Probleme und Zukunft des Customer Trackings in der digitalen Werbeindustrie (Stand 2026)

Als ich diesen Artikel Ende 2022 geschrieben habe, hatte Google das Ende der Third Party Cookies in Chrome für 2024 angekündigt. Die Prämisse lautete: Die Cookies verschwinden, und wer bis dahin keine Alternative hat, verliert Reichweite und Messbarkeit.

Diese Prämisse ist so nicht eingetreten. Google hat die Abschaltung im Juli 2024 aufgegeben und im April 2025 auch den geplanten Auswahl-Prompt gestrichen. Im Oktober 2025 hat Google zudem fast alle Privacy-Sandbox-APIs eingestellt, darunter Topics, die in der ersten Fassung dieses Artikels noch als Alternative stand. Geblieben sind die konzeptionellen Schwächen von Third Party Cookies, die Blockade in Safari und Firefox und die rechtlichen Anforderungen an Einwilligungen. Ich habe den Artikel deshalb überarbeitet.

Was sind Third Party Cookies?

Third Party Cookies sind Cookies, die beim Besuch einer Webseite nicht von eben dieser, sondern von einer oder mehreren Dritt-Domains auf dem Rechner gespeichert werden. Diese Dritten folgen den Nutzenden anhand des Cookies über mehrere Webseiten hinweg und erstellen daraus ein Interessenprofil, das zu Werbezwecken genutzt wird.

Dieses Konzept war über zwei Jahrzehnte die Grundlage personalisierter Werbung im offenen Web.

Hintergrundwissen: Weitere Infos gibt es in den Artikeln „Was sind Cookies? Einfach erklärt.“ und „DSGVO: Die rechtliche Grundlage der Cookie-Banner“.

Die grundsätzlichen Probleme von Third Party Cookies

Unabhängig davon, ob ein Browser sie blockiert, haben Third Party Cookies konzeptionelle Schwächen, die sich seit 2022 nicht geändert haben.

Third Party Cookies sind nicht personenbezogen

Ein Third Party Cookie repräsentiert eine Browser-Instanz auf einem Gerät. Surft eine Person auf Laptop, Smartphone und Tablet, entstehen drei Profile, mit zwei Browsern auf einem Gerät vier.

Third Party Cookies sind nicht interoperabel

Cookies sind domainspezifisch. Andere Domains können sie nicht lesen. Wechseln Nutzer:innen zwischen Plattformen, geht ein wesentlicher Teil der Daten verloren, für die das Cookie gedacht war.

Third Party Cookies sind nicht persistent

Browser und Nutzer:innen können Cookies jederzeit löschen. Safari begrenzt zudem die Lebensdauer von per Skript gesetzten Cookies auf wenige Tage. Wer Nutzende über Monate wiedererkennen will, kann sich auf Cookies nicht verlassen.

Third Party Cookies brauchen eine Einwilligung

Nach § 25 TDDDG (bis 2024 TTDSG) und der DSGVO dürfen Tracking-Cookies nur mit vorheriger Einwilligung gesetzt werden. Ein erheblicher Teil der Besucher:innen lehnt im Cookie-Banner ab. Für diese Personen existiert das Cookie gar nicht erst.

Stand 2026: Was aus der Cookie-Abschaltung geworden ist

Die Entwicklung der letzten Jahre lässt sich in wenigen Stationen zusammenfassen.

Zeitpunkt	Ereignis
2019	Firefox blockiert bekannte Tracker standardmäßig (Enhanced Tracking Protection)
März 2020	Safari blockiert alle Third Party Cookies standardmäßig
April 2021	Apple führt mit iOS 14.5 App Tracking Transparency ein: Apps brauchen eine Erlaubnis, um die Werbe-ID (IDFA) zu nutzen
Januar 2022	Google stellt FLoC ein und kündigt die Topics API an
Juni 2022	Firefox isoliert mit Total Cookie Protection alle Cookies pro Webseite
22. Juli 2024	Google gibt die Abschaltung der Third Party Cookies in Chrome auf; stattdessen soll ein Auswahl-Prompt kommen
22. April 2025	Google verwirft auch den Prompt; die Cookie-Einstellungen in Chrome bleiben wie sie sind
17. Oktober 2025	Google stellt Topics, Protected Audience, Attribution Reporting und weitere Privacy-Sandbox-APIs ein; die britische CMA entlässt Google aus ihren Zusagen
Januar bis Juli 2026	Deprecation mit Chrome 144, Entfernung mit Chrome 150

Das Ergebnis ist ein zweigeteiltes Web. In Chrome, dem meistgenutzten Browser, funktionieren Third Party Cookies weiter, sofern Nutzer:innen sie nicht selbst blockieren. In Safari und Firefox, und damit auf praktisch allen iPhones und iPads, sind sie seit Jahren wirkungslos. In Apps gilt seit iOS 14.5 dasselbe für die Werbe-ID. Als Grund für die Einstellung der Privacy Sandbox nannte Google „low levels of adoption“: Ohne den Druck einer Abschaltung hatte die Werbebranche wenig Anlass, auf neue APIs umzustellen, die nur in Chrome existierten. Was aus Topics geworden ist, beschreibe ich im Artikel „Googles Topics API: Aufstieg und Ende der Cookie-Alternative“.

Welche Probleme haben Werbetreibende heute konkret?

Die Probleme, die ich 2022 für den Wegfall der Cookies vorhergesagt habe, sind für einen großen Teil des Traffics längst Realität.

• Reichweite ist lückenhaft
  In Safari, Firefox und in iOS-Apps ohne Tracking-Erlaubnis erreichen Retargeting-Kampagnen über Drittanbieter-Cookies niemanden.
• Personalisierung ist ungleich verteilt
  In Chrome mit Einwilligung funktioniert Interessen-Targeting wie bisher, in allen anderen Umgebungen kaum.
• Kampagnen-Management ist ungenauer
  Frequency Capping und A/B-Tests über Domains hinweg funktionieren nur für Nutzer:innen, die Chrome verwenden und Cookies akzeptieren.
• Erfolgsmessung hat Lücken
  Conversions aus Safari, Firefox und von Nutzer:innen ohne Einwilligung fehlen in Attributionsberichten. Plattformen füllen die Lücken mit Modellierung, was die Zahlen vergleichbar hält, aber weniger nachprüfbar macht.

Welche Tracking-Alternativen haben sich durchgesetzt?

Von den Optionen, die ich 2022 aufgezählt habe, ist eine weggefallen und mehrere haben sich als Standard etabliert.

E-Mail-Adressen und Login-Daten

• Pro: Deterministisch, geräteübergreifend, und die Basis der meisten Universal IDs (UID2 und die europäische Variante EUID, ID5, RampID, netID). Die E-Mail wird gehasht und dient als gemeinsamer Schlüssel zwischen Publisher, Werbetreibendem und Plattform.
• Contra: Nur für angemeldete Nutzer:innen verfügbar. Eine gehashte E-Mail ist pseudonymisiert, nicht anonym, und braucht eine Einwilligung entlang der gesamten Verarbeitungskette. Menschen nutzen zudem mehrere Adressen.

First Party Cookies und Server-Side-Tagging

• Pro: Cookies der eigenen Domain sind von Browser-Blockaden weitgehend ausgenommen. Mit Server-Side-Tagging laufen Tracking-Aufrufe über einen eigenen Server statt direkt an Drittanbieter, was die Datenqualität verbessert und die Kontrolle darüber erhöht, welche Daten das Unternehmen verlassen.
• Contra: Löst das Problem nur auf der eigenen Domain. Die Einwilligungspflicht bleibt. Mehr Infrastruktur, die betrieben werden muss.

Device ID / Mobile Ad ID

• Pro: Stabiler als Cookies, solange sie verfügbar ist.
• Contra: Auf iOS seit 14.5 nur mit ausdrücklicher Erlaubnis über App Tracking Transparency. Apple untersagt Apps ausdrücklich, ersatzweise auf gehashte E-Mails oder Fingerprinting auszuweichen.

Data Clean Rooms und Retail Media

• Pro: Zwei Unternehmen gleichen ihre First Party Daten in einer geschützten Umgebung ab, ohne dass eine Seite die Rohdaten der anderen sieht. Händler vermarkten auf dieser Basis Werbeplätze mit eigenen Kaufdaten (Retail Media).
• Contra: Nur sinnvoll mit ausreichend eigenen Daten. Vertraglich und technisch aufwendig.

Google Topics

Entfällt. Google hat die API im Oktober 2025 eingestellt, ab Chrome 150 werden Aufrufe abgelehnt.

Fazit: Alle verbleibenden Alternativen haben eine Gemeinsamkeit. Sie funktionieren nur mit Daten, die das Unternehmen selbst erhoben hat, und mit Einwilligungen, die es selbst eingeholt hat.

Welche Datenstrategie trägt 2026?

Die sicherste Art, Nutzende langfristig personalisiert ansprechen zu können, ist unverändert: „Mach sie zu eigenen Nutzer:innen und biete ihnen die bestmögliche Erfahrung.“ Daraus ergeben sich vier Aufgaben.

1. First Party Daten sammeln und zusammenführen

Eigene Daten aus Registrierungen, Newslettern, Käufen, App-Nutzung und Kundenservice sind die Grundlage für alles Weitere. Nutzer:innen geben diese Daten, wenn sie einen erkennbaren Gegenwert bekommen, etwa ein Konto mit gespeicherten Einstellungen oder ein Treueprogramm. Damit die Daten nutzbar sind, müssen sie über Kanäle und Geräte hinweg zu einem Profil zusammengeführt werden. Das ist die Aufgabe einer Customer Data Platform.

2. Consent Management ernst nehmen

Jede der genannten Alternativen setzt eine wirksame Einwilligung voraus. In Deutschland regelt § 25 TDDDG den Zugriff auf Endgeräte, die DSGVO die anschließende Verarbeitung. Seit dem 1. April 2025 gilt außerdem die Einwilligungsverwaltungsverordnung (EinwV), die anerkannte Dienste zur zentralen Verwaltung von Einwilligungen ermöglicht. Sie ist für Webseitenbetreiber freiwillig und deckt nur Einwilligungen nach § 25 TDDDG ab, zeigt aber die Richtung: Einwilligungen müssen dokumentiert und widerrufbar sein, entlang der gesamten Kette bis zum letzten Datenempfänger. Wer eine Universal ID nutzt, muss belegen können, dass die Person der Weitergabe ihrer gehashten E-Mail zugestimmt hat.

3. Messinfrastruktur unabhängig von Drittanbieter-Cookies aufbauen

Server-Side-Tagging, First Party Cookies auf eigener Domain und Conversion-APIs der Werbeplattformen machen Ergebnisse auch aus Safari, Firefox und Apps sichtbar. Wo Daten fehlen, hilft Conversion-Modeling, wobei modellierte Zahlen Schätzungen bleiben. Diese Infrastruktur ändert, wo Daten verarbeitet werden, aber nicht, ob eine Einwilligung nötig ist. Sie darf das Consent-Banner nicht umgehen.

4. Partnerschaften über Data Clean Rooms ausbauen

Wer eigene Daten hat, kann sie mit Partnern abgleichen, ohne sie herauszugeben. Retail Media ist das sichtbarste Ergebnis dieser Entwicklung: Händler vermarkten ihre Kaufdaten als Werbeumfeld, weil sie Daten haben, die Cookies nie liefern konnten.

Fazit

• Third Party Cookies bleiben in Chrome, sind aber in Safari, Firefox und in iOS-Apps ohne Erlaubnis wirkungslos. Die Abschaltung kam nicht, die Erosion schon.
• Googles Privacy Sandbox mit Topics ist gescheitert. Wer darauf gesetzt hat, muss umplanen.
• Alle tragfähigen Alternativen basieren auf eigenen Daten und eigenen Einwilligungen: First Party Data, Login-basierte IDs, Server-Side-Tagging, Data Clean Rooms.
• Eine First Party Data Strategie mit einer CDP als Kern ist 2026 die Voraussetzung dafür, Nutzer:innen über Kanäle hinweg zu verstehen und anzusprechen.

Verstehe im nächsten Schritt: Was ist eine First Party Datenstrategie und wie setzt man sie effizient um?

Häufige Fragen

Sind Third Party Cookies jetzt doch nicht tot?

In Chrome funktionieren sie weiter, solange Nutzer:innen sie nicht selbst blockieren und im Cookie-Banner zustimmen. In Safari und Firefox sind sie seit 2020 beziehungsweise 2019 standardmäßig blockiert. Für einen großen Teil des Traffics sind sie damit unbrauchbar, auch ohne Abschaltung durch Google.

Was ersetzt die Topics API?

Nichts Vergleichbares. Google hat Topics und die übrigen Werbe-APIs der Privacy Sandbox im Oktober 2025 eingestellt. Interessenbasierte Werbung in Chrome läuft weiter über Third Party Cookies, alles andere über First Party Daten und Login-basierte Identifier.

Quellen

• Update on plans for Privacy Sandbox technologies (Privacy Sandbox Blog, 17. Oktober 2025)
• Next steps for Privacy Sandbox and tracking protections in Chrome (Privacy Sandbox Blog, 22. April 2025)
• A new path for Privacy Sandbox on the web (Privacy Sandbox Blog, 22. Juli 2024)
• Intent to Deprecate and Remove: Topics API (blink-dev, November 2025)
• Investigation into Google’s Privacy Sandbox browser changes (CMA, Stand Oktober 2025)
• Full Third-Party Cookie Blocking and More (WebKit Blog, März 2020)
• Firefox rolls out Total Cookie Protection by default (Mozilla Blog, Juni 2022)
• User Privacy and Data Use: App Tracking Transparency (Apple Developer)
• Third-party cookies (MDN Web Docs)
• Verabschiedete Einwilligungsverwaltungsverordnung verfehlt ihr eigentliches Ziel (LfD Niedersachsen, Dezember 2024)