Cookies verstehenWerkzeug

Cookie-Checker: welche Cookies setzt eine Website?

Der Cookie-Checker öffnet die eingegebene Adresse in einem Chromium-Browser auf einem eigenen Server und listet danach die Cookies und Local-Storage-Einträge mit Domain, Laufzeit und Sicherheitsmerkmalen. Weil er im Cookie-Banner nichts anklickt, zeigt er, was eine Website setzt, bevor jemand eingewilligt hat. Eine rechtliche Bewertung der Website nimmt er nicht vor.

Werkzeug

Gib die Adresse einer Website ein. Der Checker zeigt die Cookies und Local-Storage-Einträge, die beim ersten Aufruf ohne Einwilligung entstehen.

Zusätzlich anzeigen

Die Prüfung dauert meist 10 bis 30 Sekunden, weil der Prüfdienst die Seite vollständig lädt.

Eine Lupe liegt auf einem Teller mit runden Keksen, im Hintergrund ein zugeklappter Laptop
Bild: KI-generiert

Gib die Adresse einer Website ein, etwa https://www.beispiel.de/, und der Checker zeigt dir, welche Cookies und welche Einträge im Local Storage beim Aufruf dieser Seite entstehen. Zu jedem Cookie siehst du Name, Wert, Domain, Pfad, Ablaufdatum und die Merkmale Secure und HttpOnly. Oben steht eine Zusammenfassung mit der Zahl der Sitzungs-Cookies, der Langzeit-Cookies und der Local-Storage-Einträge. Der Checker klickt dabei nichts an. Alles, was er findet, hat die Website also gesetzt, bevor jemand im Cookie-Banner eine Wahl getroffen hat.

So arbeitet der Checker

Ein Browser im Internet kann fremde Websites nicht einfach auslesen, deshalb läuft die Prüfung über einen Server. Der Ablauf sieht so aus:

Ein kleiner Serverschrank mit leuchtenden Statuslämpchen in einem aufgeräumten, hellen Technikraum
Bild: KI-generiert
  1. Du gibst die Adresse ein. Unser Server nimmt sie entgegen und gibt den Auftrag an einen Prüfdienst weiter, den der Betreiber dieser Website selbst betreibt.
  2. Der Prüfdienst öffnet die Seite in Chromium, einem quelloffenen Browser. Die Seite lädt dort wie bei einem gewöhnlichen Besuch, mit allen Skripten und eingebundenen Inhalten.
  3. Nach dem Laden liest der Prüfdienst die Cookies und den Local Storage aus und schickt das Ergebnis an unseren Server, der es dir anzeigt.

Ein Server setzt Cookies mit der Kopfzeile Set-Cookie in seiner Antwort, ein Skript auf der Seite kann Cookies aber auch erst im Browser anlegen [1]. Ein einfacher Abruf der Seite würde nur die erste Art sehen. Weil der Prüfdienst die Seite in einem vollständigen Browser lädt und deren Skripte ausführt, erfasst er beide Wege, ebenso Daten, die Skripte im Local Storage ablegen. Adressen aus privaten oder internen Netzen, etwa ein Router im Heimnetz, lassen sich nicht prüfen.

Was das Ergebnis zeigt

Die Tabellen trennen Sitzungs-Cookies von Langzeit-Cookies. Ein Sitzungs-Cookie hat weder Expires noch Max-Age und wird gelöscht, wenn die Browsersitzung endet [2]. Manche Browser stellen beim nächsten Start alle Tabs wieder her und mit ihnen die Sitzungs-Cookies, als wäre der Browser nie geschlossen worden [2]. Ein Langzeit-Cookie bleibt bis zu dem Zeitpunkt, den Expires nennt, oder bis Max-Age abgelaufen ist [2]. Die Unterschiede erklärt Was Cookies sind und wie sie funktionieren, Langzeit-Cookies im Abschnitt Langzeit-Cookies.

Leere Karteikarten liegen ordentlich nebeneinander auf einem Holztisch, daneben ein Bleistift und ein Keks
Bild: KI-generiert
SpalteBedeutung
Name und WertBezeichnung und Inhalt des Cookies. Der Wert ist oft eine Zeichenfolge, deren Bedeutung nur der Anbieter kennt.
DomainAn welche Domain der Browser den Cookie zurückschickt. Mit Domain-Attribut gilt er auch für alle Subdomains, ohne nur für den Host, der ihn gesetzt hat [2].
PfadDer Pfad, der in der aufgerufenen Adresse stecken muss, damit der Cookie mitgeht [2].
AblaufdatumZeitpunkt, an dem der Browser den Cookie löscht; "Session" steht für einen Sitzungs-Cookie.
SecureDer Cookie geht nur über HTTPS an den Server [2].
HttpOnlySkripte auf der Seite können den Cookie nicht über document.cookie lesen [2].

Gehört ein Cookie zu einer anderen Domain als der der geprüften Seite, stammt er von einem eingebundenen Dienst. Was solche Drittanbieter-Cookies können, erklärt Drittanbieter-Cookies und Tracking, die Bedeutung von Secure, HttpOnly und SameSite Cookie-Attribute: Secure, HttpOnly und SameSite.

Einträge im Local Storage erscheinen als Schlüssel und Wert. Sie haben keine Ablaufzeit und bleiben über das Schließen des Browsers hinaus erhalten [3]. Mehr dazu steht unter Local Storage, Session Storage und Fingerprinting. Auf Wunsch zeigt der Checker außerdem die Weiterleitungen, die der Aufruf durchläuft, mit allen Kopfzeilen, und den Quelltext der Seite. Was die Statuscodes der Weiterleitungen bedeuten, erklärt HTTP-Statuscodes von 200 bis 503.

Vor der Einwilligung gesetzt

Das Ergebnis ist eine neutrale Bestandsaufnahme: Diese Cookies und Einträge lagen nach dem ersten Aufruf vor, ohne dass im Banner etwas gewählt wurde. Nach Auffassung der Datenschutzkonferenz muss eine Einwilligung erteilt sein, bevor der einwilligungsbedürftige Zugriff auf das Gerät erfolgt. Cookies, die eine Einwilligung brauchen, dürfen danach nicht schon beim ersten Aufruf gesetzt und die Einwilligung erst anschließend abgefragt werden [4].

Ob ein bestimmter Cookie überhaupt eine Einwilligung braucht, kann der Checker nicht erkennen. Ohne Einwilligung erlaubt sind nach § 25 Abs. 2 TDDDG Zugriffe, die unbedingt erforderlich sind, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann [5]. Entscheidend sind Zweck und gespeicherte Information. Die Datenschutzkonferenz stellt dabei auf den Inhalt des Cookies und die Laufzeit ab und hält Sitzungs-Cookies eher für erforderlich als langlebige [4]. Einen Zweck verrät die Tabelle nicht. Ein Sitzungs-Cookie kann einem Werbedienst gehören, ein Langzeit-Cookie kann eine gewählte Sprache speichern. Wie die Ausnahme ausgelegt wird, steht unter Technisch notwendige Cookies, die Regeln zur Einwilligung unter Wann eine Website für Cookies eine Einwilligung braucht.

Was der Checker nicht sieht

Die Prüfung bildet einen einzelnen Aufruf einer einzelnen Adresse ab. Einige Dinge fehlen deshalb im Ergebnis:

Eine geschlossene Holztür in einem hellen Flur, davor liegt ein einzelner runder Keks auf dem Boden
Bild: KI-generiert
  • Cookies, die erst nach einem Klick im Banner entstehen, also nach Zustimmung oder Ablehnung.
  • Cookies aus Bereichen hinter einer Anmeldung, etwa einem Kundenkonto.
  • Cookies, die erst auf Unterseiten, beim Scrollen oder beim Abspielen eines Videos gesetzt werden. Prüfe solche Seiten einzeln.
  • Andere Speicher im Browser wie Session Storage oder IndexedDB, die nicht Teil des Ergebnisses sind.
  • Verfahren ohne Speicher auf dem Gerät, zum Beispiel Browser-Fingerprinting. Die Datenschutzkonferenz beschreibt es als serverseitige Bildung eines möglichst eindeutigen Werts aus Browser-Informationen wie Bildschirmauflösung oder installierten Schriften [4].

Websites können außerdem je nach Herkunft der Anfrage, Tageszeit oder Testgruppe unterschiedlich reagieren. Ein zweiter Aufruf kann daher andere Werte oder einzelne zusätzliche Cookies liefern.

Selbst im Browser nachsehen

Dieselben Angaben findest du in den Entwicklerwerkzeugen deines Browsers. In Chrome öffnest du sie und wählst Application, dann Storage und Cookies. Die Tabelle dort zeigt unter anderem Name, Value, Domain, Path, Expires / Max-Age, HttpOnly, Secure und SameSite. Cookies fremder Websites markiert Chrome mit einem Warnsymbol [6]. Firefox bietet dafür den Storage Inspector [7]. Dort siehst du auch, was nach deinem Klick im Banner passiert, was der Checker nicht abbildet. Wie du Cookies anschließend wieder loswirst, steht unter Cookies im Browser löschen und blockieren.

Datenschutz bei der Prüfung

Die geprüfte Website bekommt den Aufruf vom Prüfdienst, dein eigenes Gerät nimmt keinen Kontakt zu ihr auf. Cookies, die sie dabei setzt, landen im Browser des Prüfdienstes und nicht in deinem. Die eingegebene Adresse verarbeiten unser Server und der Prüfdienst, um das Ergebnis zu erzeugen. Was dabei gespeichert wird und wie lange, steht in der Datenschutzerklärung.

  1. Organisation Using HTTP cookies. MDN Web Docs (Mozilla). Stand 17.09.2026. abgerufen am 29.10.2026
  2. Organisation Set-Cookie header. MDN Web Docs (Mozilla). Stand 01.09.2026. abgerufen am 29.10.2026
  3. Organisation Window: localStorage property. MDN Web Docs (Mozilla). Stand 12.10.2026. abgerufen am 29.10.2026
  4. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
  5. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
  6. Organisation View, add, edit, and delete cookies (Chrome DevTools). Google, Chrome for Developers. Stand 05.12.2023. abgerufen am 29.10.2026
  7. Organisation Third-party cookies. MDN Web Docs (Mozilla). Stand 15.06.2026. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.

Weitere Artikel