Was ist das?
In der IT bezeichnet ein Cookie (engl. „Keks“) eine kleine Textdatei, die eine besuchte Website über den Browser auf dem Gerät des Nutzers speichert. Diese Datei enthält Informationen in Form von Name-Wert-Paaren und kann beispielsweise den Inhalt des Warenkorbs, den letzten Suchbegriff oder Einstellungen wie die bevorzugte Sprache beinhalten.
Cookies ermöglichen es Webanwendungen, „zustandsbehaftet“ zu arbeiten, also den Nutzer über mehrere Seitenaufrufe wiederzuerkennen.
Wie funktioniert das?
Wenn Sie eine Website besuchen, sendet der Webserver in seiner HTTP-Antwort häufig einen Set-Cookie-Header mit einem Namen, einem Wert und optionalen Attributen (z. B. Ablaufzeit, Pfad, Domain).
Der Browser speichert diese Textinformation lokal und schickt sie bei späteren Anfragen an dieselbe Domain als Cookie-Header wieder zurück. Auf diese Weise kann der Server Sitzungsdaten zuordnen und Einstellungen wiederherstellen.
Moderne Browser speichern die Cookies in einer internen Datenbank; sie verwalten auch das Ablaufdatum und die Sichtbarkeit der Cookies.
Welche Cookie-Typen gibt es?
- Session-Cookies: temporär, werden beim Schließen des Browsers gelöscht; dienen der Sitzungsverwaltung (z. B. Warenkorb während eines Einkaufs).
- Permanente Cookies: bleiben nach dem Schließen bestehen, um etwa Sprach- oder Anmeldedaten zu speichern.
- First-Party-Cookies: stammen direkt von der besuchten Website und dienen meist der Funktionalität oder Personalisierung.
- Third-Party-Cookies: werden von einer anderen Domain (z. B. einem Werbenetzwerk) gesetzt und ermöglichen das Verfolgen eines Nutzers über verschiedene Websites.
Ein wichtiges Sicherheitsattribut ist HttpOnly: Damit versehene Cookies können nicht durch clientseitiges JavaScript ausgelesen werden und sind so besser gegen Cross-Site-Scripting geschützt.
Analogie zum Alltag
Vergleichen Sie ein Cookie mit einem Garderobenschein: Wenn Sie Ihren Mantel abgeben, erhalten Sie ein kleines Ticket. Bei Ihrem nächsten Besuch geben Sie das Ticket ab und bekommen Ihren Mantel zurück.
Ähnlich gibt die Website dem Browser eine kleine Notiz (das Cookie), die beim nächsten Aufruf zurückgegeben wird, damit der Server den Nutzer und seine Einstellungen erkennt.
Beispiele aus dem Alltag
Beispiel 1: Warenkorb in einem Online-Shop
Beim Online-Shopping wird ein Session-Cookie verwendet, um die Produkte im Warenkorb über mehrere Seitenaufrufe hinweg zu speichern. Ohne diesen Cookie würde der Warenkorb nach jedem Klick „vergessen“ werden.
Unser Schaubild veranschaulicht, wie ein Server beim ersten Besuch ein Cookie setzt und dieses beim erneuten Besuch zurückerhält.
Beispiel 2: Werbenetzwerk über mehrere Websites
Viele Werbenetzwerke setzen Third-Party-Cookies über eingebettete Werbebanner. Wenn derselbe Werbedienst auf verschiedenen Websites integriert ist, kann der Cookie-Wert erkannt und das Surfverhalten des Nutzers seitenübergreifend analysiert werden.
Dadurch wird personalisierte Werbung ermöglicht, aber auch ein umfassendes Profil des Nutzers erstellt. Das folgende Bild zeigt den Unterschied zwischen First-Party-Cookies auf einzelnen Websites und einem Third-Party-Cookie, der die Nutzeraktivitäten übergreifend verknüpft.
Warum ist das relevant?
Cookies verbessern die Nutzererfahrung: Sie halten Anmeldesitzungen offen, speichern Präferenzen und beschleunigen den Seitenaufbau. Technisch notwendige Cookies, etwa für Warenkorbfunktionen oder Spracheinstellungen, dürfen ohne Einwilligung gesetzt werden.
Gleichzeitig bergen Cookies Risiken und haben datenschutzrechtliche Folgen:
- Tracking und Profilbildung: Third-Party-Cookies ermöglichen das Verfolgen von Nutzern über verschiedene Websites hinweg. Dadurch entsteht ein detailliertes Surfprofil, das für gezielte Werbung genutzt wird. Die Datenschutz-Grundverordnung (DSGVO) schreibt vor, dass für nicht notwendige Cookies eine informierte Einwilligung eingeholt werden muss. Viele Websites implementieren deshalb Cookie-Banner und Opt-in-Optionen.
- Datensicherheit: Cookies können sensible Informationen enthalten und bei unzureichender Absicherung (z. B. fehlende Verschlüsselung oder fehlendes HttpOnly) abgefangen oder manipuliert werden. Cross-Site-Scripting-Angriffe können Cookies stehlen, wenn JavaScript Zugriff darauf hat.
- Platz und Verwaltung: Permanente Cookies können sich ansammeln und Speicher belegen. Browser bieten daher Funktionen zum Löschen und Verwalten von Cookies.
- Zukunft der Cookies: Aus Datenschutzgründen arbeiten Browser-Hersteller daran, Third-Party-Cookies einzuschränken. Google testet seit Anfang 2024 Funktionen wie „Tracking Protection“, um Drittanbieter-Cookies standardmäßig zu blockieren und plant deren schrittweise Abschaffung. Parallel entwickeln Unternehmen Alternativen wie die Privacy Sandbox.
Hinweise zum Umgang
- Bewusste Zustimmung: Akzeptieren Sie nur Cookies, die für die Funktion der Website notwendig sind, und lehnen Sie Marketing- oder Tracking-Cookies ab, wenn Sie Ihre Privatsphäre schützen möchten.
- Browser-Einstellungen nutzen: Moderne Browser erlauben das Blockieren oder regelmäßige Löschen von Cookies und das Setzen von Ausnahmen für vertrauenswürdige Seiten.
-
Sicherheitsattribute setzen (für Website-Betreiber):
Verwenden Sie
Securefür HTTPS-Übertragung,HttpOnlyzum Schutz vor JavaScript-Zugriff undSameSite-Attribute zur Einschränkung von Cross-Site-Anfragen. - Aktuelle Entwicklungen beobachten: Da sich die gesetzlichen und technischen Rahmenbedingungen (z. B. DSGVO-Reformen oder das Ende der Third-Party-Cookies) stetig ändern, sollten sowohl Nutzer als auch Betreiber ihre Cookie-Einstellungen regelmäßig überprüfen und anpassen.
Fazit
HTTP-Cookies sind kleine, aber mächtige Helfer zur Personalisierung und Sitzungsverwaltung im Web. Sie erleichtern den Alltag in Online-Shops, bei Anmeldungen und auf personalisierten Seiten.
Gleichzeitig sind sie ein zentrales Werkzeug für Tracking und Marketing, weshalb ihre Nutzung strengen Datenschutzregeln unterliegt und sich die Technik aktuell im Wandel befindet.
Ein bewusster Umgang mit Cookies – sowohl beim Setzen als auch beim Akzeptieren – trägt dazu bei, die Vorteile zu nutzen und Risiken zu minimieren.