Cookieless Tracking

Einfach erklärt

Das klassische Web-Tracking funktionierte so: Ein Nutzer besucht Website A, bekommt ein Cookie von Werbenetzwerk X. Er besucht Website B – Werbenetzwerk X erkennt ihn wieder und zeigt ihm Werbung für Website A. Das ist Cross-Site-Tracking mit Third-Party Cookies.

Browser blockieren das zunehmend. Safari seit 2017, Firefox seit 2019, Chrome ist auf dem Weg. Das Ende der Third-Party Cookies zwingt die Branche, neue Methoden zu entwickeln.

Was genau verschwindet?

Third-Party Cookies (verschwinden):
  - Retargeting: Nutzer auf anderen Sites ansprechen
  - Cross-Site Attribution: Welche Anzeige hat zum Kauf geführt?
  - Frequency Capping: Gleiche Anzeige nicht 20x zeigen
  - Lookalike Audiences: Ähnliche Nutzer finden

First-Party Cookies (bleiben):
  - Login-Sessions
  - Warenkorb
  - Eigene Analytics (wenn auf eigener Domain)
  - Personalisierung auf der eigenen Website

Technischer Deep Dive

Server-Side Tracking

// Client-Side (klassisch, blockierbar):
// Browser → direkt → Google Analytics / Facebook Pixel

// Server-Side (modern, nicht blockierbar):
// Browser → eigener Server → Analytics-Anbieter

// Implementierung mit Google Tag Manager Server-Side:
// 1. GTM Server Container auf eigenem Server (z.B. analytics.example.com)
// 2. Browser sendet Events an analytics.example.com (First-Party!)
// 3. Server leitet weiter an GA4, Facebook CAPI, etc.

// Beispiel: Facebook Conversions API (CAPI)
const response = await fetch('https://graph.facebook.com/v18.0/{pixel_id}/events', {
  method: 'POST',
  body: JSON.stringify({
    data: [{
      event_name: 'Purchase',
      event_time: Math.floor(Date.now() / 1000),
      user_data: {
        em: hashEmail(userEmail),  // Gehashte E-Mail
        ph: hashPhone(userPhone),
      },
      custom_data: {
        value: 89.99,
        currency: 'EUR',
        order_id: 'ord_123',
      },
    }],
    access_token: FB_ACCESS_TOKEN,
  }),
});

Fingerprinting (umstritten)

// Browser-Fingerprinting: Nutzer anhand von Browser-Eigenschaften identifizieren
// Ohne Cookies, aber datenschutzrechtlich problematisch

const fingerprint = {
  userAgent: navigator.userAgent,
  language: navigator.language,
  timezone: Intl.DateTimeFormat().resolvedOptions().timeZone,
  screenResolution: `${screen.width}x${screen.height}`,
  colorDepth: screen.colorDepth,
  fonts: await detectFonts(),  // Installierte Fonts
  canvas: getCanvasFingerprint(),
};

// ⚠️ Rechtlich problematisch ohne explizite Einwilligung
// Viele Browser blockieren Canvas-Fingerprinting

Modellbasierte Attribution

Klassische Attribution (mit Cookies):
  Tag 1: Nutzer klickt Google-Anzeige → Cookie gesetzt
  Tag 3: Nutzer klickt Facebook-Anzeige → Cookie gesetzt
  Tag 5: Nutzer kauft direkt → Beide Cookies erkannt
  Ergebnis: Exakte Multi-Touch-Attribution möglich

Modellbasierte Attribution (ohne Cookies):
  Aggregierte Daten: "Wenn Nutzer X Google-Anzeigen sehen,
  kaufen 3% mehr als ohne"
  KI-Modell schätzt Beitrag jedes Kanals
  Ergebnis: Statistische Schätzung, kein individueller Pfad

Datenschutzfreundliche Alternativen

Methode	Genauigkeit	Datenschutz	Aufwand
Server-Side Tracking	Hoch	Gut	Mittel
Consent Mode	Mittel	Gut	Niedrig
Cookieless Analytics (Plausible)	Mittel	Sehr gut	Niedrig
Fingerprinting	Hoch	Schlecht	Mittel
Cohort-basiert (Privacy Sandbox)	Niedrig	Sehr gut	Hoch
Modellbasierte Attribution	Mittel	Sehr gut	Hoch

Google Privacy Sandbox

Googles Antwort auf das Cookie-Ende:

Topics API:
  Browser lernt Interessen aus Browsing-Verhalten
  Teilt nur grobe Kategorien (z.B. "Sport") mit Werbern
  Kein individuelles Profil, kein Cross-Site-Tracking

Protected Audience API (FLEDGE):
  Remarketing ohne Third-Party Cookies
  Auktion findet im Browser statt, nicht auf Servern
  Werbenetze sehen keine individuellen Nutzerdaten