Cookieless Tracking: Messen, wenn Cookies wegfallen

Um Cookieless Tracking hat sich in wenigen Jahren eine ganze Beratungsindustrie gebildet, und ein Teil davon lebt von Dramatisierung. Die nüchterne Lage ist interessanter: Ein Teil der alten Messwelt verschwindet tatsächlich, ein anderer bleibt, und ein dritter wird durch Modellierung ersetzt. Welche Kategorie welche ist, entscheidet darüber, ob Budgetentscheidungen weiter auf belastbaren Zahlen stehen. Der Reihe nach: erst die Begriffe, dann die Ursachen, dann die Werkzeuge.

Was cookieless wirklich bedeutet

Der Begriff wird meist unscharf verwendet, dabei hängt an der Unterscheidung alles. Ein Cookie ist eine kleine Information, die eine Website im Browser ablegt und wieder ausliest. First-Party-Cookies setzt die besuchte Website selbst: Sie halten den Warenkorb, die Anmeldung oder die eigene Web-Analyse zusammen und funktionieren in allen gängigen Browsern weiterhin. Third-Party-Cookies stammen von einer anderen Domain als der besuchten Seite, typischerweise von Werbenetzwerken, und sie waren jahrzehntelang das Rückgrat der websiteübergreifenden Werbemessung: Ein Werbenetzwerk, das auf tausenden Websites eingebunden ist, konnte denselben Browser überall wiedererkennen.

Cookieless meint im engeren Sinn das Ende dieser zweiten Kategorie. Safari und Firefox blockieren Third-Party-Cookies standardmäßig, seit Jahren und vollständig. Was an Schlagworten wie dem Ende der Cookies kursiert, betrifft also vor allem das websiteübergreifende Wiedererkennen durch Dritte. Die eigene Messung auf der eigenen Website, getragen von First-Party-Cookies, ist davon technisch nicht betroffen; sie steht aus anderen Gründen unter Druck, und die lohnen einen genauen Blick.

Woher der Druck kommt: Browser, Adblocker, Einwilligung

Zunächst eine Richtigstellung, die viele Planungen betrifft: Google hat die lange angekündigte Abschaffung der Third-Party-Cookies in Chrome im Jahr 2024 offiziell aufgegeben. Der Termin, der mehrfach verschoben worden war, kommt nicht mehr; Chrome behält Third-Party-Cookies. Wer seine Messstrategie allein an diesem Datum ausgerichtet hatte, kann durchatmen, sollte aber nicht zurücklehnen, denn der eigentliche Druck kam nie allein von Chrome.

Er kommt aus drei Richtungen, die alle bleiben. Erstens die anderen Browser: Safari blockiert über die Intelligent Tracking Prevention Third-Party-Cookies vollständig und begrenzt zusätzlich die Lebensdauer vieler First-Party-Cookies, Firefox blockiert bekannte Tracking-Domains über die Enhanced Tracking Protection. Zweitens Adblocker, die Verbindungen zu Werbe- und Analysediensten ganz unterbinden. Drittens, und in der Praxis am gewichtigsten, das Einwilligungsverhalten: Ein relevanter Teil der Besucher lehnt Tracking im Banner ab oder ignoriert es, und ohne Einwilligung darf vieles gar nicht erst gemessen werden. Für Unternehmen, die bezahlte Kanäle steuern, heißt das: Die Lücke zwischen tatsächlichen und gemessenen Conversions ist strukturell, nicht vorübergehend, und sie ist je nach Zielgruppe und Gerätemix unterschiedlich groß.

Die vier Ebenen sauberer Messung

Wer unter diesen Bedingungen belastbar messen will, braucht kein einzelnes Werkzeug, sondern eine Ordnung. Bewährt hat sich ein Bild aus vier Ebenen, die aufeinander aufbauen: Ganz unten liegt die Rechtsgrundlage, darüber die Erfassung eigener Daten, darüber der Übertragungsweg, ganz oben die Auswertung. Jede Ebene ist nur so belastbar wie die darunterliegende, und die meisten Messprobleme entstehen, weil auf einer oberen Ebene repariert wird, was auf einer unteren fehlt.

Die Reihenfolge ist zugleich die Arbeitsreihenfolge. Ein Banner, das den Einwilligungsstatus nicht sauber an die Tags durchreicht, macht jede spätere Zahl angreifbar. Eine Datenerfassung, die nur aus anonymen Seitenaufrufen besteht, gibt der Modellierung nichts zum Rechnen. Und ein Übertragungsweg, der Signale verliert, bevor sie ankommen, lässt sich nicht in der Auswertung kompensieren; welchen Beitrag ein eigener Server-Container auf dieser dritten Ebene leistet, beschreibt der Beitrag zum Server-Side-Tracking im Detail.

Google Consent Mode v2: Signale statt Cookies

Auf der Fundament-Ebene hat Google mit dem Consent Mode ein Verfahren etabliert, das den Einwilligungsstatus maschinenlesbar macht. Das Prinzip: Das Einwilligungsbanner übergibt an die Google-Tags, was der Besucher erlaubt hat, und die Tags passen ihr Verhalten daran an. In der seit März 2024 für den Europäischen Wirtschaftsraum verbindlichen Version v2 kommen zwei zusätzliche Signale hinzu, eines für die Übermittlung von Nutzerdaten zu Werbezwecken und eines für personalisierte Werbung. Wer Google-Werbeprodukte mit personenbezogenen Funktionen nutzen will, etwa Remarketing, muss diese Signale übergeben; ohne sie verarbeitet Google die entsprechenden Daten aus dem EWR nicht mehr für diese Zwecke.

Interessant ist, was ohne Einwilligung passiert. Die Tags setzen dann keine Cookies, senden aber weiterhin sogenannte cookielose Pings: aggregierte, nicht auf Personen bezogene Grundsignale, etwa dass eine Conversion-Seite aufgerufen wurde, ohne dass sie einem wiedererkennbaren Nutzer zugeordnet wird. Aus diesen Pings und dem Verhalten der Nutzer, die eingewilligt haben, schätzt Google statistisch, wie viele Conversions in der nicht messbaren Gruppe stattgefunden haben. Google dokumentiert dieses Verfahren als Behavioral Modeling und Conversion Modeling. Wichtig für die Einordnung: Auch der Consent Mode ist Technik auf Ebene eins, kein Ersatz für sie. Ob und wie das Banner konfiguriert sein muss, damit diese Pings zulässig sind, sollten Sie mit Datenschutzbeauftragten oder anwaltlich prüfen.

Modellierte Conversions: Was Berichte dann zeigen

Für alle, die mit den Zahlen arbeiten, ist die wichtigste Konsequenz eine stille Veränderung der Berichte: Ein Teil der ausgewiesenen Conversions ist nicht mehr gezählt, sondern geschätzt. Die Plattformen mischen gemessene und modellierte Conversions in denselben Spalten, und sie weisen den modellierten Anteil nicht im Einzelnen aus. Das ist kein Skandal, sondern die ehrlichste verfügbare Antwort auf eine unvollständige Datenlage; ein Bericht, der nur gezählte Conversions zeigte, würde systematisch untertreiben. Aber es verändert, wie Zahlen gelesen werden müssen.

Praktisch folgen daraus drei Leseregeln. Erstens: Plattformzahlen sind Steuerungsgrößen, keine Buchhaltung; wer den Werbeertrag berechnet, sollte die Mechanik hinter den Zahlen kennen, wie sie der Beitrag zum ROAS-Berechnen aufschlüsselt. Zweitens: Vergleiche über die Zeit sind belastbarer als absolute Werte, solange sich das Consent-Setup nicht ändert; nach jeder Banner-Änderung verschieben sich die Zahlen auch ohne echte Veränderung im Markt. Drittens: Die Zuordnung von Conversions zu Kanälen, die Attribution, wird durch Modellierung unschärfer, nicht falscher; sie taugt weiter für Richtungsentscheidungen, aber nicht mehr für Cent-genaue Verrechnung zwischen Kanälen.

First-Party-Daten als eigentliche Antwort

Consent Mode und Modellierung reparieren die Auswertung. Die strategische Antwort auf die Cookie-Erosion liegt eine Ebene tiefer: bei den Daten, die ein Unternehmen mit Wissen und Einwilligung seiner Kunden selbst erhebt. Eine E-Mail-Adresse aus einer Anfrage, ein Kundenkonto, eine Newsletter-Anmeldung, ein CRM-Eintrag: Diese Daten gehören dem Unternehmen, überleben jeden Browserwechsel und lassen sich, gehasht und mit Einwilligung, als Signal an Werbeplattformen zurückspielen. Wie diese Rückführung bei Meta konkret funktioniert, zeigt der Beitrag zur Meta-Attribution mit CRM-Rückführung.

Der Aufbau folgt einer einfachen Logik: Jeder Kontaktpunkt entlang des Marketing-Funnels wird daraufhin geprüft, ob er einen fairen Tausch anbieten kann, Nutzwert gegen Kontaktdaten. Ein substanzieller Leitfaden gegen eine E-Mail-Adresse, ein Konfigurator gegen ein Kundenkonto, ein Vorteilsprogramm gegen ein Profil. Damit aus diesen Kontakten verwertbare Daten werden, braucht es saubere Formulare und eine Qualifizierung der Anfragen, wie sie die Leistungsseite zur Lead-Qualifizierung beschreibt. Und damit der Tausch überhaupt zustande kommt, muss die Conversion-Rate der entscheidenden Seiten stimmen; das ist das Feld der Conversion-Optimierung.

Ehrlich benannt gehört dazu auch die Grenze: First-Party-Daten ersetzen die eigene Messung und die Beziehung zu bestehenden Interessenten, aber sie ersetzen nicht die websiteübergreifende Reichweitenmessung des alten Cookie-Modells. Zu wissen, welche fremden Websites ein anonymer Nutzer vorher besucht hat, war ein Auslaufmodell und bleibt eines. Die Unternehmen, die damit gut fahren, haben diesen Anspruch aufgegeben und investieren stattdessen in die Qualität der eigenen Datenbasis.

Rechtlicher Rahmen: DSGVO und TDDDG

Der rechtliche Rahmen lässt sich in zwei Sätzen umreißen, die Bewertung des Einzelfalls dagegen nicht. Das TDDDG, der Nachfolger des TTDSG, regelt den Zugriff auf Endgeräte: Wer Informationen im Browser speichert oder ausliest, braucht dafür grundsätzlich eine Einwilligung, es sei denn, der Zugriff ist für den gewünschten Dienst unbedingt erforderlich. Die DSGVO regelt die Verarbeitung personenbezogener Daten: Sie verlangt für jede Verarbeitung eine Rechtsgrundlage und gibt Betroffenen Auskunfts- und Widerspruchsrechte. Beide Regelwerke gelten unabhängig davon, ob Cookies im Spiel sind; auch cookielose Verfahren wie Fingerprinting oder serverseitige Erfassung fallen darunter, sobald Endgeräte-Informationen oder personenbezogene Daten verarbeitet werden.

Für die Praxis heißt das: Transparenz gehört zur Messstrategie. Welche Dienste eine Website einsetzt und auf welcher Grundlage, gehört vollständig in die Datenschutzerklärung, und das Einwilligungsbanner muss halten, was sie verspricht. Ob eine konkrete Konfiguration zulässig ist, ob berechtigtes Interesse als Grundlage für eine bestimmte Messung trägt, ob ein Dienst Daten in Drittländer übermittelt: Solche Fragen sollten Sie nicht aus Blogartikeln beantworten, auch nicht aus diesem, sondern mit Datenschutzbeauftragten oder anwaltlich prüfen. Die Erfahrung zeigt, dass Messaufbauten, die von Anfang an mit dieser Prüfung entstehen, stabiler laufen als solche, die nachträglich legalisiert werden müssen.

Häufige Fragen zum Cookieless Tracking

Was bedeutet Cookieless Tracking?

Der Begriff beschreibt Messverfahren, die ohne Third-Party-Cookies auskommen, teils auch ohne Cookies insgesamt. Gemessen wird dann über First-Party-Cookies, serverseitige Ereignisse, aggregierte Signale und statistische Modellierung. Cookieless heißt nicht einwilligungsfrei: Auch cookielose Verfahren brauchen eine Rechtsgrundlage, sobald Endgeräte-Informationen oder personenbezogene Daten verarbeitet werden.

Fallen Third-Party-Cookies in Chrome noch weg?

Nein. Google hat die mehrfach verschobene vollständige Abschaffung der Third-Party-Cookies in Chrome im Jahr 2024 offiziell aufgegeben. Der Druck auf cookiebasierte Messung bleibt trotzdem bestehen, weil Safari und Firefox Third-Party-Cookies längst standardmäßig blockieren, Adblocker verbreitet sind und viele Nutzer im Einwilligungsbanner kein Tracking erlauben.

Was ist Google Consent Mode v2?

Ein Verfahren, mit dem eine Website den Einwilligungsstatus ihrer Besucher maschinenlesbar an Google-Dienste übergibt. Seit März 2024 ist es für Werbetreibende im Europäischen Wirtschaftsraum verpflichtend, die Google-Werbeprodukte mit personenbezogenen Funktionen wie Remarketing nutzen wollen. Ohne Einwilligung senden die Tags nur cookielose, aggregierte Signale, aus denen Google Conversions statistisch modelliert.

Was sind modellierte Conversions?

Statistisch geschätzte Conversions, die Lücken in der Messung füllen, wenn Besucher keine Einwilligung erteilt haben oder Cookies fehlen. Die Plattformen berechnen sie aus dem beobachteten Verhalten einwilligender Nutzer und aggregierten Signalen. In den Berichten erscheinen sie gemeinsam mit gezählten Conversions; einzelne Nutzerpfade lassen sich aus ihnen nicht mehr ablesen.

Ist Tracking ohne Einwilligung erlaubt?

Das hängt vom Verfahren ab. Zugriffe auf das Endgerät, die nicht unbedingt erforderlich sind, brauchen nach dem TDDDG eine Einwilligung, und die Verarbeitung personenbezogener Daten braucht nach der DSGVO eine Rechtsgrundlage. Aggregierte, nicht personenbezogene Messungen können zulässig sein. Die Bewertung des eigenen Setups sollten Sie mit Datenschutzbeauftragten oder anwaltlich prüfen.

Ersetzen First-Party-Daten die Cookies vollständig?

Nicht vollständig, aber sie verschieben das Fundament. Wer Kontaktdaten und CRM-Informationen mit Einwilligung sammelt, kann Kunden über Geräte und Kanäle hinweg wiedererkennen und Werbeplattformen belastbare Signale liefern. Die websiteübergreifende Beobachtung anonymer Nutzer, die Third-Party-Cookies einmal leisteten, ersetzen First-Party-Daten nicht; dieser Teil des alten Modells entfällt ersatzlos.

Fazit

Cookieless Tracking ist keine Katastrophe und kein Produkt, das man kauft, sondern ein Zustand, auf den man seine Messung einstellt. Die Fakten dahinter sind unaufgeregt: Third-Party-Cookies sind in Safari und Firefox seit Jahren blockiert, Chrome behält sie nach Googles Kurswechsel von 2024, und der eigentliche Druck kommt aus Einwilligungsverhalten, Adblockern und Browserschutz. Die Antwort darauf ist eine Ordnung aus vier Ebenen: geklärter Consent, eigene Datenerfassung, ein stabiler Übertragungsweg und eine Auswertung, die modellierte Anteile kennt und einordnet.

Wer diese Ebenen von unten nach oben aufbaut, verliert durch die Cookie-Erosion erstaunlich wenig Steuerungsfähigkeit; wer oben repariert, was unten fehlt, produziert präzise aussehende Zahlen ohne Fundament. Der Unterschied zwischen beiden zeigt sich nicht im Dashboard, sondern in der Qualität der Budgetentscheidungen, die darauf gebaut werden.

Kostenlose Wachstumsanalyse anfragen →