Was Sie über Cookies wissen sollten

Cookies sind kleine Textdateien, die eine Website beim Aufruf im Browser des Nutzers ablegt. Ein Cookie speichert meist nur wenige Kilobyte, oft nicht mehr als 4 KB, reicht aber, um eine Sitzung, eine Spracheinstellung oder ein Login wiederzuerkennen. Der folgende Überblick zeigt, welche Cookie-Arten es gibt, wie sie technisch funktionieren und was Websitebetreiber in Deutschland und der EU dabei rechtlich beachten müssen.

Welche Cookie-Arten gibt es?

Cookies lassen sich nach Herkunft und nach Zweck unterscheiden. Nach Herkunft: First-Party-Cookies stammen von der Domain, die man gerade besucht, Third-Party-Cookies werden von einer anderen Domain gesetzt, meist von eingebundenen Werbenetzwerken oder Trackingdiensten. Nach Speicherdauer: Session-Cookies verschwinden, sobald der Browser geschlossen wird, persistente Cookies bleiben je nach Ablaufdatum Tage, Monate oder Jahre gespeichert.

Notwendige Cookies

Diese Cookies sind für den Betrieb der Website erforderlich, etwa um einen Login über mehrere Seitenaufrufe hinweg zu halten oder den Warenkorb in einem Shop zu füllen. Ohne sie brechen grundlegende Funktionen der Seite. Notwendige Cookies fallen nach der ePrivacy-Rechtsprechung unter eine Ausnahme von der Einwilligungspflicht.

Funktionale Cookies

Sie merken sich Nutzereinstellungen wie Sprache, Schriftgröße oder zuletzt angesehene Produkte. Die Website funktioniert auch ohne sie, wirkt aber unbequemer, weil jede Einstellung bei jedem Besuch neu gesetzt werden müsste.

Statistik- und Analyse-Cookies

Tools wie Matomo oder Google Analytics nutzen solche Cookies, um Seitenaufrufe, Verweildauer und Absprungraten zu messen. Die Daten fließen meist anonymisiert oder pseudonymisiert in Auswertungen ein, zählen rechtlich aber trotzdem als einwilligungspflichtig, sobald eine eindeutige Wiedererkennung möglich ist.

Marketing- und Werbe-Cookies

Diese Cookies verfolgen das Verhalten über mehrere Websites hinweg, um Nutzerprofile für personalisierte Werbung zu bilden. Genau dieser Cookietyp steht seit Jahren in der Kritik und ist von den aktuellen Entwicklungen bei Chrome am stärksten betroffen.

Wie hat sich die Lage bei Third-Party-Cookies zuletzt verändert?

Google hatte jahrelang angekündigt, Third-Party-Cookies in Chrome komplett abzuschaffen. Am 22. April 2025 kam die Kehrtwende: Google kündigte an, an Third-Party-Cookies festzuhalten, verzichtet aber auf ein separates Consent-Popup dafür im Browser. Nutzer verwalten die Einstellung stattdessen über die bestehenden Datenschutzoptionen von Chrome. Safari, Firefox und Brave blockieren Third-Party-Cookies dagegen schon seit Jahren standardmäßig, das betrifft schätzungsweise 17 bis 20 Prozent des weltweiten Webverkehrs. An der Notwendigkeit, First-Party-Daten aufzubauen, ändert Googles Entscheidung also wenig.

Wie funktioniert das technisch?

Beim ersten Seitenaufruf schickt der Server im HTTP-Header eine Set-Cookie-Anweisung mit, der Browser speichert Name, Wert, Ablaufdatum und Domain des Cookies lokal ab. Bei jedem weiteren Aufruf derselben Domain sendet der Browser das Cookie automatisch mit zurück, dadurch erkennt der Server den wiederkehrenden Besucher. Seit 2020 verlangt Chrome zusätzlich das Attribut SameSite, das festlegt, ob ein Cookie auch bei domainübergreifenden Anfragen mitgeschickt werden darf, das hat vor allem Third-Party-Tracking technisch erschwert.

Wie gefährlich sind Cookies wirklich?

Ein Cookie selbst ist keine ausführbare Datei und kann einen Rechner nicht infizieren. Das eigentliche Risiko liegt woanders: Wird ein Session-Cookie über eine unverschlüsselte Verbindung oder eine Sicherheitslücke abgegriffen, kann sich ein Angreifer damit als der Nutzer ausgeben, ohne Passwort zu kennen. Deshalb gehört das Secure-Flag, das ein Cookie nur über HTTPS überträgt, heute zum Standard bei seriösen Websites.

Cookies löschen und blockieren

In allen gängigen Browsern lassen sich Cookies über die Datenschutzeinstellungen löschen oder für einzelne Domains dauerhaft blockieren. Chrome, Firefox und Edge bieten dafür eigene Menüpunkte unter Datenschutz und Sicherheit, bei Safari liegt die Option unter den Website-Einstellungen. Wer alle Cookies pauschal blockiert, muss sich bei vielen Shops und Portalen bei jedem Besuch neu einloggen und Warenkörbe erneut befüllen.

Was schreibt das Gesetz vor?

In Deutschland regelt seit Dezember 2021 das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) die Einwilligungspflicht für Cookies, es setzt die EU-ePrivacy-Richtlinie um. Sobald ein Cookie nicht technisch notwendig ist, braucht die Website eine aktive, informierte Einwilligung, bevor es gesetzt wird, ein voreingestelltes Ja im Consent-Banner reicht dafür nicht. Werden über das Cookie personenbezogene Daten verarbeitet, greift zusätzlich die Datenschutzgrundverordnung mit ihren Anforderungen an Transparenz, Zweckbindung und Widerrufsmöglichkeit.

Häufige Fragen

Kann ein Cookie meinen Rechner beschädigen?
Nein. Ein Cookie ist eine reine Textdatei ohne Programmcode, sie kann nichts ausführen und keinen Rechner infizieren.

Welche Daten stecken in einem Cookie?
Meist eine Session-ID, Spracheinstellungen oder zuletzt angesehene Produkte. Erst in Kombination mit einem Login oder anderen Kennungen lassen sich daraus persönliche Profile bilden.

Wie lösche ich Cookies in meinem Browser?
Über die Datenschutzeinstellungen des jeweiligen Browsers, der genaue Menüpfad unterscheidet sich zwischen Chrome, Firefox, Safari und Edge.

Muss eine Website meine Zustimmung einholen, bevor sie Cookies setzt?
Für technisch notwendige Cookies nein, für alle anderen ja. Das schreibt in Deutschland das TTDSG vor, unabhängig davon, was einzelne Browserhersteller wie Google an ihren eigenen Voreinstellungen ändern.