Was ist eine Session-ID?
HTTP, die Sprache zwischen Browser und Server, merkt sich nichts. Ruft dein Browser fünf Seiten auf, sieht der Server fünf fremde Anfragen. Die Session-ID löst das Problem: Beim ersten Kontakt vergibt die Website eine zufällige Kennung, und der Browser schickt sie bei jeder weiteren Anfrage mit.
Das Wort meint im Marketing zwei verschiedene Dinge:
Beide zählen Besuche, sind technisch aber getrennte Welten. Wer sich im Shop einloggt, hat eine Server-Session-ID. Die von GA4 weiß davon nichts.
Die Session-ID in GA4
Beim Start einer Sitzung erzeugt GA4 zwei Werte: die ga_session_id und die ga_session_number, also die wievielte Sitzung dieses Browsers es ist. Die ID ist schlicht der Zeitstempel des Sitzungsstarts in Sekunden.
GA4-Regel
Standard
Sitzung endet nach
30 Min. Inaktivität
Höchstdauer
keine
Interaktion ab
10 Sekunden
Cookie _ga_…
2 Jahre
Der Timeout lässt sich im Datenstream ändern. Wichtig für alle, die von Universal Analytics kommen: GA4 startet keine neue Sitzung um Mitternacht und keine bei neuen Kampagnenparametern. Deshalb weichen die Sitzungszahlen ab.
Beispiele aus der Praxis
Zwei Rechenbeispiele mit den Standardwerten, damit du siehst, wie sich die Regeln auswirken.
Case A · GA4
Leserin mit Kaffeepause
35 Min.
Pause zwischen zwei Klicks
30 Min.
Timeout in GA4
GA4 zählt zwei Sitzungen mit zwei IDs
Die beiden ga_session_ids liegen rund 2.100 Sekunden auseinander. Mit 25 Minuten Pause wäre es eine Sitzung geblieben.
Case B · PHP-Shop
Warenkorb mit Standardeinstellung
32 Zeichen
Länge der PHPSESSID
24 Min.
Aufräumen nach Inaktivität
Rund 128 Bit Zufall, doppelt so viel wie das OWASP-Minimum
Die 24 Minuten liegen im Korridor, den OWASP für Anwendungen mit geringem Risiko nennt (15–30 Minuten).
Session-IDs in der URL
Ältere Shops hängen die Session-ID manchmal an die Adresse: ?sid=… oder ;jsessionid=…. Das ist doppelt schlecht.
- Für SEO: Jeder Besuch erzeugt eine neue URL mit demselben Inhalt. Google rät ausdrücklich, Session-IDs in URLs zu vermeiden und Cookies zu nehmen. Sonst verschwendet der Googlebot Zeit mit Duplikaten.
- Für die Sicherheit: Die ID landet in Server-Logs, im Browserverlauf und in geteilten Links. Wer sie hat, kann die Sitzung übernehmen.
PHP schaltet Session-IDs in URLs seit Langem standardmäßig ab. Seit PHP 8.4 gilt das Wiedereinschalten als veraltet. Prüf trotzdem mit einem Crawler, ob irgendwo noch solche Adressen auftauchen.
Was OWASP für Session-IDs verlangt
Das OWASP-Projekt ist so etwas wie der Industriestandard für Web-Sicherheit. Seine Empfehlungen für Session-IDs:
- Mindestens 64 Bit Zufall, bei eigenen IDs 128 Bit aus einem sicheren Zufallsgenerator
- Nach dem Login eine neue ID vergeben, sonst droht Session Fixation
- Cookies mit Secure, HttpOnly und SameSite markieren
- Inaktivität: 2–5 Minuten bei sensiblen, 15–30 Minuten bei unkritischen Anwendungen
In den OWASP Top 10:2025 stehen Fehler bei der Authentifizierung auf Platz 7. Als Beispiele nennt OWASP genau die Klassiker: Session-ID in der URL und dieselbe ID vor und nach dem Login.
Braucht ein Session-Cookie eine Einwilligung?
Nach § 25 TDDDG braucht jedes Speichern auf dem Endgerät eine Einwilligung, außer es ist unbedingt erforderlich für einen Dienst, den der Nutzer ausdrücklich will. Ein Login- oder Warenkorb-Cookie kann das sein. Laut Datenschutzkonferenz aber erst, wenn wirklich etwas im Warenkorb liegt, nicht schon beim Stöbern.
Häufige Fehler
Fehler 1 · „Session“ heißt einwilligungsfrei
Entscheidend ist der Zweck, nicht der Name. Das Cookie _ga_… speichert den Sitzungszustand, läuft aber zwei Jahre.
Fehler 2 · GA4-Zahlen mit UA vergleichen
GA4 zählt anders, ohne Neustart um Mitternacht und bei Kampagnenwechsel. Weniger Sitzungen heißen nicht automatisch weniger Besucher.
Fehler 3 · Session-IDs in URLs übersehen
Alte Shop-Module oder Affiliate-Systeme hängen manchmal noch IDs an. Ein Crawl mit Screaming Frog zeigt sie schnell.
Was tun?
Häufige Fragen
Was ist die ga_session_id in GA4?
Die Kennung, die GA4 beim Start einer Sitzung vergibt. Sie ist der Zeitstempel des Sitzungsstarts in Sekunden. Eindeutig wird eine Sitzung erst zusammen mit der user_pseudo_id.
Wann beginnt in GA4 eine neue Sitzung?
Nach 30 Minuten ohne Aktivität, diesen Wert kannst du im Datenstream ändern. Anders als in Universal Analytics startet GA4 keine neue Sitzung um Mitternacht oder bei neuen Kampagnenparametern.
Schaden Session-IDs in der URL dem Ranking?
Sie erzeugen viele Adressen mit demselben Inhalt, und Google crawlt dadurch ineffizient. Google rät, Session-IDs in URLs zu vermeiden und Cookies zu verwenden. Zusätzlich ist es ein Sicherheitsrisiko.
Ist ein Session-Cookie ohne Einwilligung erlaubt?
Nur, wenn es für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist, etwa für Login oder Warenkorb. Sitzungs-Cookies von Analyse-Tools brauchen in der Regel eine Einwilligung. Im Zweifel rechtlich prüfen lassen.
Was ist Session Hijacking?
Ein Angreifer stiehlt eine fremde Session-ID und übernimmt damit die Sitzung, zum Beispiel ein eingeloggtes Konto. Schutz bieten lange Zufalls-IDs, eine neue ID nach dem Login und Cookies mit Secure und HttpOnly.
