Cookie-Tracking (Analytics)
Definition: Cookie-Tracking im Analytics-Kontext bezeichnet die Nutzung von Browser-Cookies zur persistenten Wiedererkennung von Nutzern über mehrere Sitzungen hinweg und zur Zuordnung von Ereignissen und Interaktionen zu einem individuellen Nutzerprofil. Ein Cookie ist eine kleine Textdatei, die ein Webserver im Browser des Nutzers ablegt. Bei jedem nachfolgenden Besuch der Website sendet der Browser diesen Cookie automatisch zurück, sodass das Analytics-System den Besucher als denselben Nutzer identifizieren kann – unabhängig davon, wie viel Zeit seit dem letzten Besuch vergangen ist. Im Kern von Cookie-Tracking steht eine zufällig generierte, eindeutige Nutzerkennung (Client-ID), die im Cookie gespeichert wird und als stabiler Anker für die Zuordnung aller Sitzungen und Ereignisse zu einem einzelnen Nutzer dient. Google Analytics 4 setzt standardmäßig den First-Party-Cookie "_ga" mit einer Lebensdauer von zwei Jahren. Dieser Cookie speichert eine zufällig erzeugte Client-ID im Format "GA1.1.XXXXXXXXXX.XXXXXXXXXX", wobei die letzten beiden Zahlen einen Zufallswert und einen Zeitstempel der Cookie-Erstellung darstellen. Anhand dieser Client-ID kann GA4 Sitzungen desselben Nutzers über die Zeit hinweg zusammenführen und Metriken wie die Anzahl der Sitzungen pro Nutzer, die Wiederkehrrate oder den durchschnittlichen Abstand zwischen Besuchen berechnen. Neben dem "_ga"-Cookie setzt GA4 in der Regel weitere Cookies, beispielsweise "_ga_[PROPERTY-ID]" zur Sitzungsverwaltung sowie Cookies für spezifische Funktionen wie Google Signals. Da Cookies gerätespezifisch und browserspezifisch gespeichert werden, erkennt das Analytics-System denselben Menschen, der die Website auf einem Desktop-Chrome-Browser und auf einem mobilen Safari-Browser besucht, als zwei unterschiedliche Nutzer. Diese Fragmentierung ist eine der zentralen Schwächen des reinen Cookie-Trackings und der Hauptgrund, warum ergänzende Methoden wie User-ID-Tracking und Cross-Device-Tracking entwickelt wurden.
Erläuterung
Cookie-Tracking war über viele Jahre die dominierende und quasi-universelle Methode der Web-Analyse. Ihre Stärke liegt in der Einfachheit und Zuverlässigkeit: Ist der Cookie einmal gesetzt, funktioniert die Nutzererkennung automatisch, ohne dass der Nutzer aktiv mitwirken muss. Allerdings steht Cookie-Tracking vor zunehmend gravierenden technischen und rechtlichen Herausforderungen. Auf der technischen Seite schränken Browser wie Apple Safari seit 2017 mit der "Intelligent Tracking Prevention" (ITP) die Lebensdauer von JavaScript-gesetzten Cookies drastisch ein. In der aktuellen ITP-Version werden First-Party-Cookies, die per JavaScript gesetzt werden (wie der GA4 "_ga"-Cookie durch gtag.js), auf maximal sieben Tage begrenzt. Das bedeutet: Ein Nutzer, der länger als eine Woche nicht zurückgekehrt ist, wird beim nächsten Besuch als neuer Nutzer gezählt. In Safari-lastigem Traffic (typischerweise iOS-Nutzer) kann dies zu erheblichen Verzerrungen in den Wiederkehrraten und Nutzerzahlen führen. Eine technische Gegenmaßnahme ist das Setzen des GA4-Cookies über den Server (via Set-Cookie-Header im HTTP-Response), da Server-gesetzte First-Party-Cookies von ITP in der Regel nicht auf sieben Tage begrenzt werden. Auf der rechtlichen Seite erfordert das Setzen von Analytics-Cookies nach DSGVO und ePrivacy-Richtlinie die ausdrückliche vorherige Einwilligung des Nutzers. Da viele Nutzer diese Einwilligung verweigern, entfällt Cookie-Tracking für einen wachsenden Anteil des Traffics ganz. Studien beziffern die Cookie-Abdeckung je nach Website und Branche auf 50 bis 80 Prozent des Traffics – mit deutlichem Abwärtstrend.
Angesichts dieser Einschränkungen empfiehlt sich für moderne Analytics-Setups eine Kombination aus mehreren Identifikationsmethoden. Cookie-Tracking bleibt für Nutzer, die zugestimmt haben, der präziseste Weg zur Sitzungsverkettung. Für angemeldete Nutzer bietet User-ID-Tracking eine überlegene, cookie-unabhängige Erkennung. Für alle anderen Nutzer liefern statistische Modelle wie der Google Consent Mode eine approximative Datenbasis. Die Kombination dieser Methoden ist heute State of the Art in professionellen Analytics-Implementierungen.
Arten von Cookies im Analytics-Kontext
- First-Party-Cookies: Cookies, die direkt von der besuchten Domain gesetzt werden (z. B. "_ga" von example.com); haben höhere Browser-Akzeptanz und werden von ITP weniger stark eingeschränkt als Third-Party-Cookies.
- Third-Party-Cookies: Cookies, die von einer anderen Domain als der besuchten gesetzt werden (z. B. das frühere Google Analytics Universal-Cookie über google-analytics.com); von allen modernen Browsern zunehmend blockiert oder abgeschafft.
- Session-Cookies: Temporäre Cookies ohne Ablaufdatum, die beim Schließen des Browsers gelöscht werden; in GA4 für die Sitzungsverwaltung innerhalb eines Besuchs genutzt.
- Persistente Cookies: Cookies mit definiertem Ablaufdatum, die über mehrere Browser-Sessions hinweg bestehen bleiben; der "_ga"-Cookie mit zwei Jahren Laufzeit ist das Kernelement des GA4-Cookie-Trackings.
- SameSite-Cookies: Cookies mit SameSite-Attribut, das steuert, ob der Cookie bei Cross-Site-Anfragen mitgesendet wird; GA4 nutzt "SameSite=Lax" zur Sicherheitssteigerung.
Einschränkungen und Lösungsansätze
- ITP (Intelligent Tracking Prevention): Apple Safaris Anti-Tracking-Technologie begrenzt JavaScript-gesetzte Cookies auf sieben Tage; Gegenstrategie ist Server-Side-Cookie-Setzung für längere Lebensdauer.
- Ad-Blocker und Privacy-Browser: Tools wie uBlock Origin oder Brave blockieren GA4-Cookies vollständig; Alternative ist Server-Side-Tracking über eine eigene First-Party-Domain.
- Consent-Verlust: Ablehnung im Cookie-Consent führt zu Totalausfall des Cookie-Trackings; Google Consent Mode v2 ermöglicht Modellierung der fehlenden Datenpunkte.
- Cross-Device-Fragmentierung: Ein Nutzer auf mehreren Geräten wird als mehrere Nutzer gezählt; Lösung ist User-ID-Tracking für angemeldete Nutzer und Google Signals für Google-Konto-Nutzer.
- Private Browsing / Inkognito: Im privaten Browsermodus werden Cookies nach Ende der Sitzung gelöscht, was Wiederkehrmessung unmöglich macht; keine technisch befriedigende Lösung verfügbar.