Was ein Cookie ist – und was nicht
Kaum ein Wort im Datenschutz wird so oft benutzt und so selten erklärt. Ein Cookie ist weder ein Programm noch ein Spion, sondern etwas viel Einfacheres – und genau daraus ergibt sich, warum Websites danach fragen müssen.
Der Begriff stammt aus der Frühzeit des Web und hat mit Gebäck nichts zu tun. Gemeint ist ein „magic cookie“ – in der Programmierung ein kleines Datenpaket, das unverändert zurückgegeben wird, so wie eine Garderobenmarke: Die Marke selbst sagt nichts aus, sie passt nur zu genau einem Mantel.
Ein Zettel, kein Programm
Ein Cookie ist reiner Text. Es kann nichts ausführen, nichts starten, nichts durchsuchen. Es kann weder die Festplatte lesen noch die Kamera einschalten noch ein anderes Programm öffnen. Wer sich ein Cookie als Schadsoftware vorstellt, überschätzt es erheblich.
Das Missverständnis hält sich, weil Cookies dort auftauchen, wo es unangenehm wird: bei Werbung, die einem hinterherläuft. Verantwortlich dafür ist aber nicht die Technik des Zettels, sondern das, was darauf steht und wer den Zettel wieder einsammeln darf.
Wie ein Cookie entsteht und wiederkehrt
- Der Browser fragt eine Seite anEine ganz gewöhnliche Anfrage, wie bei jedem Klick.
- Der Server antwortet und legt einen Zettel beiNeben der Seite kommt eine Zeile mit: Name, Wert, Gültigkeit.
- Der Browser legt den Zettel abSortiert nach Adresse. Ein Zettel von einer Seite ist für andere Seiten unsichtbar.
- Beim nächsten Besuch geht der Zettel zurückOhne Zutun und ohne Nachfrage. Der Server sieht dieselbe Kennung wie beim ersten Mal.
Was auf dem Zettel steht
Ein Cookie besteht aus wenigen Feldern. Sie sind schnell aufgezählt, und jedes einzelne hat Folgen dafür, wie eingriffsintensiv das Cookie ist.
- Name – die Beschriftung, etwa sitzung oder _ga. Sie verrät oft, wozu das Cookie gehört.
- Wert – der eigentliche Inhalt. Meist eine lange, zufällige Zeichenkette: die Garderobenmarke.
- Adresse – zu welcher Website der Zettel gehört. Fremde Seiten kommen nicht heran.
- Gültigkeit – wie lange der Zettel liegen bleibt. Von „bis zum Schließen des Fensters“ bis zu mehreren Jahren.
Erstanbieter und Drittanbieter
Der wichtigste Unterschied betrifft die Frage, wer den Zettel wieder einsammeln darf. Dieser Unterschied entscheidet darüber, ob ein Cookie eine einzelne Website betrifft oder eine Spur quer durch das Netz hinterlässt.
Zwei Herkünfte, zwei Reichweiten
Wie lange ein Cookie bleibt
Die Gültigkeitsdauer ist der zweite Punkt, an dem sich harmlose von eingriffsintensiven Cookies unterscheiden. Ein Zettel, der nach dem Schließen des Fensters verschwindet, kann niemanden über Monate verfolgen.
Übliche Gültigkeitsdauern im Vergleich
Was ein Cookie nicht ist
- Kein Virus. Text kann sich nicht ausführen und nicht verbreiten.
- Kein Namensschild. Im Cookie steht in aller Regel eine zufällige Kennung, kein Name. Der Name liegt auf dem Server – die Kennung führt nur hin.
- Nicht die einzige Möglichkeit, wiederzuerkennen. Local Storage, Pixel und Fingerprinting leisten Ähnliches. Deshalb hilft es wenig, nur Cookies zu betrachten.
Warum trotzdem gefragt werden muss
Die Rechtslage knüpft nicht daran an, ob ein Cookie gefährlich ist. Sie knüpft an einen viel einfacheren Umstand an: Das Endgerät gehört der besuchenden Person. Wer dort etwas ablegt oder ausliest, greift auf fremde Geräte zu – und das ist erlaubnispflichtig, unabhängig davon, wie klein die abgelegte Zeichenkette ist.
Eine Ausnahme gibt es, und sie ist eng: Was für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist, darf ohne Einwilligung abgelegt werden. Der Warenkorb eines Shops fällt darunter. Die Erfolgsmessung einer Werbekampagne nicht.
Die Frage, an der sich alles entscheidet
Nicht das Cookie ist das Problem, sondern die Frage, wer es wieder einsammeln darf und wie lange es liegen bleibt.
Wer eine Cookie-Liste einer Website liest, kann die drei Angaben deshalb sinnvoll zusammen betrachten: Herkunft, Zweck und Laufzeit. Ein Erstanbieter-Cookie für die Sprachwahl, gültig für ein Jahr, ist etwas grundlegend anderes als ein Drittanbieter-Cookie eines Werbenetzwerks mit derselben Laufzeit – auch wenn beide in derselben Tabelle stehen.