Third-Party-Cookies: Wie Werbenetzwerke dich seitenübergreifend verfolgen

Wenn dir nach dem Blick auf einen Koffer im Onlineshop plötzlich auf einer Nachrichtenseite Koffer-Werbung begegnet, steckt fast immer ein Drittanbieter-Cookie dahinter. Es ist der klassische Mechanismus, mit dem Werbenetzwerke dein Verhalten über Seitengrenzen hinweg verknüpfen.

Ein Cookie ist zunächst nur eine kleine Textdatei, die eine Webseite im Browser ablegt, um dich beim nächsten Besuch wiederzuerkennen. Das ist für Logins oder Warenkörbe nützlich. Problematisch wird es, wenn nicht die besuchte Seite das Cookie setzt, sondern ein dritter Anbieter, der auf vielen Seiten gleichzeitig eingebunden ist.

Genau dieser dritte Anbieter ist der Namensgeber. Drittanbieter meint nicht dich und nicht die Seite, die du bewusst angesteuert hast, sondern eine im Hintergrund mitgeladene Partei. Du hast dieser Partei nie aktiv einen Besuch abgestattet, trotzdem sieht sie einen Teil deines Surfverhaltens, sobald ihr Code auf einer Seite eingebunden ist.

First-Party gegen Third-Party

Der Unterschied liegt allein in der Herkunft des Cookies. Ein First-Party-Cookie stammt von der Domain, die du gerade besuchst. Ein Third-Party-Cookie stammt von einer anderen Domain, deren Inhalt in die Seite eingebettet ist, etwa ein Werbebanner, ein Zählpixel oder ein eingebundenes Skript.

Da dasselbe Werbenetzwerk auf tausenden Webseiten eingebunden ist, kann es überall dasselbe Cookie wiedererkennen. So entsteht eine Spur quer durch dein Surfverhalten, obwohl du nie direkt die Seite des Werbenetzwerks besucht hast.

Die Reichweite ist dabei der entscheidende Faktor. Ein kleiner Anbieter, der nur auf einer Handvoll Seiten steckt, sieht wenig von dir. Ein großes Netzwerk dagegen, das auf einem erheblichen Teil aller besuchten Seiten eingebunden ist, kann nahezu lückenlos verfolgen, wann du welche Themen ansiehst. Genau deshalb konzentriert sich der Markt auf wenige reichweitenstarke Akteure.

Wie das Profil im Hintergrund wächst

Der Ablauf ist immer ähnlich, auch wenn die beteiligten Firmen wechseln.

1. Du besuchst Seite A, die ein Werbe-Skript eines Netzwerks einbindet.
2. Das Netzwerk setzt ein Cookie mit einer eindeutigen Kennung in deinem Browser.
3. Du besuchst später Seite B, die dasselbe Netzwerk einbindet. Dein Browser sendet das vorhandene Cookie zurück.
4. Das Netzwerk erkennt dieselbe Kennung wieder und verknüpft die Besuche von Seite A und Seite B.
5. Mit jedem weiteren Seitenbesuch wächst das Interessenprofil, das anschließend für Werbung versteigert wird.

Verfeinert wird das Ganze durch Cookie-Synchronisation. Mehrere Werbefirmen tauschen ihre Kennungen ab, sodass auch Unternehmen, die nicht selbst auf einer Seite eingebunden waren, an die Daten gelangen können. Das vergrößert die Reichweite eines einzelnen Profils erheblich.

Pixel und Skripte als stille Helfer der Cookies

Ein Drittanbieter-Cookie wirkt selten allein. Es arbeitet zusammen mit Zählpixeln und eingebetteten Skripten, die auf vielen Seiten verteilt sind. Ein Zählpixel ist ein winziges, unsichtbares Bild, dessen einziger Zweck darin besteht, beim Laden einen Aufruf an den Tracking-Server auszulösen.

Bei diesem Aufruf übermittelt dein Browser automatisch das passende Cookie und Angaben wie die aktuelle Adresse und deine Browser-Kennung. So erfährt das Werbenetzwerk, dass dein bekanntes Profil gerade eine bestimmte Seite besucht, ohne dass auf der Seite sichtbare Werbung erscheinen müsste.

Eingebettete Skripte gehen noch weiter, weil sie aktiven Code auf der Seite ausführen und damit auch Verhaltensdaten wie Mausbewegungen oder Verweildauer erfassen können. Genau deshalb reicht es nicht, nur Cookies zu blockieren. Erst wenn auch die Pixel und Skripte herausgefiltert werden, versiegt die Datenquelle wirklich.

Das langsame Ende der Drittanbieter-Cookies

Mehrere Browser haben Third-Party-Cookies bereits standardmäßig blockiert. Firefox und Safari unterbinden sie seit Jahren weitgehend über ihre Tracking-Schutz-Mechanismen. Chrome hat den Ausstieg lange angekündigt und mehrfach verschoben, statt einer harten Abschaltung wird Nutzern dort eine Auswahlmöglichkeit angeboten.

Wichtig ist die nüchterne Einordnung: Das Ende der Drittanbieter-Cookies beendet nicht das Tracking. Die Branche weicht auf andere Verfahren aus, etwa serverseitiges Tracking, Login-basierte Kennungen und genau jene Fingerprinting-Methoden, die ohne Cookies auskommen. Wie das im Detail funktioniert, zeigt der Artikel zum Audio-Fingerprinting.

Welche Daten in einem Werbeprofil zusammenlaufen

Ein über Drittanbieter-Cookies aufgebautes Profil ist mehr als eine Liste besuchter Seiten. Aus dem Surfverhalten leiten Werbenetzwerke mutmaßliche Interessen, Kaufabsichten und Lebenssituationen ab. Wer Babyartikel und Umzugsratgeber ansieht, wird anderen Kategorien zugeordnet als jemand, der Reise- und Technikseiten besucht.

Diese abgeleiteten Kategorien sind die eigentliche Ware. In Echtzeit-Auktionen, dem sogenannten Real-Time-Bidding, wird bei jedem Seitenaufruf um die Anzeige für genau dein Profil geboten. Der ganze Vorgang dauert Bruchteile einer Sekunde und läuft komplett im Hintergrund ab, während die Seite für dich lädt.

Problematisch ist dabei die Streuung der Daten. An einer einzigen Auktion können viele Unternehmen teilnehmen, und jedes erhält dabei Signale über dich, auch wenn es am Ende nicht den Zuschlag bekommt. So verteilen sich Informationen über dein Verhalten weit über das ursprünglich besuchte Werbenetzwerk hinaus.

Cookie-Banner, Einwilligung und was rechtlich gilt

In der EU dürfen nicht-funktionale Cookies, zu denen Werbe-Cookies zählen, grundsätzlich nur mit deiner Einwilligung gesetzt werden. Das ist der Grund für die allgegenwärtigen Cookie-Banner. Eine wirksame Einwilligung muss freiwillig, informiert und aktiv erfolgen, ein vorausgewähltes Häkchen genügt nach gängiger Auslegung nicht.

In der Praxis sind viele Banner allerdings so gestaltet, dass die Zustimmung leichter fällt als die Ablehnung. Solche Muster stehen regelmäßig in der Kritik der Datenschutzbehörden. Im konkreten Streitfall solltest du dich nicht allein auf ein Banner verlassen, sondern technische Schutzmaßnahmen ergänzen, da die rechtliche Durchsetzung langwierig sein kann.

Wichtig zur Einordnung: Die rechtliche Lage entwickelt sich weiter, und eine pauschale Aussage über jeden Einzelfall ist nicht möglich. Bei rechtlichen Fragen zu deinen konkreten Daten ist im Zweifel fachlicher Rat sinnvoll. Technisch bist du mit eigenen Schutzmaßnahmen aber unabhängig davon, wie ein Banner gestaltet ist.

So blockierst du seitenübergreifendes Tracking

Der einfachste Schritt ist die Browser-Einstellung. Aktiviere die Blockade von Drittanbieter-Cookies in deinem Browser, in Firefox und Safari ist sie meist schon voreingestellt. In Chrome findest du die Option in den Datenschutz-Einstellungen.

Den größten Effekt bringt ein Content-Blocker wie uBlock Origin, der Werbe- und Tracking-Domains schon vor dem Setzen eines Cookies herausfiltert. Wer mehrere Konten trennen will, kann Container-Funktionen nutzen, die Cookies pro Bereich isolieren, sodass ein Werbenetzwerk dich nicht über Themenwelten hinweg verfolgt.

Ein oft übersehener Schritt ist das regelmäßige Aufräumen. Stelle deinen Browser so ein, dass er Cookies beim Schließen löscht, und du startest jede Sitzung mit einer sauberen Ausgangslage. Funktionale Logins kannst du dabei gezielt von der Löschung ausnehmen, sodass der Komfort erhalten bleibt, während die Werbe-Cookies verschwinden.

Wie viele Tracker auf einer konkreten Seite aktiv sind, machst du mit dem Tracker-Scanner sichtbar. Welche Cookies dein Browser gerade speichert, zeigt der Cookie-Scanner. Eine grundlegende Absicherung deines Browsers liefert das Tool Browser härten.

Browser-Vergleich beim Cookie-Schutz

Die Browser unterscheiden sich deutlich darin, wie konsequent sie Drittanbieter-Cookies behandeln. Safari blockiert sie über seine Intelligent Tracking Prevention seit Jahren standardmäßig. Firefox isoliert Cookies inzwischen pro Seite und unterbindet seitenübergreifende Verfolgung weitgehend. Chrome erlaubt sie länger als die anderen und stellt den Wechsel auf eine Nutzer-Auswahl um.

Für dich heißt das: Mit Firefox oder Safari bist du beim Cookie-Schutz ohne Zutun schon recht gut aufgestellt. Nutzt du Chrome, solltest du die Blockade von Drittanbieter-Cookies in den Einstellungen aktiv einschalten, weil sie dort nicht automatisch greift.

Unabhängig vom Browser bleibt ein Content-Blocker der wirksamste Hebel, weil er nicht nur Cookies, sondern auch die Skripte und Zählpixel dahinter ausbremst. Wenn dich darüber hinaus interessiert, ob deine Verbindungsdaten geschützt sind, hilft beim transaktionalen Schritt zum eigenen VPN der VPN-Vergleich bei einer sachlichen Auswahl ohne Affiliate-Schönfärberei.

Häufige Fragen zu Third-Party-Cookies

Sind alle Cookies schlecht? Nein. Funktionale First-Party-Cookies machen Logins und Warenkörbe erst möglich. Das Datenschutzproblem sind vor allem Drittanbieter-Cookies für Werbung.

Reicht es, Cookies regelmäßig zu löschen? Das hilft gegen Cookies, aber nicht gegen Fingerprinting. Für umfassenden Schutz brauchst du beides: Cookie-Kontrolle und Skript-Blockade.

Verschwindet Tracking, wenn Chrome Drittanbieter-Cookies abschafft? Nein. Die Branche nutzt bereits cookielose Verfahren. Ein guter Content-Blocker bleibt deshalb dauerhaft sinnvoll.

Woran erkenne ich, dass eine Seite mich über Drittanbieter verfolgt? Du siehst es selten direkt. Hinweise sind Werbung, die deinem vorherigen Surfverhalten auffällig genau folgt, sowie eine lange Liste eingebundener Fremd-Domains, die ein Tracker-Scanner sichtbar macht.

Als konkrete Handlungsempfehlung gilt: Aktiviere die Blockade von Drittanbieter-Cookies, setze einen Content-Blocker ein und lösche Cookies beim Schließen des Browsers. Diese drei Schritte schwächen das seitenübergreifende Tracking deutlich, ohne dass funktionale Logins darunter leiden müssen.