Cookieless Attribution erklärt: Was noch funktioniert

Cookieless Attribution funktioniert, wenn Sie aufhören, vom Browser zu verlangen, sich den Klick zu merken. Protokollieren Sie den Klick auf einem Server, führen Sie eine Kennung in der URL mit, speichern Sie sie in Ihrem eigenen Bestelldatensatz und senden Sie die Conversion von Server zu Server. Alles andere ist eingeschränkt oder in der EU rechtlich riskant. Dazu zählen Drittanbieter-Cookies, per Skript gesetzte Cookies, die nach Tagen ablaufen, und Fingerprinting.

Der Stack, den die meisten Teams zwischen 2012 und 2019 aufgebaut haben, stützte sich auf ein Drittanbieter-Cookie, das auf der Landingpage gesetzt wurde, und ein Pixel, das es auf der Conversion-Seite wiedererkannte. Die Grundlagen des Begriffs finden Sie unter was Marketing-Attribution ist. Dieser Beitrag ist eine Landkarte: was überlebt, was Elido heute abdeckt und wo Sie ein eigenes Backend brauchen.

TL;DR

• Safari begrenzt per Skript geschriebene Cookies und Speicherinhalte auf 7 Tage Inaktivität, Cookies auf einer mit Link-Parametern versehenen Landingpage auf 24 Stunden. Chrome erlaubt Drittanbieter-Cookies weiterhin, mit Nutzerwahl. Behandeln Sie sie in beiden Fällen als unzuverlässig.
• Zwei Pfade tragen: eine Klick- oder Link-ID, die in Ihren Bestelldatensatz übernommen und von Server zu Server gesendet wird, sowie serverseitig gesetzte First-Party-Cookies.
• Cookieless heißt nicht einwilligungsfrei. Artikel 5 Absatz 3 der ePrivacy-Richtlinie reicht bis zu Fingerprinting und lokalem Speicher, und die DSGVO verlangt auch für serverseitige Verarbeitung eine Rechtsgrundlage.
• Elido protokolliert Klicks serverseitig und ordnet Stripe- und Shopify-Umsatz Links zu. Click-IDs erzeugt es noch nicht, und Conversions leitet es noch nicht an Werbeplattformen weiter.

Was sich in den Browsern geändert hat

Drei Quellen zeichnen das aktuelle Bild, alle abgerufen am 2026-10-24.

Die WebKit-Seite zur Tracking Prevention besagt, dass Safari in JavaScript erzeugte Cookies und anderen per Skript beschreibbaren Speicher nach 7 Tagen ohne Nutzerinteraktion auf der Website löscht. Außerdem heißt es dort: Wird in der Landing-URL eine Klick-ID erkannt, ist die Lebensdauer von in JavaScript erzeugten Cookies auf dieser Seite auf 24 Stunden begrenzt. ITP 2.3, veröffentlicht am 23. September 2019, weitete ähnliche Grenzen auf weitere per Skript beschreibbare Daten aus. Cookies, die Ihr eigener First-Party-Host im HTTP-Response-Header setzt, unterliegen diesen Regeln nicht. Ausgenommen ist ein getarnter Drittanbieter-Host, etwa eine per CNAME oder IP getarnte Subdomain, bei dem WebKit die Lebensdauer auf 7 Tage begrenzt.

Firefox partitioniert Drittanbieter-Cookies über Total Cookie Protection nach der Top-Level-Website. Ein Cookie, das ein Tracker in Ihrem Checkout und im Checkout eines Mitbewerbers setzt, wird zu zwei getrennten Cookies.

Chrome hat den Ausstieg nie abgeschlossen. Am 22. April 2025 kündigte Google an, keine eigenständige Abfrage für Drittanbieter-Cookies einzuführen, und die Nutzer entscheiden weiterhin in den Einstellungen. Der Privacy-Sandbox-Blog ergänzt, dass einige Privacy-Sandbox-Technologien auslaufen. Die praktische Frage lautet also nicht mehr "wann sterben Cookies", sondern "welcher Anteil meines Publikums blockiert sie", und eine ehrliche EU-weite Prozentzahl kann ich Ihnen nicht nennen. Prüfen Sie Ihre eigenen Analytics nach Browser.

Noch eine Behauptung, die Sie in Anbieterpräsentationen finden: dass der Link Tracking Protection von Safari Klick-IDs wie fbclid oder gclid im privaten Modus und in Mail entfernt. Auf der WebKit-Seite zur Tracking Prevention stand dazu beim Abruf nichts, deshalb wiederhole ich hier keine Parameterliste. Testen Sie Ihre eigenen Landingpages in diesen Kontexten, bevor Sie sich darauf verlassen, dass eine Klick-ID überlebt.

Die zwei Pfade, die noch funktionieren

Beide gehen von derselben Tatsache aus: Ein Server sieht den Klick, bevor die Speicherregeln des Browsers greifen.

Pfad 1: Serverseitige Kennungen

Wenn ein Nutzer auf eine Anzeige klickt, hängt die Plattform eine Klick-Kennung an die Landing-URL an, etwa fbclid bei Meta oder gclid bei Google. Die Kennung steckt in der URL, deshalb berührt die Cookie-Partitionierung sie nicht. Ihre Landingpage liest sie aus und speichert sie im Warenkorb oder in der Bestellung. Sobald die Bestellung bezahlt ist, liest Ihr Backend die Kennung aus der Bestellung und sendet die Conversion an die serverseitige API der Plattform, etwa die Conversions API von Meta oder das GA4 Measurement Protocol.

Deduplizierung ist wichtig, wenn Sie zusätzlich das Browser-Pixel behalten. Laut der Meta-Dokumentation muss die eventID des Pixels mit der event_id der Conversions API und dem Ereignisnamen übereinstimmen, und Duplikate, die innerhalb von 48 Stunden eingehen, werden verworfen. Nutzen Sie bei Käufen die Bestell-ID. Welche Kundenfelder gehasht werden müssen, lesen Sie auf der Meta-Seite zu den Parametern für Kundeninformationen nach; diese Regeln habe ich für diesen Beitrag nicht geprüft.

Die Schwachstellen sind real. Wer Cookies löscht, verliert eine im Cookie gespeicherte ID. Eine Conversion auf einem anderen Gerät hat keine Verbindung, es sei denn, die Person ist eingeloggt. Die Klick-ID kann außerdem verschwinden, bevor die Landingpage sie sieht.

Pfad 2: Eine Weiterleitung unter Ihrer Kontrolle

Eine Weiterleitung auf Ihrer eigenen Domain ist ein serverseitiges Ereignis. Wenn jemand auf einen Branded Short Link klickt, kann der Redirect-Host in diesem Moment einen Klickdatensatz mit Zeitstempel, Referrer und User Agent schreiben, statt darauf zu warten, dass ein Tag beim Laden der Seite feuert. Wenn Sie zusätzlich ein Cookie setzen, dann im Set-Cookie-Header auf einem First-Party-Host. So umgehen Sie die oben genannten Grenzen von 7 Tagen und 24 Stunden für per Skript geschriebene Cookies.

Ein Pixel kann das nicht nachbilden. Hier endet auch der heutige Umfang von Elido.

Was Elido heute tut, geprüft am Code

Ich habe jede Aussage, die dieser Beitrag früher gemacht hat, gegen die Services geprüft. Das ist das Ergebnis.

Die ehrliche Fassung von "Kurzlink als Attributionsfläche" ist enger, als dieser Beitrag früher behauptet hat. Die Weiterleitung liefert einen Klickdatensatz und Reporting pro Link. Um die Schleife beim Umsatz zu schließen, tragen Sie die ID des Links in die Bestellung ein: elido_link_id in den Stripe-Metadaten oder ein elido_link_id-Notizattribut im Shopify-Warenkorb. Wenn der Bestell-Webhook eintrifft, ordnet Elido den Umsatz diesem Link zu. Alles darüber hinaus, etwa eine E-Mail zu hashen und die API von Meta aufzurufen, ist heute Code in Ihrem Backend. Wie dieser Fan-out aufgebaut ist, lesen Sie unter serverseitiges Conversion-Tracking über Kurzlinks, und für den Safari-Aspekt unter Klick-Attribution nach Safari ITP. Die Funktionsseite zum Conversion-Tracking beschreibt die Dashboard-Seite.

Identity Stitching: Was funktioniert und was nicht

Serverseitige IDs decken den Normalfall ab. Eine Person, ein Gerät, eine Sitzung, keine entfernten Parameter. Alles andere braucht eine Kennung, die die Person Ihnen gegeben hat.

Deterministisches Matching funktioniert. Wenn sich jemand irgendwann einloggt oder eine E-Mail-Adresse eingibt, können Sie eine gehashte E-Mail als Matching-Signal mit der Conversion senden. Das Hashing muss den Normalisierungsregeln der Plattform folgen, lesen Sie daher die Seite des Anbieters, bevor Sie es bauen.

Probabilistisches Fingerprinting ist in der EU der falsche Fallback. Es kombiniert Bildschirmgröße, Schriftarten, Zeitzone, Canvas-Ausgabe und ähnliche Signale zu einer Kennung ohne Cookie. Ob dafür eine Einwilligung nötig ist, ist eine Rechtsfrage, und Artikel 5 Absatz 3 der ePrivacy-Richtlinie gilt für den Zugriff auf Informationen auf dem Endgerät eines Nutzers, nicht nur für Cookies. Die EUR-Lex-Seite ließ sich am 2026-10-24 bei mir nicht laden, deshalb paraphrasiere ich aus dem bekannten Anwendungsbereich der Richtlinie und zitiere nicht wörtlich. Auch Entscheidungen einzelner Aufsichtsbehörden nenne ich hier nicht. Datenschutzorientierte Browser verringern weiter die Entropie, auf die diese Methoden angewiesen sind. Die Genauigkeit sinkt genau dort, wo Sie sie brauchen.

Geräteübergreifend ist die Lücke, die sich serverseitig nicht schließen lässt. Ein Klick auf dem Handy und ein Kauf am Laptop hängen nur zusammen, wenn sich die Person auf beiden Geräten identifiziert.

Einwilligung gilt weiterhin

"Kein Cookie, keine Einwilligung" ist ein verbreiteter Irrtum. Artikel 5 Absatz 3 betrifft das Endgerät, daher braucht jedes Speichern oder jeder Zugriff dort eine Einwilligung, sofern es nicht unbedingt erforderlich ist. Ein Cookie für Analytics ist nicht unbedingt erforderlich, nur weil es ein First-Party-Cookie ist.

Serverseitige Verarbeitung verändert, wohin die Daten fließen. Adblocker und Partitionierung berühren sie nicht, und Sie kontrollieren, was Ihr Backend verlässt. Sie braucht trotzdem eine Rechtsgrundlage nach Artikel 6 DSGVO, bei Analysen auf Kampagnenebene meist das berechtigte Interesse nach einer Abwägung, bei Profiling auf Einzelpersonenebene schwieriger. Der Leitfaden DSGVO für URL-Shortener behandelt die Artikel 6, 28 und 30, und Cookie-Einwilligung bei Kurzlinks die Banner-Frage.

Zum Umgang mit IP-Adressen: Elido kürzt die Besucher-IP am Edge (IPv4 auf /24, IPv6 auf /48), bevor der Klick gespeichert wird. Land, Region, Stadt und ungefähre Koordinaten werden zuerst abgeleitet und mit dem Klick behalten, und der vollständige User-Agent wird gespeichert, behandeln Sie die Klickzeile also als personenbezogene Daten. Wenn Datenminimierung für Ihren AV-Vertrag wichtig ist, lassen Sie sich die aktuelle Aufbewahrung und den Umgang mit IP-Adressen schriftlich bestätigen.

Was Sie aufgeben

Serverseitige Attribution holt das meiste des verlorenen Signals zurück, nicht alles.

Geräteübergreifende Identität. Verloren, solange sich die Person nicht einloggt.

View-through-Attribution. Sie hängt davon ab, dass die Werbeplattform eine Impression über ihren eigenen Device Graph einer späteren Conversion zuordnet. Rechnen Sie mit ungenaueren Zahlen als in klickbasierten Berichten.

Lange Lookback-Fenster. Jede Plattform legt ihre eigenen Attributionsfenster fest, und sie können kürzer sein als die 28 oder 90 Tage, die manche Teams mit Cookies nutzten. Prüfen Sie das aktuelle Fenster jeder Plattform, über die Sie berichten. Abos und B2B-Zyklen verlieren am meisten.

Multi-Touch für anonyme Nutzer. Ohne Identity Graph landen Sie beim letzten Klick. Eine gehashte E-Mail eingeloggter Nutzer erlaubt es Ihnen, Abfolgen für diesen Teil Ihres Publikums nachzubauen, mit den regelbasierten Modellen, die zu Ihren Daten passen.

Ein praktischer Stack

Für ein Team, das bezahlten Traffic in die EU schickt, würde ich mit dem bauen, was es heute gibt.

1. Branded Short Links für E-Mail, SMS, QR-Codes und organische Beiträge. Sie erhalten von Anfang an einen serverseitigen Klickdatensatz und Reporting pro Link. Lassen Sie Anzeigen auf die Landing-URL selbst zeigen: Elido verwirft Query-Parameter, die an einen Kurzlink angehängt werden, sodass eine fbclid oder gclid aus einer Anzeige den Redirect nicht überstehen würde (Durchreichen ist geplant, noch nicht verfügbar).
2. Die Klick-ID der Plattform auf der Landingpage erfassen (fbclid, gclid) und in den Warenkorb oder die Bestellung schreiben. Testen Sie, dass sie in iOS Mail und privaten Tabs überlebt, bevor Sie ihr vertrauen.
3. elido_link_id in die Stripe-Metadaten oder die Shopify-Notizattribute schreiben, damit der Umsatz ohne Cookie pro Link berichtet wird.
4. Käufe von Server zu Server senden, von Ihrem Backend an Meta und GA4, mit der Bestell-ID als Dedup-Schlüssel.
5. E-Mail für eingeloggte Nutzer hashen, um geräteübergreifende Fälle abzudecken und Lücken zu füllen, wenn die Klick-ID fehlt.
6. Offline-Conversions im Batch importieren bei langen B2B- oder Abo-Zyklen, über die Offline-API der Plattform.

Nichts davon braucht eine CDP. Es braucht ein Klick-Log, dem Sie vertrauen, eine Kennung in Ihrer Bestellung und ein Backend, das mit den Werbeplattformen spricht.

Weitere Beiträge im Blog

• Was ist Marketing-Attribution
• Klick-Attribution nach Safari ITP
• Serverseitiges Conversion-Tracking über Kurzlinks
• DSGVO für URL-Shortener