Was sind Drittanbieter-Cookies?

Ein Cookie heißt “Drittanbieter-Cookie”, wenn es von einer anderen Domain gesetzt wird als der Website, die ein Besucher tatsächlich betrachtet. Wenn du ein YouTube-Video einbettest, kann das Iframe dazu führen, dass Google-Domains Cookies im Browser des Besuchers setzen, obwohl der Besucher glaubt, sich einfach auf deiner Website zu befinden.

Warum Browser sie einschränken

Drittanbieter-Cookies werden häufig für seitenübergreifendes Tracking und Werbung genutzt, weshalb moderne Browser sie zunehmend standardmäßig blockieren oder einschränken, und weshalb Regelwerke wie die DSGVO genau darauf achten, wie und wann sie gesetzt werden.

Die Belastung durch Drittanbieter-Cookies verringern

Die Domain youtube-nocookie.com für Embeds zu nutzen, Embeds bis nach der Einwilligung zu verzögern, oder ein leichtgewichtiges Thumbnail-dann-Laden-Muster (das echte Iframe erst nach einem Klick des Besuchers einzufügen), sind die drei gängigsten Maßnahmen.

Wie Drittanbieter-Cookies durch ein Embed tatsächlich gesetzt werden

Wenn deine Seite ein YouTube-Iframe enthält, sendet der Browser des Besuchers eine direkte Anfrage an Googles Server, um den Inhalt dieses Iframes zu laden, vollständig getrennt von der Anfrage, die deine eigene Seite geladen hat. Weil diese zweite Anfrage an eine andere Domain geht als die in der Adressleiste, gilt jedes dabei gesetzte Cookie als Drittanbieter-Cookie. Das ist eine strukturelle Folge davon, wie Iframes funktionieren, kein Umstand, den eine Website-Betreiberin allein durch den eigenen Seitencode verhindern kann; beeinflussen lässt es sich nur über die Wahl von Embeddomain und Einstellungen.

Ein praktisches Beispiel

Stell dir eine Besucherin auf deineseite.de mit einem eingebetteten YouTube-Video vor. Das Laden des Standard-Embeds von youtube.com kann ein Cookie setzen, das google.com beim nächsten Besuch dieser Besucherin auf einer beliebigen Seite mit eingebettetem Google-Dienst lesen kann, was zum seitenübergreifenden Werbe-Tracking beiträgt. Dasselbe Video von youtube-nocookie.com zu laden, verzögert dieses Cookie-Setzen bis der Besucher tatsächlich auf Play drückt, was das Zeitfenster für passives Tracking spürbar verkleinert.

Drittanbieter-Cookies versus First-Party-Cookies

Ein First-Party-Cookie wird von der Domain gesetzt, die in der Adressleiste steht, deiner eigenen Website, meist für Dinge wie das Merken eines Warenkorbs oder einer Anmeldesitzung, und gilt allgemein als weniger riskant, da der Bezug zur sichtbaren Website offensichtlich ist. Ein Drittanbieter-Cookie, gesetzt durch eine eingebettete Ressource wie YouTube, ist für den Besucher weniger sichtbar und ist die Kategorie, auf die die meisten Datenschutzregelungen und modernen Browserbeschränkungen speziell abzielen. Browser wie Safari und Firefox blockieren heute standardmäßig viele Drittanbieter-Cookies, was die Reichweite dieser Kategorie schrittweise verringert, unabhängig von Entscheidungen auf Website-Ebene. Siehe youtube-nocookie.com für die konkrete Abhilfe, auf die die Tools dieser Seite standardmäßig setzen.

Diesen Unterschied zu verstehen, hilft zu erklären, warum eine Website oberflächlich identisch aussehen kann, dasselbe Video, derselbe Player, sich aber datenschutzmäßig völlig unterschiedlich verhält, allein abhängig davon, welche Embeddomain verwendet wurde.

Häufig gestellte Fragen