Cookies verstehen

Ein Cookie ist ein kleiner Datensatz, den ein Server an deinen Browser schickt und den der Browser bei späteren Anfragen an denselben Server zurücksendet. Damit erkennt eine Website dich wieder, etwa für die Anmeldung, einen Warenkorb oder gespeicherte Einstellungen. Dieser Bereich erklärt die Technik, die Attribute, Drittanbieter-Cookies, Local Storage und das Löschen im Browser.

Ein Teller mit runden Keksen neben einem zugeklappten Laptop auf einem hellen Eichenschreibtisch im Morgenlicht
Bild: KI-generiert

HTTP ist von Haus aus zustandslos: Jede Anfrage an einen Server steht für sich. Ein Cookie schließt diese Lücke. Der Server schickt einen kleinen Datensatz an den Browser, der Browser speichert ihn und sendet ihn bei weiteren Anfragen an denselben Server zurück [1]. Dafür gibt es drei typische Einsatzzwecke: die Verwaltung einer Sitzung wie Anmeldung und Warenkorb, persönliche Einstellungen wie Sprache oder Farbschema und das Verfolgen des Verhaltens von Besuchern [1]. Die Ratgeber in diesem Bereich erklären, was dabei technisch passiert und wie du selbst steuerst, was dein Browser behält.

Wie Cookies entstehen und wie lange sie bleiben

Ein Server setzt einen Cookie mit der Kopfzeile Set-Cookie in seiner Antwort. Skripte auf der Seite können Cookies auch direkt im Browser anlegen [1]. Fehlt eine Ablaufzeit, ist es ein Sitzungs-Cookie, der mit dem Ende der Browsersitzung verschwindet; mit Ablaufzeit bleibt er bis zu dem genannten Zeitpunkt [1]. Ein einzelner Cookie fasst meist nur etwa 4 KB, und die Browser begrenzen die Zahl der Cookies je Domain, meist auf einige Hundert [1]. Weil der Browser Cookies bei jeder Anfrage mitschickt, können viele davon die Leistung einer Website mindern [1]. Wie das im Einzelnen abläuft und welche Arten es gibt, steht unter Was Cookies sind und wie sie funktionieren.

Zu jedem Cookie gehören Angaben, die bestimmen, an welche Adressen er geht, ob er nur über HTTPS übertragen wird, ob Skripte ihn lesen dürfen und ob er bei Anfragen von fremden Websites mitgeschickt wird. Diese Attribute erklärt Cookie-Attribute: Secure, HttpOnly und SameSite. Domain, Pfad, Ablauf, Secure und HttpOnly zeigt der Cookie-Checker für jede geprüfte Website als Spalten an. Der Checker ruft eine Adresse in einem Browser auf, ohne im Cookie-Banner etwas anzuklicken, und listet, was dabei gesetzt wird.

Cookies von Dritten und andere Speicher

Bindet eine Website Inhalte anderer Anbieter ein, etwa Anzeigen, Videos oder Kartendienste, können auch diese Anbieter Cookies setzen. Solche Drittanbieter-Cookies lassen sich nutzen, um dein Verhalten über viele Websites hinweg zu verfolgen [1]. Was die Browser dagegen unternehmen und welche Tracking-Verfahren ohne Cookies auskommen, beschreibt Drittanbieter-Cookies und Tracking.

Ein Vorratsregal aus Holz mit schlichten Dosen und Gläsern, eine kleine Dose steht im Nachbarfach
Bild: KI-generiert

Cookies sind nicht der einzige Speicher im Browser. Die Web Storage API und IndexedDB gelten heute als die empfohlenen Wege, Daten im Browser abzulegen [1]. Für das Recht macht das keinen Unterschied: Die Datenschutzkonferenz zählt Local- und Session-Storage-Objekte ausdrücklich zu den Speichervorgängen, für die § 25 TDDDG gilt [2]. Wie diese Speicher funktionieren und was Browser-Fingerprinting ist, steht unter Local Storage, Session Storage und Fingerprinting.

Cookies selbst kontrollieren

Das BSI empfiehlt, Cookies standardmäßig beim Schließen des Browsers zu löschen oder zumindest regelmäßig [3]. Wo die passenden Schalter in Chrome, Edge, Safari und Firefox liegen und was beim Löschen verloren geht, zeigt Cookies im Browser löschen und blockieren. Das Attribut Secure setzt eine Verbindung über HTTPS voraus; wie eine Website darauf umstellt, erklärt Von HTTP auf HTTPS umstellen.

Wann eine Website für Cookies um Erlaubnis fragen muss und was ein Banner darf, behandelt der Bereich Recht und Einwilligung.

  1. Organisation Using HTTP cookies. MDN Web Docs (Mozilla). Stand 17.09.2026. abgerufen am 29.10.2026
  2. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
  3. Behörde JavaScript, Cookies & Fingerprints. Bundesamt für Sicherheit in der Informationstechnik (BSI). Stand ohne Datum. abgerufen am 29.10.2026

Alle Artikel im Bereich Cookies verstehen

Weitere Artikel