Cookie

Cookies sind kleine Textdateien, die Websites im Browser speichern – für Warenkorb, Login, Einstellungen oder Tracking. Man unterscheidet First- und Third-Party-Cookies. In der Schweiz genügt meist eine Information mit Widerspruchsmöglichkeit; wer EU-Kunden anspricht, braucht ein Opt-in.

Ein Cookie ist im Internet eine kleine Textdatei, die eine Website im Browser des Nutzers speichert. Sie enthält Informationen wie eine Sitzungs-ID, Einstellungen oder eine Kennung zur Wiedererkennung sowie ein Ablaufdatum. Bei späteren Aufrufen sendet der Browser den Cookie an die Website zurück. Manche Cookies werden beim Schliessen des Browsers gelöscht (Session-Cookies), andere bleiben für eine festgelegte Dauer gespeichert (persistente Cookies).

Entwickelt wurde die Technologie 1994 vom US-amerikanischen Programmierer Lou Montulli bei Netscape. Er suchte nach einer Lösung, damit sich Websites an Besucher erinnern können – etwa an den Inhalt eines Warenkorbs. Den Namen leitete er vom Begriff „magic cookie“ ab, mit dem Programmierer schon zuvor kleine Datenpakete zur Identifikation bezeichneten.

First-Party- und Third-Party-Cookies

Man unterscheidet zwei Arten. First-Party-Cookies setzt die Website, die der Nutzer gerade besucht – etwa für den Warenkorb, den Login oder die eigene Webanalyse. Third-Party-Cookies stammen dagegen von anderen Domains, zum Beispiel von Werbenetzwerken. Sie werden unter anderem für Retargeting genutzt: Der Besucher wird markiert und bekommt später auf anderen Websites passende Werbung angezeigt.

Nutzen und Kritik

Cookies erleichtern die Nutzung vieler Websites: Sie halten Nutzer angemeldet, speichern Einstellungen und sorgen im Onlineshop dafür, dass der Warenkorb erhalten bleibt. Gleichzeitig werden sie eingesetzt, um das Verhalten von Nutzern über längere Zeit und über mehrere Websites hinweg nachzuvollziehen. Genau daran setzt die Kritik an: Datenschützer sehen darin einen erheblichen Eingriff in die Privatsphäre. Deshalb müssen Nutzer heute selbst entscheiden können, welchen Cookies sie zustimmen – und eine Ablehnung muss genauso einfach möglich sein wie die Zustimmung.

Manipulative Methoden: unerwünscht!

Durch die eindeutige Wiedererkennung des Browsers können Websites Nutzer verfolgen (Tracking) und ihnen gezielt Werbung ausspielen. Auch Besuche auf verschiedenen Websites lassen sich so einem Nutzer zuordnen. Unseriöse Anbieter setzen Cookies zudem manipulativ ein, etwa beim Cookie-Dropping im Affiliate Marketing, bei dem Provisions-Cookies ohne echten Klick gesetzt werden. Auch deshalb beschloss die Europäische Union 2009 die sogenannte Cookie-Richtlinie (2009/136/EG) als Teil der ePrivacy-Regeln.

DSG und Fernmeldegesetz: die Rechtslage in der Schweiz

In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (revDSG), nicht die DSGVO. Für Cookies ist zudem Art. 45c des Fernmeldegesetzes (FMG) massgeblich: Websites müssen Nutzer über die Verwendung von Cookies und deren Zweck informieren und ihnen die Möglichkeit geben, sie abzulehnen. Eine vorgängige Einwilligung (Opt-in) wie in der EU verlangt das Schweizer Recht für Cookies grundsätzlich nicht – in vielen Fällen genügt eine transparente Information mit Widerspruchsmöglichkeit (Opt-out).

Anders sieht es aus, wenn ein Onlineshop gezielt Kundinnen und Kunden in der EU anspricht: Dann gilt zusätzlich die DSGVO mit ihrer Opt-in-Pflicht. Viele Onlineshops in der Schweiz setzen deshalb ohnehin auf ein Cookie-Banner mit aktiver Einwilligung. Auch für ein Profiling mit hohem Risiko verlangt das revDSG eine ausdrückliche Einwilligung.

Google Chrome und Third-Party-Cookies: Wie sieht die Zukunft aus?

Google hatte jahrelang angekündigt, Third-Party-Cookies in Chrome abzuschaffen und durch die „Privacy Sandbox“ mit Schnittstellen wie der Topics API zu ersetzen. 2024 und 2025 rückte Google davon ab: Third-Party-Cookies bleiben in Chrome erhalten, und die meisten Privacy-Sandbox-Technologien wurden wieder eingestellt. Safari und Firefox blockieren Third-Party-Cookies dagegen schon seit Jahren standardmässig. Für Onlineshops heisst das: Wer sich auf Third-Party-Daten verlässt, verliert einen wachsenden Teil der Messdaten. Robuster sind First-Party-Daten und serverseitiges Tracking – das sollte schon bei der Shop-Erstellung mitgedacht werden.