Die Cookiedämmerung hat keinen festen Sonnenuntergang

Seit Jahren wird das Ende der Third-Party-Cookies angekündigt, verschoben und neu bewertet. Safari und Firefox schränkten sie früh ein, während Google seine Strategie für Chrome mehrfach änderte. Im April 2025 entschied Google, in Chrome bei der bestehenden Auswahlmöglichkeit in den Datenschutz- und Sicherheitseinstellungen zu bleiben und keinen eigenen neuen Cookie-Dialog auszurollen. Das Ergebnis ist kein sauberer Wechsel von einer alten zu einer neuen Technik, sondern ein fragmentierter Markt.

Für Publisher und Werbung ist deshalb die falsche Frage, an welchem Tag der letzte Third-Party-Cookie verschwindet. Wichtiger ist, welche Mess- und Werbeverfahren langfristig unter unterschiedlichen Browserbedingungen, Einwilligungen und rechtlichen Anforderungen funktionieren.

Warum Third-Party-Cookies an Verlässlichkeit verlieren

Third-Party-Cookies ermöglichen es einem externen Anbieter, Browser über verschiedene Angebote hinweg wiederzuerkennen. Das unterstützte Kampagnensteuerung, Erfolgsmessung und die Bildung von Nutzungsprofilen. Gleichzeitig entstand ein System, dessen Umfang für Nutzer oft kaum nachvollziehbar war.

Browserbeschränkungen, Einwilligungsentscheidungen und Datenschutzanforderungen reduzieren die erreichbare Datenbasis. Selbst wenn eine Technik weiterhin verfügbar ist, bedeutet das nicht, dass sie für jeden Nutzer und jedes Angebot gleichermaßen funktioniert. Reichweitenmessung, die sich allein darauf verlässt, wird dadurch lückenhafter und schwerer vergleichbar.

Einwilligung ist Teil des Systems

Nicht notwendige Speicherung und Verarbeitung benötigt in vielen Fällen eine wirksame Einwilligung. Diese muss informiert, freiwillig und ohne unnötige Hürden verweigert werden können. Cookie-Banner sind damit keine dekorative Eingangstür, sondern ein Bestandteil der Datenverarbeitung.

Gerichtliche Entscheidungen zu Banner-Gestaltung und zum Transparency and Consent Framework zeigen, dass Verantwortung nicht durch die Nutzung eines Standards verschwindet. Betreiber müssen verstehen, welche Anbieter beteiligt sind, welche Daten verarbeitet werden und welche Entscheidung ein Nutzer tatsächlich trifft. Ein Button mit freundlicher Farbe ersetzt keine klare Information.

Das TCF kann Einwilligungsinformationen standardisiert übertragen. Es macht jedoch nicht jede nachgelagerte Verarbeitung automatisch rechtmäßig. Rollen, Zwecke und Verantwortlichkeiten müssen weiterhin konkret geprüft werden. Standards helfen bei Komplexität; sie nehmen niemandem die Verantwortung ab.

First-Party-Daten sind wertvoll, aber kein Freibrief

Daten aus der direkten Beziehung zwischen Angebot und Nutzer gewinnen an Bedeutung. Registrierungen, Abonnements, Einstellungen und die Nutzung eigener Inhalte können Publishern ein besseres Verständnis ihres Angebots ermöglichen. Die Nähe zum Nutzer schafft jedoch nicht automatisch eine unbegrenzte Erlaubnis.

Auch First-Party-Daten brauchen verständliche Zwecke, angemessene Datensparsamkeit und Schutz. Besonders bei der Verbindung verschiedener Quellen muss klar bleiben, was Nutzer erwarten konnten. Vertrauen entsteht nicht dadurch, dass die Datensammlung technisch auf der eigenen Domain stattfindet.

Kontext statt vollständiger Personenprofile

Kontextuelle Werbung richtet sich am Inhalt einer Seite oder einer Nutzungssituation aus. Eine Anzeige zu Wanderschuhen neben einem Artikel über Bergtouren benötigt kein umfassendes Profil der lesenden Person. Moderne Verfahren können Themen und Umfelder genauer einordnen als frühere einfache Schlüsselwortlisten.

KI kann bei dieser Einordnung unterstützen. Sie erkennt semantische Zusammenhänge und kann Inhalte kategorisieren. Das Ergebnis muss dennoch geprüft werden, besonders bei sensiblen Themen, Mehrdeutigkeiten und Markensicherheit. Wenn eine KI Unsinn einordnet, war möglicherweise die Vorgabe nicht klar – oder das Modell hat mit großer Überzeugung improvisiert. Beides sollte im Prozess auffallen.

Unabhängige Reichweitenmessung bleibt notwendig

Werbung und redaktionelle Angebote benötigen weiterhin vergleichbare Leistungswerte. Plattforminterne Zahlen allein reichen dafür nicht immer aus, weil Anbieter zugleich Messender und wirtschaftlich Beteiligter sein können. Unabhängige, dokumentierte Messverfahren schaffen eine gemeinsame Grundlage.

Diese Verfahren werden nicht völlig ohne technische Identifikatoren auskommen. Entscheidend ist, wofür ein Identifikator verwendet wird, wie lange er besteht und ob aus ihm ein umfangreiches Profil entsteht. Messung und Profilbildung sind keine Synonyme. Eine differenzierte Betrachtung ist anstrengender als ein pauschales Verbot oder ein pauschales „Weiter so“, aber meistens näher an der Wirklichkeit.

Eine robuste Strategie kombiniert mehrere Ansätze

Publisher sollten nicht auf die eine Nachfolgetechnik warten. Eine belastbare Strategie verbindet datensparsame Messung, gute Einwilligungsprozesse, verantwortbare First-Party-Daten, kontextuelle Verfahren und nachvollziehbare Qualitätskontrollen. Welche Kombination passt, hängt vom Geschäftsmodell und vom Verhältnis zu den Nutzern ab.

Ebenso wichtig ist eine saubere Erfolgsmessung. Wenn sich Datenquellen ändern, dürfen neue und alte Kennzahlen nicht unkommentiert in eine Zeitreihe gestellt werden. Transparenz über Methoden ist kein Zusatz für Statistiker, sondern Voraussetzung für vernünftige Entscheidungen.

Was sich bis Oktober 2026 konkret geändert hat

Die Lage ist inzwischen klarer, aber nicht einfacher. Chrome unterstützt Third-Party-Cookies weiterhin grundsätzlich und überlässt die Entscheidung seinen Nutzern und administrativen Vorgaben. Der Inkognito-Modus blockiert sie standardmäßig. Gleichzeitig hat Google im Oktober 2025 angekündigt, zahlreiche Privacy-Sandbox-Techniken wegen geringer Nutzung wieder einzustellen. Der offizielle Status vom August 2026 führt unter anderem Topics, Protected Audience und Attribution Reporting als auslaufend; CHIPS, FedCM und Speicherpartitionierung werden weiter unterstützt.

Für eine Strategie bedeutet das zweierlei. Erstens darf sie nicht auf einer angekündigten Browserfunktion beruhen, deren Marktakzeptanz noch offen ist. Zweitens bleibt eine Website verpflichtet, auch dann sinnvoll zu funktionieren, wenn Third-Party-Cookies fehlen – weil ein Browser sie blockiert, ein Nutzer sie ablehnt oder eine Unternehmensrichtlinie sie deaktiviert. Der technische Bestand ist also kein belastbares Versprechen für die Reichweite.

Recht und Technik getrennt prüfen

Die Verfügbarkeit eines Cookies im Browser beantwortet nicht die Frage, ob er rechtmäßig gesetzt und weiterverarbeitet werden darf. Der Europäische Gerichtshof stellte 2024 im Verfahren C-604/22 klar, dass ein TC String personenbezogene Daten sein kann und IAB Europe für bestimmte Verarbeitungen im TCF gemeinsam verantwortlich sein kann. Das Urteil macht das TCF nicht pauschal unbrauchbar. Es zeigt aber, dass Standardisierung Verantwortlichkeit ordnet und nicht verschwinden lässt.

Für deutsche Angebote sind die konkreten Vorgaben aus Datenschutzrecht und den Regeln für den Zugriff auf Endgeräte jeweils mit dem eigenen Verfahren abzugleichen. Dieser Beitrag ist keine Rechtsberatung. Die praktische Leitlinie bleibt: Einwilligung und Ablehnung müssen verständlich sein, dokumentierte Zwecke müssen zur Verarbeitung passen und eine technische Kennung darf nicht mehr versprechen, als sie unter realen Browserbedingungen leisten kann.

Kurz gesagt

Third-Party-Cookies werden als alleinige Grundlage digitaler Werbung und Messung immer weniger verlässlich. Die Antwort ist kein einzelner technischer Ersatz. Sie liegt in einem nachvollziehbaren Zusammenspiel aus Einwilligung, eigenen Daten, Kontext, unabhängiger Messung und klaren Grenzen. Die Cookiedämmerung dauert länger als erwartet. Gelegenheit genug, nicht nur auf den nächsten Sonnenaufgang zu hoffen.

Quellen und weiterführende Informationen

Zuletzt fachlich geprüft:

Passend zum Thema