Cookieless Tracking: Alternativen zur klassischen Cookie-basierten Analyse

Die Ära des unkontrollierten Third-Party-Cookie-Trackings nähert sich dem Ende. Browser schränken Drittanbieter-Cookies schrittweise ein, Einwilligungsraten für optionale Cookies liegen in vielen Branchen zwischen 30 und 60 Prozent. Websitebetreiber suchen nach Alternativen, die sowohl technisch funktionieren als auch datenschutzrechtlich vertretbar sind.

Dieser Ratgeber stellt die wichtigsten Ansätze vor und bewertet sie nüchtern.

Warum Third-Party-Cookies verschwinden

Google Chrome hat den vollständigen Ausstieg aus Third-Party-Cookies mehrfach verschoben, ihn aber als technische Ausrichtung beibehalten. Firefox und Safari blockieren Third-Party-Cookies bereits seit Jahren standardmäßig. Die Kombination aus Browserbeschränkungen und gestiegenen Einwilligungsanforderungen durch die DSGVO hat die Reichweite klassischer Cookie-basierter Werbenetzwerke deutlich eingeschränkt.

Für Websitebetreiber bedeutet das: Reine First-Party-Analyse mit Einwilligung bleibt vorerst möglich, aber webseitenübergreifendes Tracking wird schwieriger.

Server-side Tracking

Beim klassischen clientseitigen Tracking sendet ein JavaScript-Tag im Browser des Nutzers Daten direkt an einen Analyse-Dienst. Beim serverseitigen Tracking übernimmt der eigene Webserver diese Aufgabe.

Der Ablauf: Der Browser sendet Daten an den eigenen Server. Der Server filtert, anonymisiert und leitet relevante Informationen an den Analyse-Dienst weiter. Das Tracking-Tag läuft nicht im Browser, sondern auf dem Server.

Vorteile: Werbeblocker und Browser-Restriktionen greifen nicht mehr, weil kein fremdes JavaScript im Browser läuft. Betreiber haben mehr Kontrolle darüber, welche Daten weitergegeben werden.

Datenschutzrechtliche Bewertung: Server-side Tracking ist kein Freifahrtschein. Wenn der Server IP-Adressen oder andere personenbezogene Daten verarbeitet und an Dritte weitergibt, gelten dieselben Anforderungen wie beim clientseitigen Tracking. Ohne Anonymisierung und ohne Einwilligung ist auch serverseitiges Tracking problematisch.

Browser-Fingerprinting

Fingerprinting nutzt technische Merkmale des Browsers und Geräts, um Nutzer wiederzuerkennen, ohne einen Cookie zu setzen. Einbezogen werden Faktoren wie installierte Schriftarten, Browserversion, Bildschirmauflösung, Zeitzone, Spracheinstellungen und GPU-Rendering-Charakteristika.

Die Kombination dieser Merkmale ergibt einen statistisch einzigartigen Fingerabdruck, der in vielen Fällen eine zuverlässige Wiedererkennung des Nutzers über Sitzungen hinweg ermöglicht.

Datenschutzrechtliche Bewertung: Fingerprinting ist datenschutzrechtlich besonders kritisch zu sehen. Die Datenschutzkonferenz hat in einem Hinweis von 2021 klargestellt, dass Fingerprinting als Verarbeitung personenbezogener Daten gilt und dieselben Anforderungen wie Cookie-Tracking erfüllen muss. Das bedeutet: Einwilligung erforderlich, Informationspflicht, Widerrufsmöglichkeit. Fingerprinting ohne Einwilligung ist in Deutschland nicht zulässig.

Datenschutzfreundliche Analyse-Alternativen

Eine pragmatischere Alternative zu Google Analytics sind Tools, die von Grund auf datenschutzfreundlich konzipiert sind.

Matomo (selbstgehostet): Matomo kann auf dem eigenen Server betrieben werden, sodass keine Daten an Dritte übertragen werden. Mit aktivierter IP-Anonymisierung, deaktivierten Tracking-Cookies und dem Privacy-Mode kann Matomo in einer Konfiguration betrieben werden, die nach Einschätzung des Herstellers und mancher Datenschutzbehörden keine Einwilligung erfordert. Eine individuelle rechtliche Prüfung bleibt aber ratsam.

Fathom Analytics / Plausible Analytics: Diese Tools speichern keine personenbezogenen Daten, setzen keine Cookies und erstellen keine Nutzerprofile. Die Analyse basiert auf aggregierten Werten: Seitenaufrufe, Verweildauer, Referrer-Quellen ohne individuelle Zuordnung. Beide Tools werden in der Datenschutz-Community als einwilligungsfreie Optionen diskutiert.

Etracker (DSGVO-konform): Etracker ist ein deutsches Analyse-Tool, das von der Hamburger Datenschutzbehörde in einer bestimmten Konfiguration als einwilligungsfrei eingestuft wurde. Die Lösung nutzt pseudonyme Sitzungs-IDs ohne persistente Cookies und überträgt keine Daten in Drittländer.

First-Party-Daten und serverseitige Auswertung

Ein wachsender Ansatz in größeren Unternehmen ist die Stärkung der eigenen First-Party-Datenbasis. Anstatt auf Drittanbieter-Tracking zu setzen, werden Interaktionen auf der eigenen Website in der eigenen Datenbank gespeichert und ausgewertet.

Voraussetzung ist eine ordnungsgemäße Einwilligung für die Datenerhebung und eine transparente Datenschutzerklärung. Der Vorteil: Die Daten verbleiben unter vollständiger Kontrolle des Betreibers und werden nicht an externe Dienste übertragen.

Modellierung und Attribution ohne User-Tracking

Google und andere Werbeplattformen bieten verstärkt modellierungsbasierte Ansätze an, die aggregierte Signale anstelle individueller Nutzerprofile verwenden. Google Consent Mode v2 ist ein Beispiel: Wenn keine Einwilligung vorliegt, werden anonyme Ping-Signale gesendet, aus denen Google statistische Conversion-Schätzungen ableitet.

Diese Modelle liefern keine exakten Zahlen, sondern Schätzwerte. Für die Budgetoptimierung in der Werbung sind sie dennoch nützlich, da sie einen Anhaltspunkt geben, wo Nutzer die Customer Journey verlassen haben.

Den richtigen Generator nutzen

Wer auf datenschutzfreundliche Analyse umsteigt, braucht dennoch einen sorgfältig konfigurierten Cookie-Banner für alle noch verbleibenden Cookies wie Funktions- oder Marketing-Cookies. Der Generator auf dieser Seite unterstützt dabei, nur die tatsächlich gesetzten Kategorien auszuweisen und keine unnötigen Einwilligungsabfragen zu erzeugen.

Zusammenfassung

Cookieless Tracking ist kein Synonym für datenschutzfreies Tracking. Server-side Tracking und Fingerprinting unterliegen denselben rechtlichen Anforderungen wie Cookie-Tracking, wenn personenbezogene Daten verarbeitet werden. Die praktisch vielversprechendsten Alternativen sind datenschutzfreundliche Analyse-Tools wie Matomo (selbstgehostet), Plausible oder Etracker, die ohne Drittlandübermittlung und teilweise ohne Einwilligungserfordernis betrieben werden können. Werbeplattform-eigene Modellierungsansätze wie Consent Mode v2 ergänzen dieses Bild für Betreiber mit Werbebudgets.