Cookie-Arten im Überblick: Session, persistent, First- und Third-Party

Kaum ein Begriff begegnet Webseitenbetreibern heute häufiger als „Cookie” und doch herrscht über die verschiedenen Typen oft Unklarheit. Dabei ist das Verständnis der Cookie-Arten die Grundlage für jeden rechtskonformen Cookie-Banner.

Was ist ein Cookie technisch gesehen?

Ein Cookie ist eine kleine Textdatei, die ein Webserver an den Browser eines Besuchers sendet und dort gespeichert wird. Bei jedem weiteren Aufruf der gleichen Domain schickt der Browser diesen Cookie automatisch mit zurück. So kann der Server den Besucher wiedererkennen oder Zustandsinformationen zwischen einzelnen Seitenaufrufen aufrechterhalten.

Cookies enthalten typischerweise einen eindeutigen Bezeichner, einen Wert, eine Gültigkeitsdauer und Informationen darüber, für welche Domain und welchen Pfad sie gelten.

Session-Cookies und persistente Cookies

Die einfachste Unterscheidung betrifft die Lebensdauer eines Cookies.

Session-Cookies besitzen kein explizites Ablaufdatum. Sie existieren nur so lange, wie der Browser geöffnet ist. Sobald der Nutzer das Browserfenster schließt, werden sie automatisch gelöscht. Typische Anwendungsfälle sind Warenkörbe in Online-Shops, Login-Sitzungen und Formularzwischenspeicher.

Persistente Cookies dagegen haben ein definiertes Ablaufdatum, das der Server beim Setzen des Cookies mitgibt. Sie überleben das Schließen des Browsers und können je nach Konfiguration Tage, Monate oder sogar Jahre lang gespeichert bleiben. Präferenzeinstellungen wie Sprache oder Theme werden häufig als persistente Cookies gespeichert. Tracking- und Analyse-Cookies fallen ebenfalls in diese Kategorie.

Die Lebensdauer allein bestimmt jedoch nicht, ob eine Einwilligung erforderlich ist. Maßgeblich ist der Zweck.

First-Party- und Third-Party-Cookies

Eine zweite Unterscheidung betrifft den Ursprung des Cookies.

First-Party-Cookies werden von der Domain gesetzt, die der Nutzer gerade besucht. Ruft jemand beispiel.de auf, setzt der Server von beispiel.de den Cookie. Diese Cookies sind für grundlegende Websitefunktionen unverzichtbar.

Third-Party-Cookies stammen von einer anderen Domain als der aktuell besuchten. Eingebettete Werbeanzeigen, Social-Media-Schaltflächen oder Analyse-Skripte laden häufig Inhalte von externen Servern, die ihrerseits Cookies setzen. Ein Nutzer, der beispiel.de besucht, erhält dabei möglicherweise einen Cookie von werbenetzwerk.com. Dieser folgt ihm dann über verschiedene Webseiten hinweg und ermöglicht webseitenübergreifendes Tracking.

Gängige Browser schränken Third-Party-Cookies zunehmend ein. Safari und Firefox blockieren sie bereits standardmäßig, Chrome hat den vollständigen Ausstieg mehrfach verschoben, ihn aber als langfristiges Ziel beibehalten.

Die datenschutzrechtliche Dimension

Die DSGVO und die ePrivacy-Richtlinie unterscheiden nicht nach Cookie-Typen im technischen Sinne, sondern nach dem Zweck der Datenverarbeitung. Trotzdem ergibt sich aus der Kombination von Lebensdauer und Herkunft ein praktisches Raster.

Technisch notwendige Cookies dürfen ohne Einwilligung gesetzt werden, wenn sie für den Betrieb des Dienstes unbedingt erforderlich sind. Dazu zählen beispielsweise Session-Cookies für den Login oder den Warenkorb.

Alle anderen Cookies, also solche für Analyse, Marketing, Personalisierung oder webseitenübergreifendes Tracking, benötigen eine aktive Einwilligung des Nutzers, bevor sie gesetzt werden. Das gilt für persistente First-Party-Analyse-Cookies genauso wie für Third-Party-Tracking-Cookies.

Kategorien im Cookie-Banner

Aus diesen Grundunterscheidungen haben sich in der Praxis vier Kategorien etabliert, die in Cookie-Bannern verwendet werden:

Notwendig: Technisch unverzichtbare Cookies ohne Einwilligungserfordernis.

Präferenzen: Cookies, die Nutzereinstellungen speichern, zum Beispiel Sprache oder Schriftgröße.

Statistik / Analyse: Cookies, die das Nutzerverhalten erfassen, um Websiteanalysen zu erstellen.

Marketing: Cookies für zielgruppenspezifische Werbung und webseitenübergreifendes Tracking.

Mit dem Generator auf dieser Seite lassen sich diese Kategorien konfigurieren und ein rechtlich vollständiger Cookie-Banner erzeugen, der dem Nutzer die Wahl zwischen den Kategorien ermöglicht.

Besonderheiten bei Sub-Domains und mehreren Domains

Cookies können auf unterschiedliche Ebenen beschränkt werden. Ein Cookie mit der Domain .beispiel.de gilt für alle Sub-Domains wie shop.beispiel.de oder blog.beispiel.de. Ein Cookie mit der genauen Domain www.beispiel.de gilt dagegen nur für genau diese Sub-Domain.

Betreiber mehrerer Domains müssen beachten, dass Cookies, die auf einer Domain gesetzt wurden, auf einer anderen Domain nicht automatisch verfügbar sind. Werbenetzwerke umgehen das durch Redirects oder Pixel, die auf ihrer eigenen Domain Third-Party-Cookies setzen.

Cookies und Local Storage

Nicht alle Tracking-Mechanismen basieren auf Cookies im klassischen Sinne. Der Local Storage des Browsers, IndexedDB und Fingerprinting-Techniken erreichen ähnliche Effekte ohne HTTP-Cookie. Datenschutzrechtlich sind sie genauso zu behandeln wie Cookies, wenn sie personenbezogene Daten verarbeiten oder das Nutzungsverhalten nachverfolgen. Die ePrivacy-Richtlinie gilt für alle Formen des Zugriffs auf Endgeräte des Nutzers.

Zusammenfassung

Die technische Einordnung eines Cookies als Session- oder persistenter Cookie, als First- oder Third-Party-Cookie, liefert wichtige Hinweise darauf, ob eine Einwilligung erforderlich ist. Die endgültige datenschutzrechtliche Bewertung hängt jedoch immer vom Zweck der Datenverarbeitung ab. Wer seinen Cookie-Banner sauber aufstellt, ordnet jeden Cookie einer Kategorie zu, setzt ihn erst nach entsprechender Einwilligung und dokumentiert das Ganze nachvollziehbar.