Was sind Cookies?(Alles, was du darüber wissen musst)

Willkommen beim Marketing Techie Podcast, dem Podcast über die Technik hinter dem Online-Marketing. Verständlich erklärt, auch für Non-Techies. Mit Emilian Buza von trace5.co. In der heutigen Folge: Was sind Cookies? Und warum sind sie so wichtig?

Stell dir vor, du schlägst morgens die Zeitung auf. Und da steht: Auf deinem Computer liegt eine Datei, die du nie angelegt hast. Seit Monaten. Und Websites schreiben da Dinge über dich rein.

Genau das ist im Februar 1996 passiert. Montag, der 12. Februar. Die Financial Times berichtet über eine Funktion im Netscape-Browser. Netscape war damals die Nummer eins, der Browser, mit dem die meisten Menschen überhaupt ins Web gingen.

Und diese Funktion? Von der wusste fast niemand, dass es sie gibt. Dabei war sie längst da. Seit Oktober 1994, seit der ersten öffentlichen Version des Browsers. Standardmäßig eingeschaltet. Ohne Hinweis, ohne Frage. Und seit Herbst 1995 hatte sie sogar der Internet Explorer von Microsoft.

Wer nach dem Artikel nachschaute, fand im Netscape-Ordner auf seiner Festplatte eine kleine Textdatei. Ihr Name: cookies.txt. Und dann ging's los.

Schon am nächsten Tag zieht eine US-Zeitung nach. Die Schlagzeile, sinngemäß übersetzt: Web-Cookies spionieren dich womöglich aus.

Am Mittwoch berichtet das Wall Street Journal vom Aufruhr. Nutzer beschweren sich. Und Netscape? Verteidigt die Cookies. Die würden den Kunden doch helfen, sagt das Unternehmen. Und kündigt im selben Atemzug an: Künftige Versionen des Browsers sollen den Nutzern die Wahl lassen, ob sie das wollen.

Im selben Monat kommt eine Arbeitsgruppe, die einen offiziellen Standard für Cookies ausarbeiten soll, zu einem klaren Schluss: Cookies von Dritten sind eine ernsthafte Bedrohung für die Privatsphäre. Und noch im selben Jahr landen Cookies sogar auf der Tagesordnung der US-Verbraucherschutzbehörde, der Federal Trade Commission. Der erste Cookie-Skandal der Geschichte ist also dreißig Jahre alt.

Und die Frage, die damals alle gestellt haben, ist bis heute nicht wirklich geklärt: Wer darf sich eigentlich merken, dass ich schon mal da war? Und heute geht's um genau diese kleinen Dateien, die dein ganzes Tracking zusammenhalten. Cookies.

Und ich muss dich gleich am Anfang um etwas bitten. Mach jetzt bitte mal kurz dein GA4 auf, im Kopf reicht. Da steht irgendwo eine Zahl: Nutzer. Sagen wir, 10.000 im letzten Monat.

Kannst du mir jetzt sagen, wie viele Menschen das waren? Nein? Kein Wunder. Niemand kann diese Frage beantworten. Du weißt es nicht. Ich weiß es auch nicht. Und GA4 weiß es übrigens auch nicht genau.

Vielleicht waren es 6.000 Menschen, von denen manche zwei-, dreimal gezählt wurden. Vielleicht waren es auch 14.000, und ein Teil davon taucht in deinen Zahlen gar nicht auf.

Und schuld daran ist eine kleine Erfindung aus dem Jahr 1994, die eigentlich für etwas ganz anderes gedacht war. Das Cookie.

Dein Tracking erkennt keine Menschen. Es erkennt Cookies. Und wenn du diesen einen Satz verstanden hast, verstehst du plötzlich die Hälfte aller Merkwürdigkeiten in deinen Berichten.

Lohnt sich also, das Thema einmal gründlicher zu beleuchten, oder? Eben – dachte ich mir auch. Und wir fangen mal ganz vorne an: Woher kommen diese appetitlich klingenden Dinger überhaupt?

Dazu müssen wir zurück in die Neunziger. Genauer gesagt in das Jahr 1994. Stell dir vor: Das Web ist zu dieser Zeit gerade mal ein paar Jahre alt.

Der wichtigste Browser heißt Netscape Navigator. Und bei Netscape sitzt ein junger Entwickler namens Lou Montulli. Netscape nun hat einen Kunden. Und der etwas will, das es in den Neunzigern so noch gar nicht gibt: einen Online-Shop. Mit Warenkorb.

Beides klingt heute wie Pille-Palle. Aber im Jahr 1994 war das ein echtes Problem. Denn erinnerst du dich noch an die Episode 3 dieses Podcasts, die Altbau-Folge? Da hatten wir das Problem schon einmal erwähnt: Das Protokoll, über das Browser und Server miteinander sprechen, HTTP, merkt sich nichts.

Jede Anfrage steht für sich allein. Der Server weiß bei der zweiten Anfrage nicht, dass sie vom selben Besucher kommt wie die erste. Das heißt: Du legst also ein Paar Schuhe in den Warenkorb, klickst auf die nächste Seite und der Server hat keine Ahnung mehr, dass du überhaupt etwas ausgewählt hast.

Montullis Lösung war verblüffend einfach. Der Server schickt dem Browser deines Besuchers zusammen mit der Seite einen kleinen Datensatz mit. Der Browser speichert diesen Datensatz auf dem Gerät deines Besuchers. Und bei jeder weiteren Anfrage an denselben Server schickt der Browser ihn automatisch wieder mit.

Dieser Datensatz ist das Cookie. Und so einfach die Lösung war, so einfach sieht auch das Cookie bis heute aus: Es besteht aus einem Name, einem Wert und der Domain, zu der es gehört. Meistens gibt’s noch ein Ablaufdatum. Das war’s dann aber auch schon. Kein Programm, nichts, was irgendetwas ausführt. Ein Eintrag mit Name und Wert. Wie ein Zettel, den man irgendwo drauf klebt, um nicht zu vergessen, zu was es gehört.

Steht im Cookie zum Beispiel eine Nummer, kann der Server bei jeder Anfrage sagen: Ah, Nummer 4711, das ist der mit den Schuhen im Warenkorb.

Verblüffend einfach, oder? Nun habe ich eben gesagt: meistens ein Ablaufdatum. Die Betonung liegt in diesem Satz auf „meisten“. Denn an diesem kleinen Wort hängt mehr, als man denkt.

Es gibt nämlich zwei Sorten von Cookies. Cookies ohne Ablaufdatum heißen Sitzungs-Cookies. Die gelten nur, solange der Browser deines Besuchers offen ist. Schließt er den Browser, sind sie normalerweise weg.

Cookies mit Ablaufdatum heißen dauerhafte Cookies. Die bleiben auf dem Gerät deines Besuchers, bis das Datum erreicht ist. Das kann morgen sein oder in zwei Jahren.

Warum braucht man nun aber zwei Sorten? Weil sich der Server unterschiedlich lang erinnern soll. Ein Warenkorb oder ein Login zum Beispiel muss oft nur so lange halten, wie jemand auf der Seite ist. Dafür reicht ein Sitzungs-Cookie.

Wer deinen Besucher aber nach drei Wochen wiedererkennen will, braucht ein dauerhaftes Cookie. Und genau das ist der Typ, den jedes Tracking-Tool setzt. Du kannst dir also jetzt schon einmal merken: Beim Tracking geht es fast immer um dauerhafte Cookies. Und genau die stehen heute politisch unter Beschuss, ich sage dazu gleich mehr.

Bevor ich das mache, aber noch eine Sache: Hast du dich schon einmal gefragt, warum diese Technologie so einen schmackhaften Namen erhalten hat? Hier die Auflösung: Den Namen Cookie hat Montulli aus der Programmiererszene übernommen.

Dort hieß ein kleines Datenpaket, das zwischen Programmen hin- und hergereicht wird, schon länger „Magic Cookie“. Warum man das ausgerechnet Keks genannt hat, weiß übrigens niemand so genau. Die beliebteste Erklärung ist der Glückskeks, in dem eine versteckte Nachricht steckt.

Und damit solltest du jetzt gesehen haben: Cookies wurden nicht fürs Tracking erfunden. Sie wurden erfunden, damit Warenkörbe funktionieren. Und Logins. Und Spracheinstellungen. Damit eine Website sich überhaupt irgendetwas merken kann.

Netscape baute die Cookies noch im selben Jahr in seinen Browser ein. Gefragt wurde niemand. Die allermeisten Nutzer wussten nicht einmal, dass ihr Browser so etwas speichert.

Lange dauerte es nicht, bis noch jemand anderes das Potenzial erkannte. Die Werbebranche. Dafür musst du einen Unterschied kennen, der bis heute dein Arbeitsleben bestimmt: Ein First-Party-Cookie gehört zu der Website, auf der dein Besucher gerade ist.

Er ist auf deinshop.de, das Cookie gehört zu deinshop.de. Das ist der Warenkorb-Fall. Aber auch dein eigenes Tracking nutzt First-Party-Cookies, dazu gleich noch mehr.

Eine Website lädt aber nicht nur Inhalte von sich selbst. Da ist vielleicht ein Werbebanner eingebaut, das von einem Werbenetzwerk kommt. Um dieses Banner anzuzeigen, stellt der Browser deines Besuchers eine Anfrage an die Domain des Werbenetzwerks. Und das Werbenetzwerk kann dabei ein Cookie für seine eigene Domain setzen. Das ist ein Third-Party-Cookie, also ein Cookie von einem Dritten.

Und jetzt kommt der Clou. Dasselbe Werbenetzwerk hat seine Banner nicht nur auf deinshop.de. Sondern auf tausenden Websites. Nachrichtenseiten, Reiseblogs, Rezeptportale.

Überall, wo dein Besucher eines dieser Banner sieht, schickt sein Browser dasselbe Cookie an das Werbenetzwerk mit. Und das Werbenetzwerk kann eins und eins zusammenzählen: Nummer 4711 war erst im Schuhshop, dann auf der Nachrichtenseite, dann auf dem Reiseblog.

Aus einer Erfindung für Warenkörbe war ein System geworden, mit dem man Menschen über das ganze Web hinweg verfolgen kann. Genau daraus sind Retargeting und personalisierte Werbung entstanden. Firmen wie DoubleClick, die später Google gekauft hat, haben darauf ganze Geschäftsmodelle gebaut.

Doch jetzt wird’s erst richtig interessant. 1997 wurde der erste offizielle Standard für Cookies veröffentlicht. Und die Autoren hatten genau dieses Problem schon gesehen. Im Standard stand sinngemäß: Browser sollen Third-Party-Cookies standardmäßig ablehnen.

Und was haben die Browser-Hersteller gemacht? Sie haben es ignoriert. Third-Party-Cookies blieben einfach erlaubt. Für die nächsten zwanzig Jahre.

Das Problem war also schon 1997 bekannt. Angegangen wurde es erst sehr viel später, und zwar von zwei Seiten gleichzeitig.

Die erste Seite war der Gesetzgeber. In der EU gilt seit 2009 grundsätzlich: Wer etwas auf dem Gerät eines Nutzers speichert, braucht dafür seine Einwilligung. Es sei denn, es ist technisch notwendig, wie beim Warenkorb oder beim Login. Durchgesetzt wurde das in Deutschland aber erst um 2020 herum richtig. Und seitdem hast du auf jeder Website diesen Consent-Banner.

Ein kleines Detail, solltest du dazu wissen: Das Gesetz spricht gar nicht speziell von Cookies. Es geht um jede Art von Speichern und Auslesen auf dem Gerät des Nutzers. Wer glaubt, er könne die Einwilligung umgehen, indem er statt eines Cookies einfach einen anderen Speicher im Browser benutzt, der irrt.

Die zweite Seite, die den Cookie angriff, waren die Browser selbst. Apple hat ab 2017 in Safari Third-Party-Cookies blockiert und nach und nach auch First-Party-Cookies eingeschränkt. Firefox hat 2019 nachgezogen. Und Google hat jahrelang angekündigt, Third-Party-Cookies in Chrome abzuschaffen, und den Plan 2024 dann doch wieder fallen gelassen.

So. Und jetzt zurück zu deiner Zahl in GA4. Den 10.000 Nutzern. Google Analytics erkennt deine Besucher über ein dauerhaftes First-Party-Cookie namens _ga. Darin steht eine lange Nummer, die sogenannte Client-ID. Jede Client-ID zählt als ein Nutzer. Und jetzt schau, was mit dieser Zahl alles passieren kann.

Dein Besucher schaut morgens auf dem Handy und kauft abends am Laptop. Zwei Geräte, zwei Browser, zwei Cookies. Für GA4 sind das zwei Nutzer.

Dein Besucher löscht seine Cookies. Beim nächsten Besuch bekommt er eine neue Client-ID. Ein neuer Nutzer. Dein Besucher nutzt Safari und kommt nach zwei Wochen wieder. Safari hat das _ga-Cookie in der Zwischenzeit gelöscht, weil es von einem Skript angelegt wurde und nicht vom Server. Ein neuer Nutzer.

Alle drei Fälle machen deine Zahl größer, als sie in Wirklichkeit ist. Aber es gibt auch die Gegenrichtung. Dein Besucher lehnt im Consent-Banner ab. Dann wird gar kein _ga-Cookie gesetzt, und er taucht in deinen Nutzerzahlen überhaupt nicht auf.

Und da stellt sich natürlich die Frage: Sind diese Besucher dann einfach komplett verloren? Nicht ganz. Google hat dafür den sogenannten Consent Mode gebaut. Der sorgt erst mal dafür, dass dein Tracking die Entscheidung im Banner überhaupt kennt und respektiert.

In der erweiterten Variante passiert noch etwas. Lehnt dein Besucher ab, schickt der Browser trotzdem eine eingeschränkte Meldung an Google. Ohne Cookie, ohne Client-ID. Da steht im Grunde nur drin: Hier ist gerade ein Seitenaufruf oder eine Conversion passiert.

Google kann diesen Besucher damit nicht wiedererkennen. Aber Google kann hochrechnen. Aus den Besuchern, die zugestimmt haben, und diesen anonymen Meldungen schätzt Google, wie viele Conversions es insgesamt ungefähr gab. Diese geschätzten Werte siehst du dann in deinen Berichten.

Zwei Dinge musst du dazu wissen. Erstens: Das sind Schätzungen, keine gemessenen Daten. Zweitens: Ob diese Meldungen ohne Einwilligung rechtlich in jedem Fall in Ordnung sind, darüber wird unter Datenschützern gestritten. Das solltest du mit deinem Datenschutzberater klären, bevor du es einschaltest.

Deine 10.000 sind also weder einfach zu hoch noch einfach zu niedrig. Sie sind verzerrt, in beide Richtungen gleichzeitig. Und manche Werte darin sind sogar geschätzt. Um wie viel deine Zahlen danebenliegen, hängt davon ab, wie viele deiner Besucher Safari nutzen, mehrere Geräte haben oder im Banner ablehnen.

Das ist kein Fehler in deinem Setup. Das ist einfach die Folge davon, dass dein Tracking Cookies zählt und keine Menschen. Und was genau fängst du jetzt mit diesen Informationen an?

Erstens: Lies Nutzerzahlen als Trend, nicht als exakte Zahl. Wenn die Zahl von einem Monat zum nächsten steigt, ist das eine echte Information. Die absolute Zahl ist es eher nicht.

Zweitens: Sei vorsichtig mit Kennzahlen wie der Wiederkehrer-Quote. Die ist durch verlorene Cookies fast immer zu niedrig. Und drittens, und das empfehle ich dir wirklich: Schau dir die Cookies auf deiner eigenen Website einmal selbst an.

Das geht in zwei Minuten. Öffne deine Website in Chrome. Drück F12, auf dem Mac Befehlstaste, Wahltaste und I. Dann öffnen sich die Entwicklertools. Klick oben auf „Anwendung“, oder auf Englisch „Application“. Und dann links auf „Cookies“.

Da siehst du jetzt jedes einzelne Cookie, das deine Website im Browser gespeichert hat. Mit Name, Wert, Domain und Ablaufdatum. Such mal das Cookie mit dem Namen _ga. Der Wert sieht ungefähr so aus: GA1.1, dann eine lange Zahl, ein Punkt und noch eine lange Zahl.

GA1.1 ist nur eine Art Versionskennung, die kannst du ignorieren. Spannend sind die beiden langen Zahlen danach. Zusammen sind sie die Client-ID, also genau die Nummer, über die GA4 deinen Besucher wiedererkennt.

Die erste davon ist einfach eine Zufallszahl. Die zweite ist ein Zeitstempel. Und zwar der Zeitpunkt, an dem dieses Cookie angelegt wurde. In Sekunden gezählt seit dem 1. Januar 1970, so rechnen Computer intern die Zeit.

Wenn du diese zweite Zahl in einen Zeitstempel-Umrechner im Netz eingibst, siehst du, wann dein Browser zum ersten Mal von GA4 gezählt wurde. Bei dir ist das wahrscheinlich ein paar Tage her. Oder, wenn du Safari benutzt, vielleicht erst gestern.

Und schau dir auch das Ablaufdatum an. Da steht beim _ga-Cookie in Chrome normalerweise ein Datum in etwa zwei Jahren. Ein dauerhaftes Cookie, genau wie besprochen.

Ach ja, und falls du dich schon wunderst: Du siehst wahrscheinlich auch noch ein paar andere Cookies, von denen du keine Ahnung hattest, dass sie da sind. Vielleicht kannst du nicht jedes davon zuordnen. Vielleicht kommt dir ein Ablaufdatum komisch vor. Und eigentlich würdest du jetzt gern wissen, welches Skript welches Cookie angelegt hat und warum.

Genau dafür habe ich meinen Kurs „Was passiert im Browser?“ gemacht. Darin gehen wir gemeinsam durch, was im Browser deines Besuchers passiert, nachdem er auf deine Seite kommt. Welches Skript wann geladen wird. Wann ein Cookie gesetzt wird und von wem. Wann der Browser es mitschickt und wann nicht. Und warum ein Tag im Tag Manager feuert und trotzdem nichts in GA4 ankommt.

Und zwar nicht theoretisch, sondern direkt in den Entwicklertools, die du gerade geöffnet hast. Du lernst, die Anfragen im Netzwerk-Tab zu lesen, Cookies zu prüfen und Fehler selbst einzugrenzen.

Was hast du davon? Ganz einfach: Wenn deine Zahlen das nächste Mal merkwürdig aussehen, rätst du nicht mehr. Du schaust nach und siehst, wo es hakt. Du musst nicht für jede Kleinigkeit ein Ticket bei der IT aufmachen und eine Woche warten. Und wenn du doch mit Entwicklern sprichst, weißt du, wovon die reden, und die merken, dass du es weißt.

Kurz gesagt: Du verstehst die Technik, auf der dein ganzes Tracking aufbaut. Und das ist für Online-Marketer inzwischen kein Nice-to-have mehr.

Den Link zum Kurs findest du in den Shownotes. Und damit war’s das für heute. Wenn du die Cookies auf deiner Seite angeschaut und etwas Seltsames gefunden hast, schreib mir. Mich interessiert wirklich, was da so alles rumliegt. Mach’s gut, und bis zur nächsten Folge.