Cookieless Analytics: Optionen, Zielkonflikte und Einwilligung

Cookieless Analytics misst den Traffic einer Website ohne Cookies und nutzt stattdessen Server-Logs, Seitenaufrufzählungen ohne Kennungen, kurzlebige Hashes oder aggregierte Pings. Dabei werden in der Regel weniger personenbezogene Daten erhoben, und in manchen Ländern kann es unter eng gefasste Ausnahmen von der Einwilligungspflicht fallen. Einwilligungsfrei ist es aber nicht automatisch: Die ePrivacy-Richtlinie erfasst das Speichern von und den Zugriff auf beliebige Informationen auf einem Endgerät, und dazu gehören auch Local Storage und Fingerprinting.

Was ist Cookieless Analytics?

Darunter fällt jeder Messansatz, der sich nicht auf ein dauerhaftes Cookie stützt, um einen Browser über mehrere Besuche hinweg wiederzuerkennen. Was das Cookie ersetzt, ist sehr unterschiedlich, von gar nichts bis zu einem kurzlebigen Hash oder einem anderen Speichermechanismus, und diese Wahl bestimmt sowohl die Datenqualität als auch die rechtliche Einordnung.

Klassische Analyse-Tools setzen ein First-Party-Cookie mit einer zufälligen Client-ID, die monatelang besteht; siehe Arten von Cookies. Diese ID verknüpft Seitenaufrufe zu Sitzungen, Sitzungen zu wiederkehrenden Nutzern und Nutzer zu Kampagnen. Fällt sie weg, verlieren Sie die Verbindung zwischen den Besuchen. „Cookielos“ beschreibt eine Technik, keinen Compliance-Status.

Welche Optionen für Cookieless Analytics gibt es?

Sechs Ansätze sind verbreitet, mit sehr unterschiedlichen Profilen bei Datenschutz und Genauigkeit.

Ansatz	Wie Besucher wiedererkannt werden	Was Sie erhalten	Größter Nachteil
Auswertung von Server- oder CDN-Logs	Gar nicht oder über IP-Adresse und User-Agent in den Logs	Requests, Seiten, Referrer, Fehler; kein Client-Skript	Erfasst keine gecachten Seiten und clientseitigen Ereignisse; Bots sind schwerer herauszufiltern
Aggregierte Zählung von Seitenaufrufen	Keine Wiedererkennung	Seitenaufrufe, Referrer, Kampagnen, Gerätetyp	Keine eindeutigen Besucher, Sitzungen oder besuchsübergreifenden Funnels
Täglich wechselnder Hash	Hash aus IP, User-Agent und einem täglich ersetzten Salt	Ungefähre tägliche eindeutige Besucher und Sitzungen	Keine wiederkehrenden Besucher über mehrere Tage; weiterhin personenbezogene Daten
IDs im Browserspeicher	ID in Local Storage oder IndexedDB	Detailgrad nahe an cookiebasierter Analyse	Rechtlich nicht cookielos; dieselben Einwilligungsregeln wie bei Cookies
Fingerprinting	Kombinierte Geräte- und Browsermerkmale	Wiedererkennung, ohne etwas zu speichern	Erfordert Einwilligung; für Menschen schwer zu erkennen oder zu kontrollieren
Cookielose Pings (Google Consent Mode, erweitert)	Keine Cookies, solange die Einwilligung verweigert ist	Modellierte Conversions und Trends	Rechtliche Einordnung umstritten; die Modellierung erfolgt beim Anbieter

Zur letzten Zeile: Im erweiterten Consent Mode von Google senden Tags cookielose Pings, wenn die Einwilligung verweigert wird, und Google füllt die Lücken per Modellierung. Ob das ohne Einwilligung zulässig ist, ist umstritten; siehe einfacher vs. erweiterter Consent Mode.

Braucht Cookieless Analytics eine Einwilligung?

Manchmal, und der Verzicht auf Cookies beantwortet die Frage nicht. Artikel 5 Absatz 3 der ePrivacy-Richtlinie erfasst sowohl das Speichern von Informationen auf einem Endgerät als auch den Zugriff auf dort bereits gespeicherte Informationen, unabhängig von der Technologie. Eine Einwilligung ist erforderlich, sofern das Speichern oder der Zugriff nicht unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, und Analysen bestehen diese Prüfung für sich genommen selten.

In der Praxis heißt das:

• Browserspeicher braucht eine Einwilligung wie ein Cookie. Eine ID in localStorage, sessionStorage oder IndexedDB wird auf dem Endgerät gespeichert.
• Fingerprinting braucht eine Einwilligung. Wer Bildschirmgröße, installierte Schriftarten, Canvas-Rendering und ähnliche Merkmale ausliest, um ein Gerät wiederzuerkennen, greift auf Informationen auf diesem Gerät zu, auch wenn nichts gespeichert wird.
• Skripte sind nicht automatisch ausgenommen. Ein Messskript weist den Browser an, Informationen auszulesen und zu senden. Europäische Aufsichtsbehörden legen den „Zugriff“ weit aus. Gehen Sie also nicht davon aus, dass ein Tool ausgenommen ist, nur weil es nichts setzt.
• Personenbezogene Daten sind eine eigene Frage. Im Urteil Planet49 hat der EuGH entschieden, dass Artikel 5 Absatz 3 unabhängig davon gilt, ob es sich um personenbezogene Daten handelt. Beziehen sich die Daten auf identifizierbare Personen, gilt zusätzlich die DSGVO, und Sie brauchen eine Rechtsgrundlage nach Artikel 6. Manche Teams ziehen für minimale Analysen, für die keine Einwilligungsregel greift, das berechtigte Interesse in Betracht.

Es gibt eng gefasste nationale Ausnahmen. Die französische CNIL hat Bedingungen beschrieben, unter denen manche Tools zur Reichweitenmessung ohne Einwilligung laufen dürfen, und ein 2025 verabschiedetes britisches Gesetz hat unter bestimmten Bedingungen eine Ausnahme für manche Analyse-Speicherungen geschaffen; siehe UK GDPR und PECR. Diese Regeln sind spezifisch und entwickeln sich noch weiter. Prüfen Sie daher die aktuellen Leitlinien Ihrer Aufsichtsbehörde, etwa des ICO im Vereinigten Königreich, bevor Sie für Analysen auf die Einwilligung verzichten.

Wie setze ich eine risikoarme cookielose Messung um?

Zählen Sie Seiten, nicht Personen. Ein minimaler Seitenaufruf-Beacon braucht kein Cookie, keinen Speicher und keine Kennung:

// Aggregierter Seitenaufruf: keine Cookies, kein Speicher, keine Kennungen.
const referrer = document.referrer ? new URL(document.referrer).hostname : null;

navigator.sendBeacon(
  'https://analytics.example.com/collect',
  JSON.stringify({ path: location.pathname, referrer }), // nur der Pfad, kein Query-String
);

Wenn Sie ungefähre tägliche eindeutige Besucher brauchen, ist eine gängige Technik, IP-Adresse und User-Agent mit einem zufälligen Salt zu hashen, das täglich ersetzt und nie gespeichert wird. Sobald das alte Salt verworfen ist, kann niemand die Schlüssel von gestern neu berechnen oder mit denen von heute verknüpfen.

import { createHash, randomBytes } from 'node:crypto';

let salt = randomBytes(32);
let saltDay = new Date().toISOString().slice(0, 10);

export function dailyVisitorKey(ip: string, userAgent: string, site: string): string {
  const today = new Date().toISOString().slice(0, 10);
  if (today !== saltDay) {
    salt = randomBytes(32); // das alte Salt wird verworfen, nie persistiert
    saltDay = today;
  }
  return createHash('sha256').update(salt).update(`${site}|${ip}|${userAgent}`).digest('hex');
}

Teilen Sie das Salt in Produktion über einen Cache mit täglichem Ablauf zwischen den Servern, niemals über eine Datenbank oder ein Backup. Solange das Salt existiert, ist der Schlüssel nach der DSGVO ein pseudonymisiertes personenbezogenes Datum, kein anonymes, und die Aufsichtsbehörden sind sich uneinig, ob die Wiedererkennung von Besuchern anhand von IP-Adresse und User-Agent als Zugriff auf das Endgerät gilt.

Ein risikoarmes Setup erfüllt in der Regel diese Punkte:

1. Keine Cookies, kein Browserspeicher und keine Fingerprinting-Techniken.
2. Query-Strings und URL-Fragmente werden vor dem Speichern entfernt.
3. Rohe IP-Adressen werden verworfen, nachdem daraus ein grobes Land abgeleitet wurde, falls Sie das überhaupt brauchen.
4. Salts werden täglich gewechselt und verworfen, und Rohdaten werden nie protokolliert.
5. Ausschließlich aggregierte Berichte, ohne websiteübergreifendes Tracking und ohne Weiterverwendung für Werbung.
6. Kurze Speicherdauer für rohe Ereignisse und eine klare Beschreibung in Ihrer Datenschutzerklärung.

Worauf verzichten Sie bei Cookieless Analytics?

Vor allem auf Kontinuität über mehrere Besuche hinweg. Die Zahl eindeutiger Besucher wird zur Schätzung, und ein täglicher Hash zählt einen wiederkehrenden Besucher jeden Tag als neu. Mehrtägige Funnels, Kohortenbindung und lange Attributionsfenster fallen weitgehend weg, und das Conversion-Tracking von Anzeigen auf Personenebene braucht in der Regel weiterhin eine Einwilligung.

Rechnen Sie damit, dass Ihre Zahlen von denen Ihres bisherigen Tools abweichen, und vermerken Sie das Umstellungsdatum in Ihren Berichten. Für viele Content- und Marketing-Websites reichen aggregierte Trends aus. Wo Sie mehr brauchen, ist ein gängiges Muster eine cookielose Zählung für alle, soweit rechtlich zulässig, plus vollständige Analysen für Besucher, die einwilligen, geführt als getrennte Datensätze.

Fazit

Cookieless Analytics ist ein starker Standard für eine datenschutzfreundliche Messung, sollte aber als „weniger Daten“ verstanden werden, nicht als „keine Regeln“. Wählen Sie den Ansatz, der Ihre tatsächlichen Fragen beantwortet, vermeiden Sie es, Kennungen ohne Einwilligung auf dem Endgerät zu speichern oder auszulesen, und prüfen Sie zuerst die nationalen Leitlinien. Tools wie Cookiesh können die Fälle abdecken, in denen weiterhin eine Einwilligung erforderlich ist, indem sie Skripte der Kategorie Analyse blockieren, bis Besucher einwilligen, mit nach Region ausgesteuerten Bannern.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.