3rd-Party-Cookies: welche Fremd-Domains auf Ihrer Seite Cookies setzen

Der Check listet Script-, Pixel- und iframe-Quellen von Werbe- und Tracking-Anbietern, die auf Ihrer Seite Third-Party-Cookies setzen. Safari und Firefox blockieren sie seit Jahren.

Was wird geprüft

Der Check liest alle Script-, Bild- und iframe-Quellen im ausgelieferten HTML und behält die, deren Host zu einem Werbe- oder Tracking-Anbieter gehört, der typischerweise Third-Party-Cookies setzt: DoubleClick, Google Ads, Meta, LinkedIn, TikTok, Hotjar, HubSpot, Intercom, Criteo, Taboola, Outbrain und X. Eigene Subdomains zählen nicht. googletagmanager.com auch nicht, denn der Container setzt selbst keine Cookies.

Was der Scan nicht sieht: die Cookies selbst. Vom Server aus lassen sich Cross-Site-Cookies nicht lesen. Der Check ist ein Inventar der Quellen. Ob diese Cookies vor der Einwilligung gesetzt werden, zeigt der Tiefenscan im Modul Cookies & Scripts vor / nach Consent.

Warum ist das wichtig

Safari (ITP) und Firefox (ETP) blockieren Third-Party-Cookies seit Jahren standardmäßig. Chrome hat die geplante Abschaltung 2025 zugunsten einer Nutzerwahl zurückgenommen, was am Befund nichts ändert: Ein Setup, dessen Attribution an Fremd-Cookies hängt, misst in einem großen Teil der Browser nur Bruchstücke, und die Lücke wächst mit jedem Browser-Update. Wie Attribution ohne diese Cookies funktioniert, steht im Leitfaden zur cookielosen Attribution.

Häufige Ursachen

Alte Retargeting- und Werbe-Pixel aus früheren Kampagnen setzen weiter Cross-Domain-Cookies.
Eingebettete iframes (YouTube, Maps, Social-Widgets) bringen ihre Drittanbieter-Cookies einfach mit.
Affiliate- und Attributions-Dienste arbeiten noch auf 3rd-Party-Basis statt über eine First-Party-Subdomain.
Ein vergessenes Chat- oder Personalisierungs-Widget lädt Tracking aus Drittdomains nach.

So beheben

Jede gelistete Domain einem Zweck zuordnen und tote Pixel entfernen. Was bleibt, auf First-Party umstellen: Messung über einen eigenen Endpunkt (Server-Side Tagging), Attribution über Conversion-APIs statt Browser-Cookies. Embeds wie YouTube über die nocookie-Domain einbinden oder erst nach Klick laden.

Passende Vorlage

CMP- und GTM-Consent-QA-Vorlage

Der wiederholbare Testplan für Default-denied, Consent-Update und Reject, über alle vier Signale.

QA-Vorlage holen →

Erst selbst prüfen

Der Tracking-Check testet diesen Punkt zusammen mit allen anderen in Sekunden.

Tracking-Check starten →

Verwandte Checks

Server-Side Tracking →Server-Side Event APIs →Pre-Consent-Cookies →

Häufige Fragen

Warum steht googletagmanager.com nicht in der Liste?

Der Tag Manager setzt selbst keine Cookies; die Cookies kommen von den Tags, die er lädt. Seit September 2026 zählt der Check nur Hosts, die tatsächlich Werbe- oder Tracking-Cookies setzen: Meta, LinkedIn, TikTok, Hotjar, HubSpot, Google Ads, Criteo und Co.

Chrome hat die Abschaltung abgesagt, ist das Thema erledigt?

Nein. Chrome liefert Third-Party-Cookies weiter aus, Safari und Firefox blockieren sie seit Jahren standardmäßig. Bei diesen Besuchern misst ein rein cookie-basiertes Setup nur Bruchstücke, und der Anteil hängt von Ihrer Zielgruppe ab, nicht von Ihrem Setup.

Was ersetzt Third-Party-Cookies?

First-Party-Daten über einen eigenen Endpunkt (Server-Side Tagging) und serverseitige Conversion-APIs wie Meta CAPI und Google Enhanced Conversions. Die Cookies liegen dann auf Ihrer Domain, die Attribution läuft über Server-zu-Server-Events.

Behebung

Verdrahtet in Tagen, nicht in Sprints.

Befunde aus dem Tracking-Check gehen im Audit Sprint in eine Reihenfolge mit Aufwand, jeder Baustein mit Abnahmekriterium.

Zur Leistung Audit Sprint anfragen