Glossar: Begriffe rund um Cookies

Ein Sitzungs-Cookie hat weder Expires noch Max-Age und wird am Ende der Browsersitzung gelöscht, ein Langzeit-Cookie bleibt bis zum angegebenen Zeitpunkt. Drittanbieter-Cookies gehören zu einer anderen Domain als die Seite in der Adressleiste. Nach § 25 TDDDG braucht das Speichern und Auslesen auf dem Gerät eine Einwilligung, außer es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich.

Ein geöffneter Holzkasten mit leeren Karteikarten auf einem Küchentisch, daneben ein Teller mit runden Keksen
Bild: KI-generiert

Viele Begriffe rund um Cookies kommen aus zwei Welten. Die technischen stammen aus der Cookie-Norm RFC 6265 vom April 2011 und aus der Entwicklerdokumentation der Browser [13, 1]. Die rechtlichen stammen aus dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), der DSGVO und den Auslegungen der Datenschutzaufsicht [8].

Grundbegriffe

Ein Cookie kann vom Server oder von einem Skript auf der Seite stammen, und er kann zur besuchten Website gehören oder zu einem eingebundenen Dienst [1, 3]. Die folgenden Begriffe beschreiben diese Unterschiede.

Ein kleiner Datensatz, den ein Server an den Browser schickt. Der Browser kann ihn speichern und bei späteren Anfragen an denselben Server zurücksenden [1]. Websites nutzen Cookies für Sitzungen wie Anmeldung und Warenkorb, für Einstellungen wie die Sprache und für das Aufzeichnen und Auswerten des Verhaltens von Besuchern [1]. Mehr dazu unter Was Cookies sind und wie sie funktionieren.

Set-Cookie ist die Kopfzeile, mit der ein Server in seiner Antwort einen Cookie setzt. Über die Eigenschaft document.cookie kann auch ein Skript im Browser Cookies anlegen und lesen [1].

Ein Cookie ohne die Angaben Expires und Max-Age. Er wird gelöscht, wenn die aktuelle Sitzung endet. Wann das ist, legt der Browser fest; stellt er beim Neustart die letzte Sitzung wieder her, können Sitzungs-Cookies unbegrenzt erhalten bleiben [1].

Ein Cookie mit Expires oder Max-Age. Er bleibt über das Schließen des Browsers hinaus gespeichert, bis das Datum erreicht oder die Zeitspanne abgelaufen ist [1]. Chrome setzt seit Version 104 vom August 2022 höchstens 400 Tage an, auch wenn der Server mehr verlangt [6].

Ein Cookie, dessen Domain und Schema zu der Seite passen, die gerade in der Adressleiste steht [3].

Ein Cookie, dessen Domain oder Schema von der Seite in der Adressleiste abweicht. Er entsteht meist durch eingebundene Inhalte fremder Anbieter [3]. Ein Anbieter, der auf vielen Websites eingebunden ist, kann aus solchen Cookies ein Profil der besuchten Seiten und Gewohnheiten bilden [1]. Wie Browser das begrenzen, erklärt Drittanbieter-Cookies und Tracking.

Attribute eines Cookies

Hinter Name und Wert stehen in der Set-Cookie-Zeile die Attribute. Sie legen fest, wie lange ein Cookie gilt, an welche Adressen er geht und unter welchen Bedingungen der Browser ihn mitschickt [2]. Ausführlich behandelt sie Cookie-Attribute: Secure, HttpOnly und SameSite.

Mehrere kleine Gläser mit Keksen auf einem Holzregal, jedes mit einem anderen Verschluss aus Kork, Metall oder Stoff
Bild: KI-generiert

Expires und Max-Age

Expires nennt ein Ablaufdatum, Max-Age eine Laufzeit in Sekunden. Sind beide gesetzt, gilt Max-Age [2].

Domain und Path

Fehlt Domain, geht der Cookie nur an den Host zurück, der ihn gesetzt hat. Mit Domain gilt er für diese Domain und alle ihre Subdomains [2]. Path ist der Pfad, der in der aufgerufenen Adresse stecken muss, damit der Browser den Cookie mitschickt [2]. Wie Domains und Subdomains zusammenhängen, erklärt Was ist eine Subdomain?.

Secure

Der Browser schickt den Cookie nur bei Anfragen über https an den Server, mit einer Ausnahme für localhost [2].

HttpOnly

Skripte auf der Seite können den Cookie nicht über document.cookie lesen. MDN empfiehlt das Attribut für Cookies, die eine Anmeldung halten, weil es Angriffe per Cross-Site-Scripting abschwächt [1].

SameSite

Bestimmt, ob ein Cookie bei Anfragen mitgeht, die von einer anderen Website ausgelöst werden. Strict schickt ihn nur bei Anfragen derselben Website, Lax zusätzlich, wenn du von einer fremden Website per Link auf die Seite wechselst, None bei allen Anfragen. Mit None muss der Cookie auch Secure tragen [2].

Partitioned (CHIPS)

Ein Attribut, mit dem ein eingebundener Dienst seinen Cookie getrennt je einbindender Website ablegen lässt. Es setzt Secure voraus [2].

Präfixe __Secure- und __Host-

Beginnt der Name eines Cookies mit __Secure-, nimmt der Browser ihn nur an, wenn er mit Secure von einer HTTPS-Seite kommt. __Host- verlangt zusätzlich, dass das Attribut Domain fehlt und Path=/ gesetzt ist [2].

Local Storage

Ein Speicher im Browser, der Paare aus Schlüssel und Wert je Ursprung ablegt. Die Daten haben kein Ablaufdatum [4]. Browser erlauben bis zu 5 MiB je Ursprung; ist die Grenze erreicht, bricht das Schreiben mit einem Fehler ab [5]. Mehr dazu unter Local Storage, Session Storage und Fingerprinting.

Session Storage

Ein Speicher wie Local Storage, dessen Daten gelöscht werden, wenn die Seitensitzung endet, also wenn die Seite geschlossen wird [4]. Auch hier gelten bis zu 5 MiB je Ursprung [5].

IndexedDB

Eine Datenbank im Browser für größere Datenmengen. MDN empfiehlt sie zusammen mit Local Storage und Session Storage für Daten, die nur im Browser gebraucht werden; diese Speicher schicken ihre Daten nicht von selbst an den Server [1].

Browser-Fingerprinting

Die Datenschutzkonferenz beschreibt es als serverseitige Bildung eines möglichst eindeutigen und langlebigen Werts aus Browser-Informationen wie Bildschirmauflösung, Betriebssystemversion oder installierten Schriften [8]. Liest ein Skript solche Eigenschaften aus und schickt sie für den Fingerabdruck an einen Server, wertet sie das als Zugriff auf das Gerät [8].

Tracking-Pixel

Ein Verweis auf eine Ressource, meist eine Bilddatei, die in eine Website oder eine E-Mail eingebettet ist. Oft dient er nur dazu, eine Verbindung zum Anbieter des Pixels herzustellen. In einer E-Mail erfährt der Absender so, wann sie gelesen wird [11].

Eine Adresse, an die eine Kennung angehängt ist. Onlineshops erkennen daran zum Beispiel, welcher Partner einen Verkauf vermittelt hat [11].

Recht und Einwilligung

Die Begriffe in diesem Abschnitt erklären die Rechtslage allgemein und ersetzen keine Rechtsberatung.

TDDDG (früher TTDSG)

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. § 25 regelt das Speichern und Auslesen von Informationen auf Endgeräten. Er galt ab dem 01.12.2021 als § 25 TTDSG; mit dem Inkrafttreten des Digitale-Dienste-Gesetzes am 14.05.2024 wurde das Gesetz umbenannt, der Inhalt von § 25 blieb gleich [8].

ePrivacy-Richtlinie

Die europäische Richtlinie 2002/58/EG über den Datenschutz in der elektronischen Kommunikation. § 25 TDDDG setzt ihren Art. 5 Abs. 3 in deutsches Recht um [8].

DSGVO

Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten. § 25 TDDDG gilt dagegen unabhängig davon, ob im Cookie personenbezogene Daten stehen [8]. Für die Form der Einwilligung verweist § 25 TDDDG auf die DSGVO [7].

Einwilligung

Eine freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung (Art. 4 Nr. 11 DSGVO) [8]. Sie muss vorliegen, bevor der einwilligungsbedürftige Cookie gesetzt wird [8]. Scrollen, Weitersurfen oder bereits angekreuzte Kästchen sind keine Einwilligung [8]. Wann sie nötig ist, steht unter Wann eine Website für Cookies eine Einwilligung braucht.

Unbedingt erforderlich (technisch notwendig)

Die Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG: Keine Einwilligung braucht ein Zugriff, der unbedingt erforderlich ist, damit ein ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann [7]. Die Datenschutzkonferenz versteht das technisch; dass ein Cookie für das Geschäftsmodell wirtschaftlich wichtig ist, reicht nicht [8]. Das Wort "technisch notwendig" steht nicht im Gesetz. Beispiele erklärt Technisch notwendige Cookies.

Basisdienst

Der Dienst, den du mit dem bewussten Aufruf einer Website wünschst. Zusatzfunktionen wie Warenkorb, Chat oder Kartendienst gelten nach der Datenschutzkonferenz erst als gewünscht, wenn du sie tatsächlich nutzt [8].

Datenschutzkonferenz (DSK)

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder. Ihre Orientierungshilfe für Anbieter digitaler Dienste liegt in der Version 1.2 vom November 2024 vor [8].

Planet49

Das Verfahren um ein Online-Gewinnspiel mit vorangekreuztem Kästchen für Werbe-Cookies. Der Europäische Gerichtshof entschied am 01.10.2019 (C-673/17), dass ein solches Kästchen keine wirksame Einwilligung ergibt, und zwar unabhängig davon, ob personenbezogene Daten gespeichert werden [9].

Für die Abfrage der Einwilligung gibt es eigene Werkzeuge und Begriffe. Was ein Banner darf und was nicht, erklärt Cookie-Banner: was erlaubt ist.

Ein halb geöffnetes Gartentor aus Holz in einer niedrigen Hecke, dahinter ein Kiesweg in der Morgensonne
Bild: KI-generiert

Das Hinweisfenster, mit dem eine Website die Einwilligung abfragt. Solange es angezeigt wird, sollen nach der Datenschutzkonferenz keine einwilligungsbedürftigen Skripte und Inhalte fremder Server laden. Sie rät, ein solches Banner nur einzusetzen, wenn tatsächlich eine Einwilligung nötig ist [8].

Erste Ebene

Die Ansicht eines Banners, die sofort erscheint. Versperrt das Banner die Seite, muss das Ablehnen nach der Datenschutzkonferenz ohne Mehraufwand an Klicks gegenüber dem Zustimmen möglich sein [8].

Nudging

Eine Lenkung durch die Gestaltung, etwa über Farben oder Größe der Schaltflächen. Einen allgemeinen Standard dafür gibt es nicht; unzulässig wird Nudging, wenn die Einwilligung nicht mehr wirksam ist [8].

Widerruf

Die Rücknahme einer Einwilligung. Sie muss so einfach sein wie die Erteilung; wurde auf der Website eingewilligt, muss auch der Widerruf dort möglich sein [8].

Ein fertiges Werkzeug, das das Banner anzeigt und die Entscheidung speichert. Für diesen Nachweis braucht es nach der Datenschutzkonferenz in der Regel keinen langlebigen Cookie mit eindeutiger Kennung [8].

TC-String

Eine Zeichenkette aus dem Transparency and Consent Framework von IAB Europe, in der die Einwilligungen und Widersprüche eines Nutzers kodiert sind und die an Werbeplattformen weitergegeben wird. Der Europäische Gerichtshof entschied am 07.03.2024 (C-604/22), dass sie ein personenbezogenes Datum ist, wenn sie einer Kennung wie der IP-Adresse zugeordnet werden kann [10].

Dienst zur Einwilligungsverwaltung

Ein Dienst, der deine Einstellungen speichert und an Websites weitergibt. Die Einwilligungsverwaltungsverordnung gilt seit dem 01.04.2025; die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit erkennt solche Dienste an und führt ein öffentliches Register. Für Websitebetreiber ist die Einbindung freiwillig [12].

  1. Organisation Using HTTP cookies. MDN Web Docs (Mozilla). Stand 17.09.2026. abgerufen am 29.10.2026
  2. Organisation Set-Cookie header. MDN Web Docs (Mozilla). Stand 01.09.2026. abgerufen am 29.10.2026
  3. Organisation Third-party cookies. MDN Web Docs (Mozilla). Stand 15.06.2026. abgerufen am 29.10.2026
  4. Organisation Window: localStorage property. MDN Web Docs (Mozilla). Stand 12.10.2026. abgerufen am 29.10.2026
  5. Organisation Storage quotas and eviction criteria. MDN Web Docs (Mozilla). Stand 05.01.2026. abgerufen am 29.10.2026
  6. Organisation Cookie Expires and Max-Age attributes now have upper limit. Google, Chrome for Developers. Stand zuletzt aktualisiert 12.01.2023. abgerufen am 29.10.2026
  7. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
  8. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
  9. Behörde Pressemitteilung Nr. 125/19 zum Urteil in der Rechtssache C-673/17 (Planet49). Gerichtshof der Europäischen Union. Stand 01.10.2019. abgerufen am 29.10.2026
  10. Behörde Pressemitteilung Nr. 44/24 zum Urteil in der Rechtssache C-604/22 (IAB Europe). Gerichtshof der Europäischen Union. Stand 07.03.2024. abgerufen am 29.10.2026
  11. Behörde Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation, Version 2.0. Europäischer Datenschutzausschuss (EDSA). Stand 07.10.2024. abgerufen am 29.10.2026
  12. Gesetz Verordnung über Dienste zur Einwilligungsverwaltung nach dem TDDDG (EinwV), BGBl. 2025 I Nr. 32. Bundesministerium der Justiz, gesetze-im-internet.de. Stand 06.02.2025. abgerufen am 29.10.2026
  13. Gesetz RFC 6265: HTTP State Management Mechanism. Internet Engineering Task Force (IETF), A. Barth. Stand April 2011. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.

Weitere Artikel