Kommerzielles Tracking 2026: Wo deine Daten tatsächlich erfasst werden — und was dagegen hilft

Kommerzielles Tracking 2026: Wo deine Daten tatsächlich erfasst werden — und was dagegen hilft

Das Cookie-Banner ist das sichtbarste Element der Online-Werbung — und das unwichtigste. Während täglich unzählige Male „Alle ablehnen“ geklickt wird, läuft ein großer Teil der Datenerfassung an Stellen, die kein Browser-Dialog erreicht: auf den Servern der Seitenbetreiber, in den Bausteinen deiner Apps und in Echtzeit-Auktionen, die dein Profil in Sekundenbruchteilen an zahlreiche Bieter verteilen.

Eine Korrektur einer verbreiteten Annahme vorweg: Die „cookielose Zukunft" ist nicht gekommen. Safari und Firefox blockieren Cookies von Drittanbietern zwar standardmäßig, Chrome aber hat sie behalten — Google hat die geplante Abschaffung aufgegeben und die als Ersatz gedachten Techniken inzwischen eingestellt.

Das Ergebnis ist nicht weniger Tracking, sondern mehr Wege: Cookies, wo sie noch funktionieren, und daneben Verfahren, die ohne sie auskommen. Dieser Artikel zeigt, wo die Erfassung heute tatsächlich stattfindet — und welche Gegenmaßnahmen wirken.

Offenlegung, weil sie hier besonders zählt: vpnsafe.de verdient an VPN-Empfehlungen. Ein Abschnitt dieses Artikels erklärt, warum ein VPN gegen die meisten Tracking-Methoden wenig ausrichtet. Das gehört hierher und nicht ins Kleingedruckte.

Wo die Erfassung heute stattfindet

Auf dem Server statt im Browser

Beim serverseitigen Tracking sendet dein Browser die Daten nicht mehr direkt an Werbenetzwerke, sondern an den Server des Seitenbetreibers — der sie dann weiterreicht. Für Browser und Blocker sieht das aus wie ganz normaler Verkehr mit der besuchten Seite.

Das heißt nicht, dass es ohne Einwilligung erlaubt wäre — die rechtlichen Anforderungen gelten unabhängig davon, wo die Erfassung technisch passiert. Es heißt nur, dass du es nicht mehr siehst.

Erkennung ohne Speicherung

Beim sogenannten Fingerprinting wird nichts auf deinem Gerät abgelegt. Stattdessen werden Merkmale ausgelesen — Bildschirmauflösung, installierte Schriften, Browserversion, Zeitzone, Grafikeigenschaften — und zu einem Profil kombiniert, das oft eindeutig genug ist, um dich wiederzuerkennen.

Das Paradoxe daran: Jede zusätzliche Datenschutz-Erweiterung kann dich eindeutiger machen, weil sie deine Kombination von Merkmalen seltener macht. Wirksamer als Erweiterungen zu stapeln ist ein Browser, der solche Merkmale von sich aus vereinheitlicht.

Die E-Mail-Adresse als Kennung

Der Mechanismus, der am wenigsten bekannt ist und am meisten verbindet: Sobald du dich irgendwo mit deiner E-Mail-Adresse anmeldest, kann daraus eine verschlüsselte Kennung gebildet werden, die über viele Dienste hinweg gleich ist.

Solche Kennungen brauchen keine Cookies und verknüpfen dein Verhalten auf Seiten, die sonst nichts miteinander zu tun hätten. Das ist der Grund, warum Alias-Adressen — unterschiedliche Adressen für unterschiedliche Dienste — einer der wirksamsten Schutzmechanismen sind.

Der Handel hinter der Anzeige

Wenn eine Seite lädt, wird der Werbeplatz oft in Echtzeit versteigert. Mit der Anfrage gehen Informationen über dich an die Bieter — auch an die, die nicht gewinnen. Was sie mit diesen Daten tun, kontrollierst du nicht.

Dazu kommen Datenhändler, die Informationen aus vielen Quellen zusammenführen — Standortverläufe aus Apps, Kaufverhalten, abgeleitete Interessen — und als Profile oder Bewertungen weiterverkaufen.

Und ein Punkt, der die Sache ernster macht als Werbung: In einzelnen Ländern ist dokumentiert, dass staatliche Stellen solche Daten kaufen — statt sie auf rechtlichem Weg anzufordern. Kommerzielle Profile sind damit nicht nur ein Werbethema.

Was die Regulierung bewegt hat — und was nicht

Für sehr große Plattformen gelten inzwischen strengere Vorgaben, unter anderem zur Zusammenführung von Daten über verschiedene Dienste und zur Werbung gegenüber Minderjährigen. Für die vielen kleineren Akteure im Werbesystem ändert das wenig.

Einwilligung oder Bezahlabo

Viele Seiten bieten die Wahl: Tracking akzeptieren oder ein Abo zahlen. Aufsichtsbehörden haben dieses Modell vor allem bei großen Plattformen kritisch bewertet.

Für dich wichtig: Ein solches Abo heißt nicht automatisch trackingfrei. Lies nach, was genau entfällt — personalisierte Werbung, oder jede Datenerfassung? Oft ist es nur Ersteres.

Die Durchsetzungslücke

Die Regeln sind klarer als ihre Durchsetzung. Aufsichtsbehörden sind knapp besetzt, Verfahren dauern Jahre. Das ist der Grund, warum eigener Schutz nicht überflüssig wird, nur weil etwas verboten ist.

Das Telefon als Dauersender

Die Werbe-ID: der schnellste Gewinn

Beide großen Mobilbetriebssysteme vergeben eine Werbekennung, über die Apps dein Verhalten verknüpfen können.

Sie lässt sich in den Datenschutzeinstellungen löschen oder deaktivieren — und bei Apps lässt sich das Tracking über Apps hinweg ablehnen. Das dauert fünf Minuten und wirkt auf alle Apps gleichzeitig.

Die Bausteine in den Apps

Viele Apps enthalten Softwarebausteine von Werbe- und Analysefirmen, die Daten senden — auch bei Apps, deren Funktion damit nichts zu tun hat.

Der Schutz ist unspektakulär: Apps löschen, die du nicht nutzt. Berechtigungen prüfen — vor allem Standort. Eine Taschenlampen-App braucht keinen Standort.

Wer weiter gehen will, findet gehärtete Varianten mobiler Betriebssysteme — mit spürbaren Einschränkungen bei manchen Apps. Das ist ein Weg für Überzeugte, nicht der Standard.

Was ein VPN leistet — und was nicht

Der Abschnitt, bei dem dieser Blog gegen sein Geschäftsmodell schreibt.

Ein VPN verbirgt deine IP-Adresse gegenüber den besuchten Seiten und deinen Datenverkehr gegenüber dem Netzbetreiber. Das ist in öffentlichen Netzen und gegenüber dem Zugangsanbieter ein realer Schutz.

Gegen die meisten der oben beschriebenen Methoden hilft es aber nicht:

• Bist du angemeldet, wirst du über dein Konto erkannt — egal, über welche Adresse du kommst.
• Fingerprinting funktioniert unabhängig von der IP-Adresse.
• Serverseitiges Tracking und E-Mail-Kennungen berührt ein VPN nicht.
• Die Werbe-ID auf dem Telefon bleibt, wie sie ist.

Und du verlagerst Vertrauen: Statt deines Zugangsanbieters sieht dann der VPN-Anbieter deinen Verkehr. Ein Versprechen, nichts zu speichern, ist nur so viel wert wie seine unabhängige Prüfung — frag nach veröffentlichten Prüfberichten, statt es zu glauben.

Eingebaute Werbeblocker mancher Anbieter können helfen, ersetzen aber keinen gut eingestellten Browser.

Schutz in einer halben Stunde

• Den Browser wechseln oder härten — hier entscheidet sich das meiste. Ein Browser mit eingebautem Schutz gegen Fingerprinting und Drittanbieter-Cookies wirkt mehr als ein Stapel Erweiterungen.
• Eine, höchstens zwei Erweiterungen — ein Inhaltsblocker genügt meist.
• Werbe-ID auf dem Telefon löschen und App-übergreifendes Tracking ablehnen.
• Alias-Adressen für Anmeldungen nutzen, wo es geht.
• Einen DNS-Filter im Heimnetz einrichten — er blockiert bekannte Tracking-Adressen für alle Geräte gleichzeitig, auch für Fernseher und Konsolen.
• App-Berechtigungen durchgehen, vor allem Standort und Kontakte.

Deine Rechte nutzen

Du hast das Recht, von jedem Unternehmen zu erfahren, welche Daten es über dich speichert — woher sie stammen und an wen sie weitergegeben wurden.

Die Antwort muss grundsätzlich innerhalb eines Monats kommen; in begründeten Fällen kann die Frist verlängert werden, das muss dir aber mitgeteilt werden. Du kannst außerdem die Löschung verlangen und der Verarbeitung für Werbezwecke widersprechen.

Kommt keine Antwort, kannst du dich bei der Datenschutzaufsicht beschweren — das ist kostenlos. Die Verbraucherzentralen bieten Musterschreiben an.

Häufige Fehler

Praktische Handlungsempfehlungen September 2026

• Browser mit eingebautem Tracking-Schutz nutzen und Erweiterungen auf ein Minimum reduzieren.
• Werbe-ID löschen und App-übergreifendes Tracking ablehnen.
• Alias-Adressen für neue Anmeldungen einführen.
• DNS-Filter für das ganze Heimnetz einrichten.
• Ungenutzte Apps löschen und Berechtigungen prüfen.
• Ein VPN dort nutzen, wo es tatsächlich schützt — in fremden Netzen — und nach Prüfberichten fragen.
• Bei einem Dienst, der dich stört, Auskunft verlangen und gegebenenfalls widersprechen.

Fazit

Die „cookielose Zukunft" ist nicht gekommen — Chrome hat die Drittanbieter-Cookies behalten, und die als Ersatz gedachten Techniken sind eingestellt. Tracking ist dadurch nicht weniger geworden, sondern breiter: Cookies, wo sie funktionieren, und daneben serverseitige Erfassung, Fingerprinting und E-Mail-basierte Kennungen, die ohne Cookies auskommen.

Deshalb ist das Cookie-Banner der unwichtigste Hebel. Wirksamer sind ein Browser mit eingebautem Schutz, eine gelöschte Werbe-ID auf dem Telefon, Alias-Adressen und ein DNS-Filter für das ganze Heimnetz — zusammen in einer halben Stunde eingerichtet.

Und ein VPN, so nützlich es in fremden Netzen ist, hilft gegen die meisten dieser Methoden nicht: Angemeldet wirst du über dein Konto erkannt, und Fingerprinting braucht deine IP-Adresse nicht. Das zu sagen, gehört zu einem ehrlichen Artikel auf einem VPN-Blog dazu.

Quellen und weiterführende Informationen

• Bundesbeauftragte für den Datenschutz (bfdi.bund.de) und Aufsichtsbehörde deines Bundeslandes — Beschwerde und Hinweise zu Tracking.
• Verbraucherzentrale (verbraucherzentrale.de) — Musterschreiben für Auskunft und Widerspruch.
• Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de) — Browsereinstellungen und Absicherung.
• Datenschutzorganisation noyb (noyb.eu) — Verfahren und Einordnung zu Einwilligungsmodellen.
• Electronic Frontier Foundation (eff.org) — Werkzeug zur Prüfung der eigenen Fingerprint-Eindeutigkeit.
• Gesetze im Internet (gesetze-im-internet.de) und EUR-Lex (eur-lex.europa.eu) — § 25 TDDDG, DSGVO, Digital Services Act und Digital Markets Act.

Haftungsausschluss

Allgemeiner Hinweis und keine Rechtsberatung: Dieser Artikel auf vpnsafe.de dient der allgemeinen Information. Keine Maßnahme schützt vollständig vor Tracking; die beschriebenen Schritte verringern die Erfassung, schließen sie aber nicht aus. Tracking-Verfahren und Browser-Funktionen ändern sich laufend. Die Durchsetzung von Betroffenenrechten hängt vom Einzelfall ab; bei Streit mit einem Unternehmen kann rechtliche Beratung sinnvoll sein.

Zur Rechtslage: Seit dem 14. Mai 2024 gilt für den Zugriff auf Informationen in Endgeräten § 25 TDDDG, die Nachfolgeregelung des früheren TTDSG; er setzt grundsätzlich eine Einwilligung voraus, unabhängig davon, ob die Erfassung im Browser oder serverseitig erfolgt. Für die weitere Verarbeitung gelten die Vorgaben der DSGVO. Das Auskunftsrecht nach Art. 15 DSGVO ist grundsätzlich innerhalb eines Monats zu erfüllen, die Frist kann nach Art. 12 Abs. 3 DSGVO in begründeten Fällen verlängert werden. Gegen Verarbeitung zu Zwecken der Direktwerbung besteht nach Art. 21 Abs. 2 DSGVO ein Widerspruchsrecht. Beschwerden bei der Aufsichtsbehörde sind kostenfrei.

Zu VPN-Diensten und Offenlegung: Ein VPN verbirgt die IP-Adresse, schützt aber nicht vor Erkennung über angemeldete Konten, Fingerprinting, serverseitiges Tracking oder E-Mail-basierte Kennungen. Die Nutzung verlagert das Vertrauen vom Zugangsanbieter auf den VPN-Anbieter; Zusagen zur Datenspeicherung sind nur mit unabhängiger Prüfung belastbar. Einzelne Funktionen können mit Nutzungsbedingungen von Diensten kollidieren. vpnsafe.de nimmt an Partnerprogrammen teil; über gekennzeichnete Links kann eine Provision anfallen, ohne dass sich der Preis für dich verändert — bei einem Artikel, der die Grenzen von VPN-Diensten ausdrücklich benennt, gehört dieser Zusammenhang in deine Bewertung. Alle genannten Markennamen sind eingetragene Warenzeichen der jeweiligen Inhaber.

* Dieser Beitrag enthält Affiliate-Links. Bei einem Kauf oder Abschluss über diese Links erhalten wir eine kleine Provision – für dich entstehen keine Mehrkosten.