Server-Side Tracking über eine eigene First-Party-Tracking-Domain

Server-Side Tracking bezeichnet eine Architektur, bei der Messdaten zuerst einen Server des Website-Betreibers erreichen und erst von dort an Analytics-Systeme und Werbeplattformen weiterfließen. Der Unterschied zum client-seitigen Tracking liegt im Gesprächspartner des Browsers. Beim client-seitigen Tracking lädt der Browser die Skripte direkt von google-analytics.com oder connect.facebook.net und sendet die Ereignisse dorthin. Beim Server-Side Tracking spricht der Browser ausschließlich mit einer Subdomain der besuchten Website.

Taxonomisch gehört Server-Side Tracking zum Bereich der datenschutzkonformen Web-Analyse. Drei Umsetzungsvarianten stehen zur Wahl: die First-Party-Tracking-Domain mit einem schlanken Endpunkt, der Server-Side Google Tag Manager (sGTM) mit eigenem Tag-Container, sowie die direkte Server-zu-Server-Anbindung über Schnittstellen der Werbeplattformen. Die drei Varianten unterscheiden sich im Aufwand deutlich, im erzielten Datengewinn dagegen weniger stark als oft angenommen.

Schröder Data Solutions ordnet die Wahl der Variante nach dem Verhältnis aus Wirkung und Aufwand. Für mittelständische B2B-Unternehmen mit gewachsenen Websites liefert die First-Party-Tracking-Domain in den meisten Projekten den größten Teil des Nutzens bei einem Bruchteil des Aufwands.

Der Datenfluss beim Server-Side Tracking in vier Stationen, vom Browser bis zur Werbeplattform

Die First-Party-Tracking-Domain verlegt den Tracking-Endpunkt auf eine eigene Subdomain der Website, etwa tracking.deine-domain.de. Aus Sicht des Browsers zählt diese Subdomain zur besuchten Website, nicht zu einem Drittanbieter. Zwei Effekte greifen daraus ineinander.

Erstens umgeht die eigene Subdomain die Sperrlisten der Adblocker. Werbeblocker filtern nach bekannten Tracking-Domains; eine unternehmenseigene Subdomain steht dort nicht. Besucher, die client-seitig unsichtbar blieben, erscheinen wieder in den Zahlen. Zweitens setzt ein echter server-seitiger Endpunkt die Cookies per HTTP-Header statt per JavaScript. Serverseitig gesetzte First-Party-Cookies unterliegen der 7-Tage-Kappung von Safari nicht und erreichen eine Laufzeit von bis zu 400 Tagen.

Der Aufwandsunterschied zum sGTM-Weg fällt erheblich aus. Ein Server-Side Google Tag Manager verlangt einen eigenen Cloud-Container, laufende Betriebskosten und in vielen Fällen einen Data Layer im Website-Code. Die First-Party-Tracking-Domain benötigt einen DNS-Eintrag, einen schlanken Endpunkt und eine angepasste Tracking-Konfiguration. Ein Umbau der gewachsenen Website-Struktur entfällt.

Server-Side Tagging bezeichnet den Betrieb eines Tag-Management-Containers auf einem eigenen Server, üblicherweise als Server-Side Google Tag Manager (sGTM). Server-Side Tracking bezeichnet das übergeordnete Architekturprinzip der serverseitigen Datenerhebung. Server-Side Tagging zählt damit zu den Umsetzungsvarianten von Server-Side Tracking, nicht zu dessen Synonymen.

Die Verwechslung kostet Budget. Wer Server-Side Tracking mit Server-Side Tagging gleichsetzt, landet automatisch beim Cloud-Container samt monatlichen Betriebskosten, obwohl der eigentliche Auftrag lautet: belastbare Daten trotz Adblockern und Cookie-Restriktionen. Für ein mittelständisches B2B-Unternehmen mit drei angebundenen Werbeplattformen liefert der schlankere Weg dasselbe Ergebnis.

Der sGTM behält seine Berechtigung. Bei komplexen Tag-Landschaften mit vielen parallel gepflegten Anbietern, bei App- und Web-Tracking im selben Container oder bei serverseitiger Anreicherung aus dem CRM rechtfertigt der eigene Tag-Container seinen Aufwand. Schröder Data Solutions empfiehlt ihn genau dann, sonst nicht.

Ein CNAME-Eintrag verweist eine eigene Subdomain lediglich auf die Server des Analytics-Anbieters. Der DNS-Aufwand beträgt wenige Minuten, und viele Anbieter bewerben genau diesen Weg als First-Party-Lösung. Safari erkennt diese verschleierten Drittanbieter-Domains jedoch seit 2023 auch über den Umweg per A-Record und begrenzt die Cookie-Laufzeit weiterhin auf 7 Tage.

Der Unterschied zum echten server-seitigen Endpunkt entscheidet über die Belastbarkeit der Langzeitdaten. Ein echter Endpunkt nimmt die Ereignisse auf einem Server entgegen, den der Betreiber kontrolliert, und setzt das Cookie per Set-Cookie-Header selbst. Dieser Weg erreicht eine Laufzeit von bis zu 400 Tagen. Ein Setup, das die Cookie-Laufzeit nicht überprüft, wirkt nach der Einrichtung korrekt und liefert acht Tage später wieder lückenhafte Zahlen.

Schröder Data Solutions prüft die tatsächliche Cookie-Laufzeit deshalb nach jeder Umsetzung im Browser-Profil von Safari, Firefox und Chrome. Der Test dauert wenige Minuten und trennt funktionierende Setups von solchen, die nur so aussehen.

CNAME-Trick und echter server-seitiger Endpunkt in fünf Kriterien gegenübergestellt.

Server-Side Tracking befreit nicht von der Einwilligungspflicht. Rechtlich existiert kein grundsätzlicher Unterschied zwischen client-seitigem und server-seitigem Tracking: Sobald personenbezogene Daten zu Analyse- oder Werbezwecken verarbeitet werden, greifen Artikel 6 DSGVO (Datenschutz-Grundverordnung) und Paragraf 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Der Umweg über den eigenen Server verändert die Rechtslage nicht.

Anbieter, die Tracking ohne Einwilligungs-Banner versprechen, verkaufen ein Risiko weiter. Aufsichtsbehörden setzen inzwischen automatisierte Prüf-Crawler ein, die Cookie-Banner und tatsächlich gesetzte Cookies gegeneinander abgleichen. Ein Setup, das ohne Einwilligung personenbezogene Ereignisse überträgt, fällt bei einer solchen Prüfung auf.

Was Server-Side Tracking datenschutzrechtlich tatsächlich leistet, wiegt trotzdem schwer: Datenkontrolle und Datenminimierung. Weil alle Ereignisse zuerst den eigenen Server erreichen, entscheidet der Betreiber, welche Felder ihn verlassen. IP-Adressen lassen sich anonymisieren, einzelne personenbezogene Parameter verwerfen, und der unkontrollierte Abfluss in Drittländer reduziert sich messbar. Genau dieser Punkt gewann seit dem Schrems-II-Urteil des Europäischen Gerichtshofs an Gewicht. Die Einwilligungssteuerung selbst übernimmt weiterhin eine Consent-Management-Plattform, etwa Usercentrics oder Cookiebot, deren Signale der Tracking-Server auswertet.

Zwei Konzepte bleiben dabei getrennt. Server-Side Tracking regelt Architektur und Datenkontrolle und benötigt weiterhin eine Einwilligung. Einwilligungsfreie, anonymisierte Messung läuft über cookieless Verfahren ohne Profilbildung. Beide Wege ergänzen sich, decken sich aber nicht. Vertiefend dazu: DSGVO-konformes Tracking und Cookieless Tracking.

Schröder Data Solutions berät technisch und ersetzt keine Rechtsberatung. Für die rechtliche Bewertung eines konkreten Setups zieh bitte einen Datenschutzbeauftragten oder einen Fachanwalt hinzu.

Vier Tools decken den Bedarf mittelständischer B2B-Unternehmen ab: etracker, Matomo, Google Analytics 4 und der Server-Side Google Tag Manager. Die Wahl folgt der bestehenden Tool-Landschaft, nicht umgekehrt.

etracker erfasst serverseitig und hostet in Deutschland. Als zertifizierter etracker Solution Partner setzt Schröder Data Solutions dieses Verfahren in Projekten mit hohem Datenschutz-Anspruch am häufigsten um; der Kunde Bauwerk läuft auf dieser Kombination. Matomo bietet dieselbe europäische Datenhoheit und zusätzlich die Option des Self-Hostings auf eigener Infrastruktur. Google Analytics 4 nimmt serverseitige Ereignisse über das Measurement Protocol entgegen und passt für Unternehmen, deren Werbesteuerung ohnehin im Google-Stack läuft.

Die Werbeplattformen binden sich über eigene Schnittstellen an. Meta nimmt serverseitige Ereignisse über die Conversions API entgegen, Google Ads über Enhanced Conversions, LinkedIn über die eigene Conversions API. Die Einrichtung dieser Schnittstellen beschreibt die Seite zu Marketing-Pixeln im Detail.

Im B2B-Vertrieb vergehen zwischen erstem Kontakt und Abschluss regelmäßig Wochen bis Monate. Interessenten recherchieren, vergleichen Anbieter, holen interne Freigaben ein und kehren mehrfach zurück. Diese Dauer kollidiert direkt mit der 7-Tage-Grenze für client-seitig gesetzte Cookies.

Die Folge trifft die gesamte Marketing-Auswertung. Ein Lead, der über eine LinkedIn-Anzeige eintrat und sechs Wochen später abschloss, erscheint im Analytics-Tool nicht als LinkedIn-Erfolg, sondern als Direktzugriff oder als Markensuche. Der Kanal, der den Abschluss anstieß, erhält keine Attribution. Unternehmen kürzen daraufhin Budgets für genau die Kanäle, die ihre profitabelsten Kunden liefern.

Ein server-seitiges Setup mit langlebigen Cookies löst diese Verzerrung. Bleibt die Cookie-Verbindung über die gesamte Journey erhalten, bleibt auch der Zusammenhang zwischen erstem Kontakt und Abschluss messbar. Erst auf dieser Grundlage funktioniert die Multi-Touch-Attribution, die die Seite zur Conversion-Analyse beschreibt, und erst dann zeigen Marketing-Dashboard und Sales-Dashboard belastbare Kanalbeiträge.

Die 7-Tage-Cookie-Grenze trennt den ersten Kontakt vom Abschluss einer B2B-Journey

Server-Side Tracking rechnet sich nicht in jeder Konstellation. Schröder Data Solutions rät in vier Situationen ab.

Bei unter rund 5.000 Sitzungen pro Monat übersteigt der Setup-Aufwand den Nutzen. Der zurückgewonnene Datenanteil bewegt sich dann in absoluten Zahlen, die keine andere Entscheidung auslösen. Ein Tracking-Audit der bestehenden Konfiguration liefert in diesem Fall den höheren Ertrag pro investiertem Euro.

Bei fehlendem Consent-Management löst Server-Side Tracking das falsche Problem zuerst. Wer noch kein funktionierendes Einwilligungs-Banner betreibt, baut mit einem serverseitigen Setup lediglich eine belastbarere Erfassung auf einer rechtlich ungeklärten Grundlage auf. Die Reihenfolge lautet: erst Consent-Management, dann Server-Side Tracking.

Bei geschlossenen Shop-Systemen ohne Zugriff auf DNS und Server scheitert die First-Party-Tracking-Domain an der Plattform. Shopify-Shops im Basis-Tarif und einige Baukasten-Systeme lassen keinen eigenen Endpunkt auf einer Subdomain zu. Dort bleibt nur der Weg über die anbieter-eigenen Schnittstellen, etwa die Conversions API von Meta.

Bei rein anonymer Reichweitenmessung löst cookieless Tracking die Aufgabe einfacher und ohne Einwilligung. Wer nur Seitenaufrufe und Kanalanteile beobachtet und keine personenbezogene Attribution benötigt, findet auf der Seite zu Cookieless Tracking den passenderen Weg.