Cookie

Cookies sind kleine Textdateien, die Websites im Browser speichern – für Warenkorb, Login, Einstellungen oder Tracking. Man unterscheidet First- und Third-Party-Cookies. In der EU sind ohne Einwilligung nur technisch notwendige Cookies erlaubt.

Ein Cookie ist im Internet eine kleine Textdatei, die eine Website im Browser des Nutzers speichert. Sie enthält Informationen wie eine Sitzungs-ID, Einstellungen oder eine Kennung zur Wiedererkennung sowie ein Ablaufdatum. Bei späteren Aufrufen sendet der Browser den Cookie an die Website zurück. Manche Cookies werden beim Schließen des Browsers gelöscht (Session-Cookies), andere bleiben für eine festgelegte Dauer gespeichert (persistente Cookies).

Entwickelt wurde die Technologie 1994 vom US-amerikanischen Programmierer Lou Montulli bei Netscape. Er suchte nach einer Lösung, damit sich Websites an Besucher erinnern können – etwa an den Inhalt eines Warenkorbs. Den Namen leitete er vom Begriff „magic cookie“ ab, mit dem Programmierer schon zuvor kleine Datenpakete zur Identifikation bezeichneten.

First-Party- und Third-Party-Cookies

Man unterscheidet zwei Arten. First-Party-Cookies setzt die Website, die der Nutzer gerade besucht – etwa für den Warenkorb, den Login oder die eigene Webanalyse. Third-Party-Cookies stammen dagegen von anderen Domains, zum Beispiel von Werbenetzwerken. Sie werden unter anderem für Retargeting genutzt: Der Besucher wird markiert und bekommt später auf anderen Websites passende Werbung angezeigt.

Nutzen und Kritik

Cookies erleichtern die Nutzung vieler Websites: Sie halten Nutzer angemeldet, speichern Einstellungen und sorgen im Onlineshop dafür, dass der Warenkorb erhalten bleibt. Gleichzeitig werden sie eingesetzt, um das Verhalten von Nutzern über längere Zeit und über mehrere Websites hinweg nachzuvollziehen. Genau daran setzt die Kritik an: Datenschützer sehen darin einen erheblichen Eingriff in die Privatsphäre. Deshalb müssen Nutzer heute selbst entscheiden können, welchen Cookies sie zustimmen – und eine Ablehnung muss genauso einfach möglich sein wie die Zustimmung.

Manipulative Methoden: unerwünscht!

Durch die eindeutige Wiedererkennung des Browsers können Websites Nutzer verfolgen (Tracking) und ihnen gezielt Werbung ausspielen. Auch Besuche auf verschiedenen Websites lassen sich so einem Nutzer zuordnen. Unseriöse Anbieter setzen Cookies zudem manipulativ ein, etwa beim Cookie-Dropping im Affiliate Marketing, bei dem Provisions-Cookies ohne echten Klick gesetzt werden. Auch deshalb beschloss die Europäische Union 2009 die sogenannte Cookie-Richtlinie (2009/136/EG) als Teil der ePrivacy-Regeln.

DSGVO, TDDDG und Co.: die aktuelle Rechtslage in Deutschland

Neben der ePrivacy-Richtlinie regelt seit 2018 die Datenschutz-Grundverordnung (DSGVO) den Umgang mit personenbezogenen Daten in der EU. Für Cookies gilt: Ohne Einwilligung sind nur Cookies erlaubt, die für den Betrieb der Website unbedingt erforderlich sind, etwa für den Warenkorb oder die Sicherheit. Für alle weiteren – zum Beispiel für Webanalyse oder Werbung – braucht es eine aktive Einwilligung (Opt-in). Der Nutzer muss vorher verständlich informiert werden und seine Zustimmung bewusst erteilen; vorausgefüllte Häkchen genügen nicht.

Auf dieser Grundlage entschied der Bundesgerichtshof (BGH) 2020 im Fall „Planet49“, dass Cookies für Werbung und Analyse nur mit aktiver Einwilligung gesetzt werden dürfen. Seit dem 1. Dezember 2021 schreibt das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) diese Pflicht ausdrücklich vor; seit Mai 2024 heißt es Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Google Chrome und Third-Party-Cookies: Wie sieht die Zukunft aus?

Google hatte jahrelang angekündigt, Third-Party-Cookies in Chrome abzuschaffen und durch die „Privacy Sandbox“ mit Schnittstellen wie der Topics API zu ersetzen. 2024 und 2025 rückte Google davon ab: Third-Party-Cookies bleiben in Chrome erhalten, und die meisten Privacy-Sandbox-Technologien wurden wieder eingestellt. Safari und Firefox blockieren Third-Party-Cookies dagegen schon seit Jahren standardmäßig. Für Onlineshops heißt das: Wer sich auf Third-Party-Daten verlässt, verliert einen wachsenden Teil der Messdaten. Robuster sind First-Party-Daten und serverseitiges Tracking – das sollte schon bei der Shop-Erstellung mitgedacht werden.