Cookie-Arten: First-/Third-Party, Sitzungs- und persistente Cookies

Cookies werden üblicherweise auf drei Arten eingeteilt: danach, wer sie setzt (First-Party oder Third-Party), wie lange sie bestehen (Sitzungscookie oder persistentes Cookie) und wofür sie dienen (unbedingt erforderlich, Präferenzen, Analyse oder Marketing). Die ersten beiden beschreiben das technische Verhalten. Die dritte ist für das Datenschutzrecht am wichtigsten, denn der Zweck eines Cookies entscheidet darüber, ob Sie vor dem Setzen eine Einwilligung brauchen.

Was ist ein Cookie aus technischer Sicht?

Ein Cookie ist ein kleines Stück Text, das eine Website vom Browser speichern lässt und das der Browser bei späteren Anfragen an dieselbe Website zurücksendet. Server setzen Cookies über den HTTP-Header Set-Cookie, Skripte auf der Seite über document.cookie.

Jedes Cookie hat einen Namen, einen Wert und Attribute, die steuern, wo und wie lange es gilt:

Set-Cookie: session_id=8f2c1e; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=en; Max-Age=31536000; Path=/; Secure; SameSite=Lax

Domain und Path legen fest, mit welchen Anfragen das Cookie gesendet wird. Expires oder Max-Age bestimmen seine Lebensdauer. Secure beschränkt es auf HTTPS, HttpOnly verbirgt es vor JavaScript, und SameSite steuert, ob es bei websiteübergreifenden Anfragen mitgesendet wird.

Was ist der Unterschied zwischen First-Party- und Third-Party-Cookies?

Ein First-Party-Cookie (Erstanbieter-Cookie) wird für die Domain gesetzt, die in der Adressleiste des Browsers steht. Ein Third-Party-Cookie (Drittanbieter-Cookie) wird für eine andere Domain gesetzt, meist durch in die Seite eingebettete Inhalte wie eine Anzeige, einen Videoplayer oder ein Social-Media-Widget.

Ist ein Besucher auf shop.example und setzt eine eingebettete Anzeige von ads.example-network.com ein Cookie, handelt es sich um ein Third-Party-Cookie. Da dasselbe Werbenetzwerk auf vielen Websites eingebunden ist, kann sein Cookie denselben Browser auf all diesen Websites wiedererkennen. Diese websiteübergreifende Wiedererkennung hat Third-Party-Cookies zum Rückgrat verhaltensbasierter Werbung gemacht.

In der Praxis sind zwei Feinheiten wichtig:

• First-Party heißt nicht, dass die Daten bei Ihnen bleiben. Viele Analyse- und Werbeskripte laufen auf Ihrer Seite und schreiben Cookies auf Ihre eigene Domain. Diese Cookies sind technisch First-Party-Cookies, doch die darin gespeicherten Kennungen werden trotzdem an den Anbieter gesendet.
• Die Browserunterstützung ändert sich. Safari und Firefox schränken Third-Party-Cookies standardmäßig ein, und Chromes Pläne haben sich mehrfach geändert. Prüfen Sie den aktuellen Stand, bevor Sie etwas entwickeln, das davon abhängt.

Was ist der Unterschied zwischen Sitzungscookies und persistenten Cookies?

Ein Sitzungscookie hat kein Expires- oder Max-Age-Attribut, daher löscht der Browser es, wenn die Sitzung endet. Ein persistentes Cookie hat ein ausdrückliches Ablaufdatum und übersteht Browser-Neustarts bis zu diesem Datum oder bis der Nutzer es löscht.

Wann eine Sitzung endet, entscheidet der Browser, nicht Ihre Website. Manche Browser stellen Sitzungscookies wieder her, wenn sie zuvor geöffnete Tabs wiederherstellen, sodass ein Sitzungscookie länger bestehen kann als erwartet. Manche Browser verkürzen außerdem die Lebensdauer bestimmter per JavaScript gesetzter Cookies, unabhängig vom angeforderten Ablaufdatum.

Die Lebensdauer ist auch für die Compliance relevant. Aufsichtsbehörden erwarten, dass die Speicherdauer eines Cookies in einem angemessenen Verhältnis zu seinem Zweck steht, und Ihre Cookie-Richtlinie sollte angeben, wie lange jedes Cookie besteht.

Welche Cookie-Kategorien gibt es nach Zweck?

Die meisten Consent-Banner gruppieren Cookies in vier zweckbezogene Kategorien. Die Bezeichnungen variieren, die Logik bleibt gleich:

• Unbedingt erforderlich: nötig, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, etwa angemeldet zu bleiben, einen Warenkorb zu speichern oder eine Einwilligungsentscheidung zu merken. Den Prüfmaßstab finden Sie in unserem Beitrag dazu, was als unbedingt erforderliches Cookie gilt.
• Präferenzen (oder funktional): merken sich Einstellungen, die das Nutzungserlebnis verbessern, etwa Sprache, Region oder Anzeigeoptionen.
• Analyse (oder Statistik): messen, wie Besucher die Website nutzen, etwa Seitenaufrufe, Traffic-Quellen und Conversion-Pfade.
• Marketing (oder Werbung): erstellen Profile, messen die Werbeleistung, sprechen Besucher per Retargeting erneut an oder teilen Daten mit Werbeplattformen.

Wie unterscheiden sich die verschiedenen Cookie-Arten?

Jedes Cookie hat gleichzeitig einen Ursprung, eine Lebensdauer und einen Zweck, etwa ein persistentes First-Party-Analyse-Cookie. Diese Tabelle zeigt, wie sich die einzelnen Arten nach EU-Recht zur Einwilligungspflicht verhalten.

Art	Eingeteilt nach	Typisches Beispiel	Einwilligung nach EU-Recht nötig?
First-Party	Setzende Domain	Login-Sitzung auf Ihrer eigenen Domain	Hängt vom Zweck ab
Third-Party	Setzende Domain	Cookie eines Werbenetzwerks aus einer eingebetteten Anzeige	Hängt vom Zweck ab; in der Praxis meist ja
Sitzungscookie	Lebensdauer	Warenkorb, der beim Schließen des Browsers geleert wird	Hängt vom Zweck ab
Persistentes Cookie	Lebensdauer	Spracheinstellung, die ein Jahr lang gespeichert bleibt	Hängt vom Zweck ab
Unbedingt erforderlich	Zweck	Authentifizierung, Lastverteilung, Einwilligungsnachweis	Nein, ausgenommen
Präferenzen	Zweck	Gespeicherte Sprache oder gespeichertes Farbschema	Meist ja; enge Ausnahmen für Einstellungen, die der Nutzer aktiv gewählt hat
Analyse	Zweck	Messung von Besuchern und Seitenaufrufen	In der Regel ja; einige nationale Aufsichtsbehörden erlauben enge Ausnahmen
Marketing	Zweck	Retargeting- und Conversion-Cookies für Werbung	Ja

Die technischen Arten allein beantworten die Einwilligungsfrage nie. Das tut nur der Zweck.

Kommt es im Datenschutzrecht auf die Cookie-Art oder den Zweck an?

Auf den Zweck. Artikel 5 Absatz 3 der ePrivacy-Richtlinie gilt für das Speichern jeglicher Informationen auf dem Endgerät eines Nutzers und den Zugriff darauf, und seine Ausnahmen sind über den Zweck definiert. Sofern die Speicherung nicht unbedingt erforderlich ist, um einen vom Nutzer gewünschten Dienst bereitzustellen, oder ausschließlich der Übertragung einer Nachricht dient, brauchen Sie eine vorherige Einwilligung.

Daraus ergeben sich drei Konsequenzen:

1. Die Regeln sind technologieneutral. localStorage, sessionStorage, IndexedDB, Tracking-Pixel und Device Fingerprinting werden genauso erfasst wie Cookies. Wie die beiden EU-Gesetze zusammenwirken, lesen Sie in ePrivacy-Richtlinie vs. DSGVO.
2. Bei personenbezogenen Daten gilt zusätzlich die DSGVO. Die DSGVO nennt Cookie-Kennungen ausdrücklich unter den Online-Kennungen, über die eine Person identifizierbar werden kann. Die meisten Tracking-Cookies betreffen daher personenbezogene Daten.
3. US-Gesetze folgen einem anderen Modell. Nach CCPA und CPRA können Werbe-Cookies einen „Verkauf“ („selling“) oder eine „Weitergabe“ („sharing“) personenbezogener Informationen darstellen. Statt eine Opt-in-Einwilligung einzuholen, müssen Sie eine Opt-out-Möglichkeit anbieten und Global-Privacy-Control-Signale beachten.

Wie finde ich heraus, welche Cookies meine Website verwendet?

Beginnen Sie mit den Entwicklertools Ihres Browsers, die für jede Domain, die eine Seite anspricht, die Cookies und sonstigen Speicher auflisten. Das liefert eine schnelle Momentaufnahme, übersieht aber Cookies, die nur auf bestimmten Seiten, nach dem Login oder nach einer Einwilligung auftauchen.

Ein zuverlässigerer Ablauf:

1. Öffnen Sie die Website in einem sauberen privaten Fenster und halten Sie alles fest, was vor jeder Einwilligung gesetzt wird.
2. Akzeptieren Sie alle Cookies, rufen Sie wichtige Seiten und Abläufe auf und halten Sie fest, was hinzukommt.
3. Notieren Sie für jedes Cookie Name, setzende Domain, Lebensdauer und Zweck.
4. Ordnen Sie jedes Cookie einer Zweckkategorie zu und vergewissern Sie sich, dass vor der Einwilligung nichts Nicht-Notwendiges aufgetaucht ist.
5. Wiederholen Sie das regelmäßig, denn neue Tags tauchen immer dann auf, wenn Marketing- oder Produktteams Tools hinzufügen.

Unser Leitfaden zum Cookie-Audit behandelt diesen Ablauf ausführlich, und seine Ergebnisse fließen direkt in Ihre Cookie-Richtlinie ein.

Fazit

First-Party oder Third-Party und Sitzungscookie oder persistentes Cookie beschreiben, wie sich ein Cookie verhält. Der Zweck beschreibt, warum es existiert, und der Zweck entscheidet darüber, ob Sie eine Einwilligung brauchen. Erfassen Sie Ihre Cookies, ordnen Sie jedes einem Zweck zu und blockieren Sie alles Nicht-Notwendige, bis Besucher zustimmen. Tools wie Cookiesh können Cookie-Scans automatisieren und markierte Skripte bis zur Einwilligung der Besucher zurückhalten.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.