Cookieless Analytics: Die besten Alternativen

Was passiert, wenn die Mehrheit Ihrer Website-Besucher auf Ihrem Cookie-Banner auf „Alle ablehnen“ klickt? Bei klassischen Analyse-Tools wie Google Analytics ist die Antwort einfach und schmerzhaft: Sie verlieren deren Daten vollständig. Studien zeigen immer wieder, dass die durchschnittliche Zustimmungsrate für analytische Cookies auf europäischen Websites zwischen 30 % und 50 % liegt: Das bedeutet, dass Sie für jeden zweiten Besucher, der auf Ihrer Seite landet, möglicherweise keinerlei Analysedaten haben. Das ist keine kleine Unannehmlichkeit, sondern eine grundlegende Lücke in Ihrem Verständnis davon, wie Ihre Website tatsächlich performt. Zum Glück bietet eine wachsende Kategorie von Privacy-First-Analytics-Tools eine überzeugende Alternative: Cookieless Analytics, die Daten für 100 % Ihrer Besucher erfasst: ganz ohne erforderliche Einwilligung. In diesem Leitfaden erklären wir, warum Cookieless Analytics wichtig ist, stellen die besten heute verfügbaren Alternativen vor, zeigen, wie sie technisch funktionieren, und erläutern, wie Sie sie mit klassischen Tools kombinieren, um ein möglichst vollständiges Bild zu erhalten.

Warum klassische Analytics unter der DSGVO versagt

Google Analytics: das Tool, das schätzungsweise von 85 % aller Websites weltweit genutzt wird: verlässt sich auf Cookies, um Nutzer sitzungsübergreifend zu identifizieren und zu verfolgen. Landet ein Besucher auf Ihrer Website, setzt Google Analytics ein _ga-Cookie (und mehrere weitere), das ihm eine eindeutige Client-ID zuweist. Diese ID bleibt über mehrere Besuche hinweg bestehen und ermöglicht es GA, ein Bild von wiederkehrenden Besuchern, Sitzungsdauer, Conversion-Pfaden und mehr zu zeichnen.

Nach der DSGVO und der ePrivacy-Richtlinie gelten diese Cookies als nicht essenziell, da sie für den Betrieb der Website nicht zwingend erforderlich sind. Das bedeutet, dass Sie vor dem Setzen eine ausdrückliche, informierte und freiwillige Einwilligung benötigen. Stimmt ein Besucher nicht zu: oder schließt er das Cookie-Banner einfach, ohne zu interagieren: dürfen keine Cookies gesetzt und keine Daten erhoben werden.

Die praktische Folge ist eine wachsende „Einwilligungslücke“ in den Analysedaten. Ihr Google-Analytics-Dashboard zeigt nur den Teil der Besucher, die auf „Akzeptieren“ geklickt haben. Der Rest: oft Ihre datenschutzbewusstesten und technisch versiertesten Nutzer: bleibt unsichtbar. Das verzerrt jede Kennzahl: Absprungraten, Conversion-Raten, Traffic-Quellen und Nutzerdemografie werden unzuverlässig, weil sie auf einer selbstselektierten Stichprobe statt der Gesamtpopulation beruhen.

Mehrere Entscheidungen von Datenschutzbehörden haben diese Situation noch schwieriger gemacht. Im Januar 2022 entschied die österreichische Datenschutzbehörde (DSB), dass die Nutzung von Google Analytics gegen die DSGVO verstößt, weil Daten ohne angemessene Garantien in die USA übertragen wurden. Die französische CNIL und die italienische Garante trafen kurz darauf ähnliche Entscheidungen. Das EU-US Data Privacy Framework (verabschiedet im Juli 2023) hat zwar einige Bedenken bezüglich der Datenübertragung entschärft, die Einwilligungspflicht für analytische Cookies jedoch nicht aufgehoben.

Was macht Analytics „cookielos“?

Cookieless-Analytics-Tools verfolgen einen grundlegend anderen Tracking-Ansatz. Statt ein dauerhaftes Cookie zu setzen, um wiederkehrende Besucher zu identifizieren, kombinieren sie mehrere Techniken:

Session-Hashing: Das Tool erstellt einen temporären Hash aus nicht personenbezogenen Attributen: etwa der IP-Adresse des Besuchers (die anschließend verworfen wird), dem Datum, dem User-Agent-String und der Website-Domain. Dieser Hash ist einzigartig genug, um eine Sitzung zu identifizieren, kann aber nicht dazu genutzt werden, einen Nutzer tage- oder websiteübergreifend zu verfolgen.
Keine dauerhaften Identifikatoren: Anders als Google Analytics speichern Cookieless-Tools nichts im Browser des Besuchers. Keine Cookies, kein localStorage, keine IndexedDB. Endet die Sitzung, geht die Verbindung zwischen Besucher und seinen Daten verloren.
Serverseitige Verarbeitung: Die Daten werden auf dem Server verarbeitet, nicht im Browser. Das macht clientseitigen Speicher überflüssig und das Tool in den meisten Fällen für Werbeblocker unsichtbar.
IP-Anonymisierung: Die meisten Privacy-First-Tools hashen oder verwerfen IP-Adressen, bevor überhaupt Daten gespeichert werden, sodass keine personenbezogenen Daten zurückbleiben.

Da auf dem Gerät des Nutzers keine personenbezogenen Daten gespeichert und keine dauerhaften Identifikatoren erzeugt werden, benötigen diese Tools im Regelfall keine Einwilligung nach der DSGVO. Mehrere europäische Datenschutzbehörden haben diese Auslegung bestätigt: Die französische CNIL etwa hat eine Liste von Analytics-Tools veröffentlicht, die ohne Einwilligung genutzt werden dürfen, sofern sie bestimmte Kriterien zu Datenminimierung und Zweckbindung erfüllen.

Die besten Alternativen zu Google Analytics

1. Plausible Analytics

Plausible ist ein Analytics-Tool mit Sitz in der EU (Hauptsitz in Estland), das sich rasch zu einer der beliebtesten Privacy-First-Alternativen entwickelt hat. Es ist vollständig Open Source, extrem schlank (unter 1 KB JavaScript) und darauf ausgelegt, wesentliche Kennzahlen ganz ohne Cookies oder personenbezogene Datenerhebung zu liefern.

Vollständig innerhalb der EU gehostet (Hetzner-Rechenzentren in Deutschland und Finnland)
Keine Cookies, kein localStorage, kein Fingerprinting
Übersichtliches, intuitives Dashboard mit sofortigem Ladeverhalten
Ziel-Conversions, benutzerdefinierte Events und UTM-Parameter-Tracking
Umsatz-Tracking für E-Commerce
Ab 9 EUR/Monat (abhängig von den Seitenaufrufen)

Plausible steht auf der Liste der von der CNIL empfohlenen Tools und wurde von mehreren Datenschutzexperten unabhängig geprüft. Seine Einfachheit ist zugleich Stärke und Grenze: Wer erweiterte Segmentierung, Kohortenanalysen oder Rohdaten-Exporte benötigt, könnte an Grenzen stoßen.

2. Fathom Analytics

Fathom ist ein kanadisches Unternehmen mit EU-Datenisolation (alle Daten von EU-Besuchern werden ausschließlich in Frankfurt, Deutschland, verarbeitet und gespeichert). Der Ansatz ähnelt dem von Plausible: keine Cookies, keine personenbezogenen Daten, keine Einwilligung erforderlich: bietet jedoch einen leicht abweichenden Funktionsumfang.

Privacy-First-Architektur mit „intelligentem Routing“, das EU-Daten in der EU hält
Keine Cookies, kein Einwilligungsbanner für Analytics erforderlich
Benutzerdefinierte Events, UTM-Tracking und API-Zugriff
E-Mail-Berichte und Uptime-Monitoring
Ab 14 USD/Monat

Fathom genießt bei unabhängigen Entwicklern und kleinen Unternehmen einen guten Ruf. Das Dashboard ist übersichtlich und schnell, und das Unternehmen ist transparent bezüglich seiner Datenverarbeitungspraktiken. Ein bemerkenswertes Feature ist die Fähigkeit, die meisten Werbeblocker zu umgehen, da das Tracking-Skript per CNAME-Einrichtung von der eigenen Domain ausgeliefert wird.

3. Matomo

Matomo (ehemals Piwik) ist die funktionsreichste verfügbare Privacy-First-Analytics-Plattform. Anders als Plausible und Fathom kann Matomo selbst gehostet werden, was Ihnen die vollständige Kontrolle über Ihre Daten gibt. Zudem bietet es einen Cookieless-Tracking-Modus, der in der Konfiguration aktiviert werden kann.

Open Source mit großer Community und Plugin-Ökosystem
Self-Hosting-Option (kostenlos) oder Cloud-Hosting (ab 19 EUR/Monat)
Cookieless-Modus verfügbar (gehashte Sitzungen ohne dauerhafte Identifikatoren)
Erweiterte Funktionen: Heatmaps, Session-Recordings, A/B-Tests, Funnels
Volle Datenhoheit beim Self-Hosting
Bei korrekter Konfiguration CNIL-konform

Der Kompromiss bei Matomo ist die Komplexität. Der Aufbau einer selbst gehosteten Instanz erfordert Server-Administrationskenntnisse, und selbst die Cloud-Version hat eine steilere Lernkurve als Plausible oder Fathom. Für Organisationen, die eine voll ausgestattete, datenschutzkonforme Analytics-Plattform benötigen, ist Matomo jedoch kaum zu übertreffen.

4. Simple Analytics

Getreu seinem Namen treibt Simple Analytics den Minimalismus auf die Spitze. Es erfasst nur das Nötigste: Seitenaufrufe, Referrer, Gerätetypen, Länder: und nichts weiter. Ein Konzept von „Nutzern“ oder „Sitzungen“ im klassischen Sinne gibt es nicht.

100 % cookiefrei, keine personenbezogenen Daten erfasst
DSGVO-, CCPA- und PECR-konform ohne Einwilligungsbanner
Daten werden in den Niederlanden gespeichert
KI-gestützte Insights und Ziel-Tracking
Performance-Tracking für Tweets und Blogbeiträge
Ab 9 USD/Monat

5. Pirsch Analytics

Pirsch ist ein datenschutzfreundliches Analytics-Tool aus Deutschland, das sämtliche Daten innerhalb der EU verarbeitet. Es bietet eine serverseitige Tracking-Option, die es für Werbeblocker vollständig unsichtbar macht.

Deutsches Unternehmen, Daten werden in Deutschland verarbeitet und gespeichert
Serverseitige und clientseitige Tracking-Optionen
Keine Cookies, DSGVO-konform ohne Einwilligung
Benutzerdefinierte Events, Conversion-Ziele, UTM-Parameter
Ab 4 EUR/Monat

Mit Cookieless Analytics erfassen Sie 100 % Ihrer Besucher, nicht nur diejenigen, die zugestimmt haben. Das beseitigt die „Einwilligungslücke“, die klassische Analytics in Europa unzuverlässig macht.

Kann man Google Analytics ohne Cookies nutzen?

Google Analytics 4 (GA4) hat eine Funktion namens „Cookieless Pings“ (auch bekannt als „Consent Mode Modeling“) eingeführt, die versucht, das Nutzerverhalten zu schätzen, wenn keine Cookies verfügbar sind. Ist Google Consent Mode v2 implementiert und lehnt ein Nutzer die Einwilligung ab, sendet GA4 „Cookieless Pings“: begrenzte Datensignale ohne Cookies oder Nutzeridentifikatoren. Google nutzt anschließend maschinelles Lernen, um die fehlenden Daten zu modellieren und Lücken in Ihren Berichten zu schließen.

Es gibt jedoch wichtige Einschränkungen. Erstens haben europäische Datenschutzbehörden: darunter die CNIL und die österreichische DSB: darauf hingewiesen, dass selbst Cookieless Pings eine einwilligungspflichtige Datenerhebung darstellen können, weil dabei Daten an Googles Server übertragen werden. Zweitens handelt es sich bei den modellierten Daten um eine Schätzung, keine tatsächliche Messung. Ihre Genauigkeit hängt von einer ausreichend großen Stichprobe zustimmender Nutzer ab (Google empfiehlt mindestens 1.000 Events pro Tag für eine verlässliche Modellierung). Drittens werden die Daten weiterhin von Google verarbeitet, sodass Bedenken hinsichtlich der Datenübertragung nach der DSGVO bestehen bleiben können.

Aus diesen Gründen entscheiden sich viele datenschutzbewusste Organisationen dafür, ein dediziertes Cookieless-Analytics-Tool als Basismessung einzusetzen und Google Analytics als optionale Ebene für tiefergehende Analysen beizubehalten: geladen nur dann, wenn der Nutzer zustimmt.

Wie Sie das richtige Cookieless-Analytics-Tool auswählen

Berücksichtigen Sie bei der Bewertung von Alternativen folgende Kriterien:

Datenstandort: Wo werden die Daten gespeichert und verarbeitet? Für die DSGVO-Konformität ist EU-Hosting stark zu bevorzugen.
Funktionstiefe: Benötigen Sie nur Seitenaufrufe und Referrer, oder brauchen Sie benutzerdefinierte Events, Conversion-Funnels, E-Commerce-Tracking und API-Zugriff?
Widerstandsfähigkeit gegen Werbeblocker: Manche Tools (Fathom, Pirsch) bieten CNAME-Proxying oder serverseitiges Tracking, das die meisten Werbeblocker umgeht. Andere (Plausible, Simple Analytics) werden gelegentlich blockiert, weil ihre Skripte von bekannten Domains ausgeliefert werden.
Self-Hosting-Option: Ist volle Datenhoheit entscheidend, bieten Matomo und Plausible selbst gehostete Versionen an.
Integration mit bestehenden Tools: Kann das Analytics-Tool Daten in Ihre bestehenden Dashboards, Ihr CRM oder Ihre Reporting-Tools einspeisen?
Preis: Die meisten Cookieless-Tools berechnen nach monatlichen Seitenaufrufen. Vergleichen Sie die Preise bei Ihrem erwarteten Traffic-Niveau, nicht nur beim Einstiegstarif.

Wie Sie Cookieless und klassische Analytics kombinieren

Für viele Websites ist ein hybrider Ansatz, der beide Methoden kombiniert, am wirkungsvollsten:

Ebene 1: Cookieless Analytics (immer aktiv): Installieren Sie ein Privacy-First-Tool wie Plausible oder Fathom, das ohne Einwilligung läuft. Das liefert Ihnen verlässliche Basiskennzahlen für 100 % Ihres Traffics: Seitenaufrufe, Referrer, Gerätetypen, geografische Verteilung und einfaches Conversion-Tracking.
Ebene 2: Google Analytics (einwilligungsabhängig): Behalten Sie GA4 für tiefergehende Analysen bei, laden Sie es aber erst, nachdem der Nutzer über Ihr Cookie-Banner zugestimmt hat. Nutzen Sie GA4 für Zielgruppensegmentierung, detaillierte Conversion-Pfade, die Integration mit Google Ads und andere Funktionen, die eine dauerhafte Nutzeridentifikation erfordern.

Dieser hybride Ansatz vereint das Beste aus beiden Welten: vollständige, unverzerrte Traffic-Daten aus Ihrem Cookieless-Tool und detaillierte Verhaltenseinblicke aus GA4 für den Teil der Nutzer, die zugestimmt haben. Sie können die beiden Datenquellen abgleichen, um Verzerrungen durch die Einwilligungslücke in Ihren GA4-Berichten zu erkennen und zu korrigieren.

Praktische Tipps zur Umsetzung

Hier sind konkrete Schritte für den Einstieg in Cookieless Analytics:

Beginnen Sie mit einem Parallelbetrieb. Lassen Sie Ihr Cookieless-Tool mindestens 30 Tage lang parallel zu Google Analytics laufen, bevor Sie Entscheidungen treffen. Vergleichen Sie die Daten, um zu verstehen, wie sich die Einwilligungslücke auf Ihre aktuellen Kennzahlen auswirkt.
Richten Sie benutzerdefinierte Events ein. Die meisten Cookieless-Tools unterstützen benutzerdefinierte Events (Button-Klicks, Formularabsendungen, Downloads). Konfigurieren Sie diese, um die für Ihr Unternehmen wichtigsten Conversions zu erfassen.
Verwenden Sie UTM-Parameter konsequent. Cookieless-Tools verlassen sich für das Kampagnen-Tracking auf URL-Parameter. Stellen Sie sicher, dass alle Ihre Marketingkampagnen UTM-Tags verwenden, damit der Traffic korrekt zugeordnet werden kann.
Konfigurieren Sie Ihre CMP korrekt. Nutzen Sie einen hybriden Ansatz, stellen Sie sicher, dass Ihre Consent-Management-Plattform (wie Consentio) Google Analytics zuverlässig blockiert, bis eine Einwilligung vorliegt, während Ihr Cookieless-Tool sofort laufen darf.
Überprüfen Sie Ihre Datenschutzerklärung. Auch wenn Cookieless-Tools keine Einwilligung erfordern, sollten Sie sie aus Gründen der Transparenz weiterhin in Ihrer Datenschutzerklärung erwähnen. Erläutern Sie, welche Daten erfasst werden, wie sie verarbeitet werden und wo sie gespeichert werden.

Mit Consentio ist die Verwaltung dieses hybriden Setups unkompliziert. Unsere Plattform ermöglicht es Ihnen festzulegen, welche Skripte eine Einwilligung erfordern und welche sofort laufen dürfen. Ihr Cookieless-Analytics-Tool lädt mit der Seite, während Google Analytics und andere cookie-abhängige Skripte auf die Einwilligung des Nutzers warten: alles gesteuert über eine einfache, visuelle Oberfläche.