Häufige Fragen zu Cookies

Ein Cookie ist ein kleiner Datensatz, den ein Server an deinen Browser schickt und den der Browser bei späteren Anfragen zurücksendet. Nach § 25 TDDDG braucht eine Website für das Speichern und Auslesen deine Einwilligung, außer der Zugriff ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Scrollen, Weitersurfen oder ein vorangekreuztes Kästchen zählen nicht als Einwilligung.

Eine Korkwand mit mehreren leeren Zetteln an einer hellen Küchenwand, darunter ein Teller mit runden Keksen
Bild: KI-generiert

Drei Probleme mit Cookies betreffen vor allem Betreiber von Websites: Cookies ohne passende Sicherheitsmerkmale, Cookies, die schon vor der Einwilligung gesetzt werden, und zu viele Daten in Cookies. Für Besucher zählt dagegen vor allem, was beim Einwilligen, Ablehnen und Löschen gilt.

Cookies ohne passende Sicherheitsmerkmale

Ein Cookie mit dem Attribut Secure geht nur über verschlüsselte Verbindungen per HTTPS an den Server [1]. Fehlt es, kann der Browser den Cookie auch über eine unverschlüsselte Verbindung senden. HttpOnly sperrt den Zugriff durch Skripte auf der Seite. MDN empfiehlt das Attribut für Cookies, die eine Anmeldung halten, weil es Angriffe per Cross-Site-Scripting abschwächt [1].Ein Cookie mit SameSite=None muss zusätzlich Secure tragen [2]. Secure schützt allerdings nicht vor jedem Zugriff: Wer an die Festplatte kommt, kann die Daten trotzdem lesen und ändern, ohne HttpOnly auch ein Skript [1]. Was die einzelnen Angaben bewirken, erklärt Cookie-Attribute: Secure, HttpOnly und SameSite; wie eine Website auf HTTPS umstellt, steht unter Von HTTP auf HTTPS umstellen.

Cookies vor der Einwilligung

Nach Auffassung der Datenschutzkonferenz muss eine Einwilligung erteilt sein, bevor der einwilligungsbedürftige Zugriff auf das Gerät erfolgt. Cookies, die eine Einwilligung brauchen, dürfen also nicht schon beim ersten Aufruf gesetzt und die Einwilligung erst danach abgefragt werden [3]. Solange das Banner angezeigt wird, sollen keine Skripte laufen und keine Inhalte fremder Server laden, für die eine Einwilligung nötig ist [3]. Erst wenn jemand durch eine aktive Handlung eingewilligt hat, etwa durch ein Häkchen im Banner oder den Klick auf eine Schaltfläche, dürfen solche Informationen auf dem Gerät gespeichert oder ausgelesen werden [3]. Welche Cookies eine Website beim ersten Aufruf setzt, ohne dass im Banner etwas gewählt wurde, zeigt der Cookie-Checker.

Ein Teller mit Keksen steht auf einer Fensterbank vor einem geschlossenen Fenster, draußen ein unscharfer Garten
Bild: KI-generiert

Ob ein bestimmter Cookie überhaupt eine Einwilligung braucht, hängt von seinem Zweck ab. Ohne Einwilligung erlaubt sind nur Zugriffe, die unbedingt erforderlich sind, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann [4]. Die Abgrenzung erklärt Technisch notwendige Cookies.

Zu viele Daten in Cookies

Ein einzelner Cookie fasst meist etwa 4 KB, und die Browser begrenzen die Zahl der Cookies je Domain, in der Regel auf einige Hundert [1]. Weil der Browser Cookies bei jeder Anfrage mitschickt, können viele Cookies die Leistung einer Website mindern, besonders bei langsamen mobilen Verbindungen [1]. MDN empfiehlt deshalb, Daten, die nur im Browser gebraucht werden, in Local Storage, Session Storage oder IndexedDB abzulegen. Diese Speicher senden nichts von selbst an den Server, und Cookies bleiben für Angaben wie Sitzungskennungen, die der Server bei jeder Anfrage braucht [1]. Für das Recht ändert der Wechsel nichts: Auch Local- und Session-Storage-Objekte fallen unter § 25 TDDDG [3]. Mehr dazu unter Local Storage, Session Storage und Fingerprinting.

  1. Organisation Using HTTP cookies. MDN Web Docs (Mozilla). Stand 17.09.2026. abgerufen am 29.10.2026
  2. Organisation Set-Cookie header. MDN Web Docs (Mozilla). Stand 01.09.2026. abgerufen am 29.10.2026
  3. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
  4. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
  5. Organisation Cookie Expires and Max-Age attributes now have upper limit. Google, Chrome for Developers. Stand zuletzt aktualisiert 12.01.2023. abgerufen am 29.10.2026
  6. Organisation Third-party cookies. MDN Web Docs (Mozilla). Stand 15.06.2026. abgerufen am 29.10.2026
  7. Organisation Full Third-Party Cookie Blocking and More (John Wilander). WebKit (Apple). Stand 24.03.2020. abgerufen am 29.10.2026
  8. Organisation Next steps for Privacy Sandbox and tracking protections in Chrome (Anthony Chavez). Google, Privacy Sandbox. Stand 22.04.2025. abgerufen am 29.10.2026
  9. Behörde Pressemitteilung Nr. 125/19 zum Urteil in der Rechtssache C-673/17 (Planet49). Gerichtshof der Europäischen Union. Stand 01.10.2019. abgerufen am 29.10.2026
  10. Behörde Urteil vom 19.01.2024, 6 U 80/23. Oberlandesgericht Köln (Justiz NRW, NRWE). Stand 19.01.2024. abgerufen am 29.10.2026
  11. Gesetz § 28 TDDDG: Bußgeldvorschriften. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
  12. Behörde JavaScript, Cookies & Fingerprints. Bundesamt für Sicherheit in der Informationstechnik (BSI). Stand ohne Datum. abgerufen am 29.10.2026
  13. Organisation Window: localStorage property. MDN Web Docs (Mozilla). Stand 12.10.2026. abgerufen am 29.10.2026
  14. Gesetz Verordnung über Dienste zur Einwilligungsverwaltung nach dem TDDDG (EinwV), BGBl. 2025 I Nr. 32. Bundesministerium der Justiz, gesetze-im-internet.de. Stand 06.02.2025. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.

Weitere Artikel