Was ist ein Cookie?
Ein Cookie ist ein kleines Datenstück, das ein Server an deinen Browser schickt. Der Browser speichert es und schickt es bei jedem weiteren Aufruf derselben Website wieder mit. So weiß die Website: Das ist derselbe Besucher wie eben.
Ohne Cookies wäre jeder Klick ein neuer Anfang. Der Warenkorb wäre nach dem Seitenwechsel leer, der Login weg. Ein Cookie ist dabei kein Programm und kein Virus, sondern ein kurzer Text aus Name und Wert, meist nur ein paar Byte groß.
Welche Arten von Cookies gibt es?
Art
Was sie ausmacht
Beispiel
Session-Cookie
wird am Ende der Sitzung gelöscht
Warenkorb vor dem Login
Dauerhaftes Cookie
hat ein Ablaufdatum, bleibt bis dahin
„Angemeldet bleiben“
First-Party-Cookie
gehört zur Website, die du besuchst
Analyse-Cookie „_ga“ von GA4
Third-Party-Cookie
kommt von einer fremden Domain
Werbe-Cookie über eingebettete Anzeigen
Wichtig fürs Marketing: Viele Tracking-Cookies sind First-Party. Google Analytics, Google Ads und das Meta-Pixel setzen ihre Kennungen unter deiner eigenen Domain. Laut Web Almanac 2025, einer Messung über die eine Million meistbesuchten Websites, sind rund 40 % der Cookies First-Party und 60 % Third-Party. Das GA4-Cookie „_ga“ steht dort auf rund 60 % der Websites.
Wie lange lebt ein Cookie?
So lange, wie der Server es festlegt — und der Browser es zulässt. Google gibt für das GA4-Cookie „_ga“ eine Standardlaufzeit von zwei Jahren an, für das Google-Ads-Cookie „_gcl_au“ 90 Tage. In der Praxis kappen die Browser:
- Chrome: höchstens 400 Tage.
- Safari: Per JavaScript gesetzte Cookies werden nach 7 Tagen ohne Besuch gelöscht. Kommt jemand über einen Link mit Tracking-Parametern, schon nach 24 Stunden. Third-Party-Cookies blockiert Safari ganz.
- Firefox: sperrt Cookies je Website in eine eigene „Keksdose“, damit sie nicht seitenübergreifend lesbar sind.
Case A · Online-Shop mit GA4
Rückkehr nach zehn Tagen
2 Jahre
Laufzeit „_ga“ laut Google
7 Tage
Grenze in Safari ohne Besuch
Wer per Safari nach zehn Tagen wiederkommt, zählt als neuer Nutzer
Deshalb wirken Nutzerzahlen in der Analyse oft höher und Kundenreisen kürzer, als sie sind.
Case B · Google Ads
Klick heute, Kauf in zwei Wochen
90 Tage
Laufzeit „_gcl_au“
24 Std.
Safari nach Klick mit Tracking-Link
Der Kauf lässt sich der Anzeige nicht mehr zuordnen
Die 24 Stunden gelten für per JavaScript gesetzte Cookies. Ein Grund, warum viele auf serverseitiges Tracking umsteigen.
Wann brauchst du eine Einwilligung?
In Deutschland regelt das § 25 TDDDG. Etwas auf dem Gerät des Besuchers speichern oder auslesen darfst du nur mit Einwilligung. Ausnahme: Es ist unbedingt erforderlich, damit du einen Dienst erbringen kannst, den der Besucher ausdrücklich will — etwa der Warenkorb oder der Login.
Entscheidend ist der Zweck, nicht die Herkunft. Auch ein First-Party-Cookie für Analyse oder Werbung braucht eine Einwilligung. Und die muss aktiv sein: Der Europäische Gerichtshof hat 2019 im Fall Planet49 entschieden, dass ein vorangekreuztes Häkchen nicht reicht. Der Bundesgerichtshof folgte 2020 für Cookies, die Nutzerprofile für Werbung ermöglichen. Die Abfrage organisiert eine Consent-Management-Plattform.
Und das Ende der Third-Party-Cookies?
Jahrelang hieß es, Chrome schaffe Third-Party-Cookies ab. Im April 2025 hat Google das abgesagt: Chrome behält sie, Nutzer können sie in den Einstellungen sperren. Im Oktober 2025 hat Google auch die meisten Ersatztechniken der „Privacy Sandbox“ eingestellt. Safari und Firefox blockieren oder trennen Third-Party-Cookies aber schon lange — für einen großen Teil deiner Besucher sind sie also längst weg.
Häufige Missverständnisse
„First-Party ist immer erlaubt“
Nein. Das Gesetz fragt, wofür ein Cookie da ist. Analyse- und Werbe-Cookies brauchen eine Einwilligung, egal unter welcher Domain sie liegen.
„Die Laufzeit im Banner stimmt auch so“
Die eingestellte Laufzeit ist eine Obergrenze. Safari und Chrome kürzen sie, oft drastisch.
„Ohne Cookies kein Tracking“
Auch Local Storage im Browser fällt unter dasselbe Gesetz. Wer Cookies durch andere Speicher ersetzt, um die Einwilligung zu umgehen, gewinnt nichts.
Häufige Fragen
Was ist ein Cookie einfach erklärt?
Ein kleiner Text, den eine Website in deinem Browser ablegt und beim nächsten Aufruf wieder ausliest. So erkennt sie dich wieder, zum Beispiel für den Warenkorb oder den Login.
Brauche ich für jedes Cookie eine Einwilligung?
Nein. Cookies, die unbedingt nötig sind, damit deine Website einen gewünschten Dienst erbringt, sind ohne Einwilligung erlaubt. Für Analyse und Werbung brauchst du sie (§ 25 TDDDG). Im Einzelfall lass dich beraten.
Was ist der Unterschied zwischen First-Party- und Third-Party-Cookies?
Ein First-Party-Cookie gehört zur Website, die du besuchst. Ein Third-Party-Cookie kommt von einer fremden Domain, etwa über eingebettete Werbung oder Videos.
Schafft Chrome Third-Party-Cookies ab?
Nein, Stand Oktober 2025. Google hat das im April 2025 abgesagt. Safari und Firefox blockieren oder trennen sie aber schon standardmäßig.
Kann ich Cookies selbst löschen?
Ja, in den Einstellungen deines Browsers unter Datenschutz oder Website-Daten. Die Entwicklertools zeigen außerdem jedes einzelne Cookie mit Laufzeit.
Quellen
- MDN Web Docs: HTTP-Cookies
- Google Analytics: Cookie-Nutzung
- Google: Cookies in der Werbung
- WebKit: Tracking Prevention
- Mozilla: Total Cookie Protection
- HTTP Archive: Web Almanac 2025, Cookies
- Google: Next steps for Privacy Sandbox
- Google: Update zu Privacy-Sandbox-Techniken
- § 25 TDDDG
- EuGH, Pressemitteilung 125/19 (Planet49)
- BGH, Pressemitteilung 67/2020
