Cookies prüfen und verstehen

Ein Cookie ist ein kleiner Datensatz, den ein Server an deinen Browser schickt. Der Browser speichert ihn und sendet ihn bei späteren Anfragen an denselben Server zurück ^[1]. Websites nutzen Cookies vor allem, um eine Sitzung wie Anmeldung oder Warenkorb zu führen, um Einstellungen wie Sprache oder Farbschema zu behalten und um das Verhalten von Besuchern aufzuzeichnen und auszuwerten ^[1]. Welche Cookies eine bestimmte Website setzt, siehst du ihr von außen nicht an.

Was der Cookie-Checker zeigt

Der Cookie-Checker nimmt die Adresse entgegen, die du eingibst, und gibt sie an einen Prüfdienst weiter, den der Betreiber dieser Website selbst betreibt. Der Prüfdienst öffnet die Seite in Chromium, einem quelloffenen Browser, mit allen Skripten und eingebundenen Inhalten. Danach listet der Checker die Cookies und die Einträge im Local Storage, die beim Aufruf entstanden sind. Zu jedem Cookie stehen Name, Wert, Domain, Pfad, Ablaufdatum und die Merkmale Secure und HttpOnly in der Tabelle. Eine Zusammenfassung zählt Sitzungs-Cookies, Langzeit-Cookies und Local-Storage-Einträge. Auf Wunsch zeigt der Checker außerdem die Weiterleitungen mit ihren Kopfzeilen und den Quelltext der Seite.

Im Cookie-Banner klickt der Checker nichts an. Was er findet, hat die Website also gesetzt, bevor jemand eingewilligt oder abgelehnt hat. Nach Auffassung der Datenschutzkonferenz muss eine Einwilligung erteilt sein, bevor der einwilligungsbedürftige Zugriff auf das Gerät erfolgt ^[3]. Ob ein bestimmter Cookie eine Einwilligung braucht, hängt von seinem Zweck ab ^[2], und den verrät die Tabelle nicht. Eine rechtliche Bewertung der geprüften Website gibt der Checker deshalb nicht ab. Cookies, die erst nach einem Klick im Banner, hinter einer Anmeldung oder auf Unterseiten entstehen, fehlen im Ergebnis. Adressen aus privaten oder internen Netzen, etwa ein Router im Heimnetz, lassen sich nicht prüfen.

Wie Cookies funktionieren

Ein Server setzt einen Cookie mit der Kopfzeile Set-Cookie in seiner Antwort. Skripte auf der Seite können Cookies auch direkt im Browser anlegen ^[1]. Fehlen die Angaben Expires und Max-Age, ist es ein Sitzungs-Cookie, den der Browser am Ende der Sitzung löscht; sonst bleibt der Cookie bis zum genannten Zeitpunkt ^[1]. Chrome begrenzt diese Laufzeit seit Version 104 vom August 2022 auf 400 Tage ^[5]. Die Grundlagen erklärt Was Cookies sind und wie sie funktionieren, die Angaben Domain, Pfad, Secure, HttpOnly und SameSite Cookie-Attribute: Secure, HttpOnly und SameSite.

Gehört ein Cookie zu einer anderen Domain als die Seite in der Adressleiste, ist er ein Drittanbieter-Cookie ^[6]. Ein Anbieter, der auf vielen Websites eingebunden ist, kann aus den Cookies, die derselbe Browser ihm von dort schickt, ein Profil der besuchten Seiten und Gewohnheiten bilden ^[1]. Wie Safari, Firefox und Chrome damit umgehen, steht unter Drittanbieter-Cookies und Tracking. Daten im Local Storage haben kein Ablaufdatum ^[7]; diesen Speicher und das Fingerprinting erklärt Local Storage, Session Storage und Fingerprinting.

Das BSI rät, Cookies standardmäßig beim Schließen des Browsers zu löschen oder zumindest in regelmäßigen Abständen ^[4]. Wo die Schalter in Chrome, Edge und Safari liegen, zeigt Cookies im Browser löschen und blockieren.

Was das Recht verlangt

In Deutschland regelt § 25 TDDDG, wann eine Website Informationen auf deinem Gerät speichern oder dort auslesen darf. Nötig ist deine Einwilligung auf der Grundlage klarer und umfassender Informationen. Ohne Einwilligung geht es nur, wenn der Zugriff unbedingt erforderlich ist, damit ein von dir ausdrücklich gewünschter Dienst bereitgestellt werden kann ^[2]. Ob im Cookie personenbezogene Daten stehen, spielt keine Rolle ^[3]. Ein voreingestelltes Ankreuzkästchen, das du zum Ablehnen erst abwählen musst, ergibt nach dem Urteil des Europäischen Gerichtshofs vom 01.10.2019 (C-673/17, Planet49) keine wirksame Einwilligung ^[8]. Scrollen oder Weitersurfen zählen nach der Datenschutzkonferenz ebenfalls nicht ^[3].

Wann eine Einwilligung nötig ist, was ein Cookie-Banner darf, welche Cookies als technisch notwendig gelten und wie eine Website ganz ohne Banner auskommt, behandelt der Bereich Recht und Einwilligung. Die Seiten dort erklären die Rechtslage allgemein und ersetzen keine Rechtsberatung. Für Betreiber einer eigenen Website: Ein Cookie mit dem Attribut Secure geht nur über HTTPS an den Server ^[9]; wie die Umstellung gelingt, steht unter Von HTTP auf HTTPS umstellen.

Fachwörter von Basisdienst bis TC-String erklärt das Glossar, kurze Antworten stehen in den häufigen Fragen zu Cookies.

1. Organisation Using HTTP cookies. MDN Web Docs (Mozilla). Stand 17.09.2026. abgerufen am 29.10.2026
2. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
4. Behörde JavaScript, Cookies & Fingerprints. Bundesamt für Sicherheit in der Informationstechnik (BSI). Stand ohne Datum. abgerufen am 29.10.2026
5. Organisation Cookie Expires and Max-Age attributes now have upper limit. Google, Chrome for Developers. Stand zuletzt aktualisiert 12.01.2023. abgerufen am 29.10.2026
6. Organisation Third-party cookies. MDN Web Docs (Mozilla). Stand 15.06.2026. abgerufen am 29.10.2026
7. Organisation Window: localStorage property. MDN Web Docs (Mozilla). Stand 12.10.2026. abgerufen am 29.10.2026
8. Behörde Pressemitteilung Nr. 125/19 zum Urteil in der Rechtssache C-673/17 (Planet49). Gerichtshof der Europäischen Union. Stand 01.10.2019. abgerufen am 29.10.2026
9. Organisation Set-Cookie header. MDN Web Docs (Mozilla). Stand 01.09.2026. abgerufen am 29.10.2026
10. Organisation View, add, edit, and delete cookies (Chrome DevTools). Google, Chrome for Developers. Stand 05.12.2023. abgerufen am 29.10.2026