Was Unternehmen und Mitarbeitende wissen sollten

Cookies gehören zum Alltag der Internetnutzung. Fast jede Website, die wir im Browser öffnen, arbeitet in irgendeiner Form mit Cookies oder vergleichbaren Technologien. Sie sorgen beispielsweise dafür, dass eine Website sich an einen Warenkorb erinnert, einen angemeldeten Benutzer erkennt oder bestimmte Einstellungen speichert.

Gleichzeitig sind Cookies immer wieder Gegenstand von Diskussionen über Datenschutz und Datensicherheit. Das liegt vor allem daran, dass Cookies nicht nur für technisch notwendige Funktionen eingesetzt werden können. Sie können – je nach Art und Einsatz – auch dazu dienen, das Verhalten von Nutzern über Websites hinweg zu analysieren, Profile zu erstellen oder personalisierte Werbung auszuspielen.

Gerade im Unternehmensumfeld ist deshalb ein bewusster Umgang mit Cookies sinnvoll. Dabei geht es allerdings nicht darum, grundsätzlich alle Cookies zu blockieren oder regelmäßig sämtliche Browserdaten zu löschen. Entscheidend ist vielmehr, zu verstehen, welche Aufgabe Cookies erfüllen, welche Risiken bestehen und welche Maßnahmen im konkreten Arbeitsalltag sinnvoll sind.

Was sind Cookies eigentlich?

Cookies sind kleine Datenpakete, die eine Website im Browser eines Nutzers speichern kann. Technisch handelt es sich häufig um Textinformationen, die vom Browser auf dem Endgerät abgelegt und bei späteren Zugriffen wieder an den jeweiligen Webdienst übermittelt werden.

Ein Cookie kann beispielsweise Informationen enthalten wie:

• eine zufällig erzeugte Sitzungskennung,

• eine Spracheinstellung,

• eine Auswahl in einem Online-Formular,

• Informationen über einen Warenkorb,

• den Status einer Anmeldung oder

• eine Kennung, anhand derer ein Browser wiedererkannt werden kann

Ein Cookie ist dabei nicht mit einem Programm oder einer klassischen Datei wie einem Word-Dokument vergleichbar. Ein Cookie führt selbst normalerweise keinen Programmcode aus. Seine Bedeutung entsteht vielmehr dadurch, dass eine Website die darin enthaltenen Informationen beim nächsten Zugriff wieder auswertet.

Ein einfaches Beispiel:

Sie melden sich in einem Unternehmensportal an. Der Server muss bei jedem Seitenaufruf wissen, welcher angemeldete Benutzer die Anfrage stellt. Dafür kann der Browser ein Cookie mit einer Sitzungskennung erhalten. Bei weiteren Seitenaufrufen wird diese Kennung mitgesendet. Der Server kann dadurch die einzelnen Anfragen derselben Sitzung zuordnen.

Ohne eine solche Technik müssten viele Websites bei jedem Seitenwechsel erneut feststellen, wer der Benutzer ist.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beschreibt beispielsweise bei ihrem eigenen Forum den Einsatz technisch notwendiger Session-Cookies. Diese dienen dort unter anderem dazu, registrierte Nutzer wiederzuerkennen und die Navigation zu erleichtern; sie werden spätestens beim Schließen des Browsers gelöscht. (forum.bfdi.bund.de)

Warum gibt es Cookies überhaupt?

Das Web ist grundsätzlich zustandslos aufgebaut. Vereinfacht gesagt behandelt ein Webserver einzelne Anfragen zunächst unabhängig voneinander.

Wenn Sie beispielsweise eine Website öffnen, anschließend auf eine Unterseite wechseln und danach ein Formular ausfüllen, muss der Server nicht automatisch wissen, dass alle drei Aktionen zum selben Benutzer beziehungsweise zur selben Sitzung gehören.

Cookies können dabei helfen, diesen Zusammenhang herzustellen.

Das macht zahlreiche alltägliche Funktionen erst praktikabel.

Beispiel: Anmeldung

Sie melden sich in einem Webportal mit Benutzername und Passwort an. Nach erfolgreicher Anmeldung erhält der Browser möglicherweise ein Session-Cookie.

Bei weiteren Seitenaufrufen wird dieses Cookie übertragen. Der Server erkennt dadurch, dass die Anfrage zu Ihrer bereits authentifizierten Sitzung gehört.

Beispiel: Sprache und Einstellungen

Eine Website kann sich beispielsweise merken, dass Sie Deutsch als Sprache ausgewählt haben. Beim nächsten Besuch muss diese Auswahl nicht erneut vorgenommen werden.

Beispiel: Warenkorb

Online-Shops können mit Cookies beziehungsweise ähnlichen Mechanismen erkennen, welche Produkte sich aktuell in einem Warenkorb befinden.

Beispiel: Analyse

Cookies können aber auch für Analysezwecke verwendet werden. Dabei kann beispielsweise erfasst werden, welche Seiten aufgerufen werden, wie lange Nutzer auf bestimmten Seiten bleiben oder über welchen Weg sie auf eine Website gelangt sind.

Hier beginnt der Bereich, in dem Cookies für Datenschutzfragen besonders relevant werden.

Welche Arten von Cookies gibt es?

Nicht jeder Cookie ist gleich. Für einen sinnvollen Umgang ist es deshalb hilfreich, verschiedene Kategorien auseinanderzuhalten.

1. Session-Cookies

Session-Cookies gelten grundsätzlich nur für die aktuelle Sitzung. Häufig werden sie beim Schließen des Browsers gelöscht.

Sie werden beispielsweise verwendet, um eine Anmeldung oder einen bestimmten Zustand während eines Website-Besuchs aufrechtzuerhalten.

Aus Unternehmenssicht können solche Cookies vollkommen normal und notwendig sein. Ein pauschales Löschen sämtlicher Session-Cookies würde bei vielen Webanwendungen dazu führen, dass Funktionen nicht mehr zuverlässig funktionieren.

2. Dauerhafte Cookies

Dauerhafte Cookies bleiben über die aktuelle Sitzung hinaus auf dem Gerät gespeichert.

Das kann sinnvoll sein, wenn sich eine Website beispielsweise eine bestimmte Einstellung merken soll.

Je länger ein Cookie gespeichert wird, desto wichtiger ist allerdings die Frage, ob die Speicherdauer tatsächlich für den vorgesehenen Zweck erforderlich ist.

Das Prinzip sollte deshalb lauten:

So viel Speicherung wie notwendig – aber nicht mehr als notwendig.

3. First-Party-Cookies

First-Party-Cookies werden von der Website gesetzt, die der Nutzer gerade besucht.

Besucht eine Mitarbeiterin beispielsweise das Unternehmensportal unternehmen.de, kann dieses Portal selbst Cookies setzen.

First-Party-Cookies können für viele funktionale Aufgaben eingesetzt werden, etwa für:

• Anmeldungen,

• Sitzungen,

• Spracheinstellungen,

• Sicherheitsfunktionen,

• Formulare oder

• individuelle Seiteneinstellungen

4. Third-Party-Cookies

Third-Party-Cookies stammen ursprünglich von einem anderen Anbieter als der gerade besuchten Website. Das kann beispielsweise passieren, wenn eine Website externe Dienste einbindet.

Historisch wurden solche Cookies insbesondere verwendet, um Nutzer über verschiedene Websites hinweg wiederzuerkennen und deren Surfverhalten zu analysieren.

Aus Datenschutzsicht sind solche Mechanismen besonders relevant, weil sie eine deutlich umfangreichere Nachverfolgung ermöglichen können.

5. Technisch notwendige Cookies

Technisch notwendige Cookies werden eingesetzt, wenn bestimmte Funktionen einer Website ohne sie nicht oder nicht sinnvoll funktionieren.

Dazu können beispielsweise Cookies gehören, die für eine Anmeldung, eine sichere Sitzung oder bestimmte technische Funktionen erforderlich sind.

Wichtig ist dabei die genaue Betrachtung des Einzelfalls. Nicht jedes Cookie, das ein Unternehmen gerne verwenden möchte, ist automatisch „technisch notwendig“.

Die BfDI weist ausdrücklich darauf hin, dass Cookies und ähnliche Technologien nur dann ohne Einwilligung eingesetzt werden können, wenn sie tatsächlich technisch unabdingbar sind, um den vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. (BFDI)

6. Analyse-, Marketing- und Tracking-Cookies

Eine andere Kategorie bilden Cookies, die beispielsweise für Reichweitenmessung, Marketing oder personalisierte Werbung eingesetzt werden.

Hier geht es nicht mehr nur darum, eine Website technisch funktionsfähig zu machen.

Solche Cookies können Informationen über das Nutzungsverhalten erfassen. Je nach technischer Gestaltung und Zusammenspiel mit anderen Daten können daraus umfangreiche Nutzungsprofile entstehen.

Genau deshalb sind solche Cookies aus Datenschutzsicht besonders kritisch zu betrachten.

Cookie bedeutet nicht automatisch Datenschutzproblem

Ein häufiger Fehler in der Diskussion über Cookies besteht darin, alle Cookies über einen Kamm zu scheren. Der Satz „Cookies sind gefährlich“ ist genauso wenig hilfreich wie die Aussage „Cookies sind harmlos“. Beides greift zu kurz.

Entscheidend sind vielmehr Fragen wie:

• Wer setzt den Cookie?

• Welchem Zweck dient er?

• Welche Informationen werden gespeichert?

• Wie lange bleibt der Cookie gespeichert?

• Wird die Information an weitere Stellen übermittelt?

• Kann der Nutzer dadurch wiedererkannt oder nachverfolgt werden?

• Ist der Cookie für die gewünschte Funktion tatsächlich erforderlich?

Erst die Antworten auf diese Fragen ermöglichen eine vernünftige Bewertung.

Auch die BfDI unterscheidet deutlich zwischen technisch notwendigen Cookies und Cookies, die beispielsweise für Werbung, Empfehlungen oder Messungen eingesetzt werden. Für letztere reicht die technische Notwendigkeit einer Website-Funktion grundsätzlich nicht als Begründung aus.

Was passiert beim Besuch einer Website?

Um die Funktionsweise besser zu verstehen, lohnt sich ein vereinfachter Blick auf den Ablauf.

Nehmen wir an, ein Mitarbeiter öffnet im Browser ein Unternehmensportal.

Schritt 1: Der Browser ruft die Website auf

Der Browser sendet eine Anfrage an den Webserver.

Schritt 2: Der Server antwortet

Der Server liefert die gewünschte Webseite aus. Dabei kann er dem Browser mitteilen, dass ein bestimmtes Cookie gespeichert werden soll.

Schritt 3: Der Browser speichert das Cookie

Der Browser legt das Cookie entsprechend den vorgegebenen Einstellungen ab.

Dabei können unter anderem Eigenschaften wie Gültigkeitsdauer, Domain oder Pfad relevant sein.

Schritt 4: Spätere Anfragen

Bei späteren passenden Anfragen kann der Browser das Cookie wieder an den Server senden.

Schritt 5: Der Server wertet die Information aus

Der Server kann die im Cookie enthaltene Information verwenden, um beispielsweise eine Sitzung zu erkennen oder eine Einstellung zu berücksichtigen.

Damit ist das Grundprinzip bereits erklärt: Ein Cookie ist vor allem ein Mechanismus, mit dem Informationen zwischen Browser und Webdienst über mehrere Anfragen hinweg erhalten bleiben können.

Cookies und personenbezogene Daten

Ein weiterer wichtiger Punkt: Ein Cookie enthält nicht zwangsläufig personenbezogene Daten.

Eine zufällig erzeugte technische Kennung ist für sich genommen beispielsweise nicht automatisch eine Information wie Name, Anschrift oder E-Mail-Adresse. Trotzdem kann ein Cookie datenschutzrechtlich relevant werden, wenn die darin enthaltene Kennung einer Person zugeordnet werden kann oder mit anderen Informationen zusammengeführt wird.

Aus Unternehmenssicht sollte deshalb nicht nur gefragt werden:

„Stehen in dem Cookie personenbezogene Daten?“

Sondern besser:

„Welche Informationen können mithilfe dieses Cookies über eine Person oder ein Gerät verarbeitet oder zugeordnet werden?“

Diese Perspektive ist wesentlich aussagekräftiger.

Cookies im Unternehmensumfeld

Im Unternehmen unterscheiden sich Cookies teilweise deutlich von der privaten Internetnutzung. Mitarbeitende nutzen häufig Webanwendungen wie:

• Intranet und Mitarbeiterportale,

• Cloud-Anwendungen,

• Kundenportale,

• CRM-Systeme,

• Projektmanagementsysteme,

• Dokumentenplattformen,

• Ticket- und Supportsysteme,

• Webmail,

• Videokonferenzlösungen oder

• externe Fachportale.

Viele dieser Anwendungen benötigen Cookies für bestimmte Funktionen.

Daraus folgt eine wichtige praktische Konsequenz:

Mitarbeitende sollten Cookies nicht grundsätzlich deaktivieren oder regelmäßig löschen.

Ein solches Vorgehen kann beispielsweise dazu führen, dass:

• Sitzungen beendet werden,

• gespeicherte Einstellungen verloren gehen,

• Formulare nicht mehr funktionieren,

• Webanwendungen unerwartet reagieren,

• Anmeldungen wiederholt erforderlich sind oder

• bestimmte Unternehmensanwendungen überhaupt nicht mehr nutzbar sind.

Die richtige Strategie ist daher nicht „alles löschen“, sondern bewusst und zweckorientiert mit Cookies umgehen.

Was sollten Mitarbeitende im Unternehmen tun?

Für den normalen Arbeitsalltag lassen sich einige einfache Grundregeln formulieren.

1. Unternehmensanwendungen nicht unnötig blockieren

Wenn eine vom Unternehmen bereitgestellte Webanwendung Cookies benötigt, sollten Mitarbeitende diese nicht ohne Grund blockieren.

Das gilt insbesondere für Cookies, die für Anmeldung, Sitzungsverwaltung oder Sicherheitsfunktionen benötigt werden.

Wenn eine Anwendung plötzlich nicht mehr funktioniert, sollte deshalb zunächst geprüft werden, ob die Browser-Einstellungen oder Cookie-Einstellungen verändert wurden.

2. Bei unbekannten Websites aufmerksam sein

Nicht jede Website, die im beruflichen Alltag geöffnet wird, gehört zum Unternehmen.

Bei unbekannten oder wenig vertrauenswürdigen Webseiten sollte man besonders aufmerksam sein. Das gilt insbesondere dann, wenn eine Website:

• ungewöhnlich viele Berechtigungen verlangt,

• eine Vielzahl externer Dienste einbindet,

• auffällig viele Tracking- oder Marketing-Optionen anbietet,

• zum Speichern sensibler Informationen auffordert oder

• einen ungewöhnlichen Anmeldevorgang verlangt.

Cookies allein sind dabei kein zuverlässiges Sicherheitswarnsignal. Ein Cookie macht eine Website weder automatisch sicher noch unsicher.

3. Sensible Unternehmensinformationen nicht in Webformulare eingeben

Eine der wichtigsten Regeln lautet unabhängig von Cookies:

Vertrauliche Informationen gehören nur in dafür vorgesehene Unternehmensanwendungen.

Mitarbeitende sollten beispielsweise keine internen Dokumente, Kundendaten, Zugangsdaten oder andere vertrauliche Informationen in unbekannte Webangebote eingeben, nur weil eine Website dies technisch ermöglicht.

Ein Cookie kann zwar Informationen über die Nutzung eines Dienstes speichern, er ist aber nicht das einzige und häufig auch nicht das wichtigste Datenschutz- oder Sicherheitsrisiko.

4. Bei Cookie-Bannern bewusst entscheiden

Wenn Mitarbeitende eine externe Website besuchen und dort ein Cookie-Banner erscheint, sollte die Entscheidung bewusst getroffen werden.

Eine sinnvolle Faustregel lautet:

Nur notwendige Funktionen zulassen, wenn zusätzliche Funktionen nicht benötigt werden.

Wenn beispielsweise eine Website auch ohne Analyse- und Marketing-Cookies vollständig genutzt werden kann, besteht für einen normalen Informationsabruf häufig kein Grund, freiwillig zusätzliche Tracking-Funktionen zu aktivieren.

Dabei sollte man allerdings zwischen der privaten und der geschäftlichen Nutzung unterscheiden. Unternehmensrichtlinien können beispielsweise festlegen, welche externen Dienste für dienstliche Zwecke genutzt werden dürfen. Diese Vorgaben haben Vorrang vor persönlichen Präferenzen.

5. Nicht regelmäßig „auf Verdacht“ alle Cookies löschen

Das regelmäßige Löschen sämtlicher Cookies wird häufig als Datenschutzmaßnahme empfohlen.

Im Unternehmensumfeld ist das jedoch nicht immer sinnvoll.

Wer jeden Tag alle Cookies löscht, kann dadurch funktionierende Arbeitsabläufe beeinträchtigen. Beispielsweise können:

• Anmeldesitzungen verloren gehen,

• Einstellungen zurückgesetzt werden,

• Webanwendungen Probleme verursachen oder

• wiederholte Anmeldungen notwendig werden.

Eine bessere Vorgehensweise ist, Cookies gezielt zu löschen, wenn dafür ein konkreter Grund besteht. Beispiele können sein:

• eine Website funktioniert trotz korrekter Anmeldung nicht mehr,

• eine Sitzung scheint fehlerhaft zu sein,

• eine Website verwendet offensichtlich veraltete Informationen,

• eine Webanwendung verlangt wiederholt eine Anmeldung,

• der IT-Support empfiehlt das Löschen bestimmter Browserdaten.

6. Unternehmensrichtlinien beachten

Im Unternehmen sollte nicht jeder Mitarbeiter für sich entscheiden müssen, welche Browser-Einstellungen aus Sicherheits- und Datenschutzsicht richtig sind.

Sinnvoll sind klare interne Vorgaben.

Eine solche Richtlinie kann beispielsweise festlegen:

• welche Browser offiziell unterstützt werden,

• welche Websites und Webdienste dienstlich genutzt werden dürfen,

• wie mit externen Webanwendungen umzugehen ist,

• wann Browserdaten gelöscht werden sollen,

• wie bei Problemen mit Webanwendungen vorzugehen ist,

• welche Informationen nicht in externe Webseiten eingegeben werden dürfen und

• wann die IT-Abteilung oder der Datenschutzbeauftragte einzubeziehen ist.

Dadurch wird aus einer individuellen Frage eine nachvollziehbare Unternehmensregel.

Empfehlungen für Unternehmen

Ein sinnvoller Umgang mit Cookies beginnt nicht beim einzelnen Mitarbeiter, sondern bei der Organisation.

1. Cookie-Einsatz systematisch erfassen

Unternehmen sollten zunächst wissen, welche Cookies und vergleichbaren Technologien auf den eigenen Webseiten und Webanwendungen eingesetzt werden.

Dabei sollte insbesondere dokumentiert werden:

• Wer setzt den Cookie

• Zweck

• Speicherdauer

• Technische Notwendigkeit

• Personenbezug möglich

• Weitergabe an Dritte

• Betroffene Systeme

Eine solche Bestandsaufnahme verhindert, dass Cookies lediglich aufgrund historisch gewachsener Systeme weiterverwendet werden.

2. Nicht benötigte Cookies entfernen

Eine wichtige Grundregel für Unternehmen lautet:

Was nicht benötigt wird, sollte nicht eingesetzt werden.

Wenn eine Website beispielsweise seit Jahren ein Analyse-Cookie verwendet, dessen Auswertung niemand mehr benötigt, sollte die Frage gestellt werden, warum dieses Cookie überhaupt noch vorhanden ist. Weniger Technologien bedeuten häufig:

• weniger Datenschutzrisiken,

• weniger Komplexität,

• weniger Abhängigkeiten von Drittanbietern,

• weniger Pflegeaufwand und

• eine bessere Verständlichkeit für Nutzer

3. Technische Notwendigkeit nicht großzügig auslegen

„Wir brauchen den Cookie für unsere Website“ ist keine ausreichende Begründung.

Stattdessen sollte konkret dokumentiert werden:

Welche Funktion würde ohne diesen Cookie nicht funktionieren?

Wenn die Antwort beispielsweise lautet „Die Anmeldung wäre nicht möglich“, ist das eine nachvollziehbare technische Begründung.

Wenn die Antwort dagegen lautet „Wir möchten sehen, welche Seiten die Nutzer interessant finden“, handelt es sich um einen anderen Zweck.

Diese Unterscheidung ist für eine datenschutzrechtlich saubere Bewertung entscheidend.

4. Cookie-Banner fair gestalten

Wenn für bestimmte Cookies eine Einwilligung erforderlich ist, sollte diese Einwilligung nachvollziehbar und freiwillig erfolgen.

Ein Cookie-Banner sollte deshalb nicht darauf ausgelegt sein, Nutzer möglichst schnell zur Zustimmung zu bewegen. 

Problematisch sind insbesondere Gestaltungsmuster, bei denen beispielsweise:

• „Alle akzeptieren“ prominent angeboten wird,

• eine Ablehnung versteckt oder erschwert wird,

• Nutzer nicht erkennen können, wofür sie zustimmen,

• verschiedene Zwecke nicht nachvollziehbar getrennt werden oder

• die Ablehnung wesentlich umständlicher ist als die Zustimmung.

 Die Datenschutzaufsicht betont, dass Einwilligungen nicht durch unfaire Gestaltung „erschlichen“ werden sollen. Ein guter Grundsatz lautet daher:

Eine informierte Entscheidung sollte genauso einfach möglich sein wie eine Zustimmung.

5. Speicherdauern regelmäßig überprüfen

• Cookies sollten nicht länger gespeichert werden als für ihren Zweck erforderlich.

• Ein Unternehmen sollte daher regelmäßig prüfen:

• Wie lange ist der Cookie tatsächlich notwendig?

• Wird er überhaupt noch verwendet?

• Wird er nach Ende einer Sitzung gelöscht?

• Ist eine langfristige Speicherung begründet?

• Hat sich die technische Architektur inzwischen geändert?

Gerade bei älteren Websites finden sich häufig Cookies, die ursprünglich für einen bestimmten Zweck eingeführt wurden, aber später technisch nicht mehr benötigt werden.

6. Drittanbieter besonders sorgfältig prüfen

Externe Dienste sind im Cookie-Kontext besonders interessant.

Ein Unternehmen kann eine Website selbst betreiben, aber dennoch externe Dienste einbinden, die eigene Cookies oder vergleichbare Technologien einsetzen.

Deshalb sollte bei jedem externen Dienst geprüft werden:

• Welche Daten werden verarbeitet?

• Welche Cookies werden gesetzt?

• Zu welchem Zweck?

• Wer erhält die Informationen?

• In welchem Land werden Daten verarbeitet?

• Wie lange werden Informationen gespeichert?

• Welche vertraglichen und datenschutzrechtlichen Grundlagen bestehen?

• Ist der Dienst tatsächlich erforderlich?

 Das betrifft beispielsweise Analyse-, Marketing-, Video-, Karten-, Social-Media- oder andere externe Dienste.

7. Cookies nicht isoliert betrachten

Ein besonders wichtiger Punkt für Unternehmen ist, Cookies nicht als isoliertes Datenschutzthema zu behandeln. Ein Cookie ist lediglich ein technisches Werkzeug.

Datenschutz- und Sicherheitsrisiken können ebenso entstehen durch:

• Webserver-Logs,

• Tracking-Pixel,

• lokale Speichermechanismen,

• Fingerprinting,

• externe Analyseplattformen,

• eingebettete Inhalte,

• Formulardaten,

• Login-Daten oder

• die Zusammenführung verschiedener Informationen

Eine reine „Cookie-Checkliste“ reicht deshalb langfristig nicht aus.

Sinnvoller ist eine ganzheitliche Betrachtung der Frage:

Welche Informationen werden bei der Nutzung unserer Webangebote über Nutzer verarbeitet, zu welchem Zweck und durch wen?

Cookies und IT-Sicherheit: Was ist tatsächlich wichtig?

Cookies werden häufig automatisch mit Cybersecurity gleichgesetzt. Dabei muss man unterscheiden.

Ein Cookie kann durchaus sicherheitsrelevant sein – insbesondere wenn es beispielsweise eine Sitzungskennung enthält.

Wenn ein Angreifer eine gültige Sitzung übernehmen kann, kann dies unter Umständen erhebliche Folgen haben.

Deshalb sollten Unternehmen bei sicherheitsrelevanten Cookies auf geeignete technische Schutzmechanismen achten. Dazu gehören beispielsweise Eigenschaften wie:

• Secure,

• HttpOnly und

• angemessene SameSite-Einstellungen

Diese technischen Details sind primär Aufgabe der IT beziehungsweise der Entwickler und Administratoren. Mitarbeitende müssen sie normalerweise nicht selbst konfigurieren.

Für Nutzer ist vor allem wichtig:

Sitzungsdaten und Zugangsdaten sind vertraulich zu behandeln.

Was Mitarbeitende nicht tun sollten

Einige Verhaltensweisen sind im Unternehmensalltag besonders ungünstig.

Nicht empfehlenswert ist:

Alle Cookies grundsätzlich deaktivieren.

→ Dadurch können wichtige Unternehmensanwendungen beeinträchtigt werden.

Jeden Tag sämtliche Browserdaten löschen.

→ Das kann Arbeitsabläufe stören, ohne automatisch einen relevanten zusätzlichen Schutz zu bieten.

Unbekannte Cookies manuell analysieren und daraus Sicherheitsentscheidungen ableiten.

→ Die Existenz eines Cookies sagt allein wenig über die Vertrauenswürdigkeit einer Website aus.

Cookie-Banner automatisch immer akzeptieren.

→ Dadurch können unnötige Analyse- oder Marketingtechnologien aktiviert werden.

Cookie-Banner grundsätzlich immer ablehnen.

→ Dadurch können auch Funktionen beeinträchtigt werden, die für die gewünschte Nutzung erforderlich sind.

Vertrauliche Unternehmensdaten in unbekannte Webangebote eingeben.

→ Das ist unabhängig von Cookies ein erhebliches Risiko.

Was tun, wenn eine Website plötzlich nicht mehr funktioniert?

Wenn eine Webanwendung plötzlich Probleme macht, sollte nicht sofort die gesamte Browserkonfiguration verändert werden. Eine sinnvolle Reihenfolge ist:

• Seite erneut laden.

• Prüfen, ob die Internetverbindung funktioniert.

• Prüfen, ob andere Websites erreichbar sind.

• Prüfen, ob die Anmeldung noch gültig ist.

• Falls erforderlich, die Anwendung entsprechend der Unternehmensvorgaben erneut anmelden.

• Bei anhaltenden Problemen den vorgesehenen IT-Support kontaktieren.

Wenn der IT-Support empfiehlt, bestimmte Browserdaten oder Cookies zu löschen, sollte dies gezielt nach dessen Anweisung erfolgen. So wird vermieden, dass Mitarbeitende aus Versehen funktionierende Einstellungen oder Sitzungen löschen.

Ein sinnvoller Grundsatz für den Unternehmensalltag

Der richtige Umgang mit Cookies lässt sich auf einen einfachen Grundsatz reduzieren:

Cookies sollten weder grundsätzlich als gefährlich noch grundsätzlich als harmlos betrachtet werden. Entscheidend sind Zweck, Notwendigkeit, Umfang und Umgang mit den dadurch gewonnenen Informationen.

Für Mitarbeitende bedeutet das:

Bewusst entscheiden, Unternehmensvorgaben beachten und bei Unsicherheit den vorgesehenen Ansprechpartner fragen.

Für Unternehmen bedeutet es:

Nur notwendige Technologien einsetzen, Zwecke transparent machen, externe Dienste sorgfältig prüfen und bestehende Cookie-Strukturen regelmäßig hinterfragen.

Praktische Checkliste für Unternehmen

Die folgende Checkliste kann als Grundlage für eine interne Überprüfung dienen:

Technische Ebene

• Welche Cookies werden auf der Unternehmenswebsite gesetzt?

• Welche Cookies werden von internen Webanwendungen gesetzt?

• Welche Cookies sind technisch notwendig?

• Welche Cookies dienen Analyse- oder Marketingzwecken?

• Welche Cookies stammen von Drittanbietern?

• Sind Speicherdauern angemessen?

• Werden veraltete Cookies entfernt?

• Sind sicherheitsrelevante Cookie-Eigenschaften korrekt konfiguriert?

Datenschutz

• Ist der Zweck jedes Cookies bekannt?

• Ist eine Verarbeitung personenbezogener Daten möglich?

• Ist die jeweilige Rechtsgrundlage geprüft?

• Werden Nutzer verständlich informiert?

• Werden erforderliche Einwilligungen korrekt eingeholt?

• Können Nutzer eine Einwilligung ebenso einfach ablehnen wie erteilen?

• Sind eingesetzte Drittanbieter datenschutzrechtlich geprüft?

Organisation

• Gibt es interne Vorgaben für die Nutzung von Webanwendungen?

• Wissen Mitarbeitende, an wen sie sich bei Problemen wenden können?

• Ist geregelt, welche externen Dienste dienstlich genutzt werden dürfen?

• Werden Cookie- und Tracking-Technologien regelmäßig überprüft?

• Werden Änderungen an Websites und Webanwendungen datenschutzrechtlich begleitet?

Fazit

Cookies sind ein grundlegender Bestandteil des modernen Webs. Sie ermöglichen viele Funktionen, die wir im Alltag als selbstverständlich betrachten – von der Anmeldung in einem Unternehmensportal bis hin zum Speichern von Einstellungen.

Gleichzeitig können Cookies eingesetzt werden, um Nutzungsverhalten zu analysieren oder Nutzer wiederzuerkennen. Deshalb ist es wichtig, zwischen technisch notwendigen Cookies und solchen Cookies zu unterscheiden, die weitergehende Zwecke verfolgen.

Für Mitarbeitende bedeutet ein verantwortungsvoller Umgang mit Cookies nicht, möglichst viele Cookies zu löschen oder sämtliche Cookies zu blockieren. Viel wichtiger ist ein bewusster und situationsgerechter Umgang: Unternehmensvorgaben beachten, bei externen Websites aufmerksam sein, unnötige Tracking-Funktionen nicht leichtfertig aktivieren und bei technischen Problemen nicht eigenständig die gesamte Browserkonfiguration verändern.

Unternehmen sollten wiederum ihre Cookie-Landschaft kennen, nicht benötigte Technologien entfernen, Drittanbieter sorgfältig prüfen und transparente Regeln für den Umgang mit Cookies schaffen.

Der sinnvollste Ansatz lautet daher nicht „Cookies abschaffen“, sondern:

So wenig wie möglich, so viel wie nötig – und immer mit einem klaren Zweck.

Das schafft nicht nur mehr Datenschutz, sondern kann gleichzeitig die technische Komplexität reduzieren und die Transparenz für Mitarbeitende und Kunden verbessern.

Hinweis: Dieser Artikel stellt eine allgemeine Information dar und ersetzt keine individuelle datenschutzrechtliche oder rechtliche Prüfung. Gerade bei öffentlich zugänglichen Websites, Analyse- und Marketingdiensten sowie der Verarbeitung personenbezogener Daten sollten Unternehmen die konkrete technische und rechtliche Ausgestaltung prüfen.