Website ohne Cookies —
geht das wirklich?

Die kurze Antwort

Eine Website ohne Cookies ist nicht nur möglich, sie ist für einen typischen Handwerks-, Dienstleistungs- oder Praxisbetrieb der Normalfall. Cookies braucht man für Warenkörbe, Logins und Tracking. Wer nichts davon anbietet, braucht auch keine Cookies — und damit keinen Einwilligungs-Banner.

Der Banner ist nämlich kein Gütesiegel, sondern die Folge einer Entscheidung: Du hast etwas eingebaut, das ohne Einwilligung nicht laufen darf. Baust du es nicht ein, entfällt der Banner mitsamt den Absprüngen, die er verursacht.

Was Cookies technisch sind — und was sonst noch mitgemeint ist

Ein Cookie ist eine kleine Textdatei, die eine Website im Browser des Besuchers ablegt und beim nächsten Aufruf wieder ausliest. Damit merkt sich eine Seite etwas über dich: dass du eingeloggt bist, was im Warenkorb liegt, oder eben, dass du derselbe Besucher wie gestern bist.

Wichtig für die rechtliche Einordnung: § 165 Abs. 3 TKG 2021 spricht nicht von „Cookies“, sondern vom Zugriff auf Informationen im Endgerät der Nutzer. Das umfasst auch localStorage, sessionStorage und Verfahren, die Geräteeigenschaften auslesen, um Besucher wiederzuerkennen (Fingerprinting). Ein Tool, das „cookiefrei“ wirbt, aber Browsermerkmale ausliest, fällt damit unter dieselbe Regel. Cookiefrei bedeutet nicht automatisch einwilligungsfrei.

Ausgenommen sind Zugriffe, die für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind — der Warenkorb im Shop, die Sitzung nach dem Login, oder die Speicherung der Cookie-Entscheidung selbst.

Was ohne Cookies wegfällt — und was nicht

Für eine Firmenwebsite, die informiert und Anfragen erzeugt, steht in der linken Spalte nichts Unverzichtbares. Genau deshalb baue ich alle Pixlane-Seiten so, dass ohne Einwilligung nichts geladen wird, was nicht geladen werden muss.

Website-Tracking ohne Cookies: die Optionen

Du willst trotzdem wissen, ob deine Seite gefunden wird. Vier Wege, sortiert von unaufwendig zu aufwendig:

• Server-Logdateien auswerten. Jeder Hoster protokolliert Aufrufe ohnehin. Werkzeuge wie GoAccess oder AWStats machen daraus Seitenaufrufe, Verweisquellen und beliebte Unterseiten. Die Daten verlassen deinen Server nie. Schwäche: Bots verzerren die Zahlen, und einzelne Besucher lassen sich nicht sauber über Sitzungen hinweg verfolgen — was datenschutzrechtlich gerade der Vorteil ist.
• Google Search Console. Zeigt, für welche Suchbegriffe deine Seite in den Ergebnissen erscheint, wie oft geklickt wird und auf welcher Position du stehst. Sie arbeitet mit aggregierten Google-Daten, nicht mit Skripten auf deiner Seite — es wird also nichts im Browser deiner Besucher abgelegt. Für lokale Betriebe ist das die wertvollste Datenquelle überhaupt und sie ist kostenlos.
• Cookiefreie Analyse-Werkzeuge. Selbst gehostetes Matomo im cookiefreien Modus oder europäische Dienste wie Plausible zählen Aufrufe ohne Wiedererkennungsmerkmale. Achte auf zwei Dinge: Wo stehen die Server, und wie genau wird der Besucher identifiziert? Wenn ein Werkzeug aus IP-Adresse und Browserdaten einen Hash bildet, ist das ein Zugriff auf Geräteinformationen — dann ist die Einwilligungsfrage wieder offen.
• Offline messen. Der unterschätzte Weg. Eine eigene Telefonnummer nur für die Website, ein Feld „Wie sind Sie auf uns aufmerksam geworden?“ im Formular, und ein Blick darauf, wie viele Anfragen pro Monat hereinkommen. Für einen Betrieb mit zehn Anfragen im Monat ist das aussagekräftiger als jede Absprungrate.

Warum ich Werkzeuge aus den USA zurückhaltend einsetze

Die österreichische Datenschutzbehörde hat bereits Ende 2021 in einem Teilbescheid festgestellt, dass der damalige Einsatz von Google Analytics auf einer österreichischen Website gegen die DSGVO verstieß. Die rechtliche Lage hat sich seither geändert: Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss der EU-Kommission, auf den sich zertifizierte US-Anbieter stützen können. Das Gericht der Europäischen Union hat eine Klage dagegen im September 2025 abgewiesen; ein Rechtsmittel beim Europäischen Gerichtshof war zuletzt noch anhängig.

Meine praktische Schlussfolgerung daraus ist nicht „US-Dienste sind verboten“, sondern nüchterner: Die Grundlage kann sich ändern, und dann müsste eine Website nachgezogen werden. Eine Seite, die von Anfang an ohne diese Abhängigkeit auskommt, ist von solchen Entscheidungen schlicht nicht betroffen.

Website ohne Cookies erstellen: die Praxisliste

1. Schriften selbst hosten. Schriftdateien herunterladen, auf den eigenen Server legen, per CSS einbinden. Kein Aufruf an ein fremdes CDN. Nebeneffekt: Die Seite lädt schneller, weil eine DNS-Auflösung und eine zusätzliche Verbindung entfallen.
2. Karten ersetzen. Statt einer eingebetteten Google-Maps-Karte ein statisches Kartenbild mit einem Link „Route planen“ — oder OpenStreetMap-Kacheln von einem europäischen Anbieter.
3. Videos verlinken statt einbetten. Ein Vorschaubild mit Play-Symbol, das im neuen Tab öffnet. Wer das Video wirklich sehen will, klickt.
4. Social-Media-Widgets weglassen. Ein Instagram-Feed als Einbettung lädt fremde Skripte. Ein Link auf dein Profil tut es auch — und niemand scrollt auf deiner Website durch deinen Feed.
5. Formulare auf dem eigenen Server verarbeiten. Externe Formulardienste laden ihre eigenen Skripte und setzen häufig eigene Cookies.
6. Keine Frameworks vom fremden CDN. Bibliotheken, die aus dem Netz nachgeladen werden, übertragen bei jedem Seitenaufruf die IP-Adresse deiner Besucher an einen Dritten.
7. Einstellungen ohne Speicherung lösen. Dunkel- oder Hellmodus lässt sich über die Systemeinstellung des Besuchers erkennen, ohne etwas abzulegen.

Das ist keine große Sache, wenn man es von Beginn an so baut. Aufwendig wird es nur, wenn eine bestehende Seite nachträglich entrümpelt werden muss — dann lohnt oft der Relaunch mehr als die Reparatur.

Brauche ich dann noch etwas?

Ja, eine Datenschutzerklärung. Die Informationspflicht nach Art. 13 DSGVO hängt nicht an Cookies, sondern an der Verarbeitung personenbezogener Daten — und die passiert spätestens in den Server-Logs deines Hosters und bei jeder Formularanfrage. Was sonst noch dazugehört, steht in der DSGVO-Checkliste.

Was du nicht brauchst: einen Banner, der pauschal über Cookies informiert, obwohl keine gesetzt werden. Ein solcher Hinweis ist kein zusätzlicher Schutz, sondern eine unnötige Hürde vor deinem Inhalt.