Besonders seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 hat inzwischen fast jede Webseite einen Cookie-Banner. Ohne Cookies würde das Internet nicht so aussehen und funktionieren, wie man es heute gewohnt ist. Dabei sind HTTP-Cookies selbst und das Prinzip dahinter bemerkenswert simpel.
Einordnung zum Thema (Audio 🎧)
Definition
Ein HTTP-Cookie ist eine kurze Textinformation, die Ihr Browser zu einer Webseite abspeichert. Bei jeder Anfrage an eine Webseite wird diese Textinformation mitgeschickt. Cookies haben frei definierbare Ablaufdaten. Ein Entwickler kann also festlegen, ob ein Cookie direkt nach dem Schließen des Browser-Tabs unwiderruflich gelöscht wird oder erst nach einigen Monaten.
Aber welches Problem lösen Cookies überhaupt?
Nutzen
Im Internet ist jeder Nutzer, der eine Webseite aufruft, dieser Seite zunächst völlig unbekannt. Für sehr einfache Webseiten wie einen reinen Textblog mag das ausreichend sein. Sobald jedoch Benutzerpräferenzen gespeichert oder Logins ermöglicht werden sollen, reicht das nicht mehr aus. Zwar gibt es wenige technische Informationen wie die IP-Adresse, die in etwa mit der Absenderadresse auf einem DHL-Paket vergleichbar ist, doch ist diese für eine zuverlässige Nutzererkennung aus mehreren Gründen ungeeignet.
IP-Adressen ändern sich regelmäßig. Ein Haushalt nutzt meist mehrere internetfähige Geräte, und diese Geräte werden teilweise gemeinsam verwendet, etwa von Familienmitgliedern oder Mitbewohnern.
Hinzu kommt, dass sich heute aufgrund des Mangels an verfügbaren IPv4-Adressen häufig ganze Stadtteile eine einzelne IP-Adresse teilen. Dies geschieht durch sogenannte Carrier-grade NATs1 und NAT642.
Um also einen Nutzer wiederzuerkennen und zu identifizieren, setzen Webseiten Cookies ein.
Ablauf eines Cookie-Austauschs
- Ein Nutzer öffnet zum ersten Mal mit seinem Browser eine Webseite und fordert deren Inhalte an.
- Der Webserver antwortet mit dem Seiteninhalt und bittet den Browser, einen Cookie mit dem Inhalt
session = a6d2bea740982...persistent zu speichern. Gleichzeitig speichert der Webserver diesen Cookie-Wert in seiner Datenbank. - Der Browser speichert den Cookie lokal und sendet ihn bei allen weiteren Anfragen an dieselbe Webseite wieder mit.
Damit kann ein spezifischer Browser unabhängig von IP-Adressen und anderen Variablen eindeutig identifiziert werden.
Tracking
Da es mithilfe von HTTP-Cookies möglich ist, einen Nutzer und dessen Browser eindeutig und langfristig zu identifizieren, werden Cookies häufig zusammen mit weiteren Technologien für Tracking eingesetzt.
Wichtig zu wissen ist: Große Online-Werbenetzwerke wie Google Ads oder Adscale verwenden nicht ausschließlich Cookies. Sogenanntes Browser-Fingerprinting funktioniert teilweise oder vollständig auch ohne Cookies.