Cookies: Definitionen, Einsatzgebiete und Unterschiede zwischen First- und Third Party Cookies

Was können Cookies leisten?

Den Anwendungsbereich von Cookies im Bereich Online Marketing können wir in vier verschiedene Gruppen unterteilen:

Cookies, um die Funktion einer Website sicherzustellen: Cookies, in diesem Fall First Party Cookies, werden dazu benötigt, um wesentliche Funktionen Eurer Website sicherzustellen. Dazu gehören zum Beispiel

• das Ihr nach einem erfolgten Login bei späteren Sitzungen auf der gleichen Website wiedererkannt werdet
• Cookies stellen sicher, das Ihr innerhalb einer Sitzung, Produkte in einen Warenkorb legen könnt und Eure Transaktion nicht „vergessen“ wird.
• Cookies stellen sicher, das Eure Seite für einen Nutzer konsistent aussieht

Trackingcookies: Trackingcookies stellen sicher, dass Unternehmen über Tools, wie Google Analytics, Matomo (Piwik), aber auch Optimierungstools wie Visual Website Optimizer oder Google Optimize Nutzerverhalten Webseiten analysieren können. Das Ziel dieser Trackingcookies ist somit die Webanalyse oder das A/B-Testen, um Kampagnen oder die Nutzererfahrung zu optimieren. In der Google-Welt findet Ihr im wesentlichen diese Trackingcookies.

• Google Analytics Tracking Cookie (First Party Cookie)
• Google Ads Conversion Cookie (Third Party Cookie)

Werbe-Cookies: Werbecookies sind in der Regel Third Party Cookies und dienen dazu Nutzer über verschiedene Webseiten hinweg zu identifizieren, mit dem Ziel relevante Werbung auszuliefern. So bekommt Ihr zum Beispiel einige Werbecookies aus der Google Welt, wenn Ihr zu uns auf die Seite geht. Für die verschiedenen Services verwendet Google Cookies mit Namen, wie zum Beispiel ein „AID Cookie“ „DSID Cookie“ oder ein „TAID“ Cookie. Diese Cookies dienen Google dazu Nutzer im eingeloggten Zustand über mehrere Webseiten und Devices hinweg zu protokollieren.

Selber integriert Ihr diese Cookies auf Eurer Website, in dem Ihr Dienste wie Doubleclick oder Google Ads Conversion Tracking verwendet. Viele Unternehmen versuchen Nutzer, die schon einmal auf Ihrer Seite waren, später auf anderen Plattformen wieder anzusprechen. Das Stichwort hierzu ist Retargeting bzw. Remarketing. Die bekanntesten Anbieter sind hier Criteo und Google. Ein paar Cookies, die Ihr wahrscheinlich oft in Eurem Browser findet. Über den Chrome könnt Ihr Euch das direkt auf jeder Seite ansehen.

Wie kann man sich Cookies im Chrome und Firefox anzeigen lassen?

Im Chrome ruft Ihr eine Seite auf und klickt dann neben der URL auf das Symbol (bei einer sicheren Seite das Schlosssymbol). Im Bild unten könnt Ihr zum Beispiel das Doubleclick Tracking Cookie sehen. Weiterhin seht ihr das dieses Cookie eine Laufzeit von ungefähr 4 Tagen hat. Im Gegensatz dazu hat das Google Analytics Tracking Cookie in der Standarddefinition eine Laufzeit von 24 Monaten.

• Google Analytics Tracking Cookie (First Party Cookie)
• Google AdWords Conversion Cookie (googleadservcices.com)
• DoubleClick Cookie (doubleclick.net)
• Criteo Retargeting Cookie (criteo.com)

Hier findet Ihr noch einmal genauere Beschreibungen, wie Ihr Euch im Chrome und im Firefox Cookies anzeigen lassen könnt.

Social Media Cookies: In einer weiteren Kategorie findet Ihr (Third Party) Cookies von Social Media Plattformen. Und zwar immer dann, wenn Ihr Dienste von Social Media Plattformen auf Eurer Seite verwendet. Hier findet Ihr mögliche Pluigins für Eure Website von Facebook, Google+, Twitter, Xing oder Linkedin. Beispiele für solche Funktionen sind:

• Login-Services wie von Facebook, Google+ oder auch von Twitter, Linkedin oder sogar von Yahoo
• Save, Likes und Share Buttons, Google+Sharing ertc.
• Send Buttons von Facebook & Co.

121-Stunden Online-Marketing Newsletter:
Keine Online-Marketing-News mehr verpassen!

• Wöchentlich aus 500 Quellen die besten Artikel übersichtlich zusammengefasst.
• Wir berichten regelmäßig über die wichtigsten Branchen-Events und aktuelle Seminare.
• Bereits mehr als 10.000 Online Marketers verfolgen mit uns die Branche.

Warum sollte man sich mit Cookies beschäftigen?

Die Analyse der Cookies kann aus zwei unterschiedlichen Perspektiven interessant sein. Zum einen aus einer privaten Perspektive, um zu überprüfen, welche Daten eigentlich in Eurem Browser hinterlegt sind. Wer hier mal verstehen will, welches Verständnis Google von einem hat, dem empfehle ich mal die Google Anzeigenvorgaben aufzurufen. Diese Daten verwendet zum Beispiel Google Analytics, um demographische Daten zur Verfügung zu stellen. Hier seht Ihr mal welche Einordnung Google zu Euch und Euren Interessen hat. Wer vielleicht mal eine gesamte Überprüfung seiner Cookies machen möchte, dem empfehle ich die folgende Seite. Hier werden alle Cookies protokolliert, die das Tool „YourOnlineChoice“ auf Euren Browser findet.

Analyse von Cookies im geschäftlichen Umfeld

Gerade im Zuge der Diskussion um die Datenschutzgrundverordnung (DSGVO) ist die Beschäftigung mit den eingesetzten Website-, Tracking-, Werbe- und Social-Media-Trackingtechnologien, die ja zum Großteil über Cookies funktionieren, essentiell. Aber auch, abseits rechtlicher Aspekte muss sich jeder Online Marketer, mit der Grundfunktionsweise von Cookies und dem Einsatz von Cookies (Marketingtechnologien auf der eigene Seite auseinandersetzen). Dabei können Tools, wie zum Beispiel ghostery  helfen den Status Quo auf der eigenen Seite zu analysieren. Hier seht Ihr mal ein Beispiel und eine Übersicht, der von uns eingesetzten Tracking- und Werbetechnologien mit ghostery.

Deutlich detaillierter können Analysen mit dem builtwith Technology Profiler gemacht werden. Das hat deswegen inzwischen eine so hohe Bedeutung, da wir ja für eine DSGVO-konforme Nutzung von Werbe- und Trackingtechnologien zum Teil die Zustimmung des Nutzers benötigen. Um aber zu überprüfen, zu welchen Tools (Cookies) ihr gegebenenfalls eine DSGVO-Strategie benötigt, helfen Euch diese zwei genannten Tools. Eine spätere Umsetzung könnte dann zum Beispiel aussehen, wie hier bei Phillips:

Ein weiterer Einsatz dieser Tools liegt aber auch darin eine Migration Eurer Marketingtags in den Tools, wie dem Google Tag Manager, vorzubereiten.

Verschiedene Cookie-Formen

Session-Cookie

Ein Session-Cookie hat nur ein kurzes Leben. Wird die Session beendet – durch längere Untätigkeit oder das Schließen des Browsers – wird er gelöscht.

Sollen Informationen über einen längeren Zeitraum gespeichert werden und dem User das erneute Eingeben auch über Tage und Wochen ersparen, wird ein Persistent Cookie benötigt.

Persistent oder auch Permanent Cookies

Wird beim Einloggen – zum Beispiel in das WordPress-Backend – ein Haken bei „Remember me“ gesetzt, wird ein Persistent Cookie angelegt. Er wird nicht gelöscht, wenn der Browser geschlossen wird, sondern bleibt so lange gespeichert, bis er durch manuelles Löschen über den Browser verschwindet.

Persistent Cookies sind auch die Cookie-Form, die zum Speichern von einfachen Einstellungen – zum Beispiel in Web-Apps – verwendet werden kann. Dort, wo es möglich ist, sollten Einstellungen aber in echten Nutzerprofilen innerhalb einer Datenbank gespeichert werden. Denn wie bereits gesagt: Durch das Löschen der Browserdaten wird – je nach Einstellung – auch ein Persistent Cookie ins digitale Nirvana geschickt.

Persistent Cookies können auch auf andere Weisen eingesetzt werden. So auch, um bei einem A/B-Test bereits beim ersten Besuch die Variante festzulegen, die dem einzelnen Besucher fortan angezeigt werden soll.

Was ist der Unterschied zwischen First und Third Party Cookies?

First Party Cookies

Jedes Cookie hat eine zugeordnete Domain. Wenn Ihr zum Beispiel auf unsere Seite geht und Ihr bekommt ein Cookie mit der Domain 121watt.de gesetzt dann ist dieses ein First Party Cookie, da ihr ja selber auf der 121WATT seid. First Party Cookies brauchen Webseitenbetreiber, um zum Beispiel wiederkehrende Nutzer zu erkennen. Ansonsten müsstet Ihr euch jedesmal wieder einloggen. Als Test könnt Ihr zum Beispiel, mal auf Facebook gehen. Dann sucht Ihr im Chrome Browser nach den facebook.com Cookies. Ihr sucht nach dem c_user Cookie und löscht dieses mal. Im nächsten Schritt ladet Ihr die Seite neu. Ihr werdet merken, dass Ihr euch jetzt mit Eurem Passwort neu bei Facebook anmelden müsst. Hier einmal, wie das Facebook First Party Cookie aussieht und wie Ihr das löschen könnt.

Die meisten Werbecookies sind Third Party Cookies, Cookies wie das von Google Analytics (_ga), Matomo – Piwik (_pk_id) oder Webtrends sind First Party Cookies. Der Vorteil der First Party Cookies ist, dass diese wesentlich seltener von Nutzern gelöscht werden, da sich ja Nutzer zum Beispiel nach dem Löschen von First Party Cookies, wieder neu bei Facebook, Google, Zalando etc. einloggen müssen. Ganz anders ist das bei den sogenannten Third-Party Cookies.

Third-Party-Cookies

Diese Form des Cookies wird im Online Marketing häufig eingesetzt. Mit einem Third-Party-Cookie ist es möglich, Informationen über das Surfverhalten einer Person zu sammeln. Diese Informationen können dann zur Auslieferung relevanter Werbemittel oder ihrer Erfolgsbestimmung ausgewertet werden. Das Wort „Party“ in „Third-Party-Cookie“ bezieht sich auf die Domain, die den Cookie setzt. Wenn du eine Website besuchst und diese Website einen Cookie setzt, dann ist das ein First-Party-Cookie. Third-Party-Cookies werden auf einer Domain durch eine andere Domain gesetzt. Neben dem Besucher selbst und der besuchten Website ist also deine dritte Instanz im Spiel.

Google Ads zum Beispiel verwendet Third-Party-Cookies, um die Conversion Rate auszuwerten.

Wie das alles funktioniert? Nehmen wir an, auf deiner Website wird die Anzeige von einem bestimmten AdServer angezeigt. Ein Besucher ruft nun deine Website auf und danach eine weitere Website, auf der ebenfalls eine Anzeige von diesem AdServer eingeblendet wird. Durch den Third-Party-Cookie auf dem Endgerät des Besuchers kann sein Weg zurückverfolgt werden. Anhand dieser Information können ihm dann für ihn relevante Werbemittel angezeigt werden.

Da aber Third-Party-Cookies insbesondere zu Werbezwecken gesetzt werden gibt es viele Nutzer, die Ihre Cookies löschen oder gar nicht erst zulassen. Viele Browser löschen Third Party Cookies beim Beenden einer Browsersitzung. Apple bzw. Safari setzt technologisch ein Konzept um, das sich Intelligent Tracking Prevention nennt.

Was ist Intelligent Tracking Prevention?

Das neue Konzept, das bei Apple ab Safari Version 11 vorhanden ist, wurde am 20. April diesen Jahren in einer ITP 1.0 Version gelauncht und steht jetzt seit 4.Juni 2018 mit einigen Neuerungen in einer Version ITP 2.0 zur Verfügung. Das Ziel, das sich Apple hier auf die Fahne geschrieben hat, ist nach eigenen Aussagen, Nutzer vor der Datensammlung durch Unternehmen besser zu schützen.

Zum Hintergrund: Wir nehmen mal an, ein Nutzer war auf der beispiel-angebot.de und später auf der beispiel-zeitung.com. Beide Seiten laden Ressourcen von der beispiel-tracker.de Seite und die beispiel-tracker.de hat ein „Third Party Cookie“ bei Euch im Browser abgelegt. Dann weiß in diesem Fall die beispiel-tracker.de, das Ihr auf beiden Webseiten wart, was Ihr auf diesen Seiten gemacht habt, was Ihr für einen Browser verwendet habt etc. Dieses Konzept nennt man Cross-Site-Tracking. Hier seht Ihr mal mein Criteo Tracking Cookie als Beispiel. In diesem Fall zeige ich Euch mein Criteo ReTargeting Cookie nach einem Besuch auf der Immobilienscout.de und auf der rp-online.de (Rheinische Post). Über die UID, also meine Nutzerkennung, weiß jetzt Criteo, auf welchen Seiten ich war, welche Produkte ich mir angesehen habe und kann damit zielgerichteter Werbung von seinen Werbekunden ausspielen.

Mehr dazu findet Ihr hier und hier und hier. 

Das solltest du lieber nicht mit Cookies machen

Große Mengen an Daten speichern

Ein Cookie ist nicht dafür gedacht, viele Informationen bei sich zu behalten. Ein Cookie ist keine Datenbank. Das wird schon dadurch deutlich, dass es ein Limit von zirka 4 Kilobyte gibt, das nicht überschritten werden kann. Es geht also gar nicht.

Wenn Ihr größere Datenmengen speichern müsst, dann wählt besser den Weg über Local Storage beziehungsweise Datenbanken.

Komplexe Einstellungen in einem Cookie speichern

Wenn Ihr den Benutzern Eurer Website anbieten möchtet, Einstellungen zu speichern – zum Beispiel bei einer Web-App – dann sind Cookies keine gute Wahl. Selbst wenn Ihr mit Persistent Cookies arbeitet, besteht immer das Risiko, dass durch das Löschen der Cookies im Browser alle Einstellungen verloren gehen. Und mit den Einstellungen geht auch die User-Experience flöten. Denn nun müssen sie erneut vorgenommen werden.

Kein gutes Ergebnis. Nutzt auch hier lieber eine Datenbank.

Daten in einem Cookie speichern, die für die Funktion der Website unabdingbar sind

Wenn es Daten gibt, die Ihr speichern müsst, damit Eure Website überhaupt erst funktioniert, dann wählt dazu lieber nicht den Weg über einen Cookie. Viele Web-User lehnen über ihre Browsereinstellungen das Anlegen von Cookies ab.

Eure Website würde also bei vielen Personen gar nicht erst funktionieren oder überhaupt korrekt angezeigt werden.

Cookies: Die rechtliche Seite

Inzwischen enthalten die meisten Websites den Hinweis, dass Cookies verwendet werden. Die EU hat schon vor geraumer Zeit eine Cookie-Richtlinie erlassen, die vorsieht, dass der Besucher der Verwendung von Cookies ausdrücklich zustimmen muss.

Deutschland hat diese Richtlinie der EU nicht ausdrücklich umgesetzt. Sie gilt deshalb in Deutschland nicht. Allerdings vertritt die Bundesregierung den Standpunkt, dass eine explizite Umsetzung in Deutschland auch gar nicht nötig sei, da die Vorgaben der Cookie-Richtlinie bereits durch andere Regelungen erfüllt seien. Gemeint ist das Telemediengesetz und wie bekannt endete am 25. Mai 2018 die Übergangsphase für das Inkrafttreten der Datenschutzgrundverordnung (DSGVO). Mehr Informationen dazu findet Ihr hier und hier.

Was könnt Ihr als Websitebetreiber angesichts dieser Lage tun?

Mehr Informationen zum Online-Marketing- und Social-Media-Recht? Gibt es hier:

Wie sind Cookies aufgebaut?

Eine Cookie-Datei kann diese Informationen beinhalten:

1. Name: Name des Cookies
2. Content: Inhalt des Cookies
3. Domain: Die Domain, mit welcher der Cookie verbunden ist
4. Pfad: Das Verzeichnis, für das der Cookie gilt
5. Senden für: Information, ob der Cookie eine sichere Verbindung benötigt
6. Für Skript zugänglich: Information, ob Skripte auf den Cookie zugreifen können
7. Erstellt: Zeitpunkt, an dem der Cookie erstellt wurde
8. Läuft ab: Zeitpunkt, zu dem der Cookie abläuft

Hier seht Ihr einen Cookie, der von Google Ads gesetzt wurde:

Wenn Ihr selbst ein wenig Feldforschung zu Cookies betreiben möchtet, könnt Ihr Cookies in Google Chrome betrachten, indem Ihr diesem Pfad folgt:

Einstellungen -> Erweiterte Einstellungen anzeigen (ganz unten) -> Inhaltseinstellungen… -> Alle Cookies und Websitedaten

So wird ein Cookie gesetzt

Die Cookie-Datei kann grundsätzlich auf zwei Wegen platziert werden:

1. Sie wird vom Webserver an den Browser gesendet und dort gespeichert.
2. Sie wird von einem Script – zum Beispiel JavaScript – auf der Website erzeugt.

Die zweite Variante ist flexibler, weil der Cookie per JavaScript durch Nutzereingaben verändert werden kann. Um das zu illustrieren, konstruiere ich hier ein ganz simples Beispiel. Dabei gehe ich den Weg über JavaScript.

Wollt Ihr also einen Cookie mit dem Namen des Besuchers einer Website setzen, der sich diesen Namen merkt, könntet Ihr so vorgehen:

Ich setze voraus, dass eine Website existiert, auf der man den Namen des Website-Besuchers an irgendeiner Stelle abfragt. In einem Formular neben anderen Informationen zum Beispiel. Oder – wie in unserem Code-Beispiel – ausschließlich den Namen.

Schritt 1: Prüfung, ob schon ein Cookie gesetzt wurde

Zuerst prüft unser Script, ob schon ein Cookie mit dem Namen user_name existiert, der den Namen des Website-Besuchers enthält.

Schritt 2: Setzen des Cookies

Falls dieser Cookie nicht existiert, würde nach der Eingabe des Namens (name) durch den Nutzer ein Cookie gesetzt.

Zeile 1: Der Datensatz für den Cookie wird angelegt.
Zeile 2: Die Gültigkeit des Cookies ab Erstellung wird festgelegt. In diesem Fall 18.000.000 Millisekunden. Also 5 Stunden.
Zeile 3: Der Name des Cookies wird festgelegt (user_name), der Wert der User-Eingabe wird eingefügt (e.target.value), die Ablaufzeit von einer halben Stunde wird eingetragen (d) und das Verzeichnis (/), innerhalb dessen der Cookie gültig ist. In diesem Fall ist der Cookie für die gesamte Website gültig.

Schritt 3 bis n: Das Auslesen des Cookies

Kehrt nun ein Website-Besucher, der seinen Namen eingegeben hat, innerhalb einer halben Stunde zurück, wird der Cookie ausgelesen. Sein Name kann nun an den entsprechenden Stellen auf der Website angezeigt werden.

Dafür kann diese Funktion verwendet werden:

Der komplette Code

Für alle, die wirklich tief einsteigen möchten, ist hier der komplette Code aus unserem Beispiel:

Für welche Zwecke setzt Ihr Cookies ein? Welche ungewöhnlichen Use-Cases kennt Ihr? Welche Informationen fehlen noch? Wir freuen uns auf Eure Kommentare!