Kurz gesagt
Ein Cookie ist ein kleiner Eintrag, den eine Website in deinem Browser ablegt und bei jedem Besuch zurückbekommt. Verfolgen kann dich damit vor allem ein Dienst, der auf vielen Websites eingebettet ist und überall dasselbe Cookie liest. Firefox und Safari verhindern das von Haus aus; Chrome erlaubt solche fremden Cookies weiter, Edge sperrt sie nur bekannten Trackern. Tracker weichen auf Weiterleitungen und Kennungen in Links aus, die die Browser nur teilweise abfangen. Ein Einwilligungsbanner ändert daran technisch nichts: Es holt die Erlaubnis ein, die eine Website vor dem Speichern rechtlich braucht.
Ein Cookie für viele Seiten
Wenn du eine Seite aufrufst, kann ihr Server deinem Browser ein Cookie mitgeben: einen Namen mit einem Wert, oft einer zufälligen Nummer. Bei jeder weiteren Anfrage an denselben Server schickt der Browser es zurück — so bleibt ein Warenkorb gefüllt und eine Anmeldung bestehen. Wie eine Website ihre Cookies schützt, steht in Cookies einer Website sicher setzen.
Für die Verfolgung zählt, wem das Cookie gehört. Passt es zur Seite in der Adresszeile, heißt es Erstanbieter-Cookie. Gehört es einem eingebetteten Dienst — einem Werbebanner, einem Teilen-Knopf, einem unsichtbaren Zählbild —, heißt es Drittanbieter- oder seitenübergreifendes Cookie. Ist derselbe Dienst auf tausend Websites eingebaut und liest überall dasselbe Cookie, erfährt er, welche davon du besuchst, und kann daraus ein Profil deiner Interessen bauen.
Auch Erstanbieter-Cookies dienen der Messung: Google Analytics legt sein Cookie als eigenes Cookie der besuchten Seite ab, voreingestellt für zwei Jahre. Chrome lässt Cookies höchstens 400 Tage leben, Safari löscht von Skripten gesetzte nach sieben Tagen ohne Nutzung der Seite. Für sich allein verbindet ein solches Cookie nur Besuche auf derselben Website.
Getrennter Speicher: jede Website ihre eigene Dose
Die wirksamste Antwort der Browser heißt Speicherpartitionierung. Ein eingebetteter Dienst bekommt nicht mehr einen Speicher für alle Seiten, sondern für jede Website in der Adresszeile einen eigenen. Mozilla nennt das „Total Cookie Protection“: jede Website eine eigene Keksdose.
Firefox trennt so seit 2022 von Haus aus Cookies und übrigen Speicher, die Zwischenspeicher, ein altes Versteck für Kennungen, schon seit 2021. Safari sperrt seit 2020 alle Drittanbieter-Cookies und trennt den übrigen Speicher. Chrome trennt inzwischen ebenfalls den übrigen Speicher eingebetteter Dienste, ihre Cookies aber nur, wenn der Dienst es selbst verlangt (Partitioned). Sonst bleiben sie im normalen Fenster seitenübergreifend erlaubt, bis du sie sperrst; im Inkognito-Fenster sind sie gesperrt. Braucht ein eingebetteter Dienst seine Cookies wirklich, kann er um Zugriff bitten; je nach Browser wirst du dann gefragt.
Die Umwege: Weiterleitungen und Kennungen in Links
Wo fremde Cookies nicht mehr ankommen, weichen Tracker auf ihre eigenen Erstanbieter-Cookies aus. Beim Weiterleitungs-Tracking (englisch Bounce Tracking) führt ein Klick kurz über die Seite des Trackers: Dort ist er die besuchte Seite, liest und schreibt sein Cookie und reicht dich weiter. Bei Kennungen in Links hängt die Ausgangsseite eine Nummer an die Adresse, etwa die Klick-Kennung gclid bei Google-Anzeigen; Googles Skript auf der Zielseite legt sie in deren eigenem Cookie ab. Beides beschreibt die Privacy Community Group des W3C als Navigations-Tracking.
Die Gegenmittel sind lückenhafter. Firefox und Safari erkennen Weiterleiter und räumen ihre Daten ab oder schränken sie ein; bekannte Kennungen entfernen Firefox in der Stufe „Streng“, in Deutschland auch im privaten Fenster, und Safari im privaten Surfen. Chrome löscht den Speicher von Weiterleitern nur, wenn du fremde Cookies gesperrt hast. Seiten, die du in den letzten 45 Tagen selbst benutzt hast, verschonen Chrome und Firefox, damit Anmeldungen weiter funktionieren.
Was sich 2024 bis 2026 geändert hat
Die lange angekündigte Abschaffung fremder Cookies in Chrome kommt nicht. Google kündigte im Juli 2024 stattdessen eine Wahl durch die Nutzer an, verzichtete im April 2025 auch auf das Auswahlfenster dafür und stellte am 17. Oktober 2025 die meisten Ersatztechniken der Privacy Sandbox ein, die Chrome seit Anfang 2026 schrittweise entfernt. Am selben Tag schloss die britische Wettbewerbsbehörde ihr Verfahren dazu.
Was ein Einwilligungsbanner rechtlich bedeutet
Das Banner gibt es wegen § 25 TDDDG: Wer etwas auf deinem Gerät speichert oder dort ausliest, braucht deine Einwilligung, außer es ist für den Dienst, den du ausdrücklich willst, unbedingt nötig — der Warenkorb ja, das Werbe-Cookie nein. Das gilt für jeden Speicher, nicht nur für Cookies, und nach Ansicht des Europäischen Datenschutzausschusses auch für Zählbilder und Kennungen in Links.
- Ein vorab gesetztes Häkchen ist keine Einwilligung, gleich ob Personenbezogene Daten im Spiel sind. Die Website muss sagen, wie lange ihre Cookies leben und ob Dritte darauf zugreifen (Europäischer Gerichtshof 2019, „Planet49“; Bundesgerichtshof 2020).
- Versperrt das Banner die Seite, darf Ablehnen nach den deutschen Aufsichtsbehörden nicht mehr Mühe machen als Zustimmen: Lässt sich dort zustimmen, gehört ein gleichwertiger Ablehnen-Knopf daneben; ein Umweg über „Einstellungen“ genügt nicht. Widerrufen muss so einfach sein wie Zustimmen. Das Verwaltungsgericht Hannover hat 2025 eine Anordnung der Aufsicht gegen ein Banner bestätigt, dessen erste Ebene neben „Einstellungen“ nur Zustimmung anbot und das Schließen per „x“ als Zustimmung wertete.
- Seit April 2025 kann die Datenschutzbehörde des Bundes Dienste anerkennen, die deine Entscheidungen zentral verwalten; anerkannt ist bisher einer, und Websites müssen ihn nicht einbinden. Ein Vorschlag der EU-Kommission vom November 2025 für Ablehnen mit einem Klick und verbindliche Vorgaben aus dem Browser ist bis Oktober 2026 nicht beschlossen.
Dein Browser weiß nicht, was du im Banner geklickt hast: Getrennter Speicher und Tracking-Schutz wirken auch, wenn du zustimmst, und ob eine Seite dein Ablehnen beachtet, prüft er nicht. Die Wirkung von Signalen wie Do Not Track und Global Privacy Control ist in Europa nicht abschließend geklärt.
Ein Beispiel: ein Werbedienst auf zwei Seiten
Sophie liest morgens auf rezepte.example ein Rezept und abends auf nachrichten.example die Nachrichten. Beide Seiten binden denselben Werbedienst werbenetz.example ein, und auf beiden stimmt Sophie dem Banner zu.
- In Chrome mit Voreinstellung setzt der Werbedienst auf der Rezeptseite ein Cookie mit einer Nummer und liest sie auf der Nachrichtenseite wieder. Er weiß jetzt: Dieselbe Person liest beide Seiten.
- In Firefox findet der Werbedienst auf der Nachrichtenseite höchstens eine leere, eigene Dose vor, in Safari hat er gar kein Cookie setzen dürfen. Zwei Besuche, zwei Unbekannte — Sophies Zustimmung im Banner ändert daran nichts.
- Klickt Sophie auf eine Anzeige, die über klick.werbenetz.example zum Shop führt, ist der Werbedienst kurz selbst die besuchte Seite und kann sein eigenes Cookie lesen. Hängt er eine Klick-Kennung an die Adresse des Shops, ordnet der Shop den Kauf diesem Klick zu. Firefox und Safari räumen solche Weiterleiter ab oder beschränken sie, Chrome nur, wenn Sophie fremde Cookies gesperrt hat.
Hätte Sophie abgelehnt, dürfte keine der Seiten das Werbe-Cookie setzen. Ob sie sich daran halten, sieht Sophie nicht.
Was der Schutz voraussetzt
- Einen aktuellen Browser. In Firefox und Safari ist der Schutz vor fremden Cookies von Haus aus an; Edge sperrt von selbst nur bekannte Tracker, alle fremden Cookies sperrst du dort wie in Chrome selbst. Die Menüwege stehen in Browser datensparsam einstellen, den eingebauten Schutz erklärt Eingebauter Browserschutz.
- Gegen Weiterleitungen und Kennungen in Links mehr als die Voreinstellung: in Firefox die Stufe „Streng“, in Chrome die Sperre fremder Cookies. Beides kann einzelne Seiten stören; Ausnahmen je Website helfen.
- Das Wissen, wo kein Cookie-Schutz greift. Wo du angemeldet bist, kennt dich der Dienst ohnehin; Fingerprinting braucht gar keinen Speicher, siehe Wie Fingerprinting funktioniert; und deine IP-Adresse bleibt dieselbe.
Was dieser Artikel nicht sagt
- Dieser Artikel ist keine Rechtsberatung. Er gibt wieder, was Gesetz, Gerichte und Aufsichtsbehörden sagen; ob ein bestimmtes Banner wirksam ist, entscheidet der Einzelfall. Bezahl-oder-Zustimmen-Modelle bewertet er nicht.
- Er nennt keine Zahlen dazu, wie verbreitet Weiterleitungen oder Kennungen in Links sind; eine belastbare Messung lag nicht vor.
- Die Browserangaben folgen den Herstellern, Stand Oktober 2026; wo keine Stufe genannt ist, gilt die Voreinstellung. Auf Dienstgeräten oder mit Erweiterungen kann es anders aussehen.
- HexWarte prüft nicht, ob dein Browser fremde Cookies sperrt, Speicher trennt oder Weiterleiter löscht. Der Browser-Einblick zeigt ohne Klick unter „Datenschutzsignale“, ob er DNT oder GPC mitschickt, und nach dem Start unter „Cookie-Unterstützung“ nur, ob Cookies grundsätzlich eingeschaltet sind.
Weiter
Im Browser-Einblick sehen, was dein Browser ganz ohne Cookie verrät →Passende Artikel
Begriffe dazu
Quellen
Geprüft am 3. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.