Cookieless Tracking: 4 Verfahren, 2 Rechtsprüfungen, klare Grenzen

Cookieless Tracking ist die Sammelbezeichnung für Messverfahren, die ohne klassische Tracking-Cookies arbeiten. Taxonomisch gehört Cookieless Tracking zur datenschutzkonformen Web-Analyse und dort zur Ebene der Erhebungsmethodik, gleichrangig neben Server-Side Tracking und Consent-Management. Vier Verfahren zählen zur Praxis: anonymisierte aggregierte Messung, server-seitiges First-Party-Tracking, statistische Modellierung und kontextbezogene Messung. Fingerprinting bildet ein fünftes, technisch verwandtes Verfahren, das Schröder Data Solutions als Anti-Pattern einordnet.

Der Begriff trägt ein Versprechen, das er nicht einlöst. Die naheliegende Kette "keine Cookies, kein Banner, kein Problem" verkürzt die Rechtslage auf eine Technologie. Entscheidend bleiben zwei Normen, und keine der beiden nennt das Wort Cookie.

Die Einwilligungspflicht beim Cookieless Tracking entsteht aus zwei getrennten Normen, die in dieser Reihenfolge greifen. Tor 1 bildet § 25 Abs. 1 TDDDG: Das Speichern von Informationen in der Endeinrichtung und der Zugriff auf dort gespeicherte Informationen sind nur nach Einwilligung zulässig. Die Orientierungshilfe der Aufsichtsbehörden für Anbieter digitaler Dienste stellt in Randnummer 26 klar, dass dieses Einwilligungserfordernis unabhängig von einem Personenbezug der Informationen greift. Tor 2 bildet die Datenschutz-Grundverordnung: Sobald personenbezogene Daten verarbeitet werden, benötigt die Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO.

Diese Zweiteilung erklärt, warum die verbreitete Kurzformel "entscheidend ist der Personenbezug" zu kurz greift. Ein Verfahren ohne jeden Personenbezug kann dennoch einwilligungspflichtig ausfallen, wenn es Informationen aus dem Endgerät ausliest. Umgekehrt passiert ein Verfahren Tor 1 problemlos und scheitert an Tor 2, weil es Nutzer über Sitzungen hinweg wiedererkennt. Nur ein Verfahren, das beide Tore ohne Einwilligung passiert, läuft bannerfrei. Ausnahmen regelt § 25 Abs. 2 TDDDG für technisch unbedingt erforderliche Zugriffe, und Tracking zählt nach Auffassung der Aufsichtsbehörden nicht dazu.

Cookieless Tracking bezeichnet kein einzelnes Verfahren, sondern vier grundverschiedene Ansätze mit je eigener Rechtsfolge. Kein einzelnes Verfahren ersetzt alle Funktionen klassischer Cookies, deshalb kombiniert Schröder Data Solutions mehrere Ansätze entlang des Messziels.

Verfahren 1: anonymisierte, aggregierte Messung

Die Messung verzichtet auf jede persistente Kennung und liefert ausschließlich aggregierte Werte zu Besuchern, Seitenaufrufen und Kanälen. Verfahren 1 bildet den einzigen Weg mit Aussicht auf einwilligungsfreien Betrieb, weil es beide Tore passieren kann. Der Preis liegt in der fehlenden Tiefe: keine individuellen Journeys, keine sitzungsübergreifende Analyse.

Verfahren 2: server-seitiges First-Party-Tracking

Die Messdaten laufen über einen eigenen Server, was Datenkontrolle und Cookie-Laufzeit verbessert. Verfahren 2 löst allerdings kein Einwilligungsproblem: Ein First-Party-Cookie zählt als Speicherung in der Endeinrichtung und fällt damit unter Tor 1. Details zur Architektur trägt die Seite zum Server-Side Tracking.

Verfahren 3: statistische Modellierung

Die Modellierung schätzt das Verhalten nicht erfasster Nutzer aus dem Muster der erfassten. Googles Consent Mode im erweiterten Modus und die Conversion-Modellierung in Google Analytics 4 arbeiten so, ebenso Media-Mix-Modelle in der Kanal-Attribution. Verfahren 3 liefert Trends und ersetzt keine Einzeldaten, besonders bei kleinen Datenmengen.

Verfahren 4: kontextbezogene Messung

Die Messung bewertet den Inhalt statt der Person: welche Seite, welches Thema, welcher Einstiegskanal. Verfahren 4 passiert beide Tore, liefert aber keine Personalisierung. Für Werbung erlebt der kontextbezogene Ansatz eine Renaissance, seit verhaltensbasiertes Targeting unter Druck geriet.

Die Auswahl folgt dem Messziel, nicht der Technologie. Reines Analyse-Reporting kommt mit Verfahren 1 und 4 aus. Werbe-Attribution benötigt Verfahren 2 und 3 und damit eine Einwilligung.

Die Prüfreihenfolge für jedes cookieless Messverfahren, von § 25 TDDDG bis zur einwilligungsfreien Messung.

etracker und Matomo liefern beide einen datenschutzfreundlichen Modus, der bei korrekter Konfiguration ohne Einwilligung läuft. Beide Werkzeuge verzichten in diesem Modus auf Cookies und auf die Wiedererkennung über Sitzungen hinweg. Schröder Data Solutions arbeitet als zertifizierter etracker Solution Partner und richtet beide Wege ein, inklusive der Dokumentation für das Verzeichnis der Verarbeitungstätigkeiten.

Die Konfiguration entscheidet über die Rechtssicherheit, nicht die Toolauswahl. Ein halb umgestellter Modus, der weiterhin eine Kennung setzt oder IP-Adressen ungekürzt verarbeitet, erzeugt ein Datenschutzrisiko statt Entlastung. Schröder Data Solutions prüft deshalb nach der Einrichtung im Browser-Netzwerkprotokoll, welche Anfragen tatsächlich abgehen und welche Kennungen dabei entstehen. Tiefe Tool-Details tragen die Seiten zu etracker und Matomo.

Der Gewinn an Abdeckung fällt messbar aus. Nach Consent-Banner bleiben typischerweise 94% bis 98% der Sitzungen im Reporting sichtbar, die einwilligungsfreie Messung erfasst dagegen nahezu alle Besucher. Der pragmatische Weg kombiniert beides: Der einwilligungsfreie Teil trägt das Basis-Reporting für alle Besucher, der consent-pflichtige Teil trägt Conversion-Tracking und Retargeting für die zustimmenden Besucher. Diese Trennung erweist sich als prüffester als der Versuch, alles in einen vermeintlich einwilligungsfreien Topf zu legen.

Fingerprinting erkennt Nutzer über technische Merkmale von Gerät und Browser wieder: Bildschirmauflösung, installierte Schriftarten, Spracheinstellungen, Hardware-Details. Die Vermarktung als cookieless Lösung stimmt technisch und führt rechtlich in die Irre. Die Orientierungshilfe der Aufsichtsbehörden bewertet in Randnummer 24 das aktive Auslesen von Geräteeigenschaften per JavaScript als Zugriff auf die Endeinrichtung. Fingerprinting benötigt damit eine Einwilligung nach § 25 Abs. 1 TDDDG, genauso wie ein Cookie.

Drei Gründe sprechen zusätzlich gegen Fingerprinting. Erstens rechtlich: Die Wiedererkennung erzeugt einen Personenbezug und öffnet damit auch Tor 2. Fingerprinting wirkt für Nutzer verdeckter als ein Cookie, ohne rechtlich besser dazustehen. Zweitens technisch: Moderne Browser verrauschen die auslesbaren Signale aktiv, die Trefferquote sinkt kontinuierlich. Drittens auf Plattformebene: Mehrere große Werbeplattformen untersagen Fingerprinting in ihren Richtlinien und sanktionieren Verstöße.

Schröder Data Solutions rät deshalb von Fingerprinting ab und setzt ausschließlich auf die 4 seriösen Verfahren. Diese Haltung wirkt konservativ und schützt vor Nachforderungen, die teurer ausfallen als der kurzfristige Datengewinn.

Googles Privacy Sandbox ersetzt das Cookie nicht. Google kündigte am 17. Oktober 2025 im Update on Plans for Privacy Sandbox Technologies die Einstellung der zentralen Technologien an: Topics, Attribution Reporting API, Protected Audience, Private Aggregation, IP Protection, Related Website Sets, SDK Runtime und weitere. Als Begründung nennt Google die niedrige Verbreitung und das Feedback aus dem Ökosystem. Erhalten bleiben nur die bereits breit eingesetzten Bausteine CHIPS und FedCM. Vorausgegangen war im April 2025 die Entscheidung, Third-Party-Cookies in Chrome doch nicht abzuschaffen.

Für die Praxis folgt daraus eine klare Lehre: Eine Datenstrategie an die Roadmap eines einzelnen Anbieters zu binden, erzeugt ein Ausfallrisiko. Safari und Firefox blockieren Third-Party-Cookies weiterhin standardmäßig, Chrome überlässt die Entscheidung dem Nutzer. Die Verfahren, die unabhängig von Browser-Politik tragen, beruhen auf eigenen Daten: anonymisierte Messung der eigenen Website, First-Party-Daten aus eigenen Kundenbeziehungen, solide Modellierung. Wer heute ein Setup nach der Zwei-Tore-Prüfung aufbaut, bleibt unabhängig von der nächsten Browser-Ankündigung. Den Einstieg bildet ein Tracking-Audit, die rechtliche Gesamtsicht trägt die Seite zum DSGVO-konformen Tracking.

Wir raten in vier Situationen von der Umstellung auf ein reines Cookieless Tracking ab:

1. Bei Werbe-Attribution als Hauptziel. Wer Google Ads oder LinkedIn Ads auf Conversion-Wert steuert, benötigt personenbezogene Conversion-Daten und damit eine Einwilligung. Eine einwilligungsfreie Messung liefert diese Daten nicht.

2. Bei bereits hoher Consent-Rate. Erreicht ein Banner eine Zustimmungsquote oberhalb von [BELEG: Schwellwert aus eigenen Audits bestätigen], liefert die Umstellung wenig zusätzliche Abdeckung bei hohem Umbauaufwand. Der bessere Hebel liegt dann in der Datenqualität des bestehenden Setups.

3. Bei einwilligungspflichtigen Drittsystemen im Stack. Läuft parallel ein Marketing-Pixel mit Datenweitergabe an Google oder Meta, bleibt das Banner ohnehin nötig. Der Nutzen der einwilligungsfreien Messung sinkt auf das Basis-Reporting.

4. Bei Personalisierung und Retargeting als Anforderung. Wiedererkennung über Sitzungen hinweg widerspricht der einwilligungsfreien Messung. Wer personalisiert, benötigt die Einwilligung.

Keine Rechtsberatung: Schröder Data Solutions liefert technische Einordnung und Umsetzung, keine Rechtsberatung. Die verbindliche Bewertung nach § 25 TDDDG und DSGVO gehört zur Datenschutzbeauftragten oder zum Fachanwalt.