Website-Erfolg ohne Cookie-Banner messen: Datenschutzfreundliche Analyse für KMU

Kurzantwort: Eine Website kann wichtige Erfolgsdaten messen, ohne Cookies, Local Storage, Drittanbieter-Skripte oder dauerhafte Besucherprofile einzusetzen. Für viele kleine Unternehmenswebsites reichen Seitenaufrufe, aufgerufene Pfade, Referrer-Domains, grobe Geräte- und Browserklassen sowie klar definierte Klick- oder Formularereignisse. „Ohne Cookies“ bedeutet jedoch nicht automatisch „ohne Datenschutzprüfung“ oder „garantiert ohne Einwilligung“: Auch serverseitige Verarbeitung, technische Kennungen und der konkrete Zweck müssen bewertet und transparent beschrieben werden.

Genau aus diesem Grund nutzt DOSIGNY eine eigene, datensparsame First-Party-Analyse. Sie beantwortet geschäftliche Fragen, ohne einen einzelnen Menschen über Tage und Geräte hinweg verfolgen zu wollen. In diesem Beitrag zeige ich, was damit möglich ist, wo die Grenzen liegen und wie ein KMU die richtige Messstrategie auswählt.

Warum viele Unternehmen überhaupt messen sollten

Eine Website soll nicht nur existieren. Sie soll verstanden werden, Vertrauen aufbauen und passende Anfragen erzeugen. Ohne Messung bleiben selbst einfache Fragen offen:

• Welche Leistungsseiten werden tatsächlich aufgerufen?
• Kommen Besucher über Google, Empfehlungen, Social Media oder direkt?
• Wird die Website überwiegend mobil genutzt?
• Welche kostenlosen Tools bringen Reichweite?
• Auf welchen Seiten werden Kontaktwege oder der Website-Check genutzt?
• Führt eine technische oder inhaltliche Änderung zu mehr relevanten Handlungen?

Dafür braucht ein kleiner Dienstleister nicht zwingend ein System, das vollständige Nutzerreisen, Werbezielgruppen und wiederkehrende Personenprofile erstellt. Häufig genügt eine gute Antwort auf die Frage: Welche Seite und welcher Kanal tragen zu einer gewünschten Handlung bei?

Was „cookiefreie Analyse“ technisch bedeutet

Cookies sind Informationen, die eine Website im Browser speichern und später wieder auslesen kann. Ähnliche Funktionen können auch Local Storage, bestimmte Gerätekennungen oder andere Speicher- und Zugriffstechniken übernehmen. Das TDDDG schützt in § 25 die Privatsphäre von Endeinrichtungen und stellt Speicherung beziehungsweise Zugriff grundsätzlich unter einen Einwilligungsvorbehalt, soweit keine Ausnahme greift.

Eine cookiefreie Analyse verzichtet mindestens auf diese browserseitigen Analysekennungen. Das allein beantwortet aber noch nicht jede Datenschutzfrage. Bei einem Seitenaufruf fallen auf dem Server zwangsläufig technische Daten an, darunter üblicherweise die IP-Adresse und der User-Agent. Werden daraus Kennungen gebildet, Daten gespeichert oder verschiedene Aufrufe zusammengeführt, muss auch diese Verarbeitung nach DSGVO und den tatsächlichen Zwecken beurteilt werden.

Die seriöse Aussage lautet deshalb nicht „ohne Cookie immer rechtssicher“, sondern: Je weniger Daten, Speichertechniken, Drittanbieter und Wiedererkennung eine Analyse nutzt, desto kleiner werden Datenschutzrisiko und technische Abhängigkeit – die konkrete rechtliche Bewertung bleibt trotzdem erforderlich.

Was DOSIGNY aktuell erfasst – und was bewusst nicht

Die eigene Analyse läuft ausschließlich auf der Live-Website. Staging-Aufrufe werden nicht gezählt. Der Browser sendet kleine First-Party-Ereignisse an einen Endpunkt derselben Domain; kein Analyseanbieter wird eingebunden.

Gespeichert werden:

• URL-Pfad: zum Beispiel /webdesign.php, aber keine Query-Parameter und kein Fragment.
• Referrer-Hostname: zum Beispiel google.com oder chatgpt.com, nicht die vollständige vorherige URL.
• Geräteklasse: Desktop, Mobil oder Tablet.
• Browserklasse: beispielsweise Safari, Firefox, Chrome oder Edge.
• Zeit: für eine stündliche Verteilung der Seitenaufrufe.
• definierte Ereignisse: nur Klicks auf Elemente, die im eigenen HTML ausdrücklich mit einem erlaubten Messnamen versehen wurden.

Nicht gespeichert werden im Analytics-Datensatz:

• keine rohe IP-Adresse,
• kein vollständiger User-Agent,
• keine vollständige Referrer-URL,
• keine Such- oder Formularinhalte,
• keine E-Mail-Adresse oder Telefonnummer,
• kein Cookie, Local Storage oder Session Storage,
• keine dauerhafte, browserübergreifende Besucher-ID,
• keine Weitergabe an einen Analyse-Drittanbieter.

Für die Kennzahl „Besucher“ wird aus dem User-Agent und dem Kalendertag eine grobe Hash-Gruppierung erzeugt. Sie soll denselben Browser an einem Tag nicht bei jedem Seitenaufruf als neue Person zählen. Das ist ausdrücklich ein Schätzwert: Mehrere Menschen mit derselben Browserkonfiguration können zusammenfallen; dieselbe Person kann auf einem anderen Gerät oder am nächsten Tag erneut zählen. Die Gruppierung eignet sich nicht zur Identifikation und nicht für langfristige Nutzerprofile.

Welche Geschäftsfragen sich damit beantworten lassen

Welche Seiten tragen Reichweite?

Die Zahl der Seitenaufrufe zeigt, ob vor allem Blogartikel, kostenlose Tools, Standortseiten oder Leistungen besucht werden. Das verhindert eine typische Fehlinterpretation: Viel Traffic ist nicht automatisch viel Nachfrage. Eine stark frequentierte Rechnerseite braucht eine andere Weiterführung als eine konkrete Angebotsseite.

Woher kommt der Besuch?

Der Referrer-Hostname macht sichtbar, ob Besuche beispielsweise von Suchmaschinen, KI-Diensten, Empfehlungen oder Social-Plattformen kommen. Weil nur die Domain gespeichert wird, gehen Detailinformationen verloren – zugleich wird nicht festgehalten, welche konkrete fremde Unterseite jemand zuvor besucht hat.

Ist die Website mobil stark genug?

Geräteklassen zeigen, welchen Anteil Mobilgeräte haben. Diese Kennzahl ersetzt keinen Usability-Test, setzt aber Prioritäten. Wenn ein Großteil der Besuche mobil stattfindet, dürfen Formular, Navigation und wichtigste Handlungsaufforderung nicht nur am Desktop überzeugen.

Werden relevante Kontaktwege genutzt?

Bei klar definierten Elementen lässt sich ein Klickereignis zählen: etwa ein Website-Check, eine Projektanfrage oder ein Kontakt-CTA. Freie Buttontexte, URL-Parameter und Formulardaten werden nicht als beliebige Eventnamen übernommen. Dadurch bleibt die Statistik auf zuvor festgelegte Geschäftsereignisse begrenzt.

Hat eine Änderung wahrscheinlich geholfen?

Wenn vor einer Anpassung ein Ausgangswert dokumentiert wird, kann anschließend verglichen werden. Beispiel: Eine Leistungsseite bekommt eine klarere Einleitung, einen früheren Website-Check und einen konkreteren CTA. Danach werden Aufrufe und definierte Handlungen in einem gleich langen Zeitraum betrachtet.

Das beweist nicht jede Ursache wissenschaftlich. Saison, Trafficmix und andere Änderungen wirken mit. Für kleine Unternehmenswebsites reicht es aber oft, um schlechte Hypothesen früh zu erkennen und gute Änderungen kontrolliert weiterzuentwickeln.

Was mit diesem Ansatz bewusst nicht möglich ist

Datensparsamkeit hat Konsequenzen. Wer weniger sammelt, kann weniger auswerten. Die DOSIGNY-Analyse beantwortet deshalb nicht:

• ob dieselbe Person nach zwei Wochen zurückgekehrt ist,
• welche geräteübergreifende Customer Journey ein Kunde hatte,
• Alter, Geschlecht, Interessen oder demografische Zielgruppen,
• jede einzelne Scrolltiefe oder Mausbewegung,
• eine personenbezogene Zuordnung von Seitenbesuchen zu einer Kontaktanfrage,
• eine exakte Zahl weltweit eindeutiger Menschen.

Für personalisierte Werbung, umfangreiche Funnels oder große Onlineshops kann ein anderes Messkonzept erforderlich sein. Dann steigen jedoch Technik-, Einwilligungs- und Dokumentationsaufwand. Das Werkzeug muss zum Geschäftsmodell passen.

Braucht cookiefreie Analyse einen Cookie-Banner?

Ein Cookie-Banner ist kein allgemeines Datenschutz-Zertifikat. Er ist eine Oberfläche, um erforderliche Einwilligungen einzuholen und zu verwalten. Ob er benötigt wird, hängt von den eingesetzten Speicher- und Zugriffstechniken sowie den weiteren Verarbeitungen ab.

Wenn eine Analyse keine Informationen im Endgerät speichert oder daraus ausliest, ist der klassische Cookie-Sachverhalt aus § 25 TDDDG anders gelagert als bei einer dauerhaften Analyse-ID im Browser. Trotzdem können serverseitige Daten personenbezogen oder personenbeziehbar sein. Dann braucht die Verarbeitung eine Rechtsgrundlage nach DSGVO, muss erforderlich und verhältnismäßig sein und gehört in die Datenschutzinformation.

Die BfDI-Information zu Cookies und Tracking-Technologien macht zudem deutlich, dass technisch nicht notwendige Tracking-Technologien grundsätzlich eine Einwilligung erfordern. Ob ein konkreter cookiefreier Aufbau ohne Banner betrieben werden kann, sollte daher anhand des tatsächlichen Codes, der Server-Logs, Zwecke, Speicherdauer und Datenflüsse geprüft werden – nicht anhand eines Marketingetiketts.

Hinweis: Dieser Beitrag beschreibt technische und organisatorische Grundsätze und ist keine Rechtsberatung.

Sieben Regeln für eine wirklich datensparsame Analyse

1. Nur Fragen messen, die zu einer Entscheidung führen

„Weil man es messen kann“ ist kein Zweck. Definiere zuerst, welche Entscheidung eine Kennzahl unterstützt. Alles andere kann entfallen.

2. Query-Parameter und Fragmente entfernen

URLs können Kampagnenkennungen, Suchbegriffe, Sitzungswerte oder versehentlich personenbezogene Daten enthalten. Für eine Seitenstatistik reicht meist der Pfad.

3. Referrer auf den Host reduzieren

Die Herkunfts-Domain beantwortet häufig die Kanalfrage. Die komplette vorherige URL liefert mehr Details, erhöht aber zugleich den Datenumfang und kann sensible Pfade enthalten.

4. Keine freien Ereignisnamen akzeptieren

Ein Analysesystem sollte nicht ungeprüft Buttontexte, Formularwerte oder beliebige Browserdaten speichern. Erlaubte Events werden vorher festgelegt und serverseitig validiert.

5. Rohdaten und Kennungen kurz halten

Eine tägliche grobe Gruppierung ist weniger eingriffsintensiv als eine jahrelang stabile Besucher-ID. Auch Hashes sind nicht automatisch anonym; Zweck, Eingabedaten und Verknüpfbarkeit zählen.

6. Staging und interne Tests ausschließen

Testbesuche verfälschen Kennzahlen. Eine Staging-Website sollte zudem keine Daten in die Live-Analyse senden. Bei DOSIGNY ist die Messung dort technisch deaktiviert.

7. Datenschutzerklärung an den Code anpassen

Eine Standardvorlage hilft wenig, wenn sie einen anderen Dienst beschreibt. Dokumentiert werden müssen der echte Anbieter, Zweck, Datenumfang, Rechtsgrundlage, Speicherdauer, Empfänger und die Rechte betroffener Personen.

Search Console und First-Party-Analyse zusammen nutzen

Google erklärt den Unterschied treffend: Die Search Console zeigt Vorgänge in der Google-Suche vor dem Besuch; ein Analysesystem beschreibt Interaktionen auf der eigenen Website. Beide Messwelten berechnen anders und werden deshalb nie exakt dieselben Zahlen liefern.

Ein sinnvoller Ablauf für SEO, GEO und AEO ist:

1. In Search Console erkennen, welche Suchanfragen und Seiten Impressionen oder Klicks erhalten.
2. Im neuen KI-Bericht prüfen, welche URLs in AI Overviews und AI Mode sichtbar sind.
3. In der eigenen Analyse sehen, welche Landingpages tatsächlich aufgerufen werden.
4. Definierte Kontakt- und Website-Check-Ereignisse beobachten.
5. Eine konkrete Seite verbessern und den Zeitpunkt dokumentieren.
6. Nach einem vollständigen Vergleichszeitraum erneut bewerten.

So entsteht kein lückenloses Personenprofil, aber ein ausreichender Regelkreis für Website-Entscheidungen.

Welche Lösung passt zu welchem Unternehmen?

Lokaler Dienstleister oder Freelancer

Seiten, Referrer-Domains, Geräteklassen und Kontakt-Events reichen oft aus. Priorität haben Klarheit und echte Anfragen, nicht Werbeprofile.

Content-Website mit vielen Ratgebern

Zusätzlich werden Themencluster, Einstiegsseiten und interne Weiterklicks wichtig. Eine datensparsame Lösung kann das abbilden, wenn Ereignisse bewusst definiert sind.

Onlineshop

Produktansichten, Warenkorb, Checkout und Käufe verlangen eine genauere Konzeption. Zahlungs-, Shop- und Marketingdienste müssen gemeinsam geprüft werden; ein pauschaler „cookiefrei“-Schalter reicht nicht.

Unternehmen mit bezahlten Kampagnen

Kampagnenzuordnung und Conversion-Messung können zusätzliche Technologien erfordern. Hier müssen Datenbedarf, Plattformvorgaben, Einwilligung und wirtschaftlicher Nutzen sauber gegeneinander abgewogen werden.

Häufige Fragen zu Tracking ohne Cookies

Kann ich Besucher ohne Cookies exakt zählen?

Seitenaufrufe lassen sich zählen. Eindeutige Menschen lassen sich ohne stabile Kennung nur schätzen. Eine grobe Tagesgruppierung ist für Trends nützlich, aber keine exakte Personenmessung.

Ist ein Hash automatisch anonym?

Nein. Ein Hash kann je nach Eingabedaten und Verknüpfbarkeit weiterhin ein personenbeziehbares Pseudonym sein. Deshalb müssen auch gehashte Kennungen minimiert, begrenzt und rechtlich bewertet werden.

Kann ich erkennen, ob ein Besuch von ChatGPT kommt?

Wenn der Browser beim Wechsel einen Referrer übermittelt, kann dessen Hostname sichtbar werden. Viele Apps und Browser unterdrücken Referrer jedoch. Solche Besuche können dann als direkt erscheinen.

Ersetzt cookiefreie Analyse die Search Console?

Nein. Search Console liefert Suchanfragen, Impressionen, Klicks und Google-spezifische Berichte. Die eigene Analyse misst Vorgänge nach dem Aufruf auf der Website. Zusammen sind sie deutlich hilfreicher.

Ist eine Website ohne Cookie-Banner automatisch abmahnsicher?

Nein. Entscheidend sind alle tatsächlich eingebundenen Dienste, Speicherzugriffe, serverseitigen Verarbeitungen und Datenschutzinformationen. Auch Kontaktformulare, Karten, Videos, Schriften oder externe Widgets müssen geprüft werden.

Fazit: Erfolg messen, ohne jeden Besucher zu verfolgen

Datenschutzfreundliche Analyse bedeutet nicht, blind zu arbeiten. Sie bedeutet, nur die Daten zu erheben, die für reale Entscheidungen gebraucht werden. Für viele KMU ist ein schlanker First-Party-Ansatz sogar verständlicher als ein riesiges Dashboard: Welche Seite wurde besucht, woher kam der Aufruf und wurde ein sinnvoller nächster Schritt genutzt?

Wenn du wissen möchtest, welche Skripte, Cookies und externen Dienste deine Website tatsächlich lädt, starte mit dem kostenlosen DOSIGNY-Website-Check. Für eine individuelle, technisch nachvollziehbare Messlösung kannst du direkt eine unverbindliche Projektanfrage stellen.

Transparenzhinweis: Das Beitragsbild wurde mit generativer KI erstellt. Bei Recherche und Strukturierung des Artikels kamen KI-Werkzeuge unterstützend zum Einsatz. Inhalt, Quellenprüfung, Überarbeitung und Freigabe: Dominik Baurhenn.