Third Party Cookies und First Party Cookies: der Unterschied

Third Party Cookies, auf Deutsch Drittanbieter-Cookies, werden von einer anderen Domain gesetzt als der, die du gerade besuchst. First Party Cookies, also Erstanbieter-Cookies, gehören zu der Domain in der Adresszeile. Der Unterschied klingt technisch, hat aber große Folgen: Drittanbieter-Cookies können eine Person über viele Websites hinweg verfolgen und werden deshalb von Safari und Firefox blockiert. Erstanbieter-Cookies funktionieren in allen Browsern, unterliegen aber ebenfalls Einschränkungen und brauchen für Tracking eine Einwilligung.

Was ist ein Cookie und wer setzt es?

Ein Cookie ist eine kleine Textdatei, die der Browser für eine bestimmte Domain speichert und bei jedem weiteren Aufruf dieser Domain mitschickt. Darin steht zum Beispiel eine Kennung, eine Spracheinstellung oder der Inhalt eines Warenkorbs. Jedes Cookie gehört zu genau einer Domain, und nur diese Domain kann es lesen.

Ob ein Cookie First Party oder Third Party ist, hängt davon ab, aus welchem Zusammenhang es gesetzt wird. Besuchst du beispiel.de und die Seite speichert ein Cookie für beispiel.de, ist es ein First Party Cookie. Lädt beispiel.de aber ein Skript oder ein Bild von werbenetz.com, und werbenetz.com setzt dabei ein Cookie für die eigene Domain, ist das ein Third Party Cookie. Dasselbe Werbenetz kann auf tausend anderen Seiten eingebunden sein und erkennt dich überall an derselben Kennung wieder.

First Party Cookies: wofür Erstanbieter-Cookies genutzt werden

Ohne Erstanbieter-Cookies funktioniert kaum eine Website. Sie halten dich im Kundenkonto angemeldet, merken sich den Warenkorb und speichern deine Entscheidung im Cookie-Banner. Diese Cookies sind meist unbedingt erforderlich und brauchen keine Einwilligung.

Auch viele Tracking-Werkzeuge arbeiten heute mit First Party Cookies. Google Analytics 4 speichert seine Besucherkennung im Cookie _ga auf deiner eigenen Domain. Das Conversion-Verknüpfungs-Tag von Google Ads legt die Klick-ID im Cookie _gcl_aw ab. Das Meta Pixel nutzt die Cookies _fbp und _fbc. Technisch sind das Erstanbieter-Cookies, auch wenn die Daten danach an Google oder Meta gehen.

• _ga: Besucherkennung von Google Analytics 4
• _gcl_aw: gespeicherte gclid für Google Ads
• _fbp: Browser-Kennung des Meta Pixels
• _fbc: gespeicherte fbclid aus einem Klick auf Facebook oder Instagram
• Sitzungs- und Warenkorb-Cookies des Shop-Systems

Passend dazu: Server-Side Tagging oder Client-Side: der Vergleich

Drittanbieter-Cookies: wie sie funktionieren und warum sie verschwinden

Drittanbieter-Cookies waren lange die Grundlage für Werbung im Netz. Ein Werbenetz konnte sehen, dass dieselbe Person erst eine Seite über Laufschuhe und dann einen Shop für Sportbekleidung besucht hat, und ihr passende Anzeigen zeigen. Für Remarketing, Reichweitenmessung und die Zuordnung von Conversions über mehrere Seiten waren sie sehr praktisch.

Genau diese seitenübergreifende Wiedererkennung ist aus Sicht des Datenschutzes das Problem, und die Browser-Hersteller haben reagiert. Safari blockiert Drittanbieter-Cookies seit 2020 vollständig. Firefox blockiert Cookies bekannter Tracker standardmäßig und trennt mit dem umfassenden Cookie-Schutz alle übrigen Cookies nach Website, sodass ein eingebundener Dienst auf jeder Seite einen eigenen Speicher bekommt. In beiden Browsern funktioniert seitenübergreifendes Tracking über Cookies deshalb kaum noch.

Werden Third Party Cookies in Chrome abgeschafft?

Google hatte über mehrere Jahre angekündigt, Drittanbieter-Cookies auch in Chrome abzuschaffen, und den Termin mehrfach verschoben. Im Juli 2024 hat Google diesen Plan aufgegeben und angekündigt, stärker auf die Wahl der Nutzer zu setzen. Chrome erlaubt Drittanbieter-Cookies weiterhin, Nutzer können sie in den Einstellungen selbst blockieren, und im Inkognito-Modus sind sie standardmäßig gesperrt. Wie sich das weiter entwickelt, ist offen.

Für deine Messung bedeutet das: Je nach Zielgruppe nutzt ein großer Teil deiner Besucher Safari, besonders auf dem iPhone, oder Firefox. Bei ihnen fehlen Drittanbieter-Cookies schon heute. Wer seine Messung auf Drittanbieter-Cookies stützt, misst nur einen Teil der Wirklichkeit, unabhängig davon, was Chrome macht. Plane deshalb so, als gäbe es sie nicht.

Passend dazu: Server-Side Tracking: was ist das und wie funktioniert es?

Auch First Party Cookies haben Grenzen

Auch Erstanbieter-Cookies sind nicht unbegrenzt haltbar. Safari begrenzt mit Intelligent Tracking Prevention (ITP) Cookies, die per JavaScript gesetzt werden, auf höchstens 7 Tage. Kommt der Besuch von einer Seite, die Safari als Tracker einstuft, und enthält die Adresse Klick-Parameter, kann die Laufzeit noch kürzer sein. Ein Besucher, der erst nach zehn Tagen wiederkommt, gilt in GA4 dann als neuer Nutzer, und eine gclid im Cookie ist schon verloren.

Ein Beispiel: Ein B2B-Dienstleister bekommt viele Besuche über Google Ads, aber Interessenten vergleichen oft mehrere Wochen, bevor sie anfragen. Bei Besuchern mit Safari ist die per JavaScript gespeicherte Klick-ID nach spätestens 7 Tagen weg, je nach Herkunft des Klicks auch früher. Die Anfrage kommt an, aber Google Ads kann sie dem Klick nicht mehr zuordnen. Abhilfe schafft, die Klick-ID beim ersten Besuch mit Einwilligung zu speichern und in der Anfrage mitzuschicken, damit sie über das CRM als Offline-Conversion zurückgemeldet werden kann.

Was bedeuten die Einschränkungen für GA4, Google Ads und Meta?

Google Analytics 4 misst auf deiner Website mit Erstanbieter-Cookies und ist vom Ende der Drittanbieter-Cookies kaum betroffen. Die Laufzeitgrenzen von Safari wirken sich aber auf die Erkennung wiederkehrender Nutzer aus. Google Ads nutzt für die Conversion-Messung die Klick-ID im First Party Cookie. Für Remarketing und manche Zielgruppen spielen Cookies auf Google-Domains eine Rolle, die in Safari und Firefox nicht funktionieren. Meta speichert die Klick-ID ebenfalls im Erstanbieter-Cookie, ergänzt das aber durch die Conversions API, die Ereignisse vom Server sendet.

• Conversion-Verknüpfungs-Tag im Google Tag Manager aktiv halten
• Klick-IDs und UTM-Parameter in Anfragen speichern
• Meta Pixel durch die Conversions API ergänzen
• Consent Mode v2 nutzen, damit Google mit fehlenden Daten umgehen kann

Einwilligung gilt für beide Arten von Cookies

Für Erstanbieter-Cookies gilt dieselbe Einwilligungspflicht wie für Drittanbieter-Cookies. Ein verbreiteter Irrtum lautet, Erstanbieter-Cookies seien datenschutzrechtlich unproblematisch. § 25 TDDDG regelt jeden Zugriff auf das Endgerät, also auch das Speichern und Auslesen von Cookies. Entscheidend ist, ob ein Cookie unbedingt erforderlich ist, um den gewünschten Dienst bereitzustellen. Der Warenkorb ist es, das Analyse-Cookie von GA4 und das Cookie des Meta Pixels sind es nicht. Für sie brauchst du eine Einwilligung, egal welche Domain sie setzt. Dieser Artikel ist keine Rechtsberatung.

Prüfe mit den Entwicklerwerkzeugen deines Browsers, welche Cookies vor einer Entscheidung im Cookie-Banner gesetzt werden. Vor der Einwilligung sollten nur notwendige Cookies erscheinen. Tauchen _ga, _fbp oder _gcl_aw schon beim ersten Laden auf, feuern Tags zu früh.

So gehst du bei der Cookie-Prüfung vor: Öffne deine Website in einem privaten Fenster, damit keine alten Cookies stören. Öffne die Entwicklerwerkzeuge und dort den Bereich für Speicher oder Anwendung. Lade die Seite neu, ohne im Cookie-Banner etwas anzuklicken, und notiere alle Cookies. Klicke dann auf Ablehnen, lade erneut und vergleiche. Zum Schluss stimmst du allem zu und prüfst, ob jetzt die erwarteten Cookies erscheinen. Achte dabei auch auf Cookies fremder Domains, die über eingebettete Videos, Karten oder Chat-Fenster geladen werden. Sie werden oft vergessen, weil sie nicht über den Google Tag Manager kommen, sondern direkt im Theme eingebaut sind.

Wie prüfst du dein Tracking ohne Drittanbieter-Cookies?

Tracking ohne Drittanbieter-Cookies braucht saubere Erstanbieter-Messung, gespeicherte Klick-IDs und eine funktionierende Einwilligung. Beim Gratis-Check von Trackum prüft ein echter Browser deine Seite dreimal und zeigt Befunde mit Festpreis zum Beheben. Die Einrichtung für 150 € bringt Google Tag Manager, GA4 und Consent Mode v2 auf einen sauberen Stand, die Extras Kampagnen-Daten in Formularen und Meta Conversions API kosten je 50 €. Trackum testet alles in der Vorschau, bevor etwas live geht. Alle Preise zzgl. MwSt.