Cookies prüfen: Welche Cookies setzt meine Website?

Cookies sind fester Bestandteil fast jeder Website – aber weißt du eigentlich, welche Cookies deine Website genau setzt? Und ob sie datenschutzkonform sind?

In diesem Artikel erfährst du:

• was Cookies eigentlich sind,
  
• welche Aufgaben sie auf deiner Website übernehmen,
  
• warum sie datenschutzrechtlich relevant sind,
  
• welche Rolle dein Cookie-Banner dabei spielt
  
• und wie du selbst prüfen kannst, ob deine Website Cookies verwendet und wenn ja, welche
  

Was sind Cookies überhaupt?

Cookies sind kleine Textdateien, die beim Besuch einer Website im Browser gespeichert werden. Sie enthalten Informationen, die die Website bei einem späteren Besuch wieder abrufen kann – sozusagen ein Gedächtnis für deine Website.

Ein Cookie kann sich z. B. merken:

• ob jemand eingeloggt ist,
  
• was im Warenkorb liegt,
  
• welche Sprache ausgewählt wurde,
  
• oder welche Seiten besucht wurden (für Analyse und Tracking).
  

Es gibt zwei Arten von Cookies:

• First-Party-Cookies: Diese werden direkt von deiner eigenen Website gesetzt.
  
• Third-Party-Cookies: Diese kommen von externen Anbietern, z. B. Google Analytics, Facebook, YouTube oder Analyse-Tools wie Matomo.
  

Welche Aufgaben haben Cookies auf einer Website?

Cookies sind technisch oft notwendig, damit die Website funktioniert (essenzielle Cookies). Manche Cookies sind für die Funktion der Website aber nicht erforderlich. Das schauen wir uns jetzt mal im Detail an. Es gibt verschiedene Kategorien von Cookies, und nur ein Teil davon gilt als technisch notwendig im Sinne der DSGVO. Die anderen brauchen zwingend eine aktive Zustimmung durch den Nutzer.

Technisch notwendige (essenzielle) Cookies

Diese Cookies sind für den Betrieb der Website unverzichtbar. Ohne sie würde die Website nicht oder nur eingeschränkt funktionieren.

Beispiele:

• Session-Cookies: Speichern temporär Informationen, etwa beim Ausfüllen von Formularen oder für den Warenkorb im Shop.
• Login-Cookies: Ermöglichen es, dass eingeloggte Nutzer z. B. im Kundenbereich bleiben, ohne sich auf jeder Seite neu anmelden zu müssen.
• Sicherheits-Cookies: Z. B. für CSRF-Token (Cross-Site Request Forgery Protection) – schützen Formulare vor Missbrauch.
• Cookie zur Speicherung der Cookie-Einwilligung (ja, auch das ist nötig!): Z. B. „cookieConsent“ – merkt sich, ob jemand Cookies akzeptiert oder abgelehnt hat.

Diese Cookies dürfen ohne Zustimmung gesetzt werden. Sie müssen aber im Cookie-Banner trotzdem transparent aufgeführt werden.

Funktionale Cookies (nicht notwendig)

Sie verbessern die Nutzererfahrung, sind aber nicht zwingend nötig, damit die Website funktioniert.

Beispiele:

• Sprachauswahl speichern
  
• Schriftgröße oder Kontrasteinstellungen merken (Barrierefreiheit)
  
• Wiedergabeposition in eingebetteten Videos speichern
  

Hier ist eine Zustimmung der Website-Besucher erforderlich – auch wenn diese Cookies praktisch sind, gelten sie nicht als technisch notwendig. Ohne aktive Einwilligung dürfen sie also nicht gesetzt werden.

Statistik- / Analyse-Cookies

Diese Cookies erfassen, wie Besucher die Website nutzen – z. B. wie lange sie bleiben, welche Seiten sie anschauen, wie sie zur Seite gekommen sind.

Beispiele:

• Google Analytics (_ga, _gid, etc.)
  
• Matomo
  

Auch hier ist eine Zustimmung der Website-Besucher zwingend erforderlich, da personenbezogene Daten (wie IP-Adressen) verarbeitet werden oder Nutzerverhalten getrackt wird.

Marketing- / Tracking-Cookies

Diese Cookies werden verwendet, um personenbezogene Profile zu erstellen und Nutzern personalisierte Werbung anzuzeigen.

Beispiele:

• Facebook Pixel (_fbp)
  
• Google Ads / Conversion-Tracking
  
• Cookies von Affiliate- oder Retargeting-Netzwerken
  

Diese Cookies sind aus Datenschutzsicht die sensibelsten – sie dürfen auf keinen Fall ohne vorherige Einwilligung aktiv sein.

Cookies von Drittanbietern (Third-Party-Cookies)

Viele Tools setzen eigene Cookies – etwa dann, wenn du YouTube-Videos, Google Maps, oder Instagram-Beiträge direkt auf deiner Website einbettest.

Auch wenn du die Inhalte nur einbindest, bist du verantwortlich, dass deren Cookies erst nach Zustimmung gesetzt werden.

Warum sind Cookies datenschutzrelevant?

Cookies greifen häufig auf personenbezogene Daten zu – etwa die IP-Adresse, das Nutzerverhalten oder eindeutige Gerätekennungen. Laut DSGVO (Datenschutz-Grundverordnung) dürfen solche Daten nur mit Einwilligung verarbeitet werden, es sei denn, sie sind zwingend notwendig für die Funktion der Website.

Cookies, die technisch nicht notwendig sind, dürfen erst nach Zustimmung gesetzt werden. Es reicht nicht, wenn Cookies beim Laden der Seite schon gesetzt werden und der Cookie-Banner nur über die Verwendung der Cookies „informiert“.

Kurz gesagt: Wenn du nicht essenzielle Cookies (funktionale Cookies, Statistik-Cookies oder Marketing-Cookies) einsetzt, ohne dass jemand aktiv auf „Akzeptieren“ klickt, verstößt du gegen die Datenschutzgrundverordnung. 

Was ein Cookie Banner damit zu tun hat

Cookie Banner (auch Cookie Consent Tool) genannt, kennen wir alle. Das sind die, die beim ersten Besuch auf jeder Website aufploppen und die man nur weg bekommt, indem man auf „akzeptieren“ oder „ablehnen“ klickt. Zugegeben: Diese Banner nerven uns alle, aber sie sind wichtig. Sie erfüllen eine ganz konkrete Aufgabe: Sie sollen die Website-Besucher Informationen zu den Cookies liefern, die die Website verwendet, und ihnen die Möglichkeit geben, dieser Cookie-Verwendung zuzustimmen – oder eben auch nicht.

Kurz: Keine Website darf Cookies speichern, ohne dass du aktiv deine Zustimmung dazu gegeben hast.

Ein korrekt konfigurierter Cookie-Banner …

• blockiert alle nicht notwendigen Cookies standardmäßig (bis der Website-Besucher seine Zustimmung erteilt),
  
• ermöglicht eine echte Wahl (z. B. „Alle ablehnen“ ist genauso sichtbar wie „Alle akzeptieren“),
  
• listet die verwendeten Cookies transparent und detailliert auf, d.h. informiert sehr genau über die verwendeten Services, die Cookies und deren Speicherdauer,
  
• ermöglicht den Website-Besuchern, individuell zu entscheiden, welche Cookies gesetzt werden dürfen und welche nicht (entweder alle, oder gar keine oder nur einzelne, die der User selbst auswählt)
• lässt sich nachträglich bearbeiten oder widerrufen (z. B. über ein kleines Symbol oder einen Link).
  

So viel zur Theorie. Die Realität sieht leider oft ganz anders aus. Viele Cookie Banner sind nicht korrekt konfiguriert. Erschreckenderweise oft auch dann nicht, wenn die Website von einem professionellen Webdesigner oder einer Agentur erstellt wurde. Das Problem: Cookies betreffen nicht nur Design, sondern auch Technik und Recht. Viele Webdesigner oder Agenturen sind hier nicht ausreichend geschult. Das führt dazu, dass Cookie Banner häufig falsch eingestellt werden. Das kann im schlimmsten Fall zu Abmahnungen führen – allerdings haftet dann nicht der Webdesigner / die Agentur, sondern du als Website-Inhaber. 

Wie kannst du prüfen, ob Cookies korrekt blockiert werden?

Jetzt wird’s praktisch. Du kannst selbst in wenigen Minuten testen, ob deine Website vor der Zustimmung bereits Cookies setzt – oder ob alles korrekt blockiert wird. Keine Sorge – du brauchst keine Programmierkenntnisse. Die Schritte sind einfach.

Schritt-für-Schritt-Anleitung: Cookies prüfen mit den Chrome Dev Tools

Du brauchst dafür nur den Chrome-Browser. So gehst du vor:

1. Inkognito-Modus öffnen

Starte Chrome und öffne ein neues Inkognito-Fenster (Strg + Umschalt + N). So verhinderst du, dass alte Cookies aus früheren Besuchen deine Analyse verfälschen.

2. (D)eine Website aufrufen und alle Cookies akzeptieren

Öffne eine Website (entweder deine eigene oder eine beliebige andere) und akzeptiere zunächst erstmal alle Cookies.

3. Developer Tools öffnen

Drücke F12 oder klicke mit der rechten Maustaste auf die Seite und wähle „Untersuchen“. Gehe dann oben auf den Reiter „Netzwerk“ und darin dann ein Stückchen weiter unten auf den Reiter „Alles„.

Scrolle durch die Ergebnisse und achte auf die Spalte „Domain“. Du siehst jetzt hier, dass Google Analytics (region1.google-analytics.com) und der Google Tag Manager (www.googletagmanager.com) geladen werden. In diesem Fall ist das OK, da wir ja zugestimmt haben.

3. Cookies anzeigen

Nun schauen wir uns noch an, welche Cookies genau gesetzt werden. Lass die Developer Tools geöffnet, klicke oben auf den Reiter „App“ und dann links unter „Cookies“ auf die Domain der Website. In der Tabelle werden dir dann die gefundenen Cookies angezeigt. Keine Angst, du musst nicht genau verstehen, was da steht. Du kannst dir aber merken, dass Cookies, die mit „_ga“ beginnen, von Google Analytics kommen und eine Zustimmung benötigen. Die Zustimmung haben wir ja gegeben, also ist es OK.

Die Cookies mit „real_cookie_banner“ kommen in diesem Fall vom Cookie Consent Tool „Real Cookie Banner“ und gehören zur essenziellen Gruppe; sind also nicht einwilligungspflichtig.

4. Privatsphäre-Einstellungen ändern und Cookies ablehnen

Lade nun die Seite einmal neu oder klicke (falls vorhanden) auf das kleine Cookie Symbol (häufig ein Fingerabdruck oder ein Keks-Symbol), um deine Privatsphäre-Einstellungen zu ändern:

Lehne nun alle Cookies ab. Je nach Website ist hierfür die Wortwahl möglicherweise unterschiedlich, z.B. „alle ablehnen“ oder (wie hier) „weiter ohne Einwilligung“.

Lade die Seite einmal neu ohne auf den Cookie-Banner zu reagieren. Schau, ob bereits Cookies gesetzt werden. Das darf nur der Fall sein, wenn es sich um technisch notwendige Cookies handelt.

5. Erneut prüfen

Schaue nun wieder in den Developer Tools (mit der Taste F12 oder rechter Maustaste „Untersuchen“ im Reiter „Netzwerk“, ob du dort andere Domains findest als die der Website, die du gerade besuchst. Ich spare mir den Screenshot, da ich hier nicht die gesamte Liste der Domains auf einmal abbilden kann, um dir zu zeigen, dass keine externen Domains mehr geladen werden.

Prüfe auch nochmal den Reiter „App“ und dann die „Cookies“: Du siehst hier, dass keine Cookies außer den technisch notwendigen (real_cookie_banner) mehr gesetzt werden:

So soll es sein. Ganz oft ist es aber nicht so (leider) – die Website-Betreiber, bei denen die Cookie Banner falsch eingestellt sind, haben Tür und Tor für Abmahnungen sperrangelweit offen. Leider oft nicht aus böser Absicht, sondern aus Unwissenheit. Und leider oft auch aus Unwissenheit von (vermeintlichen) Profis (Werbeagenturen / Webdesignern). 

Wenn du nun festgestellt hast, dass deine Website ohne Einwilligung Cookies speichert und nicht weißt, wie du das ändern sollst, dann hast du zwei Möglichkeiten:

1. Melde dich bei mir und ich stelle das für dich ein. Schreib mir einfach eine E-Mail an kerstin@kl-webkonzept.de
2. Lies meinen Blogartikel zur richtigen Konfiguration von Real Cookie Banner (coming soon)

Hinweis: Um wirklich auf Nummer sicher zu gehen, dass keine unerlaubten Cookies gesetzt werden, musst du jede Unterseite deiner Website einzeln prüfen. Die Startseite allein reicht nicht aus. Es kann z.B. sein, dass manche Cookies nur auf einer bestimmten Unterseite gespeichert werden, nicht aber auf der Startseite. Deshalb: Wenn du 100% sicher sein willst, prüfe alle Seiten einzeln. 

Fazit: Cookies prüfen lohnt sich

Viele Website-Betreiber verlassen sich blind auf das Cookie-Banner ihres Themes oder eines Plugins oder ihres vermeintlichen Webdesign-Profis. Aber: Verlass dich nicht drauf – mach selbst einen Check!

Nur wenn du weißt, welche Cookies deine Website tatsächlich setzt, kannst du Datenschutzrisiken vermeiden.

Zusammenfassung:

• Cookies speichern Daten im Browser und können datenschutzrelevant sein.
  
• Nur technisch notwendige Cookies dürfen ohne Zustimmung gesetzt werden.
  
• Cookie-Banner müssen Cookies blockieren, bis der Nutzer aktiv zustimmt.
  
• Mit den Chrome Dev Tools kannst du prüfen, welche Cookies wann gesetzt werden.
  

FAQ – Häufige Fragen zur Cookie-Prüfung

Brauche ich auch für technisch notwendige Cookies eine Zustimmung?

Nein. Technisch notwendige Cookies dürfen ohne Einwilligung gesetzt werden – z. B. für Warenkorb-Funktionen oder Login-Bereiche. Trotzdem solltest du sie im Banner transparent erklären.

Was passiert, wenn ich Cookies ohne Zustimmung setze?

Dann verstößt du gegen die DSGVO. Das kann zu Abmahnungen oder Bußgeldern führen – vor allem, wenn du Tracking- oder Werbe-Cookies einsetzt.

Wie erkenne ich, ob ein Cookie technisch notwendig ist?

Frage dich: Würde die Website ohne diesen Cookie nicht mehr richtig funktionieren? Wenn ja: notwendig. Wenn nein (z. B. Google Analytics): nicht notwendig.

Muss ich auch eingebettete Inhalte wie YouTube blockieren?

Ja. Auch eingebettete YouTube-Videos setzen in der Regel Cookies – z. B. zur Nutzerverfolgung. Du musst solche Inhalte bis zur Zustimmung blockieren und ggf. mit einem vorgeschalteten Hinweis versehen.

Reicht ein Cookie-Banner, das nur informiert?

Nein. Laut DSGVO und ePrivacy-Richtlinie musst du Nutzern eine echte Wahl geben. Ein Banner ohne Ablehnen-Option oder ohne Blockierung vorab ist nicht zulässig.