Cookieless Tracking: Website-Verhalten messen mit weniger Cookie-Hürden

Cookies waren jahrzehntelang der Standard-Mechanismus, um Besucher wiederzuerkennen. Genau diese Wiedererkennung hat sie zum Regulierungs-Gegenstand gemacht: § 25 TDDDG verlangt für das Speichern und Auslesen von Informationen auf dem Endgerät eine Einwilligung, sofern es nicht unbedingt erforderlich ist — und Analytics-Cookies sind es nicht.

Dazu kommt die technische Erosion: Browser beschränken Cookie-Laufzeiten, Third-Party-Cookies sind auf dem Rückzug, und Blocker filtern bekannte Tracking-Cookies. Ein Tool, dessen Kern an Cookies hängt, verliert dadurch Substanz — Microsoft dokumentiert das für Clarity selbst: Ohne Cookie-Consent kann Clarity laut eigener FAQ keine zusammenhängende User-Journey abbilden, Recordings und Funnels „might be impacted“, aus einem Besucher werden fragmentierte Einzel-Sessions (Stand: Juli 2026).

Die Wurzel des Problems ist also nicht das Cookie als Datei, sondern die Architektur-Entscheidung, Wiedererkennung auf einem Mechanismus aufzubauen, der Einwilligungs-Pflichten, Laufzeit-Limits und Blocker gegen sich hat.

Cookieless heißt bei visz.ai wörtlich: Im gesamten Tracker gibt es keinen Cookie-Zugriff. Das Snippet legt keine First-Party- und keine Third-Party-Cookies ab — es gibt schlicht keinen Code-Pfad dafür.

Wiedererkennung funktioniert stattdessen so: Nach der Einwilligung speichert der Tracker eine anonyme, zufällige ID im localStorage des Browsers — pro Website (first-party), ohne Cross-Site-Tracking und ohne Fingerprinting. Die ID ist ein Zufallswert, kein Profil. Vor der Einwilligung wird auch sie nicht angelegt.

Und wenn der Browser den Speicherzugriff verweigert? Dann fällt der Tracker auf eine In-Memory-ID zurück, die mit dem Tab endet. Der Besuch wird trotzdem gemessen — als einzelne Session, ohne Wiedererkennung. Das ist der Datenqualitäts-Punkt: Ein cookieloses Snippet bricht nicht, wenn Cookies blockiert werden, weil es nie welche gebraucht hat.

Jetzt der Teil, den unseriöses Marketing weglässt: Cookieless heißt nicht consent-frei. § 25 TDDDG erfasst jedes Speichern und Auslesen von Informationen auf dem Endgerät — der localStorage-Eintrag fällt genauso darunter wie ein Cookie. Und Session Recordings brauchen ohnehin eine Einwilligung nach Art. 6 DSGVO, völlig unabhängig vom Speichermechanismus.

Deshalb ist visz.ai konsequent consent-first gebaut: Vor der Einwilligung gibt es null Events, null Aufnahmen, null Fingerprints. Ein gesetztes „Do Not Track“-Signal stoppt das Tracking komplett — es gewinnt gegen alles. Das Snippet ist dafür gebaut, hinter einem Consent-Banner zu laufen, und unterstützt Google Consent Mode.

Praktisch heißt das keinen Mehraufwand: Du verdrahtest deinen bestehenden Banner über einen einzigen JS-Aufruf (visz('consent', true)), über Google Consent Mode v2 — visz.ai liest analytics_storage — oder ganz ohne Code-Änderung über einen CSS-Selektor auf deinen „Akzeptieren“-Button im Dashboard. Gängige Consent-Plattformen wie Cookiebot, Usercentrics oder Borlabs Cookie funktionieren damit direkt.

Wer dir „Verhaltens-Analytics ohne Consent-Banner“ verspricht, verspricht etwas, das mit Recordings und Wiedererkennung rechtlich nicht sauber funktioniert. Die ehrliche Formulierung lautet: weniger Cookie-Hürden — nicht null Pflichten.

Wenn der Banner bleibt — was bringt cookieless dann konkret? Vier Dinge, alle nachprüfbar:

Cookieless ist kein Trick, um die DSGVO zu umgehen — es ist eine Architektur-Entscheidung, die das Tracking-Setup einfacher, robuster und datensparsamer macht. Die Einwilligung deiner Besucher bleibt die Grundlage; sie ist bei visz.ai nicht Beiwerk, sondern Voraussetzung dafür, dass überhaupt Daten fließen.

So herum wird ein ehrliches Angebot daraus: Ein kostenloses Behavior-Analytics-Tool, das ohne Cookies auskommt, vor dem Consent nichts erfasst und deine Besucherdaten für nichts außer deiner Analyse nutzt. Weniger Hürden — bei vollem Respekt vor der einen Hürde, die bleiben muss.