Drittanbieter-Cookies und Tracking

Ein Cookie gehört zu einer Domain und einem Schema, in der Regel https. Stimmen beide mit der Seite überein, die gerade in der Adressleiste steht, ist es ein Erstanbieter-Cookie. Gehört er zu einer anderen Domain, spricht man von einem Drittanbieter-Cookie oder websiteübergreifenden Cookie ^[1]. Kaufst du in einem Onlineshop ein, ist der Warenkorb-Cookie des Shops ein Erstanbieter-Cookie. Setzt ein Werbenetzwerk, dessen Anzeige im Shop erscheint, einen eigenen Cookie, ist das ein Drittanbieter-Cookie. Die Unterscheidung hängt also an der Seite, die du gerade besuchst: Derselbe Cookie ist auf der Website des Werbenetzwerks ein Erstanbieter-Cookie.

Wie ein Drittanbieter-Cookie entsteht

Drittanbieter-Cookies kommen ins Spiel, wenn eine Seite Inhalte von anderen Websites einbindet, etwa Bilder oder ganze Dokumente in einem iframe. Diese Bausteine können weitere Anfragen auslösen, die ihrerseits Cookies setzen ^[1]. Typisch sind Anzeigen, Kartendienste, Chat-Fenster und Statistikdienste ^{[2, 14]}. Auch ein Link, der dich auf eine andere Website führt, kann Cookies mitschicken ^[1].

Nicht jeder Drittanbieter-Cookie dient der Werbung. MDN nennt als Beispiel ein Anmeldefenster von auth.site, das auf shop.site, forum.site und service.site eingebunden ist. Ein Sitzungs-Cookie für auth.site meldet dich auf allen drei Websites an, ohne dass du dich jedes Mal neu anmeldest ^[1]. Weitere Zwecke sind das Weitergeben von Profilangaben, das Zählen von Anzeigeneinblendungen und Statistik über mehrere zusammengehörige Domains ^[2].

So funktioniert Tracking über Websites

Ein Anbieter, dessen Inhalte auf vielen Websites eingebunden sind, bekommt seinen Cookie von jeder dieser Websites zurück. Er kann die Besuche zusammenführen und daraus ein Profil deines Surfverhaltens, deiner Interessen und Gewohnheiten erstellen. Solche Cookies heißen Tracking-Cookies ^[1]. Die Cookie-Norm RFC 6265 nannte Drittanbieter-Cookies schon 2011 besonders bedenklich, weil Dritte damit Nutzer über Websites hinweg verfolgen können ^[3]. Das BSI warnt, dass beim Surfen viele Daten anfallen, aus denen detaillierte Nutzerprofile entstehen können, die für Marketingzwecke genutzt werden und auch für Internet-Kriminelle attraktiv sind; Cookies ermöglichen das Protokollieren des Nutzungsverhaltens ^[4].

Ein Beispiel: Du liest auf einem Nachrichtenportal einen Artikel über Laufschuhe, besuchst danach einen Wetterdienst und später ein Kochportal. Binden alle drei dasselbe Werbenetzwerk ein, schickt dein Browser dessen Cookie bei jeder Anzeige mit. Das Netzwerk weiß dann, dass derselbe Browser alle drei Seiten besucht hat, und kann auf dem Kochportal Anzeigen für Laufschuhe zeigen.

Tracking ohne Drittanbieter-Cookies

Neue Tracking-Methoden ersetzen nach Beobachtung des Europäischen Datenschutzausschusses (EDSA) bestehende Instrumente wie Drittanbieter-Cookies, weil einige Browserhersteller deren Unterstützung eingestellt haben ^[6]. Der EDSA hat solche Verfahren in seinen Leitlinien 2/2023 untersucht, deren endgültige Fassung er am 07.10.2024 angenommen hat ^[6]:

• Ein Tracking-Pixel ist ein Verweis auf eine meist winzige Bilddatei, die in eine Website oder E-Mail eingebettet ist. Sein Zweck ist oft nur, eine Verbindung zum Anbieter des Pixels herzustellen, die sonst nicht zustande käme ^[6]. In E-Mails verrät ein Pixel dem Absender, wann du die Nachricht liest ^[6].
• Tracking-Links hängen eine Kennung an die Adresse. Onlineshops nutzen sie, um zu erkennen, welcher Partner einen Verkauf vermittelt hat, das sogenannte Affiliate-Marketing ^[6].
• Manche Anbieter verfolgen Besucher allein anhand der IP-Adresse, teils über mehrere Domains hinweg ^[6].

Hinzu kommt Browser-Fingerprinting. Die Datenschutzkonferenz beschreibt es als serverseitige Bildung eines möglichst eindeutigen und langlebigen Werts aus Browser-Informationen wie Bildschirmauflösung, Betriebssystemversion oder installierten Schriften ^[5]. Liest ein Skript solche Eigenschaften aktiv aus und schickt sie an einen Server, ist das nach Auffassung der Konferenz ein Zugriff auf das Gerät ^[5]. Mehr dazu steht unter Local Storage, Session Storage und Fingerprinting. Wie Absender Pixel in Spam- und Phishing-Mails einsetzen und woran du solche Mails erkennst, behandelt der Bereich Spam und Phishing.

Was die Browser heute tun

Die großen Browser gehen sehr unterschiedlich mit Drittanbieter-Cookies um ^[1]:

Safari war nach Angaben von WebKit der erste große Browser, der Drittanbieter-Cookies vollständig sperrt; davor hatte das nur der Tor Browser getan ^[7]. Firefox geht einen anderen Weg und lässt die Cookies zu, sperrt sie aber in einen eigenen Speicher je Website. Ein Tracker sieht dadurch nur, was auf dieser einen Website geschieht ^[8]. Vor Total Cookie Protection blockierte Firefox Tracker bereits über eine Liste; dieser verbesserte Schutz vor Aktivitätenverfolgung ist seit 2019 standardmäßig aktiv ^[8].

Chrome: angekündigter Ausstieg und Kehrtwende

Google wollte Drittanbieter-Cookies in Chrome lange abschaffen und durch eigene Schnittstellen der sogenannten Privacy Sandbox ersetzen. Die Pläne änderten sich mehrfach:

Im Inkognitomodus blockiert Chrome Drittanbieter-Cookies standardmäßig. Im April 2025 kündigte Google für diesen Modus zusätzlich IP Protection für das dritte Quartal 2025 an ^[12]. IP Protection gehört allerdings zu den Techniken, die Google im Oktober 2025 einstellte ^[13]. Für dich bedeutet das: In Chrome hängt es von deiner eigenen Einstellung ab, ob Drittanbieter-Cookies gesetzt werden ^{[9, 13]}. Wie du sie abschaltest, steht unter Cookies im Browser löschen und blockieren.

Partitionierte Cookies (CHIPS)

Eine der Techniken, die bleiben, ist CHIPS (Cookies Having Independent Partitioned State). Ein Anbieter kann seinen Cookie mit dem Attribut Partitioned markieren. Der Browser legt ihn dann getrennt je Website ab, auf der der Anbieter eingebunden ist ^[14]. Ein Chat-Fenster, das auf site-a.example einen solchen Cookie setzt, findet ihn auf site-b.example nicht wieder. Innerhalb von site-a.example und ihren Subdomains bleibt der Zustand erhalten ^[14]. Partitionierte Cookies müssen das Attribut Secure tragen ^[14]. Was Secure und die übrigen Attribute bedeuten, erklärt Cookie-Attribute: Secure, HttpOnly und SameSite.

Laut MDN ähnelt CHIPS der Speichertrennung von Firefox. Firefox trennt aber standardmäßig, während CHIPS ein Anbieter selbst wählen muss ^[14]. Seit Dezember 2025 funktioniert CHIPS nach MDN in den aktuellen Browserversionen, in älteren unter Umständen nicht ^[14].

Was Websitebetreiber tun können

Wer eingebundene Dienste betreibt, kann nicht mehr damit rechnen, dass Drittanbieter-Cookies überall ankommen. MDN nennt mehrere Wege ^[1]. Die Storage Access API passt, wenn Cookies über eine kleine Zahl bekannter, zusammengehöriger Websites geteilt werden; der Browser fragt dann je eingebundenem Rahmen um Erlaubnis. CHIPS passt, wenn ein Cookie nur zu genau einer einbindenden Website gehört. Daneben kommen Web Storage oder serverseitige Speicher in Frage. Fehlen die Daten, sollte die Seite mit weniger Personalisierung weiterlaufen, statt zu brechen ^[1].

Zum Prüfen empfiehlt MDN, im eigenen Code nach SameSite=None zu suchen, weil websiteübergreifende Cookies dieses Attribut brauchen, und die Website einmal mit blockierten Drittanbieter-Cookies zu testen. Manche Cookies stellen sich dabei als überflüssig heraus ^[1]. In Safari lässt sich der Zugriff für einen einzelnen Rahmen nur im Code über die Storage Access API freigeben; in Firefox, Chrome und Edge können Nutzer Drittanbieter-Cookies für einzelne Websites selbst zulassen ^[1].

Was das Recht sagt

Für Drittanbieter-Cookies gilt dieselbe Grundregel wie für alle Cookies. Nach § 25 TDDDG ist das Speichern und Auslesen auf deinem Gerät nur mit Einwilligung erlaubt, außer es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ^[15]. Ob im Cookie personenbezogene Daten stehen, spielt dafür keine Rolle ^[5]. Die Einwilligung muss vorliegen, bevor ein einwilligungsbedürftiger Cookie gesetzt wird ^[5].

Für die Ausnahme verlangt die Datenschutzkonferenz unter anderem, dass gespeicherte Informationen grundsätzlich nur vom Betreiber der besuchten Website ausgelesen werden können. Bei Drittanbieter-Cookies ist das nicht der Fall. Dann muss sichergestellt sein, dass der fremde Dienst die Daten nur für die besuchte Website verwendet ^[5]. Bindet eine Website Inhalte großer Anbieter ein, kommt es nach der Konferenz außerdem oft zu Übermittlungen in Drittländer außerhalb der EU, die eigene Anforderungen haben ^[5]. Die Regeln im Einzelnen erklären Wann eine Website für Cookies eine Einwilligung braucht und Technisch notwendige Cookies.

Drittanbieter-Cookies selbst finden

Der Cookie-Checker listet die Cookies, die eine Website beim ersten Aufruf setzt. Gehört ein Cookie zu einer anderen Domain als der der geprüften Seite, stammt er von einem eingebundenen Dienst. In den Entwicklerwerkzeugen von Chrome erscheinen Drittanbieter-Cookies unter Application, Storage, Cookies mit einem Warnsymbol ^[16].

1. Organisation Third-party cookies. MDN Web Docs (Mozilla). Stand 15.06.2026. abgerufen am 29.10.2026
2. Organisation Using HTTP cookies. MDN Web Docs (Mozilla). Stand 17.09.2026. abgerufen am 29.10.2026
3. Gesetz RFC 6265: HTTP State Management Mechanism. Internet Engineering Task Force (IETF), A. Barth. Stand April 2011. abgerufen am 29.10.2026
4. Behörde JavaScript, Cookies & Fingerprints. Bundesamt für Sicherheit in der Informationstechnik (BSI). Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
6. Behörde Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation, Version 2.0. Europäischer Datenschutzausschuss (EDSA). Stand 07.10.2024. abgerufen am 29.10.2026
7. Organisation Full Third-Party Cookie Blocking and More (John Wilander). WebKit (Apple). Stand 24.03.2020. abgerufen am 29.10.2026
8. Organisation Firefox rolls out Total Cookie Protection by default to more users worldwide. Mozilla. Stand 14.06.2022, aktualisiert 28.08.2024. abgerufen am 29.10.2026
9. Organisation Cookies in Chrome löschen, zulassen und verwalten (Computer). Google, Chrome-Hilfe. Stand ohne Datum. abgerufen am 29.10.2026
10. Organisation Third-party cookies restricted by default for 1% of Chrome users. Google, Privacy Sandbox. Stand Januar 2024. abgerufen am 29.10.2026
11. Organisation A new path for Privacy Sandbox on the web (Anthony Chavez). Google, Privacy Sandbox. Stand 22.07.2024. abgerufen am 29.10.2026
12. Organisation Next steps for Privacy Sandbox and tracking protections in Chrome (Anthony Chavez). Google, Privacy Sandbox. Stand 22.04.2025. abgerufen am 29.10.2026
13. Organisation Update on plans for Privacy Sandbox technologies (Anthony Chavez). Google, Privacy Sandbox. Stand 17.10.2025. abgerufen am 29.10.2026
14. Organisation Cookies Having Independent Partitioned State (CHIPS). MDN Web Docs (Mozilla). Stand 15.06.2026. abgerufen am 29.10.2026
15. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
16. Organisation View, add, edit, and delete cookies (Chrome DevTools). Google, Chrome for Developers. Stand 05.12.2023. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.