Warum Tracking nicht mehr funktioniert

Ein Jahrzehnt lang basierte die Marketingmessung auf einem einfachen Trick: Eine Werbeplattform setzte ein Third-Party-Cookie von ihrer Domain und las es anschließend auf Millionen von Websites aus. So konnten Werbetreibende das Verhalten eines Nutzers zu einem einzigen websiteübergreifenden Profil zusammenführen.

Clientseitiges JavaScript löste Pixel direkt vom Browser aus und sendete sie an Google, Meta und andere Anbieter. Das war einfach bereitzustellen und leistungsfähig, gab jedoch ohne große Kontrolle durch die Nutzer sämtliche Daten an Dritte weiter.

Apple führte 2017 Intelligent Tracking Prevention (ITP) in Safari ein. ITP nutzte maschinelles Lernen auf dem Gerät, um Domains als Tracker einzustufen und deren Cookies anschließend zu blockieren oder zu partitionieren.

Spätere ITP-Versionen begrenzten clientseitige (document.cookie / JavaScript-set) Cookies auf eine Lebensdauer von 7 Tagen und auf nur 24 Stunden, wenn der Nutzer über einen Link eines bekannten Trackers auf die Website gelangte. Lang andauernde Attributionszeiträume brachen unbemerkt zusammen.

Firefox aktivierte Enhanced Tracking Protection (ETP) standardmäßig und blockierte bekannte Third-Party-Tracking-Cookies anhand der Disconnect-Liste. Brave lieferte standardmäßig einen besonders aggressiven Schutz aus.

In diesen Browsern waren Third-Party-Cookies bereits Jahre vor einer angekündigten Änderung bei Chrome praktisch abgeschafft. Messteams beobachteten zunehmend größere Abweichungen zwischen den von Werbeplattformen gemeldeten Conversions und der Realität im Backend.

Chrome hält den größten Anteil am weltweiten Browsermarkt, daher sind seine Pläne besonders relevant. Google verschob die vollständige Abschaffung von Third-Party-Cookies wiederholt und wechselte 2024 schließlich zu einer Auswahlaufforderung für Nutzer statt einer erzwungenen Entfernung.

Unabhängig vom genauen Zeitplan ist das strategische Signal eindeutig: Bauen Sie Ihre Messung nicht auf Third-Party-Cookies auf. Sie sind ein auslaufendes Asset.

Wenn Cookies vorzeitig ablaufen oder blockiert werden, erscheinen wiederkehrende Nutzer als neue Nutzer. Conversions lassen sich dann nicht mehr dem ursprünglichen Anzeigenklick zuordnen, sodass Plattformen zu wenige Conversions melden.

Gleichzeitig blähen modellierte und geschätzte Conversions andere Kennzahlen auf. Das Ergebnis sind zwei Quellen der Wahrheit, die nicht mehr übereinstimmen, wodurch das Vertrauen in jedes Dashboard schwindet.

Über Cookies hinaus partitionieren Browser den Speicher inzwischen nach der übergeordneten Website. Das localStorage eines Trackers auf Website A ist vom selben Tracker auf Website B isoliert.

Damit wird der Trick mit gemeinsamen Identifikatoren beseitigt, der die Cookie-Blockierung überlebt hatte. Auch Fingerprinting wird aktiv unterdrückt: Safari und Firefox fügen Störungen hinzu, während die Privacy Sandbox von Chrome stattdessen aggregierte APIs vorsieht.

Auf Mobilgeräten zwang Apples App Tracking Transparency (ATT) Apps dazu, vor dem Zugriff auf den Werbe-Identifikator IDFA um Erlaubnis zu bitten. Die meisten Nutzer lehnten dies ab.

Das führte zu einem massiven Einbruch bei der Attribution von App-Installationen und beim Targeting von Zielgruppen. Die Branche wandte sich daher aggregierten, datenschutzwahrenden Frameworks wie SKAdNetwork sowie serverseitigen Daten zu, für deren Nutzung eine Einwilligung vorliegt.

Ein großer Teil der Nutzer verwendet Werbeblocker oder datenschutzorientiertes DNS, die Anfragen an bekannte Analyse- und Werbedomains blockieren. Ein clientseitiges Pixel, das eine Anfrage an google-analytics.com oder facebook.com sendet, wird problemlos gefiltert.

Dadurch geht selbst eine rechtmäßige Messung mit vorliegender Einwilligung verloren, weil die Anfrage den Browser schlicht nicht verlässt. Die Weiterleitung über Ihre eigene Domain wird damit zu einer Maßnahme für mehr Zuverlässigkeit, nicht nur für mehr Datenschutz.

GDPR, ePrivacy und ähnliche Gesetze erfordern eine Rechtsgrundlage und bei den meisten Tracking-Aktivitäten eine vorherige Einwilligung. Durchsetzungsmaßnahmen gegen Google Analytics in mehreren EU-Ländern stellten die Übermittlung von Daten an US-Server infrage.

Die Beeinträchtigung ist also doppelt: technische Blockierung durch Browser und rechtliche Anforderungen, die Einwilligung, Datenminimierung und Kontrolle verlangen. Sie können das eine nicht ohne das andere lösen.

Eine Sache vertrauen Browser weiterhin: Cookies und Speicher, die von der Website gesetzt werden, die der Nutzer tatsächlich besucht (der First Party). HTTP-only, serverseitig gesetzte First-Party-Cookies entgehen den strengsten ITP-Begrenzungen.

Das ist die Grundlage des modernen Stacks. Verlagern Sie Identität und Ereigniserfassung auf Ihre eigene Domain und Ihren eigenen Server und leiten Sie anschließend Daten, für deren Nutzung eine Einwilligung vorliegt, an die Plattformen weiter. Das ist serverseitiges Tracking.

Die zentrale Erkenntnis ist kein einzelner Workaround, sondern eine Änderung der Architektur. Verlassen Sie sich nicht länger darauf, dass der Browser als Ihre Datenpipeline zu Drittanbietern fungiert.

Sammeln Sie stattdessen First-Party-Daten, holen Sie eine ausdrückliche Einwilligung ein, senden Sie Signale von Ihrem Server und akzeptieren Sie, dass ein Teil der Messung modelliert statt deterministisch sein wird. Die nächsten Lektionen bauen genau diesen Stack auf.

Tracking wurde aus zwei Richtungen beeinträchtigt: Browser (ITP, ETP, Speicherpartitionierung und ATT) blockierten und verkürzten Third-Party-Identifikatoren, während Werbeblocker clientseitige Pixel vollständig daran hinderten, Anfragen zu senden. Die Regulierung fügte zusätzlich eine Einwilligungspflicht hinzu.

Die dauerhafte Lösung ist eine First-Party-Datenerfassung mit Einwilligung auf der Serverseite. Third-Party-Cookies sind ein auslaufendes Asset. Deshalb baut der restliche Kurs den modernen, datenschutzresilienten Stack auf.