Tracking ohne Cookies: DSGVO-konforme Reichweitenmessung ohne Cookie-Banner

Oktober, 2026

von Milad

Kurze Zusammenfassung

Viele Unternehmen möchten wissen, wie viele Menschen ihre Website besuchen – ohne Cookie-Banner, ohne Einwilligung und ohne Datenschutzrisiko. Das geht, aber nur für eine bestimmte Frage: Reichweite messen, nicht Personen wiedererkennen. Die bekannteste Methode dafür heißt Stateless Analytics.

In diesem Beitrag erfahrt ihr:

warum „cookieless“ nicht automatisch „einwilligungsfrei“ bedeutet,
welche Methoden es für Tracking ohne Cookies gibt – und welche ihr meiden solltet,
wie Stateless Analytics technisch funktioniert, zum Ausprobieren,
was ihr ohne Einwilligung auswerten könnt und was verloren geht,
wie wir die Rechtslage einschätzen und welche Tools es gibt.

Inhalt

Tracking ohne Cookies in einer Minute

Ein Laden kann seine Kundschaft auf zwei Arten zählen. Mit einer Kundenkarte weiß er, dass Frau Müller heute zum dritten Mal diese Woche da ist. Mit einer Lichtschranke an der Tür weiß er nur, dass heute 312 Menschen hereingekommen sind – aber nicht, wer.

Cookies sind die Kundenkarte: Sie erkennen Menschen wieder und brauchen deshalb eine Einwilligung. Tracking ohne Cookies ist die Lichtschranke: Es zählt Besuche, Seitenaufrufe und Herkunft, vergisst aber, wer da war.

Was ihr bekommt: Besucherzahlen, beliebte Seiten, Herkunft der Besuche und Conversions pro Sitzung – von allen Besucher:innen, nicht nur von denen, die im Banner zustimmen.
Was ihr nicht bekommt: wiederkehrende Personen, Wege über mehrere Tage und Daten für Werbeplattformen.
Was ihr spart: für diese Messung ein Banner-Opt-in – nach unserer Einschätzung meist ganz. Für Marketing-Tools braucht ihr den Banner trotzdem.

Cookieless heißt nicht automatisch einwilligungsfrei

„Cookieless Tracking“ klingt nach einer Abkürzung, ist es aber nicht. Entscheidend ist nicht die Technik, sondern ob ihr Personen wiedererkennt:

Fingerprinting kommt ohne Cookies aus, erkennt Geräte aber dauerhaft über Merkmale wie Bildschirm, Schriften und Browser-Version. Das ist Tracking im vollen Sinn – nach unserer Einschätzung einwilligungspflichtig und zudem von Browsern wie Safari aktiv bekämpft.
Cookielose Pings im Google Consent Mode (Advanced Mode) setzen keine Cookies, werden aber vom Gerät ausgelöst und enthalten IP und User-Agent. Ob sie unter § 25 TDDDG fallen, ist in Deutschland umstritten. Mehr dazu im Beitrag Erweiterte Conversions.
Server-Side Tracking ist ebenfalls kein Freifahrtschein: Ein eigener Server ändert nichts an der Einwilligungspflicht, wenn ihr wiedererkennt. Siehe Server-Side Tracking Guide.

Wirklich ohne Einwilligung auskommen kann nach unserer Einschätzung nur eine Messung, die nichts auf dem Gerät speichert oder ausliest und kein dauerhaftes Profil bildet. Genau das leistet Stateless Analytics.

Methoden im Vergleich

Methode	Speichert auf dem Gerät?	Wiedererkennung	Einwilligung? (unsere Einschätzung)	Geeignet für
Klassisches Tracking (z. B. GA4 mit Cookies)	ja	über Tage und Wochen	ja	Attribution, Remarketing, Werbe-Optimierung
Consent Mode, Advanced (cookielose Pings)	nein	nein, Google modelliert	umstritten	Lücken in Google-Berichten schätzen
Stateless Analytics (Tages-Hash)	nein	nur am selben Tag	meist nicht nötig, berechtigtes Interesse	Reichweite, Herkunft, Conversions pro Sitzung
Auswertung von Server- oder CDN-Logs	nein	nein	am besten verteidigbar	Seitenaufrufe, technische Kennzahlen
Fingerprinting	nein	dauerhaft	ja – und nicht empfehlenswert	–

In der Praxis empfehlen wir ein Zwei-Säulen-Modell: Stateless Analytics misst die Reichweite aller Besucher:innen, klassisches Tracking mit Einwilligung liefert Attribution und Werbesignale für die, die zustimmen. So habt ihr vollständige Besucherzahlen und trotzdem saubere Marketingdaten.

So funktioniert Stateless Analytics

Einfach erklärt: Der Server vergibt jedem Besuch eine Tagesnummer, die sich aus Merkmalen der Anfrage und einem geheimen Tagesschlüssel berechnet. Um Mitternacht wird der Schlüssel vernichtet. Ab dann lässt sich niemand mehr seiner gestrigen Nummer zuordnen – auch nicht von euch.

Das technische Konzept: Hashes mit Salt-Rotation

Kein Speicherzugriff: Es werden keine Cookies oder LocalStorage-Einträge gesetzt.
Der Tages
Fingerabdruck: Beim Eingang der Anfrage bildet der Server einen Hash und verwirft die IP-Adresse danach.
Der Salt: eine zufällige Zeichenkette, die nur euer Server kennt und die alle 24 Stunden gelöscht und neu erzeugt wird. Ohne Salt ließe sich der Hash leicht zurückrechnen, denn es gibt nur rund vier Milliarden IPv4-Adressen.

SessionID = SHA-256( IP-Adresse + User-Agent + Tages-Salt )

Probiert es selbst aus

Der Hash wird lokal in eurem Browser berechnet. Es wird nichts gesendet oder gespeichert.

IP-Adresse (Beispiel) User-Agent (euer Browser)

… Gleiche IP, gleicher Browser – ändert den Tag und seht, wie die ID wechselt.

Was ihr ohne Einwilligung auswerten könnt

Weil die Sitzungs-ID einen Tag lang stabil ist, wisst ihr innerhalb einer Sitzung, woher jemand kam (UTM-Parameter, „gclid“ in der Einstiegs-URL, Referrer) und ob gekauft wurde. Aussagen wie „Am 20.10. kamen 3 Sitzungen über Google Ads und haben gekauft“ sind damit ohne Personenbezug möglich.

geht ohne Consent

Conversions je Kanal und Kampagne, wenn Klick und Kauf in derselben Sitzung liegen
Conversion-Rate je Kanal und Landingpage
Kosten pro Conversion, wenn ihr die Ausgaben aus den Werbekonten danebenlegt

geht verloren

Klick heute, Kauf in drei Tagen: Der Kauf erscheint ohne Kanal bzw. als direkter Besuch
Mehrere Kontaktpunkte (Multi-Touch) und wiederkehrende Nutzer:innen
Die Rückmeldung an Google Ads oder Meta pro Klick – eine Conversion mit „gclid“ an Google zu senden, ist wieder eine personenbezogene Übermittlung an Dritte

Controlling ja, Attribution nein

Ohne Einwilligung bekommt ihr Marketing-Controlling auf Sitzungsebene in eurem eigenen System. Was fehlt, ist die sitzungsübergreifende Attribution und das Signal, mit dem die Werbeplattformen ihre Gebote optimieren. Für die Steuerung von Marketing-Budgets reicht Reichweitenmessung deshalb nicht.

DSGVO-konformes Tracking: unsere Einschätzung

Keine Rechtsberatung

Wir sind keine Juristen und können keine Rechtsberatung leisten. Nach unserer Erfahrung und der Zusammenarbeit mit verschiedenen Datenschutzexpert:innen ist das unsere Einschätzung – im Einzelfall entscheidet euer Datenschutz.

Vertretbar, nicht risikofrei

Auch bei Stateless Analytics wird die IP-Adresse kurz verarbeitet, und der Hash ist am selben Tag ein Pseudonym. Es bleibt also eine Verarbeitung nach DSGVO – die ihr aber auf das berechtigte Interesse stützen könnt (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung braucht es dafür nach unserer Einschätzung in der Regel nicht.

Beim TDDDG legt der Europäische Datenschutzausschuss in seinen Leitlinien 2/2023 den Begriff „Zugriff auf das Endgerät“ weit aus. Auch Daten, die ein Skript vom Gerät senden lässt, können darunter fallen. Am besten verteidigbar ist deshalb eine Messung, die ohne zusätzliches Tracking-Skript auskommt, etwa aus Server- oder CDN-Logs.

Das gehört trotzdem dazu

eine dokumentierte Interessenabwägung,
ein Eintrag in der Datenschutzerklärung, der das Verfahren verständlich beschreibt,
die Möglichkeit zum Widerspruch,
ein Salt, der wirklich täglich gelöscht wird und nirgends gespeichert ist,
keine Weitergabe der Daten an Werbeplattformen.

Grenzen der Reichweitenmessung ohne Cookies

Geteilte IP-Adressen: Viele Menschen hinter einer IP (Firmennetz, Mobilfunk mit CGNAT) fallen zu einer Sitzung zusammen.
Netzwechsel: Wer unterwegs vom WLAN ins Mobilfunknetz wechselt oder iCloud Private Relay nutzt, zerfällt in mehrere Sitzungen.
Mitternacht: Eine Sitzung über Mitternacht zählt doppelt.
Keine Wiederkehrer: „Neue vs. wiederkehrende Besucher:innen“ gibt es nicht.

Stateless Analytics liefert belastbare Trends und Größenordnungen – keine Customer Journey und keine exakten Personenzahlen.

Tools und Umsetzung

Fertige Webanalyse ohne Cookies

Mehrere Tools arbeiten nach diesem Prinzip. Plausible etwa beschreibt seinen Tages-Identifier offen als Hash aus täglich wechselndem Salt, Domain, IP-Adresse und User-Agent und löscht den Salt alle 24 Stunden. Weitere cookielose Lösungen sind zum Beispiel Pirsch aus Deutschland oder Matomo im cookielosen Modus. Prüft bei jedem Tool genau, wie der Identifier gebildet wird und wie lange er gilt – davon hängt die rechtliche Bewertung ab.

Eigene Lösung im Server-Container

Wer bereits einen Server-Container betreibt, kann den Tages-Hash dort selbst bilden und die Ereignisse ohne IP in ein eigenes Analysesystem oder Data Warehouse schreiben. Vorteil: volle Kontrolle und ein System für beide Säulen – Reichweite für alle, klassisches Tracking nur mit Einwilligung.

Unsere Empfehlung

Fragen klären: Was soll gemessen werden – nur Reichweite, oder auch Marketingerfolg?
Zwei Säulen aufbauen: Stateless Analytics für alle, consent-basiertes Tracking für Attribution und Werbung.
Datenschutz einbinden: Interessenabwägung und Datenschutzerklärung vor dem Livegang abstimmen.
Zahlen richtig lesen: Reichweitenwerte als Trend nutzen, nicht als exakte Personenzahl.

Häufige Fragen

Ist Tracking ohne Cookies DSGVO-konform?

Nach unserer Einschätzung ja, wenn nichts auf dem Gerät gespeichert oder ausgelesen wird, kein dauerhaftes Profil entsteht und ihr eine Interessenabwägung dokumentiert. „Ohne Cookies“ allein reicht nicht – Fingerprinting etwa bleibt einwilligungspflichtig.

Brauche ich für cookieless Tracking ein Cookie-Banner?

Für eine reine Reichweitenmessung nach dem Stateless-Prinzip nach unserer Einschätzung in der Regel nicht. Setzt ihr daneben Google Ads, Meta oder andere Marketing-Tools ein, braucht ihr den Banner für diese weiterhin. .

Kann ich Google Analytics ohne Cookies nutzen?

Nur eingeschränkt. Im Advanced Consent Mode sendet GA4 ohne Einwilligung cookielose Pings, und Google modelliert daraus. Das ist aber keine eigenständige Reichweitenmessung, und ob die Pings einwilligungsfrei sind, ist umstritten.

Was ist der Unterschied zwischen Stateless Analytics und Fingerprinting?

Fingerprinting erkennt ein Gerät dauerhaft wieder. Stateless Analytics bildet nur eine Tageskennung, deren geheimer Schlüssel nach 24 Stunden gelöscht wird – am nächsten Tag ist dieselbe Person nicht mehr zuordenbar.

Wie genau ist die Reichweitenmessung ohne Einwilligung?

Für Trends und Größenordnungen sehr gut, denn sie erfasst alle Besucher:innen statt nur die mit Einwilligung. Exakte Personenzahlen liefert sie nicht: Geteilte IPs und Netzwechsel verzerren die Sitzungen in beide Richtungen.

Reicht Reichweitenmessung für mein Marketing?

Für das Controlling auf Sitzungsebene ja, für die Budgetsteuerung nein. Dafür braucht ihr Attribution – und damit eine Einwilligung. Mehr im Attribution-Guide.

Quellen

Stand der Angaben: Oktober 2026.

Europäischer Datenschutzausschuss: Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 ePrivacy-Richtlinie
Plausible: Data Policy – wie eindeutige Besucher ohne Cookies gezählt werden
Google: Consent-Mode-Parameter und Tag-Verhalten

Fazit

Tracking ohne Cookies ist kein Ersatz für Marketing-Tracking, aber eine starke Ergänzung: Ihr seht endlich wieder, wie viele Menschen eure Website wirklich besuchen – nicht nur die, die im Banner zustimmen. Entscheidend ist, die Grenze sauber zu ziehen: zählen ohne Einwilligung, wiedererkennen nur mit.

Wir sind keine Juristen und können keine Rechtsberatung leisten. Die rechtlichen Aussagen geben unsere Einschätzung wieder – auf Basis unserer Erfahrung und der Zusammenarbeit mit verschiedenen Datenschutzexpert:innen.

Beitrag teilen

Reichweite messen, ohne Banner-Frust

Wir bauen euch eine einwilligungsfreie Reichweitenmessung auf – als fertiges Tool oder im eigenen Server-Container – und verbinden sie sauber mit eurem consent-basierten Marketing-Tracking.

Auswahl und Einrichtung der passenden Lösung
Abstimmung von Interessenabwägung und Datenschutzerklärung
Zwei-Säulen-Setup aus Reichweite und Marketing-Tracking

Know-How

Der Mehrwert moderner Visitenkarten

Warum Veredelung und QR-Codes für euer Unternehmen entscheidend sind.

Eine Barrierefreiheit Webseite in der Gesetzgebung

Barrierefreiheit und die neue Gesetzgebung – Was ist das? Wer ist verpflichtet? Worauf muss ich achten?

Automatisierung im Vergleich

Automatisierung ist heute ein Schlüsselthema – egal ob Start-up, wachstumsorientiertes KMU oder internationaler Konzern.

Styleguides im Webdesign

Ein sauber angelegter Styleguide ist im Webdesign das Fundament für ein konsistentes Design und eine effiziente Umsetzung.

Unsere Leistungen

Digitale Geschäftsprozesse

Steigert eure Effizienz und senkt Kosten durch die Digitalisierung und Automatisierung eurer Geschäftsprozesse durch cube vision.

IT-Sicherheit

Schützt euer Unternehmen vor Cyberangriffen mit umfassenden IT-Sicherheitslösungen von cube vision. Informiert euch jetzt!

Datenstrategie

Steigert euren Geschäftserfolg mit datengetriebenen Online-Lösungen von cube vision. Unsere Expert:innen bieten euch maßgeschneiderte Lösungen.