Cookie

Ein Cookie ist eine kleine Textinformation, die ein Webserver beim Besuch einer Webseite über den HTTP-Antwort-Header Set-Cookie an den Browser sendet. Der Browser speichert das Cookie lokal und schickt es bei jeder weiteren Anfrage an die gleiche Domain automatisch zurück. So lässt sich ein Nutzer über mehrere Seitenaufrufe hinweg wiedererkennen, sein Login-Status halten oder eine Spracheinstellung merken – obwohl HTTP von Hause aus zustandslos ist. Cookies sind seit den 1990ern fester Teil des Webs, stehen heute aber stark im Spannungsfeld zwischen Personalisierung, Tracking und Datenschutz.

Wie funktioniert ein Cookie?

Cookies leben im HTTP-Protokoll. Wenn ein Besucher eine Seite aufruft, antwortet der Server zusätzlich zur HTML-Seite mit einem Set-Cookie-Header:

Set-Cookie: sessionId=abc123; Path=/; Secure; HttpOnly; SameSite=Lax

Der Browser legt das Cookie in seinem Cookie-Speicher ab, geordnet nach Domain. Bei jeder folgenden Anfrage an dieselbe Domain hängt er den Header Cookie: sessionId=abc123 automatisch an. So weiß der Server, welcher Nutzer gerade unterwegs ist – ohne dass dieser sich bei jedem Klick neu identifizieren muss.

Cookies sind klein: pro Datei sind 4 KB üblich, pro Domain hält der Browser typischerweise um die 50 Cookies. Sie werden ausschließlich vom Browser verwaltet – der Server kann nur “vorschlagen” (Set-Cookie), entschieden wird auf dem Client.

Arten von Cookies

Session-Cookies vs. persistente Cookies

• Session-Cookies existieren nur, solange der Browser offen ist – ohne Expires- oder Max-Age-Attribut. Typisch für Warenkörbe, Login-Sessions, temporäre Filter.
• Persistente Cookies haben ein festes Verfallsdatum (Expires=Wed, 22 May 2027 12:00:00 GMT) und überleben Browser-Neustarts. Klassisch für „Angemeldet bleiben“-Funktionen oder Sprach-Voreinstellungen.

First-Party-Cookies vs. Third-Party-Cookies

• First-Party-Cookies stammen von der gleichen Domain wie die besuchte Seite – z. B. aceart.de setzt ein Cookie für aceart.de. Sie sind in der Regel notwendig oder hilfreich für die Funktion der Seite.
• Third-Party-Cookies werden von einer anderen Domain als der aktuell besuchten gesetzt – z. B. ein Werbenetzwerk auf einer eingebundenen Anzeige. Sie sind das technische Rückgrat des klassischen Cross-Site-Trackings und werden von modernen Browsern (Safari ITP, Firefox ETP, Chrome ab 2024 standardmäßig) zunehmend blockiert.

Funktional, Statistik, Marketing

Im DSGVO-Kontext werden Cookies meist in drei Kategorien eingeteilt:

Ohne wirksame Einwilligung dürfen nicht-notwendige Cookies nach DSGVO und TTDSG nicht gesetzt werden.

Bestandteile eines Cookies

Ein Cookie besteht aus mehr als nur Name und Wert – über zusätzliche Attribute steuert der Server Lebensdauer, Reichweite und Sicherheit:

• Name=Wert – der eigentliche Inhalt, z. B. sessionId=abc123
• Domain – welche Domain das Cookie zurückgesendet bekommt (.aceart.de schließt Subdomains ein)
• Path – auf welche URL-Pfade beschränkt (Path=/shop)
• Expires / Max-Age – Ablaufzeitpunkt oder Lebensdauer in Sekunden
• Secure – das Cookie wird nur über HTTPS gesendet (siehe SSL)
• HttpOnly – das Cookie ist nicht über document.cookie aus JavaScript lesbar, sondern nur über HTTP – schützt vor XSS-Diebstahl
• SameSite – steuert, ob das Cookie bei Cross-Site-Anfragen mitgeschickt wird (Strict, Lax, None). Schützt gegen CSRF-Angriffe

Eine moderne Default-Konfiguration für Login-Sessions sieht typischerweise so aus: Secure; HttpOnly; SameSite=Lax.

Cookies und DSGVO

Seit der DSGVO (2018) und der EuGH-Rechtsprechung „Planet49“ (2019) ist in Deutschland klar: Für alle Cookies, die nicht technisch zwingend für die Funktion der Seite nötig sind, muss eine aktive, informierte Einwilligung des Nutzers vorliegen. Reine Hinweisbanner („Mit der Nutzung dieser Webseite stimmen Sie Cookies zu“) reichen nicht aus.

Ein DSGVO-konformes Cookie-Banner erfüllt typischerweise:

• Kategorisierte Auswahl (notwendig / Statistik / Marketing) – keine vorausgewählten Checkboxen
• „Ablehnen“-Button gleichwertig zum „Akzeptieren“-Button
• Cookies dürfen erst nach Einwilligung gesetzt werden
• Einwilligung muss widerrufbar sein
• Speicherung des Consent-Status (Dauer: häufig 12 Monate, danach erneut nachfragen)

In Deutschland regelt zusätzlich das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) seit Dezember 2021 die rechtliche Lage rund um Cookies und ähnliche Speichermechanismen.

Cookies vs. Local Storage / Session Storage

Mit HTML5 kamen alternative Speichermechanismen im Browser dazu – sie ersetzen Cookies in vielen Anwendungsfällen:

Für reine Frontend-Zustände sind LocalStorage und SessionStorage meist die bessere Wahl – sie verschwenden keinen Bandbreite-Overhead bei jeder Anfrage. Für serverseitige Sessions führt aber kein Weg an Cookies vorbei.

Sicherheitsaspekte

Cookies sind ein begehrtes Angriffsziel, weil sie oft Auth-Tokens enthalten. Typische Risiken und ihre Gegenmaßnahmen:

• Cookie-Diebstahl per XSS → HttpOnly setzen, Inhalte gegen XSS härten
• Man-in-the-Middle in unverschlüsselten Netzen → Secure setzen, HSTS aktivieren
• Cross-Site-Request-Forgery (CSRF) → SameSite=Lax oder Strict, zusätzlich CSRF-Tokens
• Cookie-Hijacking → kurze Session-Lebensdauer, Token-Rotation, IP-/User-Agent-Bindung

Wie verwalte ich Cookies im Browser?

Jeder moderne Browser bietet Einstellungen für den Umgang mit Cookies:

• Alle Cookies blockieren – pragmatisch, aber bricht die meisten Webseiten
• Cookies beim Schließen löschen – guter Kompromiss für datenschutz­bewusste Nutzer
• Third-Party-Cookies blockieren – inzwischen Default in Safari und Firefox
• Pro Webseite entscheiden – über die Seiteneinstellungen im Browser

Aus Sicht eines Webseiten-Betreibers heißt das: Eine moderne Seite darf nicht davon ausgehen, dass Third-Party-Cookies verfügbar sind. Tracking und Analytics setzen zunehmend auf First-Party-Cookies und serverseitige Lösungen.

Häufige Fragen zu Cookies

Sind Cookies gefährlich? Cookies selbst sind reine Textinformationen – sie können keinen Code ausführen und keinen Virus enthalten. Gefährlich werden sie nur, wenn ein Cookie mit Auth-Token gestohlen wird (z. B. über XSS in einer schlecht gesicherten Webseite). Die Schutz-Attribute Secure, HttpOnly und SameSite adressieren genau das.

Wie lange lebt ein Cookie? Das entscheidet der Server beim Setzen via Expires oder Max-Age. Session-Cookies leben nur bis zum Schließen des Browsers, persistente Cookies bis zu ihrem Ablaufdatum oder bis der Nutzer sie manuell löscht.

Was passiert, wenn ich Cookies komplett deaktiviere? Login-Funktionen, Warenkörbe, Sprach-Auswahl und ähnliche personalisierte Features funktionieren nicht mehr oder „vergessen“ jeden Seitenaufruf den Zustand. Manche Webseiten verweigern in dem Fall den Zugang komplett.

Werden Cookies abgeschafft? Third-Party-Cookies werden Schritt für Schritt aus den großen Browsern verschwinden – Safari und Firefox blockieren sie bereits weitgehend, Chrome zieht nach. First-Party-Cookies bleiben dagegen das Rückgrat klassischer Web-Sessions und sind in absehbarer Zeit nicht ersetzbar.

Was ist der Unterschied zwischen Cookie-Banner und Consent Management Platform? Ein Cookie-Banner ist die sichtbare UI-Komponente, die nach Einwilligung fragt. Eine Consent Management Platform (CMP) wie Usercentrics, Cookiebot oder Borlabs steuert das Banner, speichert die Einwilligung, blockiert Skripte bis zur Zustimmung und liefert revisionssichere Protokolle.

Fazit

Cookies sind ein klassischer Web-Standard und gleichzeitig eines der am stärksten regulierten Speicherelemente im Browser. Wer eine Webseite betreibt, kommt an einer DSGVO-konformen Cookie-Verwaltung nicht vorbei – nicht zuletzt, weil unwirksame Einwilligungen schnell zu Abmahnungen führen können. Bei der Auswahl und Einrichtung einer CMP, beim Härten von Auth-Cookies oder beim Umstieg von Third-Party- auf First-Party-Tracking unterstützen wir dich gerne – melde dich für ein unverbindliches Beratungsgespräch.