Wie Sie die Cookies Ihrer Website prüfen, warum das für die DSGVO-Konformität zählt und was Sie mit den Ergebnissen tun sollten.
Ein Website-Betreiber installiert Google Analytics, fügt ein Live-Chat-Widget hinzu, bettet ein YouTube-Video ein und bindet ein Facebook Pixel an. Jedes dieser Tools funktioniert wie erwartet. Die Traffic-Daten erscheinen in den Dashboards. Das Chat-Widget begrüßt die Besucher. Die Videos laufen. Retargeting-Anzeigen folgen den Nutzern durchs Internet.
Was der Betreiber oft nicht weiß: Allein diese vier Tools können 20 bis 40 Cookies im Browser eines Besuchers ablegen, die meisten davon ohne sein ausdrückliches Wissen und ohne jede Konfiguration. Und nach der DSGVO und der EU-ePrivacy-Richtlinie ist der Website-Betreiber für jedes einzelne davon rechtlich verantwortlich.
Dieser Artikel erklärt, woher Cookies kommen, warum die meisten Website-Betreiber ihren Cookie-Bestand unterschätzen und wie Sie ein ordentliches Audit durchführen.
Woher kommen all diese Cookies?
Cookies auf einer Website stammen aus zwei Quellen.
First-Party-Cookies setzt die Website selbst (also die Domain, auf der sich der Besucher befindet). Dazu gehören typischerweise Session-Cookies (damit der Nutzer angemeldet bleibt), Spracheinstellungen, Warenkorbinhalte und ähnliche funktionale Daten. Die meisten First-Party-Cookies sind unproblematisch und fallen oft unter die Ausnahme für “unbedingt erforderliche” Cookies der DSGVO, brauchen also keine Einwilligung.
Third-Party-Cookies setzen externe Dienste, die in die Website eingebettet sind. Jedes Script-Tag, jedes Iframe und jedes Pixel, das Inhalte von einer anderen Domain lädt, kann eigene Cookies mitbringen. Der Website-Betreiber hat das Skript vielleicht bewusst eingebunden (für Analytics oder Werbung), aber welche Cookies das Skript genau erzeugt, bestimmt der Drittanbieter, nicht der Betreiber.
Genau hier beginnt das Problem. Ein einziges Google-Analytics-Skript erzeugt mehrere Cookies (_ga, _ga_*, _gid, _gat). Ein Facebook Pixel fügt eigene hinzu (_fbp, fr). Ein YouTube-Embed bringt Cookies von youtube.com und doubleclick.net mit. Ein Hotjar-Heatmap-Skript legt mehrere weitere an. Eine Anfrage an Google Fonts kann Cookies setzen. Ein reCAPTCHA-Widget erzeugt Cookies. Eine eingebettete Google-Karte erzeugt Cookies.
Die meisten Website-Betreiber wissen ungefähr, welche Tools sie nutzen. Nur sehr wenige kennen die genaue Liste der Cookies, die diese Tools erzeugen.
Warum das ein rechtliches Problem ist
Die EU-ePrivacy-Richtlinie (oft “Cookie-Gesetz” genannt) verlangt, dass Website-Betreiber eine informierte Einwilligung der Besucher einholen, bevor sie nicht notwendige Cookies in deren Browser ablegen. Die DSGVO verstärkt das, indem sie für die Verarbeitung personenbezogener Daten, die Cookies oft enthalten oder ermöglichen, eine Rechtsgrundlage (meist die Einwilligung) vorschreibt.
Für eine “informierte Einwilligung” gelten konkrete Anforderungen. Der Betreiber muss offenlegen, welche Cookies gesetzt werden, was jedes Cookie tut, wer es setzt (First-Party oder Third-Party), wie lange es bestehen bleibt und ob Daten in Drittländer übermittelt werden (insbesondere in die USA). Ein allgemeines Cookie-Banner mit dem Text “Diese Website verwendet Cookies. Klicken Sie auf OK, um fortzufahren” erfüllt diese Anforderungen nicht.
Die praktische Folge: Führt das Cookie-Banner nicht alle Cookies korrekt auf, die die Website tatsächlich setzt, ist die darüber eingeholte Einwilligung unwirksam. Die Website verarbeitet dann Daten ohne Rechtsgrundlage. Das ist kein theoretisches Risiko: Die französische Datenschutzbehörde CNIL hat bereits Bußgelder gezielt wegen fehlerhafter Cookie-Banner verhängt, und ähnliche Verfahren gab es in Deutschland, Belgien und Österreich.
Warum die manuelle Prüfung nicht zuverlässig ist
Manche Website-Betreiber versuchen, ihre Cookies von Hand zu prüfen: Sie öffnen die Entwicklertools des Browsers, wechseln zum Tab Application und sehen sich die dort aufgeführten Cookies an. Dieser Ansatz hat mehrere Schwächen.
Erstens verfälschen die Datenschutzfunktionen der Browser das Ergebnis. Safari blockiert die meisten Third-Party-Cookies standardmäßig. Firefox hat einen verbesserten Schutz vor Aktivitätenverfolgung, der bekannte Tracker blockiert. Chrome ändert sein Verhalten im Rahmen der Privacy-Sandbox-Initiative. Die Cookies, die ein Browser anzeigt, stimmen nicht unbedingt mit denen eines anderen Browsers überein.
Zweitens das Timing. Manche Cookies werden erst gesetzt, wenn der Nutzer mit der Seite interagiert, etwa beim Scrollen, beim Klick auf einen Button oder beim Abspielen eines Videos. Ein kurzer Blick auf die Cookies nach dem Laden der Seite übersieht diese.
Drittens der Umfang. Eine Website mit 50 Seiten kann auf verschiedenen Seiten unterschiedliche Cookies setzen, je nachdem, welche Widgets, Embeds und Skripte dort eingebunden sind. Wer nur die Startseite prüft, erhält eine unvollständige Bestandsaufnahme.
Viertens die Updates der Drittanbieter. Externe Skripte werden von CDNs geladen, die ihre Anbieter kontrollieren. Aktualisieren Google, Facebook oder Hotjar ihre Skripte, kann sich das Cookie-Verhalten ändern, ohne dass der Website-Betreiber etwas tut oder davon erfährt. Eine manuelle Prüfung vom letzten Monat bildet den aktuellen Stand womöglich nicht mehr ab.
So funktioniert ein Cookie-Scanner
Ein automatischer Cookie-Scanner löst diese Probleme, indem er einen echten Besuch der Website simuliert.
Der Scanner lädt die Seite in einem Headless-Browser: einer vollständigen Browser-Engine (meist Chromium), die ohne sichtbares Fenster auf einem Server läuft. Dieser Browser führt sämtliches JavaScript aus, lädt alle externen Skripte, rendert alle Iframes und wartet, bis alle Ressourcen geladen sind. Das Ergebnis entspricht genau dem, was ein echter Besucher erleben würde.
Sobald die Seite vollständig geladen ist, erfasst der Scanner über die internen APIs des Browsers alle Cookies. Dazu gehören First-Party- und Third-Party-Cookies, Session- und dauerhafte Cookies sowie alle Daten in localStorage oder sessionStorage.
Anschließend wird jedes Cookie anhand einer Datenbank bekannter Cookies klassifiziert. Weit verbreitete Cookies wie _ga (Google Analytics), _fbp (Facebook Pixel) oder __cf_bm (Cloudflare Bot Management) werden automatisch erkannt und eingeordnet. Unbekannte Cookies werden zur manuellen Prüfung markiert.
Das Ergebnis ist ein strukturierter Bericht, der jedes Cookie mit Name, Domain, Kategorie (notwendig, Analyse, Marketing, funktional), Typ (First-Party oder Third-Party), Laufzeit und Sicherheitsattributen (HTTPOnly, Secure, SameSite) auflistet.
Was Sie mit den Ergebnissen tun sollten
Ein Cookie-Scan-Bericht ist ein Compliance-Dokument. Er erfüllt sofort mehrere Zwecke.
Erstens zeigt er, ob das aktuelle Cookie-Banner korrekt ist. Nennt das Banner 12 Cookies, der Scan findet aber 38, ist der Einwilligungsmechanismus unvollständig. Dann muss das Banner aktualisiert werden, oder die überzähligen Cookies müssen weg.
Zweitens deckt er unnötige Cookies auf. Viele Websites schleppen Cookies von Tools mit sich herum, die einmal installiert und dann vergessen wurden: ein A/B-Test-Skript, das nicht mehr genutzt wird, ein Social-Sharing-Widget, das niemand anklickt, oder ein Analytics-Tool, das ersetzt, aber nie vollständig entfernt wurde. Jedes unnötige Cookie ist eine unnötige Compliance-Pflicht.
Drittens macht er Datenübermittlungen an Dritte sichtbar. Bei jedem Third-Party-Cookie werden Daten an einen externen Server gesendet. Steht dieser Server in den USA, löst die Übermittlung zusätzliche DSGVO-Pflichten aus, darunter das Erfordernis von Standardvertragsklauseln oder eines Angemessenheitsbeschlusses. Zu wissen, welche Third-Party-Cookies vorhanden sind, ist der erste Schritt, um zu prüfen, ob jede Übermittlung eine gültige Rechtsgrundlage hat.
Viertens liefert er die Grundlage für eine Cookie-Richtlinie. Die DSGVO verlangt eine klare und konkrete Beschreibung aller verwendeten Cookies. Ein Scan-Bericht enthält genau die Informationen, die Sie brauchen, um diese Richtlinie korrekt zu verfassen.
Das Problem mit Analytics-Cookies
Auf den meisten Websites bilden Analytics-Cookies die größte einzelne Gruppe nicht notwendiger Cookies. Google Analytics allein erzeugt pro Besucher mehrere Cookies mit einer Laufzeit von bis zu zwei Jahren. Kommen Hotjar, Mixpanel, Heap oder ähnliche Tools hinzu, vervielfacht sich das.
Diese Cookies gibt es, weil klassische Analytics-Tools sie brauchen, um wiederkehrende Besucher zu erkennen, Sitzungen zu verfolgen und Conversions zuzuordnen. Ohne Cookies funktionieren diese Tools nicht.
Daraus entsteht eine Kettenreaktion an Compliance-Aufwand. Analytics-Cookies erfordern eine Einwilligung. Die Einwilligung erfordert ein Cookie-Banner. Cookie-Banner führen dazu, dass 30 bis 40 Prozent der Besucher das Tracking ablehnen. Das Analytics-Tool sieht dann nur noch 60 bis 70 Prozent des tatsächlichen Traffics. Die Daten sind unvollständig, und das Marketingteam gleicht das mit weiteren Tracking-Tools aus, die weitere Cookies setzen und den Einwilligungsaufwand noch weiter erhöhen.
Cookielose Analytics-Plattformen durchbrechen diesen Kreislauf. Sie erkennen Besucher mit Methoden ohne Cookies (etwa datenschutzfreundlichem Fingerprinting oder sitzungsloser Aggregation) und erheben Analysedaten, ohne Cookies zu erzeugen. Keine Analytics-Cookies bedeutet weniger Cookies auf der Website insgesamt, ein einfacheres Einwilligungsbanner, höhere Zustimmungsraten und vollständigere Daten.
EuroMetrics ist eine solche Plattform. Es erfasst Seitenaufrufe, Traffic-Quellen, Gerätedaten und Kampagnenzuordnung, ohne ein einziges Cookie im Browser des Besuchers abzulegen. Wenn Ihr Scan viele Analytics-Cookies zeigt, ist der Wechsel zu einer cookielosen Analytics-Plattform oft die wirkungsvollste Einzelmaßnahme, sowohl für die Compliance als auch für die Datenqualität.
Wie oft Sie scannen sollten
Ein einmaliger Scan legt eine Ausgangsbasis fest, aber Websites verändern sich ständig. Jedes Plugin-Update, jedes neue Embed und jede Änderung an einem Drittanbieter-Skript kann beeinflussen, welche Cookies die Website setzt.
Ein sinnvoller Rhythmus für die meisten Unternehmen: direkt nach jeder größeren Änderung an der Website (neue Funktionen, neue Tools, Relaunch), vierteljährlich als routinemäßige Compliance-Prüfung und vor jedem behördlichen Audit oder jeder Datenschutz-Folgenabschätzung.
Für Agenturen, die mehrere Kunden-Websites betreuen, sind regelmäßige Cookie-Audits im Rahmen eines Compliance-Retainers eine naheliegende Ergänzung zu Webentwicklung und Marketing.
Scannen Sie Ihre Website jetzt
Der EuroMetrics Cookie Scanner ist kostenlos, erfordert keine Registrierung und läuft auf Servern in der EU. Geben Sie eine beliebige URL ein und erhalten Sie in Sekunden eine vollständige Cookie-Liste. Die Scanner-Seite selbst setzt keine Cookies.
Probieren Sie es aus unter eurometrics.eu/cookie-scanner.
Weitere Tools
Cookie Scanner: Prüfen Sie Cookies, Tracking-Skripte und Local Storage jeder Website. Kostenlos, ohne Registrierung.
https://eurometrics.eu/cookie-scanner
Website Speed Test: Testen Sie die Ladezeit Ihrer Seiten von europäischen Servern aus. Finden Sie die Skripte, die Ihre Website ausbremsen.
https://eurometrics.eu/speed-test
Campaign URL Builder: Erstellen Sie URLs mit UTM-Parametern für das Kampagnen-Tracking. Kostenloser UTM-Generator.
https://eurometrics.eu/campaign-url-builder
Cut2.eu: Kostenloser URL-Shortener mit Hosting in der EU. Kürzen Sie Kampagnenlinks ohne Tracking durch Dritte.
https://cut2.eu
EuroMetrics ist eine datenschutzfreundliche Web-Analytics-Plattform für europäische Unternehmen. Ohne Cookies, DSGVO-konform und vollständig in der EU gehostet. Starten Sie kostenlos unter eurometrics.eu.