Welche Cookies setzt eine Website? Selbst nachsehen
Jede Seite behauptet in ihrem Banner, welche Cookies sie setzt. Nachsehen kann man in jedem Browser, ohne Erweiterung und ohne Anmeldung — und in erstaunlich vielen Fällen stimmt die Behauptung nicht.
In zwei Klicks nachsehen#
Entwicklerwerkzeuge öffnen mit F12, dann:
- Chrome und Edge: Reiter Application, links unter Storage → Cookies
- Firefox: Reiter Speicher → Cookies
- Safari: Entwicklermenü zuerst in den Einstellungen aktivieren, dann Web-Inspektor → Speicher
Dort steht jedes Cookie mit Name, Wert, Herkunft und Ablaufdatum.
Wichtig ist die Reihenfolge: Werkzeuge öffnen, Cookies löschen, Seite neu laden — und vor jedem Klick auf das Banner nachsehen. Wer erst zustimmt und dann prüft, misst das Falsche.
Die Spalten, auf die es ankommt#
Domain. Steht dort die Adresse der Seite selbst, ist es ein Erstanbieter-Cookie. Steht dort etwas anderes, kommt es von einem Dritten — und der weiß damit, dass du hier warst.
Ablauf. Session heißt: weg beim Schließen des Browsers. Ein Datum in zwei Jahren heißt: Wiedererkennung über zwei Jahre.
Name. Einige sind sofort einzuordnen: _ga und _gid gehören zu Google Analytics, _fbp zum Facebook-Pixel, IDE und test_cookie zu Google-Werbediensten, PHPSESSID ist eine gewöhnliche Sitzungskennung und technisch notwendig.
Die Zahl, die wirklich zählt#
Nicht wie viele Cookies eine Seite setzt, sondern wie viele sie setzt, bevor jemand zugestimmt hat.
Alles nach dem Klick auf „Akzeptieren" ist eine Entscheidung des Besuchers. Alles davor ist eine Entscheidung des Betreibers — und bei allem, was nicht technisch notwendig ist, eine, die er nicht treffen darf. Genau hier gehen die meisten Seiten fehl, und zwar ohne Absicht: Das Banner ist eingerichtet, aber ein Video, eine Karte oder eine Schriftart lädt trotzdem sofort.
Und die zweite Prüfung, die noch häufiger übersehen wird: Was passiert beim Klick auf „Ablehnen"? Wenn danach dieselben Dienste laden wie bei „Akzeptieren", ist das Banner Zierrat.
Cookies sind nur die Hälfte#
Ein Cookie ist der sichtbarste Speicher, aber längst nicht der einzige. In derselben Ansicht stehen unter Local Storage und Session Storage weitere Einträge — und die tauchen in keiner Cookie-Liste und in kaum einer Datenschutzerklärung auf.
Wiedererkennung braucht überdies gar keinen Speicher. Ein Server sieht Adresse, Browser, Betriebssystem, Bildschirmgröße, Sprache und installierte Schriften. Diese Kombination ist bei vielen Geräten eindeutig genug. Wer nur Cookies zählt, misst deshalb das, was sich leicht messen lässt, nicht das, was zählt.
Die praktisch wichtigere Frage ist deshalb: Welche fremden Hosts werden überhaupt angesprochen, bevor jemand zugestimmt hat? Das steht in derselben Werkzeugleiste unter Netzwerk — und jeder Eintrag dort bedeutet, dass ein fremder Server von diesem Besuch erfahren hat, Cookie hin oder her.
Der Datenschutz-Check nimmt genau diese Messung ab: Er ruft eine Adresse ohne Einwilligung auf und listet, was dabei gesetzt und geladen wird.
Für Betreiber: die drei häufigsten Befunde#
Schriftarten von einem fremden Server. Der Klassiker, und er lässt sich in einer halben Stunde beheben, indem man die Dateien selbst ausliefert.
Eingebettete Videos und Karten. Sie laden beim Seitenaufbau, nicht beim Abspielen. Eine Vorschau mit Klick zum Laden löst das.
Ein Banner, das zu spät kommt. Das Einwilligungswerkzeug wird nach den Diensten geladen, die es steuern soll. Dann ist es Dekoration.
Und wenn die Frage eigentlich Vertrauen meint#
Häufig steht hinter „welche Cookies setzt die Seite" die Sorge, ob man ihr überhaupt trauen kann. Cookies sind dafür nur ein Anhaltspunkt unter mehreren — welche Prüfungen welche Frage beantworten, steht unter Ist diese Website sicher?