Was ist ein Cookie? Cookies erklärt für Unternehmer

Ein Cookie ist ein kleines Stück Daten, das eine Website im Browser deiner Besucher ablegt und bei späteren Besuchen wieder ausliest. Für dich als Unternehmer ist das kein Technikthema, sondern ein Geldthema: Cookies entscheiden mit, was du über deine Besucher weißt, was dein Cookie-Banner leisten muss und wie viele Conversions Google Ads überhaupt zu sehen bekommt. Hier steht das in einfachen Worten, ohne Gesetzesvorlesung.

1. Was ist ein Cookie? Die einfache Erklärung

Die Entwicklerdokumentation von Mozilla beschreibt ein Cookie als kleines Datenelement, das ein Server an den Browser schickt. Der Browser kann es speichern und bei späteren Anfragen an denselben Server zurücksenden. Mehr ist es technisch nicht: eine kleine Notiz, die sich die Website im Browser merkt.

Wofür Cookies benutzt werden, teilt Mozilla in drei Zwecke ein:

• Sitzung: Du bist eingeloggt, der Warenkorb bleibt gefüllt, das Formular weiß, wo du warst.
• Personalisierung: Die Website merkt sich Sprache oder Darstellung.
• Tracking: Das Verhalten von Besuchern wird aufgezeichnet und ausgewertet.

Erstanbieter und Drittanbieter

Der wichtigste Unterschied für dich ist, wer das Cookie setzt.

• Erstanbieter-Cookies (First Party) kommen von deiner eigenen Domain. Der Warenkorb deines Shops ist ein typisches Beispiel.
• Drittanbieter-Cookies (Third Party) kommen von einer anderen Domain, etwa über eingebettete Inhalte. Mozilla schreibt, dass sie viele legitime Zwecke haben, zum Beispiel das Zählen von Werbeeinblendungen. Ein Drittanbieter kann aber auch ein Profil des Surfverhaltens erstellen, wenn derselbe Browser ihm auf vielen Websites Cookies zurückschickt.

Die Gruppen im Cookie-Banner

Banner-Tools sortieren Cookies meist in Gruppen wie „notwendig“, „Präferenzen“, „Statistik“ und „Marketing“. Das sind keine Begriffe aus dem Gesetz, sondern eine praktische Ordnung. Entscheidend ist nur die Frage, ob ein Cookie für den Dienst, den der Besucher ausdrücklich will, unbedingt nötig ist oder nicht.

Und noch eine Klarstellung: Das deutsche Gesetz spricht gar nicht von Cookies, sondern von Informationen auf dem Gerät. Gemeint ist alles, was eine Website auf dem Gerät speichert oder dort ausliest, nicht nur Cookies.

2. Was das Cookie-Banner in Deutschland leisten muss

In Deutschland regelt das § 25 TDDDG. Informationen auf dem Gerät eines Besuchers speichern oder dort auslesen darf eine Website nur, wenn der Besucher auf Grundlage klarer und umfassender Informationen eingewilligt hat. Ausgenommen ist, was unbedingt erforderlich ist, damit ein Dienst bereitsteht, den der Nutzer ausdrücklich gewünscht hat. Für das Banner heißt das in der Praxis: Es fragt, bevor etwas gespeichert oder ausgelesen wird, es erklärt verständlich, wofür, und es macht das Nein nicht schwerer als das Ja. Die Datenschutzaufsicht in Niedersachsen vertritt die Auffassung, dass ein Banner unter bestimmten Umständen einen gleichwertig sichtbaren Knopf „Alles ablehnen“ braucht, und das Verwaltungsgericht Hannover hat diese Auffassung im März 2025 bestätigt. Ich bin kein Anwalt, und das hier ist keine Rechtsberatung.

Ein Banner auf der Seite ist noch kein Beweis

Wie oft Banner und Wirklichkeit auseinanderliegen, habe ich gemessen. Für meine Studie zu Tracking vor der Einwilligung habe ich im September 2026 Websites deutscher Betriebe in einem echten Browser geöffnet, ohne etwas anzuklicken. Von 41.161 erreichbaren Seiten:

• hatten 59,5 % ein Cookie-Banner, das der Browser erkennen konnte,
• schickten 8,8 %, also 3.619 Seiten, schon vor dem ersten Klick Daten an einen Mess- oder Werbedienst, ohne ein „abgelehnt“-Signal,
• hatte bei 2.619 dieser 3.619 Seiten ein Banner auf dem Bildschirm gestanden, das noch niemand beantwortet hatte.

Die Zahlen gibt es als offenen Datensatz mit Download als CSV und JSON. Die Lehre daraus: Entscheidend ist nicht, ob ein Banner da ist, sondern ob die Tags auf die Antwort warten. Was das Gesetz genau verlangt und welche Varianten es gibt, steht ausführlich in Tracking und Einwilligung in Deutschland.

3. Was Google Ads ohne Einwilligung sieht

Für deine Werbung hat jedes Nein eine direkte Folge. Google-Tags, die auf den Consent Mode hören, richten sich nach der Entscheidung im Banner. Ein Banner bringt der Consent Mode laut Google selbst nicht mit, er übernimmt nur die Entscheidung aus deinem.

Es gibt ihn in zwei Varianten:

• Basis: Google-Tags warten, bis der Besucher im Banner entschieden hat. Laut Google wird vor dieser Entscheidung nichts an Google übertragen. Lehnt der Besucher ab, bekommt Google auch danach keine Daten von ihm.
• Erweitert: Google-Tags laden beim Öffnen der Seite. Solange die Einwilligung abgelehnt ist, senden sie Messungen ohne Cookies.

Modellierte Conversions, aber nicht für jedes Konto

Auf Basis der Besucher, die zugestimmt haben, kann Google Conversions der anderen schätzen. Diese geschätzten Conversions erscheinen dann in deinen Google-Ads-Berichten und fließen in die Gebote ein. Dafür nennt Google zwei Bedingungen: einen korrekt eingerichteten Consent Mode und mindestens 700 Anzeigenklicks in einem Zeitraum von sieben Tagen, je Land und Domaingruppierung.

Für viele kleine und mittlere Konten in Deutschland bedeutet das: Die Modellierung greift nicht. Wer ablehnt, fehlt in den Conversions. Dein Konto sieht weniger Anfragen, als du tatsächlich bekommst, und Smart Bidding lernt aus diesem Ausschnitt. Das ist kein Fehler, den man wegkonfigurieren kann, sondern der Preis der Einwilligung.

Was du daraus machst

• Richte den Consent Mode ein. Für Nutzer im EWR verlangt Google, dass du die Einwilligung einholst und die Signale an Google sendest, wenn du Messung, personalisierte Werbung und Remarketing weiter nutzen willst. Die Schritte stehen in Consent Mode v2 einrichten.
• Plane die Lücke ein. Beurteile Kampagnen nach dem, was dir die Einwilligung übrig lässt, und vergleich die Zahl der Anfragen in Google Ads mit deinem Postfach oder CRM.
• Lass dein Banner nicht auf Deko laufen. Ein Banner, das nichts blockiert, schützt dich nicht und verfälscht deine Zahlen trotzdem.

Fazit

• Ein Cookie ist eine kleine Notiz im Browser. Erstanbieter-Cookies kommen von deiner Domain, Drittanbieter-Cookies von anderen.
• § 25 TDDDG verlangt eine Einwilligung, bevor eine Website etwas auf dem Gerät speichert oder ausliest, außer es ist für den gewünschten Dienst unbedingt nötig.
• Das Banner muss fragen, bevor gemessen wird, und das Nein darf nicht schwerer sein als das Ja.
• In der Studie hatten 59,5 % der Seiten ein Banner, und trotzdem schickten 8,8 % Daten vor dem ersten Klick.
• Ohne Einwilligung fehlen Conversions in Google Ads. Die Modellierung braucht mindestens 700 Anzeigenklicks in sieben Tagen je Land und Domaingruppierung, kleine Konten erreichen das oft nicht.

FAQ

Sind alle Cookies einwilligungspflichtig?

Nein. Was unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst funktioniert, braucht nach § 25 TDDDG keine Einwilligung. Cookies für Statistik und Werbung gehören in der Regel nicht dazu. Im Einzelfall entscheidet dein Anwalt oder Datenschutzbeauftragter.

Was ist der Unterschied zwischen Erstanbieter- und Drittanbieter-Cookies?

Erstanbieter-Cookies setzt deine eigene Domain, Drittanbieter-Cookies eine andere, etwa über eingebettete Inhalte. Drittanbieter-Cookies können genutzt werden, um Besucher über viele Websites hinweg wiederzuerkennen.

Brauche ich ein Cookie-Banner, wenn ich nur Google Analytics nutze?

Ja, wenn Google Analytics Informationen auf dem Gerät speichert oder ausliest, braucht es nach § 25 TDDDG eine Einwilligung, also ein Banner, das vorher fragt. Ob du GA4 überhaupt brauchst, steht in GTM oder GA4?.

Was passiert mit meinen Google-Ads-Daten, wenn Besucher ablehnen?

Mit Consent Mode im Basis-Modus bekommt Google von diesen Besuchern nichts. Im erweiterten Modus kommen Messungen ohne Cookies an. Geschätzte Conversions gibt es nur, wenn dein Konto mindestens 700 Anzeigenklicks in sieben Tagen je Land und Domaingruppierung erreicht.