Was sind Cookies? Wofür Websites sie verwenden

Sie legen in einem Onlineshop ein Paar Schuhe in den Warenkorb, schließen den Tab und kommen am nächsten Tag zurück. Die Schuhe liegen noch im Warenkorb, Sie sind noch angemeldet, und die Website zeigt weiterhin Ihre Sprache. Erraten hat der Shop nichts davon: Ihr Browser hat für diese Website ein paar kleine Textstücke aufbewahrt, sogenannte Cookies, und sie bei Ihrer Rückkehr wieder mitgeschickt.

Dieser Beitrag zeigt, wie eine Website ein Cookie setzt und liest, welche Arten es gibt, wo Drittanbieter-Cookies in Chrome heute stehen, warum Websites um Einwilligung bitten und wie Sie Cookies in Chrome, Safari, Firefox und Edge löschen.

Was ist ein Cookie auf einer Website?#

Ein Cookie ist ein kleines Datenstück, das der Server einer Website an Ihren Browser schickt; der Browser speichert es und sendet es bei späteren Anfragen an dieselbe Website zurück. Jedes Cookie hat einen Namen und einen Wert, etwa theme=dark oder einen langen, zufälligen Anmeldecode, dazu Einstellungen, die festlegen, wie lange es lebt und wohin es gesendet werden darf.

Cookies gibt es, weil HTTP, das Protokoll, mit dem Ihr Browser Seiten abruft, zustandslos ist: Jede Anfrage erreicht den Server ohne Erinnerung an die vorherige. Der Cookie-Standard RFC 6265 beschreibt Cookies als den Weg, über dieses Protokoll „eine zustandsbehaftete Sitzung aufrechtzuerhalten“. Ohne Cookies würde eine Website Sie zwischen zwei Klicks vergessen.

Cookies sind absichtlich winzig: RFC 6265 verlangt von Browsern, mindestens 4.096 Byte pro Cookie und 50 Cookies pro Domain zu unterstützen, genug für eine Kennung oder eine Einstellung, nicht für ein Dokument. Der Standard stammt aus dem Jahr 2011; seine Überarbeitung RFC 6265bis lag bei unserer Prüfung am 12. November 2026 in der Warteschlange des RFC Editors und war noch nicht veröffentlicht.

Wie funktionieren Cookies?#

Cookies reisen in HTTP-Headern, den Metadaten-Zeilen, die vor der eigentlichen Seite gesendet werden:

1. Sie öffnen eine Seite. Ihr Browser fordert sie beim Server der Website an, noch ohne Cookie für diese Website.
2. Der Server antwortet mit einem Set-Cookie-Header, zum Beispiel Set-Cookie: theme=dark; Max-Age=2592000; damit bittet er den Browser, theme=dark 30 Tage (2.592.000 Sekunden) lang aufzubewahren.
3. Der Browser speichert das Cookie zusammen mit Domain, Pfad und Ablaufzeit der Website.
4. Bei der nächsten Anfrage an diese Website fügt der Browser einen Cookie-Header hinzu: Cookie: theme=dark.
5. Der Server liest ihn und antwortet entsprechend, hier mit der dunklen Version der Seite. Die Anmeldung funktioniert genauso: Der Server setzt ein Cookie mit einer zufälligen Sitzungs-ID, und jede spätere Anfrage beweist, wer Sie sind, indem sie dieses Cookie mitführt.
6. Das Cookie läuft ab oder wird gelöscht, und der Browser hört auf, es zu senden.

Wir haben diesen Austausch mit curl, einem HTTP-Client für die Befehlszeile, gegen einen kleinen Testserver auf unserem eigenen Computer ausgeführt. Auf die Zeilen für Anfrage, Status und Cookie gekürzt, setzte die erste Antwort das Cookie, und die zweite Anfrage schickte es zurück:

< HTTP/1.1 200 OK
< Set-Cookie: theme=dark; Max-Age=2592000; Path=/; SameSite=Lax

> GET / HTTP/1.1
> Cookie: theme=dark

Zeilen mit < am Anfang kamen vom Server, Zeilen mit > vom Client. Wenn Sie Skripte schreiben, die sich in Ihren eigenen Konten anmelden, zeigt Sitzungen und Cookies in Python, wie ein Skript diese Cookies zwischen Anfragen behält.

Wofür werden Cookies verwendet?#

Cookies halten Sie angemeldet, merken sich Ihre Auswahl, messen, wie eine Website genutzt wird, und helfen, Werbung gezielt auszuspielen. Der MDN-Leitfaden zu HTTP-Cookies fasst diese Aufgaben als Sitzungsverwaltung, Personalisierung und Tracking zusammen.

• Anmeldung: Ein Cookie mit einer langen Zufalls-ID ist der Grund, warum Sie nicht auf jeder Seite nach Ihrem Passwort gefragt werden.
• Warenkörbe: Ein Cookie verbindet Ihren Browser mit dem Warenkorb, der auf dem Server des Shops liegt.
• Einstellungen: Sprache, Währung, dunkler Modus und Ihre Antwort auf das Cookie-Banner.
• Analyse: Eine zufällige Besucher-ID lässt eine Website wiederkehrende Besucher zählen und sehen, welche Seiten sie lesen.
• Werbung: Werbefirmen, die in viele Websites eingebettet sind, erkennen denselben Browser über ihre eigenen Cookies auf all diesen Websites wieder.

Welche Arten von Cookies gibt es?#

Cookies werden danach sortiert, wie lange sie leben, wer sie setzt und wofür sie da sind; jedes Cookie gehört also in jeder dieser Einteilungen zu einer Gruppe.

Wann eine Sitzung endet, entscheidet der Browser: MDN weist darauf hin, dass Browser, die beim Neustart Ihre Tabs wiederherstellen, Sitzungscookies unbegrenzt am Leben halten können.

Was bedeuten Secure, HttpOnly und SameSite?#

Das sind Attribute, also Einstellungen an jedem Cookie, die begrenzen, wie lange es lebt und wohin der Browser es senden darf:

• Expires und Max-Age legen die Lebensdauer fest, als Datum oder als Zahl von Sekunden. Ein Cookie ohne beides ist ein Sitzungscookie.
• Domain und Path legen fest, wohin das Cookie geht. Ein Cookie für shop.example.com wird nie an eine andere Website gesendet.
• Secure lässt das Cookie nur über verschlüsselte HTTPS-Verbindungen reisen.
• HttpOnly verbirgt das Cookie vor Skripten in der Seite, sodass ein in die Website eingeschleustes Skript es nicht lesen kann.
• SameSite entscheidet, ob das Cookie bei Anfragen mitgeht, die auf einer anderen Website beginnen: Strict nie, Lax nur, wenn Sie einem gewöhnlichen Link auf die Website folgen, None immer, und zwar nur zusammen mit Secure.

Ein gut gebautes Login-Cookie nutzt sie alle: einen langen Zufallswert, Secure, HttpOnly und SameSite=Lax oder Strict.

Was können Cookies, und was können sie nicht?#

Cookies können einen Browser wiedererkennen und alles tragen, was eine Website in ihnen gespeichert hat; Code ausführen oder sich auf Ihrem Computer umsehen können sie nicht. Ein Cookie kann nichts installieren und keinen Virus tragen, weder Ihre Dateien noch die Cookies anderer Websites lesen und Ihren Namen nur kennen, wenn Sie ihn auf der Website eingegeben haben.

Was Cookies können, ist, Besuche miteinander zu verknüpfen. Ein Login-Cookie verbindet alles, was Sie angemeldet tun, und ein Drittanbieter-Cookie lässt eine Werbefirma Besuche auf allen Websites verbinden, in die sie eingebettet ist. Die eigentliche Gefahr ist Diebstahl: Wer ein Login-Cookie kopiert, kann Ihre Sitzung ohne Ihr Passwort nutzen, und genau danach sucht Infostealer-Malware. Was ist Session Hijacking? erklärt, wie Cookies gestohlen werden und wie Sie das verhindern.

Was sind Drittanbieter-Cookies, und erlaubt Chrome sie noch?#

Drittanbieter-Cookies werden über eingebettete Inhalte von einer anderen Website gesetzt als der in Ihrer Adressleiste. Chrome unterstützt sie weiterhin und überlässt Ihnen die Wahl, außer im Inkognitomodus, wo sie standardmäßig blockiert sind.

Eine Nachrichtenseite bettet eine Anzeige ein. Um sie zu zeigen, lädt Ihr Browser die Anzeige vom Server der Werbefirma, und dieser kann unter seiner eigenen Domain ein Cookie setzen. Bettet eine andere Website Anzeigen derselben Firma ein, schickt der Browser dieses Cookie zurück, und die Firma sieht denselben Browser auf beiden Websites. RFC 6265 nannte Drittanbieter-Cookies schon 2011 „besonders besorgniserregend“.

• Chrome bietet unter Einstellungen > Datenschutz und Sicherheit > Drittanbieter-Cookies die Optionen Drittanbieter-Cookies zulassen und Drittanbieter-Cookies blockieren. Google plante jahrelang, diese Cookies abzuschaffen, und erklärte dann im April 2025, die Wahl für Nutzer beizubehalten und keine eigene Abfrage hinzuzufügen; im Oktober 2025 stellte Google die meisten Werbetechnologien der Privacy Sandbox ein, die sie ersetzen sollten.
• Safari blockiert Cookies aus websiteübergreifenden Inhalten seit März 2020 standardmäßig.
• Firefox gibt standardmäßig jeder Website einen eigenen Cookie-Speicher (Total Cookie Protection), sodass eine eingebettete Firma Ihnen nicht mit einem einzigen Cookie von Website zu Website folgen kann.

Das Blockieren kann ein eingebettetes Kommentarfeld oder Chatfenster stören; Chrome erlaubt einzelne Websites unter Websites, die Drittanbieter-Cookies verwenden dürfen.

Warum fragen Websites, ob Sie Cookies akzeptieren?#

Websites fragen, weil Datenschutzgesetze an vielen Orten für nicht notwendige Cookies eine Einwilligung verlangen. In der Europäischen Union erlaubt die ePrivacy-Richtlinie, die zusammen mit der DSGVO angewendet wird, Informationen auf Ihrem Gerät nur mit Ihrer informierten Einwilligung zu speichern oder auszulesen, es sei denn, das ist für einen Dienst, den Sie angefordert haben, unbedingt erforderlich.

Alle akzeptieren erlaubt der Website, jede aufgeführte Kategorie zu setzen. Alle ablehnen oder Nur notwendige behält die notwendigen Cookies, sodass Anmeldung und Warenkorb weiter funktionieren. Anpassen lässt Sie Kategorien einzeln einschalten. Ihre Antwort wird selbst in einem Cookie gespeichert; deshalb kehrt das Banner zurück, wenn Sie Cookies löschen oder ein privates Fenster öffnen.

Wie können Sie Cookies ansehen und löschen?#

Sie löschen Cookies in den Datenschutzeinstellungen Ihres Browsers, alle auf einmal oder für eine einzelne Website. Auf einem Windows-Computer öffnet Strg + Umschalttaste + Entf in Chrome, Edge und Firefox direkt das Fenster zum Löschen. Die folgenden Wege stammen von den Hilfeseiten der Hersteller und wurden am 12. November 2026 geprüft:

• Chrome am Computer: Dreipunkt-Menü > Browserdaten löschen, einen Zeitraum wie Gesamte Zeit wählen, ein Häkchen bei Cookies und andere Websitedaten setzen und Daten löschen wählen. Für eine einzelne Website: Einstellungen > Datenschutz und Sicherheit > Drittanbieter-Cookies > Alle Websitedaten und -berechtigungen ansehen. Beide Wege stehen auf Googles Hilfeseite zu Cookies.
• Chrome unter Android: Dreipunkt-Menü > Einstellungen > Datenschutz und Sicherheit > Browserdaten löschen, ein Häkchen bei Cookies und Websitedaten setzen und auf Daten löschen tippen.
• Safari auf dem iPhone: Einstellungen > Apps > Safari > Verlauf und Websitedaten löschen. Um Ihren Verlauf zu behalten, nutzen Sie stattdessen Erweitert > Website-Daten > Alle Websitedaten entfernen, wie Apples Hilfeseite zeigt.
• Safari auf dem Mac: Safari > Einstellungen > Datenschutz > Websitedaten verwalten, dann Entfernen oder Alle entfernen.
• Firefox: Für die aktuelle Website auf das Schild-Symbol links neben der Adressleiste klicken und Cookies und Website-Daten löschen… wählen. Für alle Websites: Menüschaltfläche > Chronik > Neueste Chronik löschen…, Zeitraum auf Alles stellen, ein Häkchen bei Cookies und Website-Daten setzen und auf Löschen klicken.
• Microsoft Edge: Einstellungen und mehr > Einstellungen > Datenschutz, Suche und Dienste > Browserdaten löschen > Auswählen, was gelöscht werden soll, ein Häkchen bei Cookies und andere Websitedaten setzen und Jetzt löschen wählen.

Entwickler können jedes Cookie samt Ablaufzeit und Flags in den Chrome-Entwicklertools unter Application (Anwendung) > Storage (Speicher) > Cookies ansehen.

Cookies zu löschen meldet Sie von den meisten Websites ab und setzt Ihre Einstellungen zurück; gespeicherte Passwörter bleiben erhalten, solange Sie sie nicht ebenfalls auswählen. Alle Cookies zu blockieren, etwa mit Alle Cookies blockieren auf dem iPhone, ist möglich, doch Apple warnt, dass manche Webseiten dann womöglich nicht funktionieren und Sie sich eventuell nicht anmelden können.

Cookies, Cache und lokaler Speicher: Was ist der Unterschied?#

Cookies sind kleine Werte, die bei jeder Anfrage an den Server gehen; der Cache ist eine Kopie heruntergeladener Dateien, damit Seiten schneller öffnen; der lokale Speicher (Local Storage) ist ein größerer Speicher für die eigenen Skripte der Website und wird nie automatisch gesendet.

Deshalb sind „Cookies“ und „Cache“ getrennte Kästchen: Wer nur den Cache leert, behebt veraltete Seitendateien, ohne sich abzumelden.

Warum prüfen Websites Ihr Cookie und Ihre IP-Adresse gemeinsam?#

Weil ein Login-Cookie belegt, dass Sie sich angemeldet haben, und das Netz, aus dem es kommt, der Website hilft einzuschätzen, ob das Cookie noch in Ihren Händen ist. Nur wenige Websites binden eine Sitzung an eine einzige IP-Adresse, weil Smartphones den ganzen Tag zwischen WLAN und mobilen Daten wechseln; springt eine Sitzung aber plötzlich in ein anderes Land oder Netz, kann das eine neue Anmeldung oder eine Sicherheitsprüfung auslösen.

Das zählt, wenn Sie über einen Proxy oder ein VPN in Ihren eigenen Konten arbeiten: Ändert sich die Ausgangsadresse mitten in der Sitzung, sieht die Website ein Cookie von zwei Orten kommen und meldet Sie womöglich ab. Eine Sitzung über einen Sticky-Proxy hält dieselbe IP 1 bis 60 Minuten lang.

Für ein Konto, das Sie täglich nutzen, behält ein ISP-Proxy eine einzige Adresse, die auf einen Internetanbieter registriert ist, so lange Sie ihn mieten. Das Ziel ist eine stabile Sitzung in einem Konto, das Sie nutzen dürfen, kein Weg an den Prüfungen einer Website vorbei.

Häufige Fehler#

• Alle Cookies löschen, um eine einzige Website zu reparieren. Löschen Sie zuerst die Cookies dieser Website; das behebt eine Anmeldeschleife oft, ohne Sie überall abzumelden.
• Annehmen, dass „Alle ablehnen“ die Website kaputt macht. Notwendige Cookies bleiben, Anmeldung und Warenkorb funktionieren weiter.
• Alle Cookies blockieren und sich dann wundern, warum die Anmeldung scheitert. Eine Website braucht mindestens ihr eigenes Cookie, um Sie angemeldet zu halten.
• An einem gemeinsam genutzten Computer angemeldet bleiben. Melden Sie sich ab, sonst lässt das Login-Cookie die nächste Person in Ihr Konto.

Entscheidungshilfe#

Häufige Fragen#

Sollte ich Cookies akzeptieren?#

Notwendige Cookies zu akzeptieren ist unproblematisch, und die EU-Regeln verlangen dafür nicht einmal eine Einwilligung; die eigentliche Wahl betrifft Analyse und Werbung. Wenn Ihre Besuche nicht gemessen oder für Werbung genutzt werden sollen, wählen Sie Alle ablehnen. Die Website funktioniert so oder so.

Sind Cookies gefährlich?#

Nein, ein Cookie kann Ihrem Computer nicht schaden: Es ist Text, kein Programm. Die Risiken liegen beim Datenschutz, wenn Drittanbieter-Cookies ein websiteübergreifendes Profil aufbauen, und beim Diebstahl, wenn Malware ein Login-Cookie kopiert.

Löscht der Inkognitomodus Cookies?#

Ja. Ein privates Fenster startet eine eigene Sitzung, und seine Cookies werden gelöscht, wenn Sie das letzte private Fenster schließen; Chrome blockiert dort außerdem standardmäßig Drittanbieter-Cookies. Ihre IP-Adresse ändert es nicht, wie Verbirgt der Inkognitomodus Ihre IP-Adresse? erklärt.

Was passiert, wenn ich Cookies ablehne oder blockiere?#

Optionale Cookies abzulehnen ändert wenig Sichtbares: Die Werbung wird weniger persönlich. Alle Cookies zu blockieren ist etwas anderes: Sie bleiben nicht angemeldet, Warenkörbe funktionieren nicht mehr, und viele Websites verhalten sich seltsam.

Werde ich abgemeldet, wenn ich Cookies lösche?#

Ja, auf den meisten Websites, denn der Nachweis Ihrer Anmeldung liegt in einem Cookie. Löschen Sie nur die Cookies einer Website, werden Sie nur dort abgemeldet.

Warum fragen Websites bei jedem Besuch nach Cookies?#

Weil Ihre Antwort in einem Cookie gespeichert ist. Löschen Sie Cookies, nutzen Sie ein privates Fenster oder läuft das Einwilligungs-Cookie ab, weiß die Website nicht mehr, dass Sie geantwortet haben, und zeigt das Banner erneut.

Fazit#

Ein Cookie ist ein kleines Stück Text, das eine Website von Ihrem Browser aufbewahren und zurückschicken lässt, damit sie sich an Anmeldung, Warenkorb und Einstellungen erinnert. Drittanbieter-Cookies stammen von eingebetteten Unternehmen und können Ihnen von Website zu Website folgen; deshalb schränken Safari und Firefox sie standardmäßig ein, und Chrome lässt Sie sie blockieren. Cookies können keinen Code ausführen und keine Dateien lesen, ein gestohlenes Login-Cookie kann aber Ihr Konto öffnen. Akzeptieren Sie die notwendigen, lehnen Sie den Rest ab, wenn Sie möchten, und löschen Sie die Cookies einer einzelnen Website, wenn sie Probleme macht. Wenn Sie über einen Proxy in Ihren eigenen Konten arbeiten, halten Sie jede Sitzung mit unseren Proxy-Diensten auf einer stabilen Adresse.