Was Cookies sind und wie sie funktionieren

Ein Cookie ist ein kleiner Datensatz, den eine Website in deinem Browser ablegt. Er besteht aus einem Namen, einem Wert und einigen Zusatzangaben wie Laufzeit und Gültigkeitsbereich. Bei jedem weiteren Abruf derselben Website schickt der Browser den Cookie zurück. Die technische Grundlage beschreibt RFC 6265 aus dem Jahr 2011: Ein Server sendet Zustandsinformationen an den Browser, und der Browser liefert sie bei späteren Anfragen wieder ab ^[1]. Was das rechtlich bedeutet, steht im Bereich Recht und Einwilligung.

Wozu Websites Cookies brauchen

Das Protokoll HTTP, über das Browser und Webserver miteinander sprechen, ist zustandslos. Jede Anfrage steht für sich, der Server weiß ohne Hilfsmittel nicht, dass zwei Abrufe vom selben Browser stammen. Cookies schließen diese Lücke, denn mit ihnen kann ein Server eine Sitzung über das weitgehend zustandslose HTTP aufrechterhalten ^[1]. Die Entwicklerdokumentation von Mozilla nennt drei Hauptzwecke ^[2]:

• Sitzungsverwaltung: Anmeldestatus, Inhalt des Warenkorbs, Spielstände und andere Angaben, die der Server sich merken muss.
• Personalisierung: Einstellungen wie die Sprache der Anzeige oder das Farbschema der Oberfläche.
• Tracking: das Aufzeichnen und Auswerten, wie sich Besucher verhalten.

Mit dem dritten Zweck beschäftigt sich das Recht. Die europäische Vorschrift, auf die das deutsche Cookie-Recht zurückgeht, zielte schon in der Fassung von 2002 auf Instrumente wie Spyware, mit denen ohne Wissen des Nutzers in sein Endgerät eingedrungen wird, um Informationen zu erlangen oder seine Aktivität zurückzuverfolgen. Bei der Neuregelung 2009 wurden Cookies als konkretes Beispiel genannt ^[7].

Wie ein Cookie entsteht

Ein Cookie entsteht meist im Kopf einer Serverantwort. Der Server fügt eine Zeile Set-Cookie mit Name und Wert hinzu, der Browser speichert das Paar. Bei jeder weiteren Anfrage an denselben Server schickt er es in der Kopfzeile Cookie zurück ^[1]. RFC 6265 zeigt das an einem einfachen Beispiel: Der Server setzt SID=31d4d96e407aad42, und der Browser sendet genau diese Zeichenfolge bei den folgenden Abrufen wieder mit ^[1]. Der Server erkennt an der Kennung, zu welcher Sitzung die Anfrage gehört.

Eine Website kann Cookies auch per JavaScript im Browser anlegen, über die Eigenschaft document.cookie ^[2]. Das nutzen vor allem eingebundene Skripte, etwa für Statistik oder Werbung. Für dich macht es keinen sichtbaren Unterschied, ob ein Cookie vom Server oder von einem Skript stammt. Für Werkzeuge, die Cookies auslesen, schon: Wer nur die Kopfzeilen der Serverantwort liest, sieht die per Skript gesetzten Cookies nicht.

Was in einem Cookie steht

Neben Name und Wert kann ein Cookie mehrere Attribute tragen. Sie legen fest, wie lange er gilt und an welche Adressen der Browser ihn zurückschickt ^{[1, 2]}.

Fehlt das Attribut Domain, schickt der Browser den Cookie nur an genau den Server zurück, der ihn gesetzt hat. Steht dort etwa example.com, geht der Cookie auch an alle Subdomains wie www.corp.example.com ^[1]. Ein Server darf keinen Cookie für eine fremde Domain setzen: Eine Antwort von foo.example.com kann keinen Cookie für bar.example.com anlegen ^[1]. Wie Domains und Subdomains zusammenhängen, erklärt Was ist eine Subdomain?. Das Attribut Path schränkt den Versand auf einen Teil der Website ein, taugt nach RFC 6265 aber nicht als Sicherheitsgrenze ^[1]. Was Secure, HttpOnly und SameSite im Einzelnen bewirken, steht unter Cookie-Attribute: Secure, HttpOnly und SameSite.

Session-Cookies

Ein Cookie ohne Expires und ohne Max-Age ist ein Session-Cookie, auf Deutsch Sitzungs-Cookie. Der Browser behält ihn nur bis zum Ende der laufenden Sitzung ^[1]. Wann eine Sitzung endet, legt der Browser selbst fest. Einige Browser stellen beim Neustart die letzte Sitzung wieder her, und dann können auch Session-Cookies unbegrenzt bestehen bleiben ^[2].

Typische Session-Cookies tragen eine Sitzungskennung wie im Beispiel oben. Sie halten dich angemeldet, solange du eine Seite nutzt, oder merken sich den Inhalt eines Warenkorbs. Im Cookie selbst steht dabei meist nur die Kennung, die eigentlichen Daten liegen auf dem Server. Für das Recht spielt die kurze Laufzeit eine Rolle: Nach der Datenschutzkonferenz wird bei individualisierten Cookies die Gültigkeit häufig nur für eine Sitzung erforderlich sein ^[7]. Welche Cookies ohne Einwilligung auskommen, erklärt Technisch notwendige Cookies.

Langzeit-Cookies

Ein Cookie mit Expires oder Max-Age heißt dauerhafter Cookie, im Englischen persistent cookie. Er bleibt auch nach dem Schließen des Browsers gespeichert und wird erst gelöscht, wenn das angegebene Datum erreicht oder die Zahl der Sekunden abgelaufen ist ^[2]. Stehen beide Angaben im Cookie, gilt Max-Age ^[1]. Ein Server kann einen Cookie sofort entfernen, indem er ihn mit gleichem Namen, Pfad und gleicher Domain erneut setzt und Max-Age=0 angibt ^[2].

Langzeit-Cookies speichern Einstellungen über mehrere Besuche, etwa die gewählte Sprache. Sie sind aber auch das klassische Werkzeug, um einen Browser bei späteren Besuchen wiederzuerkennen. Der Browser Chrome begrenzt die Laufzeit seit Version 104 vom August 2022 auf höchstens 400 Tage. Verlangt ein Cookie eine längere Laufzeit, wird er nicht abgelehnt, sondern läuft nach 400 Tagen ab ^[3]. Die Grenze steht im Entwurf rfc6265bis, der noch kein verabschiedeter Standard ist ^{[3, 5]}. Wie du gespeicherte Cookies vor ihrem Ablauf entfernst, zeigt Cookies im Browser löschen und blockieren.

Eigene und fremde Cookies

Ein Cookie der Website, die du gerade aufrufst, heißt Erstanbieter-Cookie oder First-Party-Cookie. Lädt die Seite Inhalte von anderen Servern, etwa ein Video, eine Karte oder ein Werbeskript, können auch diese Server Cookies setzen. Das sind Drittanbieter-Cookies. RFC 6265 nennt sie unter den Datenschutzfragen "besonders besorgniserregend", legt sich aber auf keinen bestimmten Umgang mit ihnen fest und überlässt das den Browsern ^[1]. Mozilla schreibt, dass die Browserhersteller begonnen haben, Drittanbieter-Cookies standardmäßig zu blockieren, oder Pläne dafür haben ^[2]. Wie weit das bei Chrome, Firefox und Safari gediehen ist und wie Tracking über mehrere Websites funktioniert, steht unter Drittanbieter-Cookies und Tracking.

Grenzen bei Größe und Anzahl

Cookies sind klein. RFC 6265 nennt für Browser nur Mindestwerte, die sie bieten sollen: mindestens 4096 Bytes je Cookie, gezählt über Name, Wert und Attribute, mindestens 50 Cookies je Domain und mindestens 3000 Cookies insgesamt ^[1]. In der Praxis erlauben Browser je Domain meist mehrere Hundert Cookies mit üblicherweise 4 KB ^[2].

Weil der Browser Cookies bei jeder Anfrage mitschickt, kosten viele oder große Cookies Bandbreite, vor allem bei langsamen Mobilverbindungen ^[2]. Mozilla empfiehlt deshalb, Daten, die nur im Browser gebraucht werden, nicht in Cookies abzulegen. Dafür gibt es heute eigene Speicher wie Local Storage, Session Storage und IndexedDB, die nichts an den Server senden ^[2]. Wie diese Speicher arbeiten und was sie für die Privatsphäre bedeuten, erklärt Local Storage, Session Storage und Fingerprinting.

Kurze Geschichte des Cookies

Der Name stammt aus der Praxis. Netscape nannte die Zustandsinformationen in seiner ersten Umsetzung "cookie", und die erste Norm übernahm das Wort ^[4]. Diese Norm ist RFC 2109 vom Februar 1997. Geschrieben haben sie David M. Kristol von den Bell Laboratories und Lou Montulli von Netscape Communications; sie verbindet Kristols Vorschlag "State-Info" mit Netscapes Cookie-Vorschlag ^[4].

RFC 6265 von Adam Barth löste im April 2011 den Nachfolger RFC 2965 ab und ist bis heute die gültige Beschreibung ^[1]. Die Internet Engineering Task Force arbeitet an einer Überarbeitung, die bisher nur als Entwurf (Internet-Draft) vorliegt und noch kein RFC ist. Der Entwurf "Cookies: HTTP State Management Mechanism" (rfc6265bis) liegt in Fassung 22 vom 01.12.2025 vor und wartet nach dem Stand vom 29.10.2026 beim RFC-Editor auf die Endfreigabe ^[5]. Bis zur Veröffentlichung kann sich sein Inhalt noch ändern. Neuerungen wie die Obergrenze der Laufzeit setzen Browser bereits vorher um ^[3].

Sicherheit und Privatsphäre

Ohne verschlüsselte Verbindung gehen die Kopfzeilen Cookie und Set-Cookie im Klartext durch das Netz ^[1]. Wer den Datenverkehr mitlesen kann, sieht dann auch Sitzungskennungen. Deshalb gehört zu jeder Website mit Anmeldung HTTPS; wie die Umstellung gelingt, steht unter Von HTTP auf HTTPS umstellen. RFC 6265 weist außerdem auf eine schwache Stelle bei Subdomains hin: Eine Subdomain kann einen Cookie setzen, den eine benachbarte Subdomain derselben Domain annimmt ^[1].

Für dich als Nutzer sieht die Norm Kontrolle vor. Browser sollen eine Möglichkeit bieten, gespeicherte Cookies zu verwalten, etwa nach Zeitraum oder Domain zu löschen, und Cookies ganz abzuschalten ^[1].

Rechtlich ist in Deutschland § 25 TDDDG maßgeblich. Wer Informationen auf deinem Gerät speichert oder dort ausliest, braucht deine Einwilligung, außer der Zugriff ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ^[6]. Die Regel gilt unabhängig davon, ob im Cookie personenbezogene Daten stehen ^[7]. Die Einzelheiten stehen unter Wann eine Website für Cookies eine Einwilligung braucht.

Welche Cookies eine bestimmte Website beim ersten Aufruf setzt, mit Domain, Pfad, Ablaufdatum, Secure und HttpOnly, zeigt der Cookie-Checker.

1. Gesetz RFC 6265: HTTP State Management Mechanism. Internet Engineering Task Force (IETF), RFC Editor. Stand April 2011. abgerufen am 29.10.2026
2. Organisation Verwendung von HTTP-Cookies. Mozilla, MDN Web Docs. Stand ohne Datum. abgerufen am 29.10.2026
3. Organisation Cookie Expires and Max-Age attributes now have upper limit. Google, Chrome for Developers. Stand zuletzt aktualisiert 12.01.2023. abgerufen am 29.10.2026
4. Gesetz RFC 2109: HTTP State Management Mechanism. Internet Engineering Task Force (IETF), RFC Editor. Stand Februar 1997. abgerufen am 29.10.2026
5. Organisation Cookies: HTTP State Management Mechanism (Internet-Draft draft-ietf-httpbis-rfc6265bis-22, Entwurf, kein RFC). Internet Engineering Task Force (IETF), Datatracker. Stand 01.12.2025. abgerufen am 29.10.2026
6. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.