Cookieless Tracking: was ohne Cookies messbar bleibt

Ein Kunde aus dem Hochtaunuskreis rief mich an, weil seine Google-Ads-Zahlen nicht mehr zu den Umsätzen im Shop passten. Im Werbekonto standen 40 Conversions, der Steuerberater zählte 61 echte Bestellungen. Knapp ein Drittel der Verkäufe tauchte schlicht nicht im Tracking auf. Kein Bug, kein falsch gesetztes Tag. Das Setup war sauber. Es war einfach clientseitig, und clientseitiges Tracking verliert heute systematisch Daten.

Das ist kein Einzelfall, sondern der Normalzustand. Die Messung im Web beruhte zwei Jahrzehnte lang auf Cookies, und genau diese Grundlage trägt nicht mehr. Browser löschen sie, Blocker verhindern sie, und ohne Einwilligung dürfen sie gar nicht erst gesetzt werden. Unter Cookieless Tracking läuft alles, was trotzdem noch belastbar misst. In diesem Beitrag erkläre ich, was der Begriff wirklich meint, welche Verfahren dahinterstehen, welches davon in der Praxis trägt und wo die ehrlichen Grenzen liegen. So viel vorweg: Keines dieser Verfahren hebelt Datenschutz oder Einwilligung aus. Wer Ihnen das verspricht, sollte vorsichtig machen.

Warum Cookies immer weniger messen

Beim herkömmlichen, clientseitigen Tracking läuft alles im Browser. Ihre Website lädt JavaScript, der Google Tag Manager feuert Tags, und diese Tags schicken die Daten direkt vom Browser an Google Analytics, an Meta, an Google Ads. Das hat zwei Jahrzehnte gut funktioniert. Inzwischen stehen diesem Modell drei massive Bremsen im Weg.

Erstens Werbeblocker. Schätzungen für den deutschen Markt liegen je nach Zielgruppe bei 20 bis über 40 Prozent. uBlock Origin, AdBlock Plus und Browser wie Brave kennen die Domains von google-analytics.com und connect.facebook.net auswendig und blockieren die Anfragen, bevor ein einziges Datenpaket rausgeht. Bei technikaffinen Zielgruppen, etwa im B2B oder im IT-Umfeld, ist der blinde Fleck am größten.

Zweitens ITP und ETP, also Intelligent Tracking Prevention von Safari und Enhanced Tracking Protection von Firefox. Diese Mechanismen kürzen die Lebensdauer von clientseitig gesetzten Cookies drastisch, teilweise auf sieben Tage oder weniger. Für einen Webshop mit längerer Überlegungsphase bedeutet das: Der Nutzer kommt nach zwei Wochen zurück und kauft, aber das Cookie ist längst tot. Die Conversion wird keiner Kampagne mehr zugeordnet.

Drittens das Cookie-Banner selbst. Lehnt jemand ab oder ignoriert das Banner, dürfen viele Tags gar nicht erst laden. Das ist gut und richtig im Sinne des Datenschutzes, kostet aber Datenqualität.

Was Cookieless Tracking bedeutet

Der Begriff führt in die Irre, denn gemeint ist selten Messung ganz ohne Cookies. Gemeint ist Messung ohne Drittanbieter-Cookies, also ohne die kleinen Dateien, die fremde Domains im Browser Ihres Besuchers ablegen. Genau die sind es, die Safari und Firefox blockieren, die Chrome zunehmend einschränkt und die jeder Werbeblocker als Erstes kappt. Was bleibt, sind drei Wege, die sich nicht ausschließen, sondern ergänzen.

Erstens First-Party statt Drittanbieter. Die Daten laufen über eine Adresse, die Ihnen selbst gehört, und die dort gesetzten Cookies gelten als eigene. Sie werden seltener blockiert und behalten ihre volle Lebensdauer. Das ist der Weg, um den es im Rest dieses Beitrags geht, weil er in der Praxis am meisten rettet.

Zweitens Zuordnung über Merkmale statt über Cookies. Wenn jemand ein Formular ausfüllt oder bestellt, kennen Sie seine E-Mail-Adresse. Verschlüsselt an Google oder Meta übergeben, lässt sich der Abschluss auch dann dem richtigen Klick zuordnen, wenn längst kein Cookie mehr existiert. Bei Google heißt das Enhanced Conversions, bei Meta läuft es über die Conversions API.

Drittens Modellierung. Wo gar keine Einwilligung vorliegt, schätzt Google über den Consent Mode aus den anonymen Signalen hoch, wie viele Conversions vermutlich stattgefunden haben. Das ist keine Messung, sondern Statistik, und es funktioniert nur, wenn genug echte Daten als Grundlage da sind.

Was nicht dazugehört, obwohl es oft in einem Atemzug genannt wird: Fingerprinting, also das Wiedererkennen an Geräteeigenschaften. Das ist weder von den Plattformen erlaubt noch datenschutzrechtlich haltbar, und es gehört in kein seriöses Setup.

Der tragfähigste Weg: die Messung auf den eigenen Server holen

Die Grundidee ist einfacher, als sie klingt. Statt dass jedes Tag im Browser des Nutzers direkt mit Google, Meta und Co. spricht, schalten Sie eine Station dazwischen: einen eigenen Server, den sogenannten Server-Container. Bei der verbreitetsten Variante, dem serverseitigen Google Tag Manager (sGTM), läuft dieser Container in der Google Cloud oder bei einem Hosting-Anbieter wie Stape.

Der Ablauf sieht dann so aus: Der Browser schickt seine Events nicht mehr an dutzende fremde Domains, sondern an genau eine Adresse, die Ihnen gehört. Zum Beispiel daten.ihre-domain.de. Dieser Endpunkt liegt als Subdomain auf Ihrer eigenen Domain. Von dort, also serverseitig, verteilt der Server-Container die Daten dann an die einzelnen Ziele weiter, per Programmierschnittstelle. An Google Analytics 4 über das Measurement Protocol, an Meta über die Conversion API, an Google Ads über Enhanced Conversions.

Zwei Effekte ergeben sich daraus sofort. Weil die Anfrage an Ihre eigene Subdomain geht und nicht an google-analytics.com, greifen die meisten Werbeblocker nicht mehr, denn auf der Blockliste steht Ihre Domain nicht. Und weil der Server die Cookies setzt und nicht JavaScript im Browser, gelten sie als First-Party-Cookies mit voller Lebensdauer. ITP kann ihnen deutlich weniger anhaben.

Tracking ist nicht gleich Tagging

Ein Begriffspaar, das ständig durcheinandergeht, und ich finde, das verwirrt zu Recht. Tracking meint die Erhebung der Daten an sich: Welche Events erfasse ich, welche Nutzerdaten, welche Interaktionen. Tagging meint die technische Auslieferung dieser Daten an die Tools, also welcher Tag feuert wann an welches Ziel.

Streng genommen verlagert ein sGTM-Setup vor allem das Tagging auf den Server. Deshalb sprechen Puristen lieber von Server Side Tagging. Im Sprachgebrauch hat sich aber Server Side Tracking durchgesetzt, weil es für die meisten gemeint ist, wenn sie nach besserer Datenerfassung fragen. Ich nutze beide Begriffe, achte aber darauf, dass klar ist, worüber wir reden. Wenn ein Anbieter den Unterschied gar nicht erklärt, fehlt ihm oft die Substanz.

Was das in der Praxis bringt

Bei dem Shop aus dem Eingangsbeispiel haben wir nach der Umstellung auf einen eigenen Server-Container die gemessenen Conversions in Google Ads um etwa 22 Prozent steigen sehen. Wichtig: Die echte Performance hat sich dadurch nicht verbessert. Die Bestellungen gab es vorher schon, sie wurden nur nicht gemessen. Das ist ein Punkt, den ich offen anspreche, weil manche Agenturen die Zahl als magisches Wachstum verkaufen. Es ist kein Wachstum, es ist Sichtbarkeit von dem, was real passiert.

Der eigentliche Wert liegt woanders: Mit vollständigeren Daten trifft der Algorithmus von Google Ads bessere Gebotsentscheidungen. Smart Bidding lernt aus den Conversion-Signalen. Füttern Sie es mit löchrigen Daten, optimiert es auf eine verzerrte Realität. Saubere serverseitige Datenerfassung gibt dem System ein klareres Bild, und das wirkt sich mittelfristig auf die Effizienz der Kampagnen aus.

Dazu kommt ein angenehmer Nebeneffekt: Die Website wird tendenziell schneller, weil weniger Marketing-Skripte im Browser laden. Statt zehn Tracking-Pixeln läuft im besten Fall nur noch ein schlanker Loader. Für die Ladezeit und damit indirekt für die Suchmaschinenoptimierung ist das ein willkommener Bonus.

Clientseitig oder serverseitig: der direkte Vergleich

Merkmal	Clientseitiges Tracking	Server Side Tracking
Wo laufen die Tags	Im Browser des Nutzers	Auf eigenem Server-Container
Werbeblocker	Blockieren viele Anfragen	Greifen meist nicht
Cookie-Lebensdauer (ITP)	Oft auf 7 Tage gekürzt	First-Party, volle Laufzeit
Ladezeit der Website	Viele Skripte im Browser	Schlanker, ein Loader
Kontrolle über Daten	Daten gehen direkt an Dritte	Sie sehen und filtern alles vorher
Einrichtungsaufwand	Gering	Mittel bis hoch
Laufende Kosten	Quasi keine	Server-Hosting monatlich
Einwilligung nötig	Ja	Ja, unverändert

Die letzte Zeile ist mir die wichtigste, deshalb steht sie absichtlich am Ende.

Web-Analyse ganz ohne Cookies

Bis hierhin ging es darum, Marketing-Daten trotz schwindender Cookies verlässlich zu Google und Meta zu bekommen. Es gibt aber einen zweiten Fall, der oft mit demselben Begriff belegt wird: reine Besucherstatistik, ohne jeden Cookie und damit ohne Einwilligung.

Das funktioniert tatsächlich, und zwar mit Analyse-Werkzeugen, die bewusst auf Wiedererkennung verzichten. Matomo lässt sich cookielos betreiben, Plausible und ähnliche Dienste sind von vornherein so gebaut. Auf dieser Website läuft Counterscale, ebenfalls ohne Cookies. Der Unterschied im Alltag ist spürbar: Weil kein personenbezogenes Merkmal gespeichert wird, greift die Einwilligungspflicht nicht, und die Zahlen umfassen alle Besucher statt nur der Hälfte, die dem Banner zugestimmt hat.

Der Preis dafür ist Genauigkeit über die Zeit. Ohne Wiedererkennung sieht ein solches Werkzeug nicht, ob jemand zum ersten oder zum fünften Mal da ist, und es kann eine Sitzung von heute nicht mit einer von letzter Woche verbinden. Für die Frage, welche Seiten gelesen werden, woher die Besucher kommen und was auf dem Weg zur Anfrage passiert, reicht es dennoch aus. Für Kampagnen-Attribution über Wochen hinweg reicht es nicht, dafür braucht es den serverseitigen Weg von oben.

In der Praxis ergänzen sich beide: cookielose Statistik für den ehrlichen Gesamtüberblick, serverseitige Messung für die Kanäle, in die Werbebudget fließt.

Die ehrliche DSGVO-Seite

Hier räume ich mit dem größten Missverständnis auf. Server Side Tracking ist kein Weg, die Einwilligung zu umgehen. Wenn Sie über einen Server personenbezogene Daten erheben und an Google oder Meta weiterleiten, brauchen Sie dafür weiterhin eine Rechtsgrundlage, in der Regel die Einwilligung des Nutzers nach DSGVO. Daran ändert der Server-Container nichts. Wer behauptet, serverseitig könne man ohne Consent tracken, erzählt Unsinn und bringt Sie in Haftungsgefahr.

Was Server Side Tracking aber sehr wohl verbessert: die Datenkontrolle. Weil die Daten erst auf Ihrem Server landen, bevor sie irgendwo hingehen, können Sie dort filtern, kürzen und anonymisieren. IP-Adressen entfernen, bevor sie an Google gehen. Bestimmte Parameter gar nicht erst weiterleiten. Sie werden zur kontrollierenden Instanz statt zur Durchleitstation. Das ist datenschutzfreundlicher, nicht datenschutzärmer, vorausgesetzt, man richtet es entsprechend ein.

Der Consent Mode v2 spielt hier zentral mit. Er sorgt dafür, dass bei fehlender Einwilligung nur anonyme, aggregierte Signale (sogenannte Pings) übertragen werden, aus denen Google per Modellierung Teile der fehlenden Conversions schätzt. Consent Mode und Server Side Tracking sind keine Gegensätze, sie ergänzen sich. Der Consent Mode regelt das Ob und Wie viel bei fehlendem Einverständnis, der Server-Container regelt das Wie der Übertragung bei vorhandenem Einverständnis.

So läuft eine Umstellung ab

Ich baue Tracking-Setups selbst, von der Datenschicht bis zur Server-Konfiguration. Damit Sie wissen, was auf Sie zukommt, hier der typische Ablauf, wie ich ihn in meinen Projekten fahre.

1. Bestandsaufnahme. Wo steht Ihr Tracking aktuell, welche Events werden erhoben, wo klafft die Lücke. Ohne ein klares Bild vom Ist-Zustand macht eine Migration keinen Sinn.
2. Subdomain einrichten. Ein Endpunkt wie daten.ihre-domain.de wird per DNS auf den Server-Container gemappt. Das First-Party-Setup steht und fällt damit, dass dieser Tag-Server wirklich auf Ihrer eigenen Domäne läuft.
3. Server-Container hosten. Entweder in der Google Cloud oder bei einem spezialisierten Anbieter wie Stape. Hier fällt die laufende monatliche Gebühr an.
4. Tags umziehen. GA4, Google Ads und Meta werden vom Web-Container in den Server-Container verlagert und auf die jeweiligen Schnittstellen umgestellt, also Measurement Protocol und Conversion API.
5. Consent sauber verdrahten. Ihre CMP, also das Cookie-Banner, wird mit dem Server-Setup und dem Consent Mode v2 verknüpft, damit ohne Einwilligung wirklich nichts Unzulässiges feuert.
6. Testen und validieren. Real-Bestellungen gegen das Tracking abgleichen, bis die Zahlen plausibel zusammenpassen. Dieser Schritt wird gern unterschätzt und entscheidet über die ganze Qualität.

Wenn das sauber sitzt, kombiniere ich Server Side Tracking gern mit der laufenden Betreuung der Kampagnen über Google Ads, damit die besseren Daten auch wirklich in besseren Geboten ankommen. Gerade im E-Commerce ist das die Stelle, an der sich der Aufwand am schnellsten bemerkbar macht. Alle Details und die konkreten Pakete finden Sie auf meiner Seite zum Server Side Tracking.

Für wen sich das lohnt, und für wen nicht

Ich bin da bewusst ehrlich, weil nicht jeder einen Server-Container braucht. Wer eine kleine Imageseite ohne nennenswerte Kampagnen betreibt, für den ist der Aufwand übertrieben. Da reicht ein sauberes clientseitiges GA4 mit Consent Mode völlig.

Richtig lohnen tut sich Server Side Tracking, sobald nennenswertes Werbebudget fließt. Ein Webshop, der monatlich vierstellig in Google Ads oder Meta investiert. Ein Anbieter mit langen Überlegungsphasen, bei dem ITP die Zuordnung kaputtmacht. Eine technikaffine Zielgruppe mit hohem Adblocker-Anteil. In all diesen Fällen zahlt sich die genauere Datenerfassung über die besseren Marketing-Entscheidungen aus. Faustregel: Wenn die Tracking-Lücke mehr kostet als der Server, lohnt es sich.

Häufige Fragen

Ist Google Tag Manager einwilligungspflichtig?

Der Google Tag Manager selbst ist nur ein Werkzeug, das Tags verwaltet, und feuert ohne Konfiguration keine personenbezogenen Daten. Einwilligungspflichtig sind die Tags, die er auslöst: Sobald GA4, Meta-Pixel oder Google Ads über den GTM personenbezogene Daten erheben oder Cookies setzen, brauchen Sie dafür die Einwilligung des Nutzers. In der Praxis steuern Sie das über die CMP und den Consent Mode, sodass solche Tags erst nach aktiver Zustimmung feuern. Das gilt clientseitig wie serverseitig gleichermaßen.

Ist Google Tag Manager DSGVO-konform?

GTM kann DSGVO-konform betrieben werden, ist es aber nicht automatisch. Es kommt auf die Konfiguration an. Sie brauchen einen Auftragsverarbeitungsvertrag mit Google, eine korrekt eingebundene Einwilligungslösung, eine ehrliche Datenschutzerklärung und Tags, die ohne Zustimmung schweigen. Beim serverseitigen Setup kommt der Vorteil hinzu, dass Sie Daten wie die IP-Adresse vor der Weiterleitung an Dritte entfernen können. Konform wird es durch Ihre Einstellungen, nicht durch das Tool an sich.

Was ist der Unterschied zwischen Google Tag Manager und Google Analytics?

Die beiden werden oft verwechselt, machen aber völlig Verschiedenes. Google Analytics ist das Analyse-Tool, das die Daten sammelt, auswertet und Ihnen Berichte über Nutzerverhalten liefert. Der Google Tag Manager ist die Verwaltungsschicht darüber: Er entscheidet, welcher Code wann auf Ihrer Website ausgeführt wird, und liefert die Daten an Tools wie Google Analytics aus. Bildlich gesprochen: Analytics ist das Lager, in dem die Daten landen, der Tag Manager ist der Verteiler, der bestimmt, welches Paket wohin geht. Sie können Analytics auch ohne GTM betreiben, aber der Tag Manager macht die Pflege deutlich flexibler.

Sind Tracking-Cookies illegal?

Nein, verboten sind sie nicht. Sie sind nur einwilligungspflichtig. Nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz und der DSGVO dürfen Cookies, die nicht technisch notwendig sind, erst gesetzt werden, wenn der Besucher aktiv zugestimmt hat. Technisch notwendige Cookies, etwa für den Warenkorb oder die Anmeldung, brauchen diese Zustimmung nicht. Illegal wird es erst, wenn Marketing-Cookies ohne Einwilligung gesetzt werden, wenn ein Banner die Ablehnung erschwert oder wenn Tags schon vor der Entscheidung feuern. Genau der letzte Punkt ist der häufigste Fehler, den ich in bestehenden Setups finde.

Und was wird aus Retargeting?

Retargeting über Drittanbieter-Cookies verliert weiter an Reichweite, weil die Cookies in immer mehr Browsern gar nicht erst entstehen. Was bleibt, sind Zielgruppen aus eigenen Daten: Wer bei Ihnen gekauft oder angefragt hat, lässt sich verschlüsselt an Google und Meta übergeben und dort als Zielgruppe nutzen. Das braucht eine Einwilligung, funktioniert aber unabhängig davon, wie lange ein Cookie im Browser überlebt.

Funktioniert Cookieless Tracking ohne Einwilligung?

Nein, und das ist der hartnäckigste Irrtum zum Thema. Die Einwilligungspflicht hängt daran, ob personenbezogene Daten verarbeitet werden, nicht daran, wo die Verarbeitung stattfindet oder ob dabei ein Cookie zum Einsatz kommt. Ohne Zustimmung dürfen Sie weder Cookies für Marketing setzen noch personenbezogene Merkmale an Google oder Meta übergeben. Was ohne Einwilligung bleibt, sind anonyme, cookielose Signale über den Consent Mode und die daraus modellierten Zahlen. Cookieless heißt also technisch weniger abhängig von Cookies, nicht rechtlich freigestellt.

Ist Cookieless Tracking genauer als klassisches Tracking?

In der Summe ja, aber nicht überall. Vollständiger wird es dort, wo bisher Daten verloren gingen: bei Blockern, bei gelöschten Cookies, bei Safari-Nutzern. Ungenauer wird es dort, wo modelliert statt gemessen wird, also bei fehlender Einwilligung. Unterm Strich sehen Sie mehr von dem, was wirklich passiert, sollten die modellierten Anteile aber nicht mit gezählten Conversions verwechseln.

Was kostet Server Side Tracking?

Es gibt zwei Kostenblöcke. Einmalig die Einrichtung, also Konzept, Subdomain, Server-Aufsetzung, Umzug der Tags und Validierung. Je nach Komplexität und Anzahl der Events bewegt sich das meist im niedrigen bis mittleren vierstelligen Bereich. Dazu kommen die laufenden monatlichen Hosting-Kosten für den Server-Container, die bei spezialisierten Anbietern oft im niedrigen zweistelligen bis mittleren zweistelligen Bereich pro Monat starten und mit dem Traffic steigen. Bei eigenem Hosting in der Google Cloud richtet sich der Preis nach Last und Konfiguration. Die konkreten Paketstufen sehen Sie auf meiner Leistungsseite zum Server Side Tracking.

Der nächste Schritt

Schauen Sie sich Ihre Conversion-Zahlen neben Ihren echten Umsätzen an. Klafft da eine Lücke, ist Ihr Tracking vermutlich löchrig, und genau diese Lücke kostet Sie jeden Monat bessere Werbeentscheidungen. Schicken Sie mir Ihre aktuelle Situation, ich sage Ihnen ehrlich, ob ein eigener Server-Container für Sie sinnvoll ist oder ob ein sauberes clientseitiges Setup genügt. Ohne Verkaufsdruck, dafür mit echter technischer Einschätzung.