die so einfach ist wie Akzeptieren;
- Zwecke und beteiligte Dritte benennen;
- eine Ablehnung respektieren und spätere Änderungen erlauben.
Die Aufsichtsbehörden setzen diese Regeln durch. Im Dezember 2021 verhängte die französische CNIL gegen Google 150 Millionen Euro und gegen Facebook 60 Millionen Euro Bußgeld, weil das Ablehnen von Cookies auf ihren Websites mehr Klicks erforderte als das Akzeptieren.
Prüfen Sie, bevor Sie weiterlesen, was Ihre eigene Website tut: Mit dem kostenlosen Cookie-Scanner sehen Sie in 30 Sekunden, welche Cookies vor jeder Einwilligung gesetzt werden.
Die technische Seite zählt so viel wie das Banner. Ein Banner, das fragt, während das Google-Analytics-Tag schon beim Laden der Seite feuert, bleibt rechtswidrig. Eine CMP wie FlowConsent hält zum Beispiel jedes Analyse- und Werbeskript zurück, bis der Besucher die passende Kategorie akzeptiert, und gibt die Entscheidung über Consent Mode v2 an die Google-Tags weiter.
Wie Sie prüfen, ob eine Website Tracking-Cookies nutzt
Das dauert nur wenige Minuten:
- Öffnen Sie die Website in einem privaten Fenster, ohne auf das Banner zu klicken.
- Öffnen Sie die Entwicklertools (F12 oder Rechtsklick, dann Untersuchen) und wechseln Sie in Chrome oder Edge zu Anwendung, dann Cookies, in Firefox zu Speicher.
- Sehen Sie sich jede Domain und Cookie-Namen wie
_ga,_fbp,_gcl_auoderIDEan. Ein weit entferntes Ablaufdatum und ein zufällig wirkender Wert sind deutliche Hinweise auf Tracking. - Klicken Sie auf Ablehnen, laden Sie die Seite neu und prüfen Sie erneut. Es darf kein Tracking-Cookie erscheinen.
Der Tab Netzwerk liefert eine zweite Sicht: Anfragen an google-analytics.com, facebook.com oder doubleclick.net vor der Einwilligung bedeuten, dass das Tracking zu früh startet. Eine vollständige Methode finden Sie in unserem Leitfaden zum Cookie-Audit einer Website.
Wie Sie Tracking-Cookies blockieren oder löschen
Als Besucher haben Sie mehrere Möglichkeiten:
- Im Banner ablehnen. Auf einer konformen Website verhindert Ablehnen, dass Tracking-Cookies gesetzt werden.
- Den Schutz des Browsers nutzen. Die intelligente Tracking-Prävention von Safari und der verbesserte Schutz vor Aktivitätenverfolgung von Firefox blockieren standardmäßig die meisten Drittanbieter-Tracker. In Chrome können Sie Drittanbieter-Cookies in den Datenschutzeinstellungen blockieren.
- Cookies regelmäßig löschen. Das setzt die Kennungen zurück, allerdings werden Sie dabei von Websites abgemeldet.
- Einen Content-Blocker verwenden. Erweiterungen, die Tracking-Skripte blockieren, stoppen die Cookies an der Quelle.
Das Löschen von Cookies stoppt kein Fingerprinting, das ein Gerät erkennt, ohne etwas zu speichern. Browserschutz und abgelehnte Einwilligung bleiben die wirksamste Kombination.
Wie FlowConsent Tracking-Cookies umsetzt
FlowConsent behandelt jedes Tracking-Cookie als einwilligungspflichtig. Der automatische Cookie-Scan findet die Cookies, die Ihre Website tatsächlich setzt, auch die von eingebetteten Tools, und ordnet sie Kategorien wie Statistik und Marketing zu. Bis der Besucher eine Kategorie akzeptiert, sind die Skripte blockiert, die diese Cookies setzen würden, und Google-Tags erhalten die Entscheidung über Consent Mode v2. Jede Entscheidung wird als exportierbarer Einwilligungsnachweis gespeichert, gehostet in Europa. Die Installation dauert etwa zehn Minuten auf Webflow, WordPress, Shopify, Wix, Framer oder über GTM, und FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos. Die Dokumentation zur Cookie-Erklärung zeigt, wie aus den gescannten Cookies die Liste wird, die Ihre Besucher sehen.