Was sind Cookies? So merken sich Websites dich

Ein Cookie ist ein kleiner Textabschnitt, den eine Website deinen Browser speichern lässt und bei jedem späteren Besuch dieser Website zurückschickt. So "erinnert" sich eine Website an dich: dass du angemeldet bist, was in deinem Warenkorb liegt, welche Sprache du gewählt hast. Cookies sind nur Daten, keine Programme. Weil sie dich aber identifizieren können, sind sie sowohl für die Sicherheit als auch für den Datenschutz wichtig.

Warum das beim Bauen mit KI wichtig ist

Cookies liegen unter mehreren Funktionen, die du von einem KI-Builder verlangst, oft ohne dass das Wort "Cookie" fällt:

Login. In den meisten Web-Apps bedeutet "angemeldet bleiben" ein Sitzungs-Cookie. Wie dieses Cookie konfiguriert ist, entscheidet, wie leicht es sich stehlen lässt.
Warenkörbe und Einstellungen. Ein Warenkorb, der einen Seiten-Reload übersteht, stützt sich oft auf ein Cookie oder auf den Browser-Speicher.
Analyse und Werbung. Wenn du Google Analytics, ein Meta-Pixel oder ein Chat-Widget einbaust, kommen meist Cookies von anderen Unternehmen dazu.
Rechtliche Hinweise. In vielen Ländern brauchen manche Cookies vorher die Einwilligung des Besuchers. Daher kommen die Cookie-Banner.

Wenn du weißt, welche Cookies deine App setzt und warum, kannst du bessere Entscheidungen bei den Sicherheitseinstellungen, der Einwilligung und deiner Datenschutzerklärung treffen.

Ein Alltagsvergleich

Denk an die Garderobenmarke. Du gibst deinen Mantel ab und bekommst eine nummerierte Marke. Die Marke enthält nicht deinen Mantel, nur eine Nummer. Jedes Mal, wenn du zum Schalter zurückkommst, zeigst du die Marke, und die Garderobiere weiß, welcher Mantel deiner ist.

Ein Sitzungs-Cookie funktioniert genauso. Wenn du dich anmeldest, behält der Server deine Daten auf seiner Seite und gibt deinem Browser eine Marke, eine lange zufällige ID. Dein Browser zeigt diese Marke bei jeder Anfrage, und der Server schaut nach, wer du bist. Wer die Marke kopiert, kann den Mantel abholen. Deshalb müssen Login-Cookies geschützt werden.

Du besuchst eine Website. Die Antwort des Servers enthält einen Header wie Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Dein Browser speichert ihn, zugeordnet zur Domain dieser Website.
Bei jeder späteren Anfrage an dieselbe Website fügt der Browser automatisch Cookie: session_id=8f3k... hinzu.
Der Server liest ihn und weiß, dass du es bist.

Auch das JavaScript der Seite kann Cookies anlegen. Die wichtigsten, nämlich Login-Sitzungen, sollte aber der Server setzen und vor JavaScript verbergen.

Arten von Cookies

Art	Was es bedeutet	Beispiel
Sitzungs-Cookie	Kein Ablaufdatum; wird beim Ende der Browsersitzung gelöscht	Ein kurzer Bezahlschritt
Dauerhaftes Cookie	Hat ein Ablaufdatum (`Expires` oder `Max-Age`) und übersteht Neustarts	"30 Tage angemeldet bleiben"
Erstanbieter	Von der Website in deiner Adresszeile gesetzt	Dein Login auf dieser Website
Drittanbieter	Von einer anderen Domain gesetzt, die in die Seite eingebettet ist	Die Tracking-ID eines Werbenetzwerks
Technisch notwendig	Nötig für einen Dienst, den der Nutzer angefragt hat	Login-Sitzung, Warenkorb
Nicht notwendig	Nützlich für den Betreiber der Website	Analyse, Werbung, A/B-Tests

Browser schränken Drittanbieter-Cookies seit Jahren immer weiter ein, weil sie genutzt werden, um Menschen über Websites hinweg zu verfolgen. Mehrere große Browser blockieren inzwischen viele davon standardmäßig, und die Details ändern sich laufend. Baue deshalb nichts Wichtiges auf Drittanbieter-Cookies auf.

Ein Beispiel: ein kleiner Online-Shop

Angenommen, du hast einen Shop für handgemachte Kerzen gebaut. Hier sind die Cookies, die eine vernünftige Version setzen würde, und warum.

session: wird gesetzt, wenn der Inhaber oder eine Kundin sich anmeldet. Es enthält nur eine zufällige ID; die echten Sitzungsdaten behält der Server. Einstellungen: HttpOnly (Seiten-Skripte können es nicht lesen), Secure (wird nur über HTTPS gesendet), SameSite=Lax (wird bei den meisten Anfragen anderer Websites nicht mitgeschickt). Technisch notwendig.

cart_id: lässt einen Besucher, der nicht angemeldet ist, seinen Warenkorb behalten. Er verweist auf einen Warenkorb, der in der Datenbank gespeichert ist. Technisch notwendig, weil der Besucher ausdrücklich Artikel in den Warenkorb legen will.

theme: merkt sich den Dunkelmodus. Das könnte ein Cookie sein, muss aber nie den Server erreichen, deshalb ist der Browser-localStorage einfacher.

Analyse-Cookies: kommen hinzu, wenn du ein Analyse-Werkzeug installierst. Sie sind nicht notwendig. In der EU und im Vereinigten Königreich brauchen sie in der Regel eine Einwilligung, bevor sie gesetzt werden. Das Analyse-Skript sollte also warten, bis der Besucher auf "Akzeptieren" klickt.

Beachte, was der Shop nicht in Cookies speichert: Name, Adresse oder Kartendaten der Kundin. Cookies reisen mit jeder Anfrage und liegen auf dem Gerät des Nutzers. Deshalb sollten sie IDs enthalten, keine personenbezogenen Daten.

Häufige Begriffe erklärt

Begriff	Bedeutung
Cookie	Ein kleines Name-Wert-Paar, das der Browser speichert und an die Website zurückschickt.
`Set-Cookie`	Der Antwort-Header, mit dem ein Server ein Cookie anlegt oder aktualisiert.
Sitzung	Der Eintrag des Servers zu einem angemeldeten Nutzer, verknüpft mit einer Cookie-ID.
`HttpOnly`	Verhindert, dass JavaScript der Seite das Cookie liest, was Schäden durch eingeschleuste Skripte begrenzt.
`Secure`	Das Cookie wird nur über verschlüsselte HTTPS-Verbindungen gesendet.
`SameSite`	Legt fest, ob das Cookie bei Anfragen anderer Websites mitgeschickt wird (`Strict`, `Lax` oder `None`).
`Expires` / `Max-Age`	Wann das Cookie gelöscht werden soll.
Domain / Path	Welche Adressen der Website das Cookie erhalten.
localStorage	Browser-Speicher, den der Seitencode lesen kann, der aber nicht automatisch an den Server geschickt wird.
XSS	Cross-Site-Scripting: Ein Skript eines Angreifers läuft in deiner Seite und versucht, Daten zu stehlen.
CSRF	Cross-Site Request Forgery: Eine andere Website bringt den Browser dazu, eine Anfrage mit deinen Cookies zu senden.
Cookie-Einwilligung	Die Zustimmung der Besucher einholen, bevor nicht notwendige Cookies gesetzt werden.

Häufige Fehler und Missverständnisse

"Cookies sind Viren." Sie sind einfacher Text. Sie können keinen Code auf deinem Computer ausführen.
Sensible Daten in Cookies speichern. Speichere eine zufällige ID und halte die Details auf dem Server.
Login-Tokens im localStorage. Jedes Skript, das auf der Seite läuft, kann localStorage lesen, auch ein eingeschleustes. Ein HttpOnly-Cookie können Seiten-Skripte gar nicht lesen.
Secure und HttpOnly fehlen. Diese beiden Flags sind günstig und schließen häufige Lücken.
Annehmen, ein Banner deckt alles ab. Ein Banner, das Analyse lädt, bevor jemand auf "Akzeptieren" klickt, erfüllt seinen Zweck nicht.
Die Abmeldung vergessen. Beim Abmelden sollte das Cookie gelöscht und die Sitzung auf dem Server beendet werden, damit ein kopiertes Cookie nicht mehr funktioniert.
"Wenn ich keine Cookies nutze, gelten die Datenschutzregeln nicht." Regeln wie die DSGVO gelten für personenbezogene Daten, egal wo sie gespeichert sind, also auch im Local Storage, bei Geräte-Fingerprints und in Server-Logs.

Was du deinen KI-Builder fragen solltest

"Liste jedes Cookie auf, das die App setzt, wofür es ist, wie lange es gilt und ob es technisch notwendig ist."
"Verwende für die Login-Sitzung ein Cookie mit HttpOnly, Secure, SameSite=Lax. Lege keine Auth-Tokens im localStorage ab."
"Speichere im Cookie nur eine zufällige Sitzungs-ID und die Sitzungsdaten auf dem Server."
"Beim Abmelden das Cookie löschen und die Sitzung auf dem Server ungültig machen."
"Lade Analyse- oder Marketing-Skripte erst, wenn der Besucher sie akzeptiert, und merke dir seine Wahl."
"Füge der Datenschutzerklärung einen einfachen Cookie-Abschnitt hinzu, der zur obigen Liste passt."

Zur Einwilligung siehe wie du eine Cookie-Einwilligung hinzufügst. Wie Cookies bei Logins zusammenspielen, erklärt was Authentifizierung ist.

Cookies in Mythex

Mythex stellt für die Nutzer deiner App keinen eingebauten Login bereit. Die Cookies deiner App stammen deshalb aus dem eigenen Code und aus den Werkzeugen, die du einbindest, zum Beispiel ein Sitzungs-Cookie aus dem Authentifizierungsansatz, den du wählst. Bitte den Agenten im Chat, sie aufzulisten, ihre Einstellungen zu verschärfen oder einen Einwilligungs-Banner hinzuzufügen, und prüfe das Ergebnis in der Live-Vorschau, bevor du veröffentlichst. Das Dokumentations-Rezept zu Login in deine App einbauen ist ein guter Startprompt, und Sicherheit für Apps, die du baust erklärt, wie du Schlüssel und Geheimnisse aus dem Browser heraushältst.

Fragen

Was ist ein Cookie auf einer Website?

Ein Cookie ist ein kleiner Textabschnitt, den eine Website deinen Browser speichern lässt. Der Browser schickt ihn bei jeder späteren Anfrage an diese Website zurück. So kann die Website sich Dinge merken, etwa ob du angemeldet bist oder was in deinem Warenkorb liegt.

Sind Cookies gefährlich?

Cookies sind nur Daten, keine Programme. Sie können deshalb keinen Code ausführen und keinen Computer infizieren. Problematisch sind der Datenschutz, wenn Drittanbieter-Cookies dich über mehrere Websites hinweg verfolgen, und die Sicherheit, wenn ein Login-Cookie gestohlen wird und jemand sich als du ausgibt.

Was ist der Unterschied zwischen Erst- und Drittanbieter-Cookies?

Ein Erstanbieter-Cookie wird von der Website gesetzt, die in deiner Adresszeile steht, etwa ein Login-Cookie. Ein Drittanbieter-Cookie wird von einer anderen Domain gesetzt, die in die Seite eingebettet ist, etwa von einem Werbenetzwerk, und dient oft dazu, dich über viele Websites hinweg zu verfolgen.

Brauche ich einen Cookie-Banner?

Das hängt davon ab, wo deine Nutzer sind und welche Cookies du einsetzt. In der EU und im Vereinigten Königreich brauchen nicht notwendige Cookies wie für Analyse oder Werbung in der Regel vorher eine Einwilligung. Cookies, die für den Dienst unbedingt nötig sind, etwa eine Login-Sitzung, brauchen meist keine. Prüfe die Regeln, die für dich gelten.

Was ist der Unterschied zwischen Cookies und localStorage?

Beide speichern Daten im Browser. Cookies werden bei jeder Anfrage automatisch an den Server geschickt, was sich für Logins eignet. localStorage bleibt im Browser und wird nur vom eigenen Code der Seite gelesen, was sich für Einstellungen wie ein Design eignet.