Tracking ohne Cookies: was technisch und rechtlich möglich ist

Weniger Cookie-Banner, weniger Consent-Aufwand, trotzdem verlässliche Zahlen – das Versprechen hinter „Tracking ohne Cookies“ klingt verlockend. Tatsächlich lässt sich mit serverseitiger Auswertung oder aggregierten Statistiken einiges erreichen, ohne ein einziges klassisches Cookie zu setzen.

Der Denkfehler liegt oft in der Annahme, dass „keine Cookies“ automatisch „kein Consent nötig“ bedeutet. Dieser Artikel erklärt, was cookielose Verfahren technisch tun, wo die Einwilligungspflicht trotzdem bestehen bleibt und wie du ein Tool praktisch einordnest, bevor du es einsetzt.

Warum Unternehmen nach Alternativen zu Cookies suchen

Klassische Tracking-Cookies stehen aus mehreren Richtungen unter Druck: Browser schränken Drittanbieter-Cookies zunehmend ein, Consent-Banner kosten Zustimmungsraten, und viele Besucher lehnen optionale Kategorien ab, sobald sie die Wahl haben. Das motiviert die Suche nach Verfahren, die möglichst wenig auf klassischen Cookies basieren.

Gleichzeitig wollen Unternehmen weiterhin grundlegende Fragen beantworten können: Wie viele Besucher kommen über welchen Kanal, welche Seiten werden häufig aufgerufen, wo brechen Nutzer einen Prozess ab? Diese Fragen lassen sich teilweise auch ohne klassisches Cookie-Tracking beantworten – aber nicht automatisch ohne jede rechtliche Einordnung.

Für Marketing- und Produktentscheidungen sind belastbare Zahlen wichtig, unabhängig davon, mit welcher Technik sie erhoben werden. Genau dieser Bedarf treibt viele Anbieter dazu, ihre Tools zunehmend als cookiefrei zu bewerben – ein Verkaufsargument, das nicht automatisch bedeutet, dass alle rechtlichen Fragen damit bereits geklärt sind.

Was „cookielos“ technisch bedeuten kann

Unter dem Label „cookielos“ verbergen sich unterschiedliche Ansätze. Serverseitiges Tracking wertet Anfragen aus, die ohnehin beim Server ankommen, statt ein separates Skript im Browser zu laden. Reine Server-Log-Auswertung nutzt die technischen Zugriffsprotokolle, die ein Webserver standardmäßig führt. Aggregierte, anonymisierte Auswertungen fassen Daten so zusammen, dass einzelne Personen nicht mehr identifizierbar sind.

Ein weiterer, deutlich kritischerer Ansatz ist Fingerprinting: Statt eines Cookies wird eine Kombination aus Geräte- und Browsereigenschaften – Bildschirmauflösung, installierte Schriftarten, Browser-Version und ähnliches – genutzt, um ein Gerät wiederzuerkennen, ohne dass dafür ein Cookie gesetzt werden muss.

Zwischen diesen Ansätzen liegt ein weiter Graubereich: manche Tools kombinieren serverseitige Auswertung mit einer eigenen, langlebigen Kennung, die technisch kein klassisches Browser-Cookie ist, sich aber in ihrer Funktion kaum davon unterscheidet. Wer ein solches Tool einsetzt, sollte deshalb genau hinschauen, was „cookielos“ im konkreten Fall tatsächlich bedeutet, statt sich auf die Bezeichnung allein zu verlassen.

Der Denkfehler: kein Cookie heißt nicht automatisch kein Consent

Die deutsche Regelung zum Zugriff auf Endgeräte-Informationen, das TDDDG, ist technikneutral formuliert. Sie erfasst nicht ausschließlich Cookies, sondern grundsätzlich den Zugriff auf Informationen, die auf dem Endgerät eines Nutzers gespeichert sind oder von dort ausgelesen werden – unabhängig davon, mit welcher konkreten Technik das geschieht.

Das bedeutet: Ein Verfahren, das zwar kein Cookie im klassischen Sinn setzt, aber dennoch gezielt Geräteinformationen ausliest, um ein Endgerät wiederzuerkennen, kann trotzdem unter dieselbe Einwilligungslogik fallen wie ein klassisches Tracking-Cookie. „Cookielos“ ist damit ein technischer Begriff, kein automatischer Freibrief.

Fingerprinting als besonders heikler Fall

Fingerprinting-Verfahren gelten in der Praxis als rechtlich besonders sensibel, weil sie oft genau darauf abzielen, ein Gerät über einen längeren Zeitraum wiederzuerkennen – vergleichbar mit dem, was ein klassisches Tracking-Cookie leisten würde, nur ohne sichtbaren Speicherposten im Browser. Für Besucher ist ein solches Verfahren zudem schwer erkennbar und noch schwerer zu widerrufen, weil es keinen einzelnen Cookie gibt, den man löschen könnte.

Wer ein Analyse- oder Marketing-Tool einsetzt, sollte deshalb explizit nachfragen oder in der Dokumentation prüfen, ob und in welchem Umfang fingerprinting-ähnliche Verfahren zum Einsatz kommen – auch wenn das Tool selbst mit „cookielos“ wirbt.

Wann eine Auswertung wirklich unkritisch ist

Nicht jede cookielose Methode ist automatisch einwilligungspflichtig. Eine reine, aggregierte Auswertung von Serverzugriffen – etwa Gesamtzahl der Aufrufe pro Seite, ohne Wiedererkennung einzelner Besucher über mehrere Sitzungen hinweg – bewegt sich näher an einer unproblematischen technischen Protokollierung. Entscheidend ist, ob am Ende eine einzelne Person oder ein einzelnes Gerät über die Zeit hinweg wiedererkennbar ist oder nicht.

Der Übergang zwischen „nur anonyme Zahlen“ und „doch personenbeziehbar, nur eben ohne Cookie“ ist in der Praxis fließend und hängt stark von der konkreten technischen Umsetzung des jeweiligen Tools ab – ein pauschales Urteil über ein ganzes Tool-Marktsegment ist deshalb selten seriös.

Ein einfacher Praxistest hilft bei der Einordnung: Lässt sich anhand der gespeicherten Daten nachvollziehen, dass derselbe Besucher an zwei unterschiedlichen Tagen wiedergekommen ist? Wenn ja, findet eine Wiedererkennung statt, auch ohne klassisches Cookie. Wenn die Auswertung nur Tagessummen liefert, ohne Rückschluss auf einzelne wiederkehrende Besucher, ist das Risiko deutlich geringer einzuschätzen.

Wie du ein cookieloses Tool praktisch einordnest

Bevor ein als „cookielos“ oder „datenschutzfreundlich“ beworbenes Tool eingesetzt wird, lohnt sich eine kurze Prüfung anhand weniger Fragen: Wird ein einzelnes Gerät über mehrere Besuche hinweg wiedererkannt, oder werden nur aggregierte Zahlen pro Zeitraum erfasst? Werden Geräteeigenschaften kombiniert, um eine Art Fingerabdruck zu bilden? Bleibt am Ende eine Person oder ein Gerät identifizierbar, auch wenn kein Cookie im klassischen Sinn gesetzt wird?

Ein Vergleich lohnt sich auch mit etablierten, ausdrücklich datenschutzorientierten Analyse-Alternativen, wie sie im Artikel zu Google Analytics und datenschutzfreundlichen Alternativen beschrieben werden – nicht jedes Tool, das sich so nennt, arbeitet automatisch ohne jede Wiedererkennung.

Was das für dein Consent-System bedeutet

Auch wenn ein Tool ohne klassisches Cookie arbeitet, sollte es in dieselbe Kategorisierung eingeordnet werden wie andere Tracking-Verfahren, sobald eine Wiedererkennung einzelner Geräte stattfindet. Das betrifft sowohl die Datenschutzerklärung als auch das Consent-System, das die Einwilligung technisch abbildet.

Wer ein cookieloses Tool ausschließlich deshalb einsetzt, um den Consent-Banner zu umgehen, verschiebt damit lediglich die Fragestellung, löst sie aber nicht. Die entscheidende Frage bleibt immer dieselbe: Wird am Ende eine Person oder ein Gerät wiedererkennbar, unabhängig von der konkreten Technik dahinter?

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.

Häufige Fragen