Update vom 7. August 2024:
Es gibt neue Entwicklungen im Hinblick auf Googles Umgang mit Third-Party-Cookies.
Es sieht danach aus, als würden Third-Party-Cookies weiterhin genutzt werden, allerdings mit der Option für Nutzer, diese zu deaktivieren.
Google reagiert damit auf die Kritik von Werbetreibenden (die gern Third-Party-Cookies nutzen) und Regulierungsbehörden (die befürchtet haben, Google könne sich durch seine First-Party-Daten einen Vorteil verschaffen, wenn andere Unternehmen keine Third-Party-Daten mehr nutzen können).
Natürlich besteht das Risiko, dass Google seine Meinung noch einmal ändert oder Marketer sich aus anderen Gründen auf eine cookielose Zukunft einstellen müssen. Dementsprechend schadet es nicht, wenn Sie sich an die Empfehlung dieses Artikels halten und über Alternativen nachdenken. Dazu unten mehr.
Das Ende der Third-Party-Cookies steht bevor. Sogar Chrome wird sie bald blockieren. Wie können Sie als Marketer weiterhin relevante Daten sammeln und Ihre Zielgruppen effektiv ansprechen?
Sprach- und Designeinstellungen, gespeicherte Formulardaten, personalisierte Inhalte: Websites leisten heute viel, um Besuchern eine möglichst angenehme und individuelle Nutzererfahrung zu bieten. Im Zentrum dieser Anpassungen an die Nutzerpräferenzen stehen Cookies, die für bestimmte Formen von Informationsaustausch zwischen Website-Server und Nutzer-Browser sorgen.
Doch auch zu anderen Zwecken lassen sich Cookies nutzen: Sie können Plattformen und Marketern als Datenquellen dienen, wenn es darum geht, Nutzer zu identifizieren und ihr Verhalten zu analysieren.
Nun gibt es Einschränkungen im Hinblick auf Third-Party-Cookies: Die von Drittanbietern eingesetzten Cookies stehen aufgrund von Datenschutzbedenken zunehmend in der Kritik. Apple (Safari) und Mozilla (Firefox) haben bereits reagiert, indem sie Third-Party-Cookies blockieren. Auch für Chrome, den weltweit am häufigsten genutzten Browser, hat Google entsprechende Pläne. Die verzögern sich zwar immer wieder, doch 2025 soll es so weit sein.
Was das für Websitebetreiber bedeutet und welche Alternativen es gibt, klären wir in diesem Blogartikel.
Was sind Cookies?
Cookies sind kleine, textbasierte Dateien, die von Websites genutzt werden, um die Nutzererfahrung zu personalisieren und Informationen zu sammeln. Sie werden im Browser des Nutzers gespeichert und bei Bedarf abgerufen.
Im Marketing dienen Cookies oft der Identifikation von wiederkehrenden Websitebesuchern: Ein gesetzter Cookie zeigt an, dass der Nutzer bereits zuvor auf der Seite war. Das kann für Usability und Marketing relevant sein.
Darüber hinaus können Cookies vielfältige Informationen speichern, wie:
- Besuchsdatum und -zeit
- Besuchte Seiten
- Persönliche Einstellungen auf der Website, z.B. Dark Mode und Sprachauswahl
- Login-Status
- Inhalt des Warenkorbs
- Suchhistorie
- Daten aus ausgefüllten Formularen
Aus Datenschutzgründen dürfen Cookies, die über die essenziellen Funktionen einer Website hinausgehen, nur gespeichert werden, wenn der Nutzer seine explizite Zustimmung gibt. Meist erfolgt diese Zustimmung durch den Klick auf den „Akzeptieren“-Button eines Cookie-Banners (dementsprechend auch „Consent-Banner“).
Cookies lassen sich in verschiedene Kategorien einteilen, darunter First-, Second- und Third-Party-Cookies, die sich in ihrer Herkunft und ihrer Funktion unterscheiden.
Was sind First-Party-Cookies?
First-Party-Cookies werden direkt von der besuchten Website gesetzt und können nur von dieser abgerufen werden. Eine domainübergreifende Nutzung – etwa für ein interessen- oder produktbasiertes Retargeting – ist nicht möglich.
Die meisten First-Party-Cookies sind eng mit der Funktionalität einer Website verknüpft. Sie sind wichtig für verschiedene Formen der Personalisierung auf der Website, da sie Informationen wie Spracheinstellungen, den Login-Status oder den Inhalt des Warenkorbs speichern. Viele dieser Personalisierungen dienen der User Experience, bieten also Bequemlichkeit und weitere Vorteile für den Nutzer.
Im Kontext des Datenschutzes gelten First-Party-Cookies als vergleichsweise unbedenklich, da sie als essenziell für die Bereitstellung der von Nutzern explizit angeforderten Dienste angesehen werden. Ihre Akzeptanz bei den Websitebesuchern ist in der Regel hoch, da diese Cookies …
- einen direkt erfahrbaren Nutzen bieten,
- die Cookies von der besuchten Website selbst gesetzt und
- die Daten dort und nicht auf fremden Seiten gespeichert werden.
Angesichts der Einschränkungen für Third-Party-Cookies wird die Bedeutung von First-Party-Cookies mit hoher Wahrscheinlichkeit zunehmen. Auch First-Party-Cookies können eine solide Grundlage für Marketingmaßnahmen bieten, die sich auf die Analyse von Nutzerinteraktionen stützen.
In diesem Bereich müssen Marketer in Zukunft möglicherweise kreativer werden, um die verlorenen Optionen auszugleichen. Tools, die solche Ansätze unterstützen, werden nach dem Aus für Third-Party-Cookies im Chrome-Browser jedoch sicher nicht lange auf sich warten lassen.
Was sind Second-Party-Cookies?
Über Second-Party-Cookies hört man recht wenig. Einige Quellen behaupten sogar, dass es keine Second-Party-Cookies gibt – was, technisch betrachtet, korrekt ist. Allerdings kann es in einigen Fällen durchaus sinnvoll sein, von Second-Party-Daten zu sprechen.
Bei Second-Party-Daten handelt es sich um Informationen, wie sie in First-Party-Cookies gespeichert werden, mit dem Unterschied, dass Second-Party-Daten mit einem Partner geteilt werden. Eine explizite Einwilligung der Nutzer sowie die Datenschutzkonformität sind dabei natürlich zu gewährleisten.
In der Praxis gibt es für Second-Party-Daten aus Cookies nur wenige Use Cases. Die meisten First-Party-Cookies dienen schließlich der User Experience und beziehen sich somit auf die spezifische Website. Third-Party-Cookies, auf der anderen Seite, können zusätzliche Daten sammeln, von denen der Partner profitiert, und sind daher in den meisten Szenarien effektiver als die Übermittlung der First-Party-Daten.
Möglich ist allerdings, mittels Second-Party-Daten thematische Präferenzen zu speichern und zu übermitteln, um entsprechende Ads auf der Partnerseite anzuzeigen – oder eben nicht. Auch Sprach- und Designeinstellungen könnten theoretisch zwischen Partnern geteilt werden, um die Nutzererfahrung über verschiedene Plattformen hinweg zu personalisieren. Der Austausch solcher Daten erfolgt jedoch oft über APIs oder durch den Austausch von Datensätzen, nicht in Form von Cookies.
Was sind Third-Party-Cookies?
Third-Party-Cookies werden, wie der Name schon vermuten lässt, von Drittanbietern gesetzt, die also nicht selbst die Betreiber der Website sind.
Third-Party-Cookies sind eine weit verbreitete Methode der Nutzerverfolgung. Sie dienen …
- der Personalisierung von Werbung (auch z. B. in Form von Retargeting),
- dem domainübergreifenden Tracking und
- der Messung der Effektivität von Online-Kampagnen, etwa durch das Aufzeichnen von Conversions.
Third-Party-Cookies sammeln eine Reihe persönlicher Daten, um Nutzer über verschiedene Websites hinweg zu tracken und ein detailliertes Profil ihrer Interessen und ihres Onlineverhaltens zu erstellen. Diese Praxis steht in der Kritik, da sie leicht die Privatsphäre von Nutzern verletzen kann.
Warum sollten Sie keine Third-Party-Cookies mehr einsetzen?
Third-Party-Cookies werden zunehmend kritisch betrachtet und bereits seltener eingesetzt als in den vergangenen Jahren. Dieser Wandel ist primär durch Datenschutzbedenken und verschärfte gesetzliche Regelungen motiviert.
Nach dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) in Europa und ähnlicher Gesetze weltweit – beispielsweise dem California Consumer Privacy Act (CCPA) – stehen Unternehmen unter Druck, die Privatsphäre der Nutzer zu schützen und sie über die Erhebung und Verwendung ihrer Daten zu informieren.
Third-Party-Cookies, die von fremden Unternehmen stammen und die Nutzer über verschiedene Domains hinweg verfolgen, stehen mit diesen Datenschutzanforderungen oft in Konflikt. Dadurch gestaltet sich der Einsatz von Third-Party-Cookies grundsätzlich relativ kompliziert.
Viele Websitebesucher sind besorgt um ihre Online-Privatsphäre. Sie verwenden beispielsweise …
- Adblocker (die automatisch Werbebanner ausblenden),
- Cookieblocker (die automatisch Cookies ablehnen) oder
- VPN-Plugins (die die Identität verschleiern).
Auch diese Maßnahmen erschweren Werbetreibenden die effektive Nutzung von Third-Party-Cookies zur Datengewinnung.
Als Reaktion auf Datenschutzregelungen und Nutzerbedenken haben führende Browser, darunter Marktführer Google Chrome, angekündigt, die Unterstützung von Third-Party-Cookies einzustellen. Bereits 2020 sprach Google darüber und plante die Abschaffung bis 2022. Dann wurde die Deadline zunächst auf 2023, später auf 2024 verschoben. Nun soll es Anfang 2025 so weit sein.
Eine weitere Verzögerung wäre möglich, ließe sich aber allmählich kaum noch erklären. Marketer sollten daher mit 2025 als Deadline rechnen. Das Aus der Third-Party-Cookies wird sie zwingen, ihre Tracking- und Targeting-Strategien komplett zu überdenken und Alternativen zu finden.
Was sind die Nachteile, wenn man auf Third-Party-Cookies verzichtet?
Der Verzicht auf Third-Party-Cookies stellt Unternehmen vor einige Herausforderungen:
Eingeschränkte Zielgruppenansprache
Third-Party-Cookies ermöglichen es, Nutzer über verschiedene Webseiten hinweg zu tracken. Dadurch können Marketer wertvolle Daten gewinnen, auf deren Basis sie ihre Zielgruppe besser verstehen, überzeugendere Werbebotschaften formulieren oder Anzeigen besser platzieren können.
Ohne Third-Party-Cookies fehlen diese Einsichten, was die Möglichkeiten von Marketern stark einschränkt. Sie müssen sich entweder auf ihre Intuition verlassen oder alternative Datenquellen finden.
Schwierigkeiten bei der Messung der Kampagnenperformance
Die Zuordnung von Klicks und Conversions zu bestimmten Kampagnen (Attribution) wird ohne Third-Party-Cookies ebenfalls komplizierter. Werbetreibende müssen sich auf weniger präzise Messmethoden verlassen oder komplett neue Systeme entwickeln, um die Performance ihrer Kampagnen zu messen.
Verlust von Marktübersicht und Wettbewerbsfähigkeit
Durch den Verzicht auf Third-Party-Cookies verlieren Unternehmen möglicherweise wichtige Wettbewerbsvorteile, da sie weniger über die Interessen und Präferenzen ihrer Zielgruppen erfahren als Mitbewerber, die bereits alternative Tracking-Methoden einsetzen.
Alternativen zum Webtracking mit Third-Party-Cookies
Das Aus für Third-Party-Cookies muss keine Katastrophe für Ihr Online Marketing bedeuten. Es gibt einige Alternativen, die sich in den letzten Jahren als durchaus effektiv erwiesen haben. Sie ermöglichen es Unternehmen, wertvolle Einblicke in das Nutzerverhalten zu gewinnen, ohne dabei auf datenschutzrechtlich problematische Third-Party-Cookies angewiesen zu sein.
First-Party-Cookies
Durch den Einsatz von First-Party-Cookies können Unternehmen auch weiterhin relevante Daten über das Verhalten und die Präferenzen ihrer Nutzer erhalten. Diese Cookies sind, wie oben beschrieben, direkt mit der Nutzerinteraktion auf der eigenen Seite verknüpft und stellen daher in der Regel eine datenschutzfreundliche Möglichkeit dar, um nicht nur personalisierte Erlebnisse zu schaffen, sondern auch Marketing-Insights zu gewinnen.
Serverseitiges Tracking
Bei dieser Methode werden Interaktionsdaten direkt vom Server erfasst anstatt durch den Browser des Nutzers. Dies verhindert, dass das Tracking durch Browser-Erweiterungen wie Ad-Blocker unterbunden werden. Serverseitiges Tracking hat also Vorteile für Nutzer und Unternehmen: Es ist nicht nur datenschutztechnisch unbedenklich, sondern in gewissen Anwendungsfällen auch zuverlässiger.
Fingerprinting
Die eindeutige Identifikation eines Nutzers – beispielsweise, um wiederkehrende Nutzer als solche zu erkennen – erfolgt für gewöhnlich anhand eindeutiger Merkmale wie der IP-Adresse. Das Problem: Eine solche Identifikation von Personen im Internet unterliegt strengen datenschutzrechtlichen Regelungen. Schließlich handelt es sich nach der DSGVO auch bei IP-Adressen um persönliche Daten.
Fingerprinting – also die Erstellung eines Fingerabdrucks – ist ein Ansatz, der auf die Erhebung persönlicher Daten verzichtet und trotzdem die Wiedererkennbarkeit von Nutzern ermöglicht. Der Trick liegt in der statistischen Unwahrscheinlichkeit, dass zwei Nutzer mit der exakt gleichen Kombination nicht-persönlicher Merkmale – Hardware, Software, Netzwerk, Browser, Verhaltensmuster – die Seite besuchen.
Daten, die für die Erstellung von Fingerprint-Profilen herangezogen werden, könnten beispielsweise sein:
Wenn viele dieser Merkmale übereinstimmen, ist die Wahrscheinlichkeit sehr hoch, dass es sich um die gleiche Person handelt.
Beachten Sie, dass Fingerprinting trotz des Verzichts auf klassische persönliche Daten strengen datenschutzrechtlichen Regelungen unterliegt. Durch die Kombination verschiedener Merkmale wird die quasi-eindeutige Identifizierbarkeit von Personen ermöglicht, was es zu einem kritischen Vorgang im Sinne der DSGVO macht. Dies erfordert, wie der Einsatz von Marketing-Cookies, eine explizite Einwilligung des Nutzers.
Kontextbezogene Werbung
Diese Form der Werbung basiert nicht auf Daten über den Nutzer, sondern auf dem Inhalt der besuchten Seite. Wenn ein Nutzer beispielsweise einen Artikel über Account-based Marketing liest, könnten Anzeigen für accountbasierte Displaywerbung und Intent Data eingeblendet werden. Sie müssen den Nutzer nicht besser kennen, um zu wissen, dass diese Ads in diesem Moment vermutlich gut funktionieren werden.
Da kontextbezogene Werbung unabhängig von Cookies ist, stellt sie eine völlig datenschutzkonforme Alternative dar.
Datenpartnerschaften
Unternehmen können Partnerschaften mit anderen Unternehmen eingehen, um Zugang zu Second-Party-Daten zu erhalten, das heißt: First-Party-Daten des Partners, die unter Einhaltung der Datenschutzbestimmungen geteilt werden. Solche Partnerschaften erfordern klare Vereinbarungen. Zudem muss die Transparenz gegenüber den Nutzern gewährleistet sein, etwa durch einen entsprechenden Passus in der Datenschutzerklärung.
Häufig gestellte Fragen zum Thema Cookies
Hier sind einige Fragen, die sich Marketer, Webdesigner und Datenschützer im Zusammenhang mit Cookies stellen:
Woher kommt eigentlich die Bezeichnung „Cookie“?
Der Begriff Cookie im Web-Kontext ist vom Konzept des „Magic Cookie“ aus der Programmierung abgeleitet, das Daten beschreibt, die zwischen Programmen übertragen und zurückgesendet werden. Die Wahl der Bezeichnung wurde durch Glückskekse (englisch: „fortune cookies“) inspiriert, da auch diese eine Botschaft enthalten, die verpackt wird und nach dem Öffnen gelesen werden kann.
Wie funktioniert der Consent-Banner und welche Best Practices gibt es?
Ein Consent-Banner ist ein Popup auf einer Website, das die Nutzer über die Verwendung von Cookies und anderen Tracking-Technologien informiert. Der Banner ermöglicht es Nutzern zudem, ihre Zustimmung zur Datenerhebung und -verarbeitung zu geben oder abzulehnen.
Best Practices für Consent-Banner
- Nutzerfreundlichkeit: Gestalten Sie den Banner so, dass er nicht störend wirkt, aber dennoch gut sichtbar ist.
- Verständlichkeit: Verwenden Sie einfache Sprache, um die Nutzer über die Cookie-Nutzung zu informieren. Vermeiden Sie juristische Fachbegriffe. Bieten Sie deutlich erkennbar die Optionen für Zustimmung und Ablehnung von Cookies.
- Detaileinstellungen: Erlauben Sie den Nutzern, ihre Zustimmung für verschiedene Cookie-Kategorien individuell zu geben oder abzulehnen.
- Protokollierung: Speichern Sie die Einwilligungen der Nutzer an einem sicheren Ort und dokumentieren Sie, wann und wie die Zustimmung gegeben wurde.
- Aktualisierung: Überprüfen und aktualisieren Sie den Banner regelmäßig, um sicherzustellen, dass alle Informationen korrekt sind und der Consent-Mechanismus funktioniert.
Was ist der Unterschied zwischen Session-Cookies und Dauer-Cookies?
Session-Cookies (auch „sessionbasierte Cookies“ oder „temporäre Cookies“) sind Cookies, die nur für die Dauer einer Browser-Sitzung auf dem Gerät des Nutzers gespeichert sind. Sie werden automatisch gelöscht, wenn der Nutzer den Browser schließt. Diese Cookies dienen dazu, Informationen zu speichern, die nur für den Moment relevant sind.
Das können beispielsweise Produkte im Warenkorb sein (wobei viele Warenkörbe den Inhalt heute sessionübergreifend speichern) oder Eingaben in Konfiguratoren oder Kalkulatoren. Gerade bei der Eingabe persönlicher Daten dürfte der Nutzer sogar erwarten, dass die Felder beim Verlassen der Seite geleert werden.
Im Gegensatz dazu sind Dauer-Cookies (auch „dauerhafte Cookies“ oder „persistente Cookies“) solche, die auf dem Gerät des Nutzers über die Dauer der Sitzung hinaus bestehen bleiben, bis sie entweder manuell gelöscht werden oder ihr Ablaufdatum erreichen (das im Cookie selbst definiert ist).
Sie werden verwendet, um Nutzereinstellungen, Anmeldeinformationen und andere Daten zu speichern, die die Verwendung der Website über mehrere Sitzungen hinweg bequemer gestalten.
Wie funktioniert serverseitiges Tracking und welche Vorteile bietet es?
Serverseitiges Tracking ist eine Form des Cookieless-Trackings und bezeichnet die Erfassung und Verarbeitung von Nutzerinteraktionen direkt auf dem Server statt durch Browser und Cookies. Dieses Vorgehen bietet eine höhere Verlässlichkeit, da das Tracking unabhängig von den Einstellungen des Browsers erfolgt und nicht durch Ad-Blocker oder andere Plugins unterbunden werden kann.
Ein weiterer Vorteil ist eine einfacher zu gewährleistende Datenschutz-Konformität, da persönliche Daten vor der Verarbeitung auf dem Server automatisch anonymisiert oder pseudonymisiert werden können.
Was ist der Unterschied zwischen deterministischem und probabilistischem Fingerprinting?
Deterministisches Fingerprinting basiert auf (so gut wie) eindeutigen und (meist) konstanten Merkmalen von Gerät oder Browser, die eine Identifikation des Nutzers ermöglichen. Die Kombination aus gleicher IP-Adresse und auffälligen Mustern in den Mausbewegungen beispielsweise würde stark darauf hindeuten, dass es sich um den gleichen Nutzer handelt.
Deterministisches Fingerprinting ist sehr zuverlässig. Es wird vorrangig in Bereichen eingesetzt, in denen eine sichere Identifikation erforderlich ist.
Probabilistisches Fingerprinting hingegen betrachtet eine größere Anzahl von Daten, die für sich genommen weniger eindeutig sind, in ihrer Kombination jedoch eine hohe Genauigkeit bieten. Diese Methode stützt sich auf allgemeine Merkmale wie Browser-Typ, Betriebssystem, Bildschirmauflösung oder Systemeinstellungen, die a) häufig vorkommen und b) zwischen Sessions variieren können. Erst durch die statistische Analyse einer größeren Anzahl an Datenpunkten kann eine gewisse Wiedererkennbarkeit von Nutzern gewährleistet werden.
Probabilistisches Fingerprintings eignet sich für Marketingmaßnahmen, bei denen eine perfekte Identifikation von Nutzern nicht entscheidend ist, sondern vielmehr ganze Zielgruppen und Trends ausgewertet werden sollen.
Inwiefern können Machine Learning und künstliche Intelligenz das Cookie-basierte Tracking ersetzen?
Machine Learning (ML) und künstliche Intelligenz (KI) bieten fortschrittliche Möglichkeiten, das Cookie-basierte Tracking zu ergänzen oder sogar zu ersetzen. ML und KI können komplexe Muster in riesigen Datenmengen erkennen. Anstatt sich auf Cookies zu verlassen, die persönliche Daten speichern, können diese Technologien das Verhalten von Nutzern im Detail analysieren, um Erkenntnisse zu sammeln und beispielsweise passende Werbung ausspielen.
Wenn Third-Party-Cookies verschwinden, könnten ML und KI also eine praktikable Alternative bieten. Angesichts der aktuellen Entwicklungen in diesen Bereichen wäre es nicht verwunderlich, wenn entsprechende Lösungen sich schon bald weiter verbreiten. Entscheidend wird sein, wie einfach sie zu implementieren sind, wie sie aus Sicht von Datenschützern bewertet werden und ob sie zusätzliche Vorteile gegenüber anderen Lösungen bieten.
Was sind Zero-Party-Daten und wie unterscheiden sie sich von Cookies?
Zero-Party-Daten sind Informationen, die Nutzer freiwillig und bewusst mit Unternehmen teilen. Dabei kann es sich um den Namen, den Wohnort, das Geburtsdatum, Präferenzen, Bewertungen oder sogar Kaufabsichten handeln, die Nutzer direkt in Profilen eintragen, in Umfragen angeben oder via Formular übermitteln.
Im Gegensatz zu Cookies, mit denen Unternehmen im Hintergrund Daten sammeln, gibt es bei Zero-Party-Daten eine klare Nutzereinwilligung. Datenschutztechnisch ist die Erhebung dieser Daten daher in der Regel unbedenklich.
Fazit
Angesichts der schwindenden Akzeptanz und Nützlichkeit von Third-Party-Cookies müssen sich Unternehmen rechtzeitig mit alternativen Tracking- und Targeting-Strategien auseinandersetzen.
Die Entwicklung und Implementierung von datenschutzkonformen Alternativen (First-Party-Cookies, serverseitiges Tracking oder eine Fingerprinting-Methode) bietet die Möglichkeit, auch weiterhin wertvolle Einblicke in das Nutzerverhalten zu gewinnen. Kontextbezogene Werbung – also die sinnvolle Platzierung von Werbung ungeachtet jeglicher Informationen zum Nutzer – und ausgewählte Datenpartnerschaften sind weitere vielversprechende Ansätze.
Unternehmen sollten diesen Moment, in dem sogar Google die Blockierung von Third-Party-Cookies im Chrome-Browser plant, als Chance betrachten, etwas Neues auszuprobieren – und darin schneller und erfolgreicher zu sein als der Wettbewerb.