Das Ende der Third Party Cookies, das nicht kam: Stand 2026

Was sind Third Party Cookies?

Third Party Cookies, oft auch „Tracking Cookies“ genannt, sind kleine Textdateien, die eine fremde Domain im Browser ablegt, während Nutzer:innen eine ganz andere Webseite besuchen. Typische Absender sind Werbenetzwerke, Analyse-Dienste oder Social-Media-Plugins. Weil derselbe Drittanbieter auf tausenden Webseiten eingebunden ist, kann er ein Cookie über all diese Seiten hinweg wiedererkennen und daraus ein Interessenprofil zusammensetzen. Auf dieser Grundlage wird Werbung ausgespielt, die auf eine einzelne Person zugeschnitten ist, und der Erfolg einer Kampagne wird gemessen, etwa ob auf einen Klick später ein Kauf folgte.

First Party Cookies stammen dagegen von der besuchten Webseite selbst und funktionieren nur dort. Sie halten den Warenkorb, die Sprachauswahl oder den Login-Status fest. Der Unterschied ist für alles Weitere entscheidend, denn die Debatte der letzten Jahre drehte sich ausschließlich um die Drittanbieter-Variante.

Die Grundlagen erklärt unser Artikel „Was sind Cookies? Einfach erklärt.“.

Was 2022 erwartet wurde

Safari und Firefox hatten zu diesem Zeitpunkt längst Fakten geschaffen. Mozilla schaltete im Juni 2019 den Schutz „Enhanced Tracking Protection“ standardmäßig ein, der bekannte Tracking-Cookies von Drittanbietern blockiert. Apple ging im März 2020 mit Safari 13.1 und iOS 13.4 noch weiter und blockiert seitdem sämtliche Cookies von Drittanbietern, ohne Ausnahme.

Google kündigte im Januar 2020 an, mit Chrome nachzuziehen, zunächst innerhalb von zwei Jahren. Im Juni 2021 wurde daraus ein Ausstieg bis Ende 2023, im Juli 2022 dann die zweite Jahreshälfte 2024. Parallel entwickelte Google unter dem Namen „Privacy Sandbox“ einen ganzen Baukasten an Ersatztechnologien: Topics für interessenbasierte Werbung, Protected Audience (früher FLEDGE) für Retargeting, die Attribution Reporting API für die Erfolgsmessung. Die Werbebranche sollte auf diese Schnittstellen umsteigen, bevor die Cookies verschwinden.

Der Grund für das Zögern lag auf der Hand: Für Safari und Firefox war der Schritt einfach, weil die Hersteller kein Werbegeschäft betreiben. Google verdient mit personalisierter Werbung den Großteil seines Umsatzes und musste eine Lösung finden, die das eigene Kerngeschäft nicht gefährdet und gleichzeitig Wettbewerbshüter zufriedenstellt. Die britische Wettbewerbsbehörde CMA ließ sich im Februar 2022 verbindlich zusichern, dass Google die Cookies erst entfernt, wenn ihre Wettbewerbsbedenken ausgeräumt sind, aus Sorge, Google könnte mit der Abschaffung die eigene Marktposition ausbauen.

Die rechtliche Seite beleuchtet unser Artikel „DSGVO und Cookie-Richtlinien: Was steckt hinter den Cookie-Bannern?“.

Was tatsächlich passierte

Am 4. Januar 2024 begann Google mit dem Test „Tracking Protection“ und schaltete Third Party Cookies für ein Prozent der Chrome-Nutzer:innen weltweit ab. Es blieb der einzige Schritt in diese Richtung. Im April 2024 bat die CMA um eine Pause, und am 22. Juli 2024 verkündete Google die Kehrtwende: Statt die Cookies abzuschaffen, sollte Chrome eine neue Wahlmöglichkeit erhalten, mit der Nutzer:innen einmalig für ihr gesamtes Surfen über Third Party Cookies entscheiden.

Auch dieser Prompt kam nie. Am 22. April 2025 erklärte Anthony Chavez, bei Google für die Privacy Sandbox verantwortlich, man werde den bisherigen Ansatz beibehalten und keine eigenständige Abfrage einführen. Nutzer:innen steuern Cookies von Drittanbietern seither wie zuvor über die Datenschutzeinstellungen von Chrome. Im Inkognito-Modus sind sie standardmäßig blockiert, im normalen Modus standardmäßig erlaubt.

Der letzte Akt folgte am 17. Oktober 2025. Google stellte den Großteil der Privacy-Sandbox-Technologien ein, darunter Topics, Protected Audience, die Attribution Reporting API, Related Website Sets, Shared Storage und Private Aggregation sowie das SDK Runtime auf Android. Die Begründung war knapp: geringe Verbreitung und zu wenig erwarteter Nutzen aus Sicht des Ökosystems. Übrig bleiben drei Bausteine, die weniger mit Werbung als mit Web-Infrastruktur zu tun haben: CHIPS (partitionierte Cookies), FedCM (Login-Flows) und Private State Tokens (Bot-Erkennung). Die Topics API wird seit Chrome 144 (Januar 2026) als veraltet markiert und soll mit Chrome 150 entfernt werden.

Nach sechs Jahren Vorbereitung steht die Werbebranche damit wieder am Ausgangspunkt. Der ursprüngliche Titel dieses Artikels, „Eine Ära geht vorüber“, taugt heute als Erinnerung daran, wie wenig verlässlich Ankündigungen selbst großer Plattformbetreiber sind.

Warum der Ausstieg scheiterte

Drei Faktoren griffen ineinander. Erstens der Wettbewerb: Die CMA und Publisher fürchteten, dass Google nach dem Wegfall der Cookies als einziger Anbieter noch über ausreichend Daten verfügt, weil Suche, YouTube, Android und Chrome ohnehin First Party Daten in großem Umfang liefern. Die Abschaffung hätte die Abhängigkeit von Google eher vergrößert.

Zweitens die Technik: Die Privacy-Sandbox-Schnittstellen waren komplex, verlangten von Adtech-Anbietern eine tiefgreifende Umstellung und wurden nach Googles eigener Einschätzung nur in geringem Umfang übernommen. Ohne breite Adoption gab es keinen tragfähigen Ersatz, und ohne Ersatz keinen Grund für die Abschaltung.

Drittens die Regulierung: Der eigentliche Druck auf Cookies kommt aus dem Recht, unabhängig vom Browser. In Europa verlangt die DSGVO eine Rechtsgrundlage für jede Verarbeitung personenbezogener Daten, und § 25 des deutschen TDDDG (bis Mai 2024 TTDSG) schreibt vor, dass jedes Speichern und Auslesen von Informationen auf dem Endgerät eine Einwilligung braucht, sofern es nicht technisch unbedingt erforderlich ist. Diese Regeln gelten unabhängig davon, was Chrome tut, und sie sind der Grund für jeden Cookie-Banner.

Was das 2026 für Unternehmen bedeutet

Mit dem abgesagten Ausstieg bleibt trotzdem wenig beim Alten. Wer Webseiten oder Apps betreibt und darüber Kunden gewinnen will, arbeitet 2026 unter anderen Bedingungen als 2022.

Ein großer Teil des Traffics ist längst cookieless. Safari auf iPhone, iPad und Mac blockiert Drittanbieter-Cookies seit 2020 vollständig, Firefox blockiert bekannte Tracker, und in Chrome ist der Inkognito-Modus ebenfalls dicht. Dazu kommen die Nutzer:innen, die im Consent-Banner ablehnen. Cross-Site-Tracking mit Cookies erreicht damit nur noch einen Ausschnitt der Zielgruppe, unabhängig von Googles Entscheidung.

Die Einwilligung bleibt das Nadelöhr. DSGVO und TDDDG verlangen ein Opt-in, bevor nicht notwendige Cookies gesetzt werden. Ein sauber umgesetztes Consent Management bestimmt damit direkt, welche Daten überhaupt zur Verfügung stehen. Dark Patterns im Banner werden von Aufsichtsbehörden und Gerichten zunehmend beanstandet.

First Party Daten sind die stabile Basis. Daten, die Nutzer:innen dem eigenen Unternehmen bewusst überlassen, etwa durch ein Kundenkonto, einen Newsletter, eine App-Registrierung oder ein Treueprogramm, unterliegen keiner Browser-Politik. Wer sie systematisch erhebt und zusammenführt, hat eine Grundlage für Personalisierung und Werbung, die auch die nächste Ankündigung aus Mountain View überlebt. Wie eine solche Strategie aussieht, beschreibt unser Artikel „First Party Data Strategie: Einführung und effiziente Umsetzung“.

Server-Side-Tagging verlagert die Kontrolle. Statt dutzende Tracking-Skripte im Browser laufen zu lassen, sammelt ein eigener Server die Ereignisse und gibt sie kontrolliert an Analyse- und Werbeplattformen weiter. Das verbessert die Ladezeit und erlaubt es, Daten vor der Weitergabe zu filtern oder zu pseudonymisieren. Die Einwilligungspflicht bleibt davon unberührt.

Universal IDs bleiben Nischenlösungen. Login-basierte Werbe-IDs setzen darauf, dass Nutzer:innen sich bei Publishern anmelden, und sind in Europa wegen der Einwilligungspflicht aufwendig. Mehr dazu in „Universal Advertising ID als Alternative zu Third Party Cookies“.

Apps sind ein eigenes Spielfeld. Mobile Apps arbeiten nicht mit Cookies, sondern mit Werbe-IDs des Betriebssystems. Apple verlangt seit iOS 14.5 über App Tracking Transparency eine ausdrückliche Zustimmung, bevor eine App den Identifier for Advertisers auslesen darf, und Android hat mit dem Ende der Privacy Sandbox on Android ebenfalls keinen neuen Ersatz mehr in Aussicht. Wer eine App plant, sollte Analytics und Attribution von Anfang an auf Einwilligung und eigene Nutzerdaten auslegen, statt auf geräteübergreifendes Tracking.

Handlungsempfehlungen

1. Consent Management prüfen. Banner, Einwilligungstexte und die technische Blockierung von Skripten vor der Zustimmung müssen zusammenpassen. Verweise auf das TTDSG in Datenschutzerklärungen sollten auf das TDDDG aktualisiert werden.
2. First Party Datenquellen ausbauen. Kundenkonten, Newsletter, App-Logins und Kundenservice-Kontakte in einer zentralen Datenbasis zusammenführen, etwa in einer Customer Data Platform.
3. Messung serverseitig aufsetzen. Server-Side-Tagging für Analytics und Conversion-Tracking einführen, mit Consent-Weitergabe an die angebundenen Plattformen.
4. Abhängigkeiten reduzieren. Kampagnen und KPIs so aufbauen, dass sie auch ohne Cross-Site-Tracking auswertbar sind, zum Beispiel über aggregierte Messung, Incrementality-Tests und Kohortenanalysen.
5. Ankündigungen mit Abstand betrachten. Die Cookie-Geschichte zeigt, dass Plattformen Zeitpläne verschieben und Technologien wieder einstellen. Investitionen in eigene Daten und offene Standards überdauern die Roadmap eines einzelnen Anbieters.

Fazit

Die Ära der Third Party Cookies ist nicht vorbei, aber sie ist auch nicht zurück. Chrome behält die Cookies, ohne dass sie in der Praxis noch das leisten, was sie 2019 leisteten. Safari, Firefox, der Inkognito-Modus, Adblocker und vor allem die Einwilligungspflicht haben ihnen den Großteil der Reichweite genommen. Für Unternehmen ist das eine Entlastung, weil der Druck einer festen Deadline weg ist, und zugleich eine Verpflichtung, weil der Aufbau eigener Datenbeziehungen zu Kunden zum Standard geworden ist. Wer diese Arbeit 2022 in Erwartung des Cookie-Endes begonnen hat, hat nichts umsonst getan.

Häufige Fragen

Gibt es Third Party Cookies 2026 noch?

Ja. Google hat den Ausstieg in Chrome am 22. Juli 2024 aufgegeben und am 22. April 2025 auch den geplanten Auswahl-Prompt verworfen. Third Party Cookies bleiben in Chrome standardmäßig erlaubt und lassen sich in den Datenschutzeinstellungen abschalten; im Inkognito-Modus sind sie blockiert. Safari und Firefox blockieren sie weiterhin.

Was ist aus der Privacy Sandbox geworden?

Am 17. Oktober 2025 hat Google die meisten Privacy-Sandbox-Technologien eingestellt, darunter Topics, Protected Audience und die Attribution Reporting API. Weiterhin unterstützt werden CHIPS, FedCM und Private State Tokens. Die Topics API wird seit Chrome 144 als veraltet markiert und mit Chrome 150 entfernt.

Muss ich meinen Cookie-Banner trotzdem behalten?

Ja. Die Einwilligungspflicht ergibt sich aus § 25 TDDDG und der DSGVO, nicht aus der Browser-Politik von Google. Für alle Cookies und vergleichbaren Technologien, die nicht technisch unbedingt erforderlich sind, braucht es vor dem Setzen eine informierte Einwilligung.

Was bedeutet das für Tracking in Apps?

Apps nutzen keine Cookies, sondern Werbe-IDs des Betriebssystems. Auf iOS ist dafür seit iOS 14.5 die Zustimmung über App Tracking Transparency nötig, und für Android gibt es mit dem Ende der Privacy Sandbox on Android keinen neuen Ersatz. App-Analytics sollte deshalb auf Einwilligung, eigene Nutzerkonten und aggregierte Messung aufgebaut werden.

Quellen

• Update on plans for Privacy Sandbox technologies (Google Privacy Sandbox Blog, 17. Oktober 2025)
• Next steps for Privacy Sandbox and tracking protections in Chrome (Google Privacy Sandbox Blog, 22. April 2025)
• A new path for Privacy Sandbox on the web (Google Privacy Sandbox Blog, 22. Juli 2024)
• Intent to Deprecate and Remove: Topics API (Chromium blink-dev)
• The next step toward phasing out third-party cookies in Chrome (Google Blog, Dezember 2023)
• Expanding testing for the Privacy Sandbox for the Web (Google Blog, 27. Juli 2022)
• An updated timeline for Privacy Sandbox milestones (Google Blog, 24. Juni 2021)
• Google isn’t launching a user choice prompt for third-party cookies in Chrome (AdExchanger, April 2025)
• Building a more private web: A path towards making third party cookies obsolete (Chromium Blog, 14. Januar 2020)
• CMA to keep close eye on Google as it secures final Privacy Sandbox commitments (CMA, 11. Februar 2022)
• Delete, allow and manage cookies in Chrome (Google Chrome Help)
• User Privacy and Data Use, App Tracking Transparency (Apple Developer)
• Full Third-Party Cookie Blocking and More (WebKit Blog, 24. März 2020)
• Firefox now available with Enhanced Tracking Protection by default (Mozilla Blog, 4. Juni 2019)
• § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen (dsgvo-gesetz.de)
• Aus „TMG“ wird „DDG“ und aus „TTDSG“ wird „TDDDG“ (GSK Stockmann, Mai 2024)