Wiederkehrende Besucher ohne Cookies messen

Der zweite Besuch ist die eigentliche Kennzahl

Reichweite lässt sich einkaufen, Wiederkehr nicht. Sie ist das einzige Signal, das ohne Umweg beantwortet, ob ein Inhalt, ein Sortiment oder ein Dienst so gut war, dass jemand ihn ein zweites Mal ansteuert. In der Europäischen Union haben 2025 78 Prozent der Internetnutzer zwischen 16 und 74 Jahren online bestellt (Eurostat). Entscheidend ist der Takt: Von denen, die 2025 online gekauft haben, taten das 62 Prozent innerhalb der letzten drei Monate vor der Befragung, 11 Prozent zwischen drei und zwölf Monaten davor, und 6 Prozent lag der letzte Kauf mehr als ein Jahr zurück (Eurostat). Ein Drittel der Käufer, genau 34 Prozent, bestellt nur ein- oder zweimal im Quartal (Eurostat).

Ein Kaufabstand von vier Monaten passt in kein Fenster von sieben Tagen und in keines von 30. Die Gruppe, die betriebswirtschaftlich am interessantesten ist - Menschen, die selten, dafür planvoll und mit hohem Warenkorb bestellen -, ist genau die Gruppe, die eine cookiebasierte Zählung als lauter Erstbesucher ausweist. Der Bericht zeigt dann Wachstum bei der Neukundengewinnung, wo in Wirklichkeit Stammkunden mehrfach neu gezählt wurden.

• Trägt der Inhalt? Ein Beitrag mit hoher Reichweite und niedriger Wiederkehr hat Aufmerksamkeit erzeugt, aber keine Bindung.
• Wirkt die Kampagne über den Klick hinaus? Erst die zweite Sitzung trennt gekaufte Aufmerksamkeit von gewonnenem Interesse.
• Wie lang ist der Entscheidungsweg? Der Abstand zwischen erstem und wiederholtem Besuch ist die belastbarste Schätzung für die Länge des Kaufprozesses.
• Wo bricht die Wiederkehr ein? Ein Einbruch nach einem Deploy ist ein Produktbefund, den keine Verfügbarkeitsmessung liefert.
• Welche Quelle liefert Bleibende? Die Kanalbewertung ändert sich vollständig, sobald nicht Sitzungen, sondern zurückkehrende Kohorten gewichtet werden.

Bemerkenswert ist, wie die Marktforschung diese Zahlen selbst erhebt: Der deutsche Handelsverband bevh ermittelt Kaufhäufigkeit und Bestellgewohnheiten nicht über Cookies, sondern über eine laufende Befragung von jährlich 40.000 Privatpersonen ab 14 Jahren (Handelsverband bevh). Wer die verlässlichste Zahl zum Kaufverhalten braucht, greift nicht zum Browserspeicher. Wie sich daraus ein tragfähiges Analysekonzept bauen lässt, beschreibt der Beitrag zur datenschutzkonformen Website-Analyse.

Was der Browser mit dem Cookie macht

Die Verkürzung der Cookie-Lebensdauer ist keine Ankündigung, sondern seit Jahren ausgelieferter Code. Mit Intelligent Tracking Prevention 2.1 hat WebKit sämtliche persistenten clientseitigen Cookies - also alles, was über document.cookie gesetzt wird - auf sieben Tage begrenzt (WebKit). Wenige Wochen später kam die schärfere Regel hinterher: Erreicht ein Besucher eine Landeseite über eine seitenübergreifende Navigation mit Abfrageparameter oder Fragment, und stammt der Verweis von einer als Tracker klassifizierten Domain, beträgt die Höchstdauer nur noch einen Tag (WebKit). Das trifft ausgerechnet den Fall, in dem am meisten Geld im Spiel ist: den bezahlten Kampagnenklick.

Der naheliegende Ausweg wurde 2020 geschlossen. Seither behandelt WebKit jede Speicherform, die ein Skript beschreiben kann, nach derselben Regel: Ohne Nutzerinteraktion auf der Seite werden IndexedDB, LocalStorage, Media Keys, SessionStorage sowie Service-Worker-Registrierungen und deren Cache nach sieben Tagen Browsernutzung gelöscht (WebKit). Ein Kennungswert in localStorage ist damit kein Ersatz, sondern derselbe Mechanismus unter anderem Namen. Wer solche Ausweichspeicher im eigenen Bestand aufspüren möchte, findet sie mit dem Cookie-Scan samt der Skripte, die sie setzen.

Auch der vermeintlich großzügige Browser setzt eine Obergrenze. Seit Version M104 vom August 2022 akzeptiert Chrome kein Ablaufdatum mehr, das weiter als 400 Tage in der Zukunft liegt (Chrome for Developers). Die Zahl ist bewusst gewählt: Sie liegt etwas über 13 Monaten (Chrome for Developers) - genau dem Horizont, den europäische Aufsichtsbehörden für einwilligungsfreie Reichweitenmessung nennen. In Firefox wiederum verfällt der Zugriff, den eine eingebettete Ressource über die Storage Access API erhalten hat, nach 30 Tagen (MDN Web Docs). Drei Hersteller, drei Fristen, keine davon länger als der Kaufzyklus eines durchschnittlichen Onlinekäufers.

Wie groß die Lücke tatsächlich ist

Die Fristen wirken nur, soweit die betroffenen Browser im eigenen Publikum vorkommen. Für Deutschland lässt sich das beziffern: Im September 2026 entfielen 16,86 Prozent der Seitenaufrufe auf Safari, auf Mobilgeräten waren es 20,97 Prozent (Statcounter Global Stats). Rund jeder sechste Aufruf insgesamt und jeder fünfte vom Telefon unterliegt damit der Sieben-Tage-Regel - keine Randgruppe. Kommt der Kampagnenfall hinzu, gilt für diese Aufrufe nicht einmal eine Woche, sondern ein Tag.

Dazu kommt der Anteil, der die Messung gar nicht erst erreicht. Inhaltsblocker sind kein Nischenwerkzeug: Allein die meistgenutzte Blocker-Erweiterung für einen einzigen Browser weist auf der Erweiterungsseite ihres Herstellers 10.657.965 Benutzer aus (Mozilla Add-ons). Diese Zahl misst weltweite Firefox-Installationen und nicht den deutschen Blockeranteil - sie taugt als Größenordnung, nicht als Quote. Wie sich der dadurch entstehende Ausfall beziffern und teilweise schließen lässt, behandelt der Beitrag zu Tracking-Verlusten durch Inhaltsblocker.

Wie stark die Messlandschaft an fremdem Code hängt, zeigt der Web Almanac 2025 an einem Bestand von 16.213.084 Websites (Web Almanac 2025): Auf 75 Prozent aller Seiten steht mindestens ein Drittanbieter-Tracker (Web Almanac 2025), 90 Prozent binden überhaupt mindestens einen Drittanbieter ein (Web Almanac 2025). Analytik ist die häufigste Kategorie und erscheint auf 64 Prozent der Websites (Web Almanac 2025). Ein einziger Konzern ist auf 61 Prozent der Seiten als Tracker präsent (Web Almanac 2025), das Erstanbieter-Cookie eines einzelnen Analysedienstes auf 46 Prozent (Web Almanac 2025). Eine einzige Werbedomain findet sich auf 20 Prozent der Desktop-Seiten (Web Almanac 2025).

Paragraf 25 TDDDG: was ohne Einwilligung überhaupt geht

Die technische Frage lässt sich nicht ohne die rechtliche beantworten, denn beide betreffen denselben Vorgang. Maßgeblich ist in Deutschland § 25 Abs. 1 Satz 1 TDDDG: Sowohl das Speichern von Informationen in der Endeinrichtung als auch der Zugriff auf bereits dort gespeicherte Informationen setzt eine Einwilligung voraus (TDDDG). Die Vorschrift knüpft nicht daran an, ob dabei personenbezogene Daten anfallen - sie knüpft an den Vorgang selbst. Ein Cookie mit anonymer Zufallskennung ist deshalb erfasst, obwohl aus ihm niemand zu erkennen ist. Ein Zählpixel taugt umgekehrt nicht als Gegenbeispiel: Der Europäische Datenschutzausschuss ordnet bereits das Ausliefern eines solchen Pixels als Speichern in der Endeinrichtung ein, weil der Zwischenspeicher des Browsers es aufnimmt, und das Zurücksenden der angehängten Kennung als Zugriff (Europäischer Datenschutzausschuss). Außerhalb der Vorschrift bleibt damit in der Regel erst, was der Server ohne Rückkanal in die Endeinrichtung ohnehin protokolliert.

Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.

— § 25 Abs. 1 Satz 1 TDDDG

Die Ausnahme, durch die eine cookiefreie Messung überhaupt passt, steht in § 25 Abs. 2 Nr. 2 TDDDG: Sie greift, wenn der Speichervorgang oder Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann (TDDDG). Der entscheidende Punkt ist die Richtung dieser Ausnahme: Sie rechtfertigt keinen zusätzlichen Zugriff, sondern nur den, ohne den der gewünschte Dienst nicht funktioniert. Eine Reichweitenzählung ist selten Teil dessen, was der Nutzer angefordert hat.

Genau so sehen es auch die deutschen Aufsichtsbehörden. In der Orientierungshilfe für Anbieter von Telemedien halten sie ausdrücklich fest, dass selbst die einfache Messung von Besucherzahlen nicht pauschal als Bestandteil des Basisdienstes einzustufen ist, sondern vom konkret verfolgten Zweck abhängt (Datenschutzkonferenz). Wer sich auf die Ausnahme stützen will, braucht deshalb eine dokumentierte Begründung je Messzweck - nicht eine allgemeine Behauptung, Statistik sei erforderlich. Was in eine solche Dokumentation gehört, zeigt der Beitrag zur Datenschutz-Folgenabschätzung für Web-Tracking.

Ein verbreitetes Missverständnis räumt der Europäische Datenschutzausschuss aus: Der Zugriff auf IP-Adressen löst Artikel 5 Absatz 3 der ePrivacy-Richtlinie dann aus, wenn diese Information aus der Endeinrichtung des Teilnehmers oder Nutzers stammt (Europäischer Datenschutzausschuss). Cookiefrei bedeutet damit nicht automatisch einwilligungsfrei. Der Unterschied liegt darin, ob eine Information vom Gerät angefordert wird oder ob sie ohnehin Teil der Verbindung ist - und diese Abgrenzung gehört in die Verarbeitungsübersicht, nicht in eine Marketingaussage.

Wiedererkennung ohne Speicherzugriff

Der Ansatz ohne Schreib- und Lesezugriff auf dem Endgerät dreht die Logik um: Statt eine Kennung auf dem Gerät abzulegen und später wiederzufinden, wird sie bei jedem Aufruf serverseitig neu berechnet - aus Merkmalen, die die Anfrage ohnehin mitbringt, und einem Geheimnis, das täglich wechselt. Damit entsteht eine Kennung, die innerhalb eines Tages trägt und über Tage hinweg absichtlich zerfällt.

Das klingt zunächst nach dem Gegenteil dessen, was man für Wiederkehr braucht. Der Trick liegt in der zweiten Ebene: Nicht die Kennung selbst wird über die Zeit fortgeschrieben, sondern die Zugehörigkeit zu einer Kohorte. Wer an einem Tag zum ersten Mal erscheint, wird der Kohorte dieses Tages oder dieser Woche zugeordnet; in den Folgewochen wird nicht gefragt, ob eine bestimmte Person wiederkommt, sondern wie viele einer Kohorte wieder auftauchen. Die Rechnung bleibt auf Gruppenebene und braucht keinen dauerhaften Personenbezug.

# Kennung ohne Schreib- oder Lesezugriff auf dem Endgerät.
# Das Salz rotiert täglich und wird nirgends protokolliert;
# nach dem Wechsel ist der Vortagswert nicht mehr rekonstruierbar.
import hashlib
import datetime

def tageskennung(salz: bytes, site_id: str, netz: str, klient: str) -> str:
    tag = datetime.date.today().isoformat()
    roh = "|".join([tag, site_id, netz, klient]).encode("utf-8")
    return hashlib.blake2s(roh, key=salz, digest_size=16).hexdigest()

def kohorte_zuordnen(kennung: str, erstkontakt: dict) -> str:
    # erstkontakt hält je Kennung nur den Wochenschluessel des ersten
    # Auftretens - kein Verlauf, keine Einzelereignisse, kein Profil.
    heute = datetime.date.today()
    woche = "%d-KW%02d" % heute.isocalendar()[:2]
    return erstkontakt.setdefault(kennung, woche)

Drei Eigenschaften unterscheiden dieses Verfahren vom Cookie, und alle drei sind bewusst in Kauf genommene Nachteile. Erstens ist die Kennung nicht stabil: Geräte-, Browser- und Netzwechsel brechen sie. Zweitens ist sie nicht umkehrbar; aus dem Wert lässt sich niemand identifizieren und niemand nachverfolgen. Drittens endet sie mit der Rotation des Geheimnisses. Für eine Personenmessung ist das unbrauchbar, für eine Wiederkehrmessung auf Kohortenebene ausreichend.

1. Salz täglich rotieren und verwerfen. Wird der alte Wert aufbewahrt, entsteht rückwirkend die Verknüpfbarkeit, die man vermeiden wollte.
2. Keine Einzelereignisse dauerhaft speichern. Aggregierte Kohortenzähler statt Rohprotokoll je Kennung - das begrenzt den Schaden bei jeder Fehlkonfiguration.
3. Die Kennung nicht an Dritte weitergeben. Sobald sie das eigene System verlässt, ist die Erforderlichkeitsbegründung nicht mehr haltbar.
4. Den Zweck je Messgröße dokumentieren. Die Aufsichtsbehörden verlangen die Begründung am konkreten Zweck, nicht am Werkzeug (Datenschutzkonferenz).
5. Den Messweg selbst überwachen. Fällt der Endpunkt aus, sinkt die Wiederkehrrate scheinbar - ein Fall für Cross-Origin-Header und Einbettungsregeln, die den Zugriff auf die Messstrecke steuern.

Kohorten statt Personen: die Matrix richtig lesen

Die Darstellung, die aus diesem Verfahren entsteht, ist die Kohortenmatrix: Jede Zeile ist eine Einstiegswoche, jede Spalte ein Abstand zum Erstbesuch, jede Zelle der Anteil der Kohorte, der in dieser Folgewoche wieder aufgetaucht ist. Der Blick geht dabei in zwei Richtungen. Waagerecht liest man den Verlauf einer Kohorte - wie schnell sie ausdünnt und ob sie sich auf einem Niveau stabilisiert. Senkrecht vergleicht man Kohorten zum gleichen Abstand miteinander; das ist die Spalte, in der sich ein Produkteingriff oder ein Kampagnenwechsel zeigt.

Die Matrix trennt zwei Effekte, die in einer einzigen Wiederkehrquote verschmelzen. Wächst die Reichweite, sinkt die durchschnittliche Wiederkehrrate fast zwangsläufig, weil eine große frische Kohorte die Statistik verdünnt. In der Matrix bleibt der Verlauf der älteren Zeilen unverändert, und der Effekt ist als das erkennbar, was er ist: eine Verschiebung der Zusammensetzung. Wie sich das Bild verfeinern lässt, wenn man zusätzlich die Wege innerhalb der Sitzung betrachtet, zeigt der Beitrag zur Auswertung von Nutzerpfaden.

Was die Zahl verzerrt und wie man die Verzerrung beziffert

Eine cookiefreie Wiederkehrmessung ist nicht genauer als eine cookiebasierte, sie ist anders ungenau. Beim Cookie stammt der Fehler aus Löschung, Ablauf und Blockade: Er unterschätzt die Wiederkehr, systematisch stärker bei mobilen Besuchern. Bei der berechneten Kennung stammt der Fehler aus Kollisionen und Brüchen: Zwei Geräte hinter derselben Netzadresse mit demselben Klientenprofil können denselben Wert erzeugen, und ein Netzwechsel während der Sitzung erzeugt zwei Werte für dasselbe Gerät. Beide Fehler lassen sich eingrenzen, keiner verschwindet.

Ein dritter Anteil trifft beide Verfahren gleichermaßen: automatisierter Verkehr. Ein Crawler, der wöchentlich vorbeischaut, sieht in jeder Kohortenmatrix aus wie ein außerordentlich treuer Besucher. Vor jeder Interpretation gehört deshalb eine dokumentierte Bot-Abgrenzung, deren Regeln versioniert sind - sonst verschiebt sich die Wiederkehrrate mit jeder Anpassung des Filters, ohne dass sich am Publikum etwas geändert hätte. Das Vorgehen dafür beschreibt der Beitrag zur Bot-Filterung in der Analytik.

Der Wert dieser Gegenüberstellung liegt darin, den Abstand zwischen beiden Verfahren zu kennen und über die Zeit zu beobachten. Wächst er, hat sich die Browserzusammensetzung verschoben oder eine Blockerregel greift neuerdings. Bleibt er stabil, lässt sich eine ältere cookiebasierte Zeitreihe mit einem dokumentierten Umrechnungsfaktor anschließen, statt den Verlauf abzuschneiden. Für Kampagnenauswertungen ist zusätzlich eine saubere Parameterhygiene die Voraussetzung, wie der Beitrag zu UTM-Parametern und Kanalzuordnung zeigt.

Aufbewahrung, Vergleichbarkeit und die Grenzen der Kohorte

Die Länge des Beobachtungsfensters ist nicht frei wählbar, und zwar aus zwei voneinander unabhängigen Gründen. Rechtlich empfiehlt die französische Aufsichtsbehörde für einwilligungsfreie Reichweitenmessung eine Lebensdauer der Merkmale von dreizehn Monaten und rät davon ab, sie bei jedem neuen Besuch automatisch zu verlängern (CNIL). Für die erhobenen Daten selbst setzt dieselbe Empfehlung eine Höchstspeicherdauer von 25 Monaten (CNIL). Damit ist der Rahmen abgesteckt: Eine Kohortenbetrachtung über mehr als zwei Jahre ist kein technisches, sondern ein rechtliches Problem.

Technisch ist die Grenze oft enger. In einem weit verbreiteten Analysewerkzeug werden bestimmte Signaldaten unabhängig von der eingestellten Aufbewahrung höchstens 26 Monate vorgehalten (Herstellerdokumentation); für große und sehr große Properties ist die Aufbewahrungsdauer auf zwei Monate begrenzt (Herstellerdokumentation). Eine Kohorte über sechs Folgewochen ist dort das Äußerste, was das Werkzeug hergibt. Wer längere Zeiträume vergleichen möchte, braucht eine eigene, aggregierte Ablage mit dokumentierten Fristen, wie sie der Beitrag zu Aufbewahrungsfristen für Monitoring- und Analysedaten beschreibt.

• Fenster vor der Auswertung festlegen. Sechs Folgewochen sind für die meisten Sortimente ein tragfähiger Zuschnitt; wird das Fenster nachträglich verändert, ist die Zeitreihe gebrochen.
• Aggregat statt Rohdaten aufbewahren. Kohortenzähler überstehen jede Löschfrist, Einzelereignisse nicht.
• Merkmalsdauer nicht stillschweigend verlängern. Vom automatischen Nachschieben bei jedem Besuch rät die Aufsicht ausdrücklich ab (CNIL).
• Jede Regeländerung datieren. Ein Bot-Filter, eine Salzrotation und ein neuer Endpunkt sind Ereignisse, die in der Zeitreihe markiert gehören.
• Veraltete Messkomponenten ablösen. Eine Bibliothek ohne Pflege verändert ihr Verhalten irgendwann unbemerkt - siehe Supportende im Web-Stack.

Zur Ehrlichkeit gehört auch, was die Kohortenmessung nicht leistet. Sie beantwortet keine Frage nach einer einzelnen Person, sie taugt nicht als Grundlage für individuelle Ansprache, und sie liefert keine geräteübergreifende Zusammenführung. Wer eine Kundin auf dem Telefon und am Schreibtisch als dieselbe Person führen möchte, braucht eine Anmeldung - und damit eine ganz andere Rechtsgrundlage. Der Vorteil des Verfahrens ist nicht, dass es mehr könnte, sondern dass es weniger will.

Wiederkehr messbar machen, ohne Einwilligung zu erzwingen

Der Einwilligungsweg ist keine bequeme Alternative, sondern ein eigenes Fehlerfeld. Nur 1,7 Prozent der Seiten setzen den verbreiteten Branchenstandard für Einwilligungssignale vollständig regelkonform um (Web Almanac 2025). Signale, die der Nutzer von sich aus schickt, werden vor allem von den großen Seiten ausgelesen: Die Erkennung erreicht 44 Prozent bei den 5.000 meistbesuchten Seiten und fällt auf 17 Prozent bei den 50 Millionen meistbesuchten (Web Almanac 2025). Ein Dialog allein löst also nichts.

Der praktikable Weg beginnt deshalb nicht beim Dialog, sondern bei der Frage, welche Aussage wirklich gebraucht wird. Für die meisten Betreiber lautet die Antwort: der Verlauf einer Kohorte über sechs Wochen, sauber gegen Bots abgegrenzt, mit bekanntem Abstand zur alten Zeitreihe und ohne Zugriff auf das Endgerät. Ob die eingesetzte cookiefreie Reichweitenmessung diesen Zuschnitt trägt, hängt davon ab, wie lange ihre Kennung gilt. Als Fingerprinting-Ersatz taugt sie ausdrücklich nicht - und das ist kein Mangel: Die verbreitetste Fingerprinting-Bibliothek erscheint ohnehin nur auf 0,59 Prozent der mobil abgerufenen Seiten (Web Almanac 2025), und einwilligungspflichtig bleibt sie obendrein.

Praktisch bedeutet das drei Schritte: den Abstand zur bisherigen Zählung einmal beziffern, die Kohortenmatrix als festen Bericht einrichten und jede Regeländerung datieren. Wer zusätzlich Varianten testen möchte, findet den einwilligungsfreien Zuschnitt im Beitrag zu A/B-Tests ohne Einwilligungsdialog; wer den Umstieg von der cookiebasierten Zählung plant, im Beitrag zu cookiefreiem Tracking. Der Zuschnitt für das eigene Publikum lässt sich in der Demo durchspielen, die Staffelung steht auf der Preisübersicht.