Was sind Cookies? Cookie-Arten, Funktionsweise und rechtliche Pflichten

Diese Seite ist der Referenzartikel unserer Reihe zu Cookie-Grundlagen. Jeder Abschnitt verweist auf einen eigenen Artikel, wenn Sie tiefer einsteigen möchten, von einzelnen Cookies wie _ga oder _fbp bis zu Speicherfristen und cookielosen Alternativen.

Was sind Cookies? Eine einfache Definition

Ein Web-Cookie (oder HTTP-Cookie) ist ein kleines Stück Text, das ein Webserver sendet und der Browser auf dem Gerät des Nutzers speichert: Computer, Smartphone oder Tablet. Kehrt der Nutzer auf dieselbe Website zurück, sendet der Browser das Cookie automatisch an den Server zurück. So kann die Website den Browser wiedererkennen und sich Informationen merken: bevorzugte Sprache, Inhalt des Warenkorbs, Anmeldesitzung oder eine Tracking-Kennung.

Cookies gibt es, weil das HTTP-Protokoll zustandslos ist: Jede Anfrage des Browsers ist unabhängig, und ohne einen Speichermechanismus würde eine Website Sie zwischen zwei Klicks vergessen. Cookies sind der Standardweg, diesen Zustand zu erhalten.

Der Begriff wurde 1994 von Lou Montulli geprägt, einem Entwickler bei Netscape, in Anlehnung an das "Magic Cookie" der Unix-Programmierung, ein zwischen Programmen ausgetauschtes Token. Später wurde der Mechanismus von der IETF standardisiert; die aktuelle Referenz ist RFC 6265.

In Rechtstexten umfasst das Wort mehr als das technische Cookie. Die europäische ePrivacy-Richtlinie spricht von jeder Information, die auf dem Endgerät des Nutzers gespeichert oder von dort ausgelesen wird. In Deutschland setzt § 25 TDDDG (früher TTDSG) diese Regel um und gilt ebenso für Local Storage, Pixel und Fingerprinting.

Wie funktionieren Cookies?

Schritt für Schritt

1. Sie besuchen beispiel.de. Die Antwort des Servers enthält einen Header Set-Cookie, zum Beispiel Set-Cookie: lang=de; Max-Age=31536000; Secure; SameSite=Lax.
2. Ihr Browser speichert das Cookie, verknüpft mit der Domain beispiel.de.
3. Bei jeder weiteren Anfrage an beispiel.de fügt der Browser einen Header Cookie: lang=de hinzu. Der Server liest ihn und zeigt die Seite auf Deutsch.
4. JavaScript auf der Seite kann Cookies auch über document.cookie lesen und schreiben, sofern das Cookie nicht als HttpOnly markiert ist. So erzeugen die meisten Analyse- und Werbeskripte ihre Cookies.

Was ein Cookie enthält

Ein Cookie besteht aus einem Namen und einem Wert sowie Attributen, die dem Browser sagen, wie er es behandeln soll:

• Domain und Path: welche Websites und Seiten das Cookie erhalten.
• Expires oder Max-Age: wann das Cookie gelöscht wird. Ohne diese Angaben ist es ein Session-Cookie.
• Secure: Das Cookie wird nur über HTTPS gesendet.
• HttpOnly: Das Cookie ist für JavaScript unsichtbar, was Session-Cookies vor Diebstahl durch schädliche Skripte schützt.
• SameSite: ob das Cookie mit Anfragen von anderen Websites gesendet wird (Strict, Lax oder None). Chrome behandelt Cookies ohne dieses Attribut als Lax.

Der Wert ist meist eine zufällige Kennung statt lesbarer Daten. Ein Google-Analytics-Cookie sieht aus wie _ga=GA1.1.1234567890.1700000000: eine Client-Kennung und ein Zeitstempel. Unser Artikel über die Cookies _ga, _gid und _gat erklärt, was jedes davon speichert. Browser müssen Cookies von mindestens 4.096 Byte akzeptieren: Ein Cookie enthält also nie eine große Datei und keinen ausführbaren Code.

Wofür werden Cookies verwendet?

Cookies erfüllen drei große Aufgaben:

• Sitzungsverwaltung: Sie angemeldet halten, sich Ihren Warenkorb merken, Formulare vor Betrug schützen. Ohne diese Cookies würden die meisten Websites nicht funktionieren.
• Personalisierung: Sprache, Währung, Region, Dark Mode, angesehene Produkte.
• Tracking: Reichweite messen, Verkäufe einer Werbekampagne zuordnen, Profile für gezielte Werbung erstellen, Sie auf anderen Websites erneut ansprechen.

Die erste Aufgabe dient direkt dem Besucher. Die letzte dient vor allem dem Website-Betreiber und seinen Partnern, und genau auf sie zielt das Datenschutzrecht.

Beispiele für Cookies, die Sie auf den meisten Websites finden

• PHPSESSID oder JSESSIONID: eine Sitzungskennung, die der Server (PHP oder Java) setzt, um Sie während eines Besuchs angemeldet zu halten. Unbedingt erforderlich.
• Ein Warenkorb-Cookie in einem Onlineshop, etwa cart bei Shopify: speichert die hinzugefügten Produkte. Unbedingt erforderlich.
• Das Einwilligungs-Cookie des Banners selbst: speichert Ihre Entscheidung, damit das Banner nicht erneut erscheint. Unbedingt erforderlich.
• __cf_bm: von Cloudflare gesetzt, um Menschen von Bots zu unterscheiden. Unbedingt erforderlich für die Sicherheit.
• _ga und _ga_<id>: Google-Analytics-Kennungen, standardmäßig bis zu zwei Jahre gespeichert. Statistik, Einwilligung erforderlich.
• _fbp: die Browser-Kennung des Meta Pixels, 90 Tage gespeichert. Marketing, Einwilligung erforderlich.
• IDE auf doubleclick.net: ein Werbe-Cookie von Google, als Third-Party gesetzt. Marketing, Einwilligung erforderlich.

Jedes davon hat einen Namen, eine Domain, eine Dauer und einen Zweck: die vier Angaben, die Ihre Cookie-Richtlinie auflisten muss.

Die Cookie-Arten

Cookies werden nach drei voneinander unabhängigen Kriterien eingeordnet. Ein einzelnes Cookie hat für jedes Kriterium einen Wert: Das Cookie _ga ist zum Beispiel First-Party, persistent und dient der Statistik.

First-Party- und Third-Party-Cookies

Ein First-Party-Cookie wird von der Domain gesetzt, die in der Adressleiste steht. Sind Sie auf beispiel.de, ist ein für beispiel.de erzeugtes Cookie First-Party, egal ob der Server oder ein Skript auf der Seite es gesetzt hat. Diese Cookies dienen Funktionen der Website, aber auch der eigenen Reichweitenmessung.

Ein Third-Party-Cookie wird für eine andere Domain gesetzt als die besuchte. Bindet beispiel.de ein Skript oder einen iframe von werbenetz.com ein, das ein Cookie für werbenetz.com schreibt, ist dieses Cookie Third-Party. Da dasselbe Third-Party-Cookie von jeder Website gesendet wird, die das Netzwerk einbindet, ermöglicht es websiteübergreifendes Tracking. Es ist die Cookie-Art, die Browser und Aufsichtsbehörden am genauesten prüfen.

Safari (mit Intelligent Tracking Prevention) und Firefox (mit Total Cookie Protection) blockieren oder isolieren Third-Party-Cookies bereits standardmäßig. Google Chrome plante lange, sie abzuschaffen, gab den Plan dann auf und lässt sie standardmäßig aktiviert. Unser Artikel über Google Privacy Sandbox und Third-Party-Cookies zeichnet diese Entwicklung nach und zeigt, was sie für die Einwilligung bedeutet.

Session-Cookies und persistente Cookies

Ein Session-Cookie hat kein Ablaufdatum. Es verschwindet am Ende der Browsersitzung, meist wenn Sie den Browser schließen. Es hält Sie während eines Besuchs angemeldet oder bewahrt Ihren Warenkorb.

Ein persistentes Cookie hat ein Ablaufdatum und überdauert das Schließen des Browsers, für Minuten oder Jahre. Es merkt sich Ihre Präferenzen, hält Sie wochenlang angemeldet oder erkennt Sie beim nächsten Besuch für Messung oder Werbung wieder. Browser begrenzen die Laufzeiten inzwischen: Chrome beschränkt neue Cookies auf 400 Tage, Safari begrenzt per JavaScript erzeugte Cookies auf höchstens 7 Tage.

Auch Aufsichtsbehörden setzen Höchstdauern für einwilligungspflichtige Tracker. Die französische CNIL empfiehlt 13 Monate, eine Regel, die wir in unserem Artikel zur Cookie-Speicherdauer und zur 13-Monats-Regel erläutern.

Cookie-Arten nach Zweck

Diese Einteilung verwendet Ihr Cookie-Banner, und sie entscheidet, ob eine Einwilligung nötig ist:

• Unbedingt erforderliche Cookies: Authentifizierung, Sicherheit, Lastverteilung, Warenkorb, Speicherung der Einwilligungsentscheidung selbst. Sie sind von der Einwilligung ausgenommen.
• Präferenz-Cookies (funktional): Sprache, Region, vom Nutzer gewählte Anzeigeoptionen. Sie sind nur ausgenommen, wenn sie für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind; sonst brauchen sie eine Einwilligung.
• Statistik-Cookies (Analyse): Besuche, aufgerufene Seiten, Verweildauer. Sie brauchen eine Einwilligung. In Deutschland gibt es keine allgemeine Ausnahme für Reichweitenmessung.
• Marketing-Cookies (Werbung): Targeting, Retargeting, Conversion-Tracking. Sie brauchen immer eine Einwilligung.

Eine ausführliche Darstellung mit Beispielen und den Regeln je Kategorie finden Sie in unserem Leitfaden zu den DSGVO-Cookie-Kategorien.

Weitere Begriffe, denen Sie begegnen

• Tracking-Cookies: umgangssprachlich für Cookies, die einen Nutzer über die Zeit oder über Websites hinweg verfolgen, meist Statistik- oder Marketing-Cookies.
• Cookies von Werbepixeln: Das Meta Pixel setzt _fbp und _fbc, um Besuche mit Anzeigenklicks zu verknüpfen. Unser Artikel über die Cookies _fbp und _fbc erklärt sie.
• Secure- und HttpOnly-Cookies: keine eigene Art, sondern Cookies mit diesen Sicherheitsattributen.
• Zombie-Cookies: Cookies, die nach dem Löschen durch den Nutzer aus einem anderen Speicher wiederhergestellt werden. Aufsichtsbehörden werten das als Umgehung der Nutzerentscheidung.

Cookies und andere Tracker: Local Storage, Pixel und Fingerprinting

Cookies sind nicht der einzige Weg, Informationen im Browser zu speichern oder auszulesen. Local Storage und Session Storage halten Daten im Browser, ohne sie mit jeder Anfrage zu senden. Tracking-Pixel sind winzige Bilder oder Skripte, die beim Laden einer Seite oder E-Mail eine Anfrage an einen Dritten senden. Fingerprinting kombiniert Merkmale von Browser und Gerät, um einen Nutzer zu erkennen, ohne etwas zu speichern.

Für das Recht spielt die Technik keine Rolle. Artikel 5 Absatz 3 der ePrivacy-Richtlinie und § 25 TDDDG erfassen jede Speicherung von Informationen auf dem Endgerät und jeden Zugriff auf bereits gespeicherte Informationen, und der Europäische Datenschutzausschuss hat in seinen Leitlinien 2/2023 bestätigt, dass dies auch für Pixel, Local Storage und ähnliche Techniken gilt. Ein Cookie durch Local Storage zu ersetzen, hebt die Einwilligungspflicht also nicht auf. Wenn Sie ohne Einwilligung messen wollen, finden Sie die Optionen und ihre Grenzen in unserem Leitfaden zu Cookieless Analytics.

Sind Cookies gefährlich?

Ein Cookie ist eine Textdatei: Es kann keinen Code ausführen, keinen Virus verbreiten und keine Dateien auf Ihrem Gerät lesen. Die Risiken liegen woanders:

• Privatsphäre: Third-Party- und Werbe-Cookies erlauben Unternehmen, ein Profil Ihres Surfverhaltens über viele Websites hinweg zu erstellen. Deshalb verlangt das europäische Recht Ihre Einwilligung.
• Session-Diebstahl: Stiehlt ein Angreifer ein Session-Cookie (über ein schädliches Skript oder ein ungesichertes Netzwerk), kann er sich auf der Website als Sie ausgeben. Die Attribute Secure und HttpOnly sollen das verhindern.
• Geteilte Geräte: Auf einem gemeinsam genutzten Computer halten persistente Anmelde-Cookies Konten für den nächsten Nutzer offen.

Regelmäßiges Löschen von Cookies begrenzt das Tracking, um den Preis, abgemeldet zu werden und Ihre Einstellungen zu verlieren.

Was passiert, wenn Sie Cookies akzeptieren oder ablehnen?

Klicken Sie auf "Alle akzeptieren", lädt die Website die angegebenen Analyse- und Werbeskripte, und diese setzen ihre Cookies. Ihr Besuch wird gemessen, und Werbenetzwerke können Ihren Browser auf anderen Websites wiedererkennen, um Ihnen gezielte Anzeigen zu zeigen.

Klicken Sie auf "Ablehnen", dürfen nur unbedingt erforderliche Cookies gesetzt werden. Die Website muss weiter funktionieren: Die Ablehnung darf den Zugang zu den Inhalten nicht sperren, abgesehen von den engen Fällen, die unser Artikel über Cookie Walls und ihre Alternativen behandelt. Die Website speichert Ihre Ablehnung, meist in einem erforderlichen Cookie, damit das Banner nicht auf jeder Seite erscheint.

Sie können Ihre Meinung jederzeit ändern: Die Website muss einen Link oder eine Schaltfläche anbieten, um die Cookie-Einstellungen erneut zu öffnen, und der Widerruf der Einwilligung muss so einfach sein wie ihre Erteilung. Viele Nutzer klicken, ohne zu lesen, weil sie überall Banner sehen; unser Artikel zur Consent Fatigue zeigt die Gründe und was Websites dagegen tun können.

Cookies im Browser ansehen und löschen

• Chrome: Einstellungen > Datenschutz und Sicherheit > Drittanbieter-Cookies für die Richtlinie, und "Browserdaten löschen", um Cookies zu entfernen. Für eine einzelne Website klicken Sie auf das Symbol links neben der Adressleiste, dann auf "Cookies und Websitedaten".
• Safari (Mac): Einstellungen > Datenschutz > Websitedaten verwalten. Auf dem iPhone: Einstellungen > Apps > Safari > Erweitert > Websitedaten.
• Firefox: Einstellungen > Datenschutz & Sicherheit > Cookies und Website-Daten > Daten verwalten.
• Edge: Einstellungen > Cookies und Websiteberechtigungen > Cookies und Websitedaten verwalten und löschen.

Auf dem Smartphone funktionieren Cookies genau wie auf dem Computer: Jeder Browser und jeder in eine App eingebaute Browser hat eigene Cookies. Apps nutzen zusätzlich Werbe-IDs, die die Cookie-Einstellungen nicht abdecken.

Um die Cookies der aktuellen Website zu sehen, öffnen Sie die Entwicklertools (F12) und dann den Tab Anwendung (Chrome, Edge) oder Speicher (Firefox, Safari).

Was Cookies für Website-Betreiber bedeuten

Der rechtliche Rahmen

In der Europäischen Union gelten zwei Regelwerke zusammen. Die ePrivacy-Richtlinie (Artikel 5 Absatz 3), in Deutschland durch § 25 TDDDG umgesetzt, verlangt eine vorherige Einwilligung für das Speichern oder Auslesen jedes nicht erforderlichen Trackers. Die DSGVO definiert, was eine wirksame Einwilligung ist: freiwillig, für den bestimmten Fall, informiert, unmissverständlich, durch eine eindeutige bestätigende Handlung erteilt und so leicht zu widerrufen wie zu erteilen. Unser Artikel zu den Voraussetzungen einer wirksamen DSGVO-Einwilligung erklärt jede einzelne. Die Datenschutzkonferenz (DSK) hat ihre Sicht in der Orientierungshilfe für Anbieter digitaler Dienste dargelegt.

Die Aufsichtsbehörden setzen diese Regeln durch. Die CNIL in Frankreich, die AEPD in Spanien und deutsche Datenschutzbehörden haben Unternehmen sanktioniert, die Cookies vor der Einwilligung gesetzt oder die Ablehnung schwerer gemacht haben als die Zustimmung; siehe unseren Überblick über CNIL-Bußgelder wegen Cookies. Außerhalb Europas unterscheiden sich die Gesetze: Der kalifornische CCPA setzt überwiegend auf ein Widerspruchsmodell, wie unser Vergleich von CCPA und DSGVO zeigt.

Was Sie in der Praxis brauchen

Sie wissen nicht, ob Ihre eigene Website ein Banner braucht? Unser Artikel Brauche ich ein Cookie-Banner? beantwortet das Fall für Fall. Setzt Ihre Website auch nur ein nicht erforderliches Cookie, brauchen Sie:

• ein Verzeichnis aller Cookies und Tracker Ihrer Website, einschließlich derer aus eingebetteten Inhalten;
• eine Consent-Management-Plattform (CMP) und ein DSGVO-konformes Cookie-Banner, das nicht erforderliche Cookies bis zur Zustimmung blockiert, mit einer Ablehnung, die so sichtbar ist wie die Zustimmung;
• eine Cookie-Richtlinie, die jedes Cookie mit Zweck und Dauer auflistet;
• einen Nachweis der Einwilligung, den Sie einer Aufsichtsbehörde vorlegen können.

Der erste Schritt ist immer die Bestandsaufnahme. Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt: Er listet jedes Cookie, seine Domain und ob es vor der Einwilligung erscheint. Für eine gründlichere Prüfung liefert unser Leitfaden zum Cookie-Audit einer Website die vollständige Methode.

Eingebettete Inhalte und gängige Tools

Viele Cookies stammen aus Tools, die Sie nicht selbst geschrieben haben:

• YouTube-Videos setzen Cookies, sobald der Player lädt; unser Leitfaden zu youtube-nocookie und Videos ohne Cookies zeigt, wie Sie sie reduzieren.
• Google Analytics setzt First-Party-Cookies, sendet die Daten aber an Google; siehe Ist Google Analytics DSGVO-konform?. Wenn Sie auch Google Ads nutzen, gelangt die Einwilligungsentscheidung über Google Consent Mode v2 zu den Google-Tags.
• Matomo kann unter strengen Bedingungen so konfiguriert werden, dass es in Frankreich von der Einwilligung ausgenommen ist; in Deutschland ist die Lage strenger, siehe Matomo und Cookies.
• Karten, Chat-Widgets und Social-Media-Buttons setzen Third-Party-Cookies, die Ihr Banner ebenfalls abdecken muss.

Verbreitete Irrtümer über Cookies

"Cookies sind Viren." Ein Cookie kann keinen Code ausführen. Das Thema ist die Nutzung der Daten, die es ermöglicht.

"First-Party-Cookies brauchen nie eine Einwilligung." Das Google-Analytics-Cookie _ga ist First-Party und braucht trotzdem eine Einwilligung, weil es der Messung dient und die Daten an Google gehen. Der Zweck entscheidet, nicht die Herkunft.

"Session-Cookies sind ausgenommen." Ein Session-Cookie für Werbung braucht eine Einwilligung, auch wenn es beim Schließen des Browsers verschwindet. Auch die Lebensdauer entscheidet nicht.

"Wer Cookies durch Local Storage ersetzt, braucht kein Banner." Falsch: Die Regel von § 25 TDDDG erfasst jede Speicherung auf dem Endgerät.

"Ein Banner reicht." Ein Banner, das erscheint, aber Cookies vor der Entscheidung laden lässt, ist nicht konform. Das Blockieren vor der Einwilligung ist die Kernanforderung.

"Kontrolliert werden nur große Websites." Aufsichtsbehörden handeln auf Beschwerden und prüfen Websites jeder Größe.

Checkliste: Cookies auf Ihrer Website verwalten

1. Ihre Website scannen, um jedes Cookie und jeden Tracker mit Domain und Laufzeit zu erfassen.
2. Jedes Cookie nach Herkunft (First-Party oder Third-Party), Dauer (Session oder persistent) und Zweck einordnen.
3. Die unbedingt erforderlichen Cookies bestimmen, die einzigen ohne Einwilligungspflicht.
4. Ihre CMP so konfigurieren, dass sie jedes nicht erforderliche Cookie vor der Einwilligung blockiert.
5. Eingebettete Inhalte abdecken: Videos, Karten, Widgets, Social-Media-Buttons.
6. Für einwilligungspflichtige Tracker Speicherfristen von höchstens 13 Monaten festlegen.
7. Eine Cookie-Richtlinie veröffentlichen und den Nachweis jeder Einwilligung aufbewahren.
8. Mit den Entwicklertools des Browsers prüfen, dass vor einer Entscheidung nichts Nicht-Erforderliches gesetzt wird, und bei jedem neuen Skript erneut scannen.

Wie FlowConsent die Cookies Ihrer Website verwaltet

FlowConsent beginnt dort, wo dieser Artikel endet: bei der Bestandsaufnahme. Der automatische Scan erkennt die Cookies und Tracker, die Ihre Website tatsächlich setzt, die Cookie-Liste für Besucher wird aus Ihren aktiven Diensten und deren Kategorien erzeugt, und eine Warnung meldet jedes Cookie, das der Scan beobachtet, Ihr Banner aber nicht deklariert. Das Banner blockiert dann jedes nicht erforderliche Skript vor der Einwilligung, übermittelt die Entscheidung über Consent Mode v2 an die Google-Tags und speichert einen exportierbaren Nachweis jeder Einwilligung, gehostet in Europa. Die Installation dauert etwa zehn Minuten auf Webflow, WordPress, Shopify, Wix, Framer oder über GTM, und FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos. Die Dokumentation zur Cookie-Erklärung erklärt, wie das Verzeichnis aktuell bleibt, und die Anleitung für den Einstieg führt Sie durch die Einrichtung.