Gut Kekse essen: Attribution ohne Third-Party-Cookies mit Server-Side-Tracking

Hast du schon einmal den Tor-Browser ausprobiert? Als kurze Info: Tor steht für The Onion Routing und beschreibt ein Verfahren, bei dem Daten dreimal verschlüsselt und über zufällig ausgewählte Knoten zu ihrem Ziel geleitet werden. Standort und IP-Adresse der Nutzer:innen bleiben so anonym.

Auf jeden Fall schlägt der Tor-Browser Alarm, wenn du sein Fenster maximierst. Denn damit kann es deine Bildschirmauflösung auslesen. Du denkst, das sei nicht problematisch, weil Millionen PCs genau die gleiche Auflösung verwenden? Die haben aber nicht alle die gleichen Schriftarten installiert, nutzen genau dein Zeitformat oder verwenden deine Plugins.

Was wir hier beschreiben, ist das sogenannte Fingerprinting. Eine Technik, die es erlaubt, deinen Rechner eindeutig zu identifizieren. Ganz ohne Cookies, ganz ohne deine Zustimmung, ganz ohne Chance, es gezielt zu umgehen. Bis vor ein paar Jahren war Fingerprinting noch erlaubt und wurde fröhlich genutzt, um dich und deinen Laptop durch die ganze Welt zu verfolgen. Nicht gut, falls du als Journalistin in Saudi-Arabien oder als Whistleblower in Hongkong unterwegs warst, aber auch nicht im Interesse all jener, die einfach Wert auf ihre Privatsphäre legen. Datenschutz hat also durchaus seine Berechtigung.

Dass die Datenschutzbestimmungen deshalb immer strenger werden, müssen wir dir vermutlich nicht erzählen. DSGVO und ePrivacy-Richtlinie machen es inzwischen verdammt schwer, User:innen zu identifizieren. Selbst dann, wenn die Anbieter:innen einer Webseite nur Gutes im Schilde führen und ihre Cookies hauptsächlich für Services oder Marketing mit Mehrwert nutzen möchten.

Und damit sind wir mitten im Thema:

In diesem Beitrag zeigen wir, wie Tracking und Attribution auch ohne Cookies ganz legal auf Shopify funktionieren. Wir erklären, was Server Side Tracking ist, wie du es für dich nutzt und welche Programme dich dabei unterstützen. Los geht es natürlich mit den Grundlagen und der Frage:

Client-Side-Tracking vs. Server-Side-Tracking: Was sind die Unterschiede?

Um das Verhalten von Webseitenbesuchenden zu tracken, existieren zwei unterschiedliche Möglichkeiten:

#1: Client-Side-Tracking

Client-Side-Tracking ist das klassische Webtracking über Skripte und Cookies im Browser: Beim Aufruf einer Webseite lädt der Browser Skripte, die Daten sammeln und anschließend an Analyseserver wie Google Analytics senden. Damit das Tracking auch über mehrere Seitenaufrufe oder Besuche hinweg funktioniert, brauchen die Skripte einen Speicherplatz im Browser – die Cookies.

Dabei werden First-Party-Cookies von den Besuchenden selbst gesetzt und speichern etwa den Inhalt ihres Warenkorbs. Third-Party-Cookies wiederum stammen von externen Anbietern, wie Google Analytics, und sorgen dafür, dass die Trackingdaten korrekt weitergegeben und verarbeitet werden. Ohne Cookies wäre es via Client-Side-Tracking zum Beispiel nicht möglich, Neukund:innen zu identifizieren.

#2: Server-Side-Tracking

Server-Side-Tracking bedeutet, dass das Tracking nicht mehr direkt im Browser, sondern über einen Server stattfindet – in der Regel auf einem sogenannten Tracking-Server, der den Webseitenbetreibenden gehört und Client und Store zwischengeschaltet werden. Der Store sammelt die Nutzerdaten – ganz ohne Skripte und/oder Cookies – und schickt sie dann an den Server weiter. Bereits hier versteckt sich der erste große Vorteil der Methode: Da alle Daten direkt vom Shop ausgelesen werden, können User:innen auch nichts blockieren oder verschleiern. Was an den Server geschickt wird, besitzt einen hohen Informationsgehalt.

Von dort wiederum werden die Informationen in standardisierter Form an Analyse- oder Marketingplattformen geschickt und dort weiterverarbeitet. Was dabei an die Dritte Partei weitergereicht wird, bestimmen allein die Serverbesitzer:innen. Der Datenschutz liegt also komplett in der eigenen Hand.

Weil mit Server-Side-Tracking sowohl auf die üblichen Skripte als auch auf die Cookies in weiten Teilen verzichtet werden kann, nennt sich die Methode auch Cookieless Tracking. Sie gilt als moderner, zuverlässiger und aussagekräftiger als das Client-Side-Tracking – ist in der Umsetzung allerdings aufwendiger.

Client-Side-Tracking vs. Server-Side-Tracking in der Übersicht

Die beiden Verfahren einander gegenübergestellt:

Herausforderung für den Mittelstand: Warum auf Server-Side-Tracking setzen?

Also: Server-Side-Tracking ist durch die Bank weg besser als Client-Side-Tracking, verursacht aber mehr Kosten und lässt sich nur mit fundiertem technischem Know-how umsetzen. Der nächste Gedanke ist klar: Lohnt sich das überhaupt? Client-Side-Tracking hat doch bislang wunderbar funktioniert. So hoch kann der ROI durch die besseren Daten doch gar nicht sein.

Das Problem ist: Third-Party-Cookies sind am Ende. Bereits seit mehreren Jahren werden sie durch Safari und Firefox vollständig blockiert. Okay, magst du jetzt denken, dann verzichte ich eben auf 25 Prozent der User:innen. Allerdings zieht gerade auch Chromium (zähneknirschend) nach. Noch 2025 soll die Software ebenfalls alle Third-Party-Cookies blockieren. Wie Dominosteine fallen damit Google Chrome, Microsoft Edge, Opera, Vivaldi und wie sie alle heißen.

Das hat natürlich Konsequenzen. Zum Beispiel:

• Retargeting fällt weg: Besucher:innen, die ein Produkt angesehen, aber nicht gekauft haben, können auf anderen Websites nicht erneut angesprochen werden.

• Weniger zielgenaue Kampagnen: Ohne Third-Party-Cookies lassen sich Interessen, Kaufabsichten und Cross-Site-Verhalten schwerer nachverfolgen.

• Streuung statt Präzision: Ohne Datengrundlage muss Werbung breiter ausgespielt werden. Sie wird weniger relevant, es gibt hohe Streuverluste.

• Conversion-Tracking wird ungenauer: Händler:innen sehen nicht mehr, ob ein Kauf über eine bestimmte Anzeige oder Plattform zustande kam.

• Attribution über mehrere Geräte ist schwieriger: Der Traum vom geschlossenen Ökosystem zerplatzt wie eine Seifenblase.

• Affiliate-Marketing leidet: Die Nachverfolgung von Provisionen wird ohne Cookies lückenhaft. Einem wichtigen Marketingkanal droht so das Aus.

• Abhängigkeit von Walled Gardens: Nur große Plattformen wie Google, Meta oder Amazon besitzen noch wertvolle First-Party-Daten. So steigen die Werbekosten, Händler:innen verlieren ihre Unabhängigkeit.

Auf den Punkt gebracht: Durch das Ende der Third-Party-Cookies verlieren Daten ihre Aussagekraft, Werbung wird teurer und ineffizienter, die Macht der großen Konzerne aus den USA wächst weiter. Auf den Mittelstand könnten schwere Zeiten zukommen – aber zum Glück ist da ja immer noch das Server-Side-Tracking.

Server-Side-Tracking: Lösungen für Shopify-Händler:innen

Die gute Nachricht gleich vorweg: Es existiert gleich eine ganze Reihe von Möglichkeiten, Server-Side-Tracking in deinem Store zu realisieren – von einfach und cloudbasiert hin zu umfassend und inhouse. Du musst also nicht gleich den Keller für die neuen Server leer räumen lassen. Zu deinen Optionen gehören:

Cookieless Tracking auf Google Analytics mit Tools wie Stape.io

Stape.io ist einer von mehreren Anbietern, die Server für sogenanntes serverseitiges Google Tag Management (sGTM) bereitstellen. Anstatt also deinen eigenen Großrechner aufzubauen, mietest du einfach eine fertige Infrastruktur, an die dein Shopify Store seine Daten sendet.

Auf dem Server werden die Informationen in einem sogenannten Tag-Manager-Container gesammelt. Den kannst du dir tatsächlich vorstellen wie einen echten Container: Erstmal kommt da einfach alles rein. Was von dort im nächsten Schritt an GA4 weitergegeben wird, bestimmst du.

So wird dein Tracking robuster, deine Conversion-Daten liegen vollständiger vor, du kannst komplett auf Cookies verzichten und DSGVO-konform ist das Ganze auch noch. Schließlich kontrollierst du selbst, welche Daten Google überhaupt zu sehen bekommt. Bleibt nur zu hoffen, dass Stape.io nicht heimlich lunzt.

Serverseitige Event-Übermittlung über Meta Conversion API & andere APIs

Moment mal! Nur Google Analytics? Was ist mit all den anderen werberelevanten Plattformen wie Instagram oder TikTok? Und müssen die Daten vom gemieteten Server etwa händisch weitergeleitet werden?

Natürlich nicht. Zumindest dann nicht, wenn du ein paar findige ITler zur Hand hast, die sich mit Schnittstellen auskennen. Denn dein Container lässt sich über APIs mit allen großen Plattformen im Netz verbinden.

In der Folge bestimmt die Schnittstelle, welche Informationen weitergegeben werden, wie sie aufbereitet sind und natürlich, an wen sie weitergeleitet werden. Alle Vorteile bleiben erhalten: Das System ist robust, Cookie-unabhängig und datenschutzgerecht. Vorausgesetzt natürlich, deine API wurde anständig programmiert.

First-Party-Data-Strategie

Selbstverständlich musst du deinen Server nicht mieten. Du kannst ihn, wie bereits erwähnt, auch vollständig selbst hosten. So behältst du die absolute Datenhoheit mit voller Kontrolle über Consent und Datenqualität, eliminierst mögliche Schwachstellen in der Informationskette und kannst auf Cookies natürlich komplett verzichten.

Für die Weitergabe an Werbe- und Analyseplattformen sind auch in diesem Fall APIs zuständig, die mit deiner Datenbank kommunizieren und überprüfen, welche Einwilligungen die Nutzer:innen gegeben haben, bevor sie Daten in die große weite Welt weiterreichen.

Kombinierte Setups in einer orchestrierten Server-Side-Lösung

Das reicht dir noch nicht? Du willst mehr? Die Analyse- und Werbeplattformen sollen sich auch untereinander austauschen, mit deinem E-Mail-Marketing kommunizieren, deinen Social-Media-Auftritt optimieren und deinen Store personalisieren? Auch das geht.

Mit den entsprechenden APIs lassen sich Google, Meta, TikTok, Pinterest und auch Marketingtools wie Klaviyo untereinander verknüpfen und synchronisieren. Das Prinzip dahinter ist der Connected Commerce, also die Verzahnung und größtmögliche Automatisierung sämtlicher Systeme, Marketing Channels und Vertriebskanäle, die für dein Business relevant sind.

Stell dir zum Beispiel vor, ein Kunde hat in deinem Store einen Elektronikartikel gekauft und dir außerdem den maximalen Consent erteilt: Du darfst ihn gerne und überall wieder behelligen. Dein Server gibt diese Infos nun an Meta weiter. Auf Facebook wird ihm jetzt deine Werbung für ein Zubehörteil angezeigt. Unser Kunde klickt sie an, studiert ausgiebig die PDP (auch diese Information kannst du natürlich auslesen), kauft aber nicht. Deshalb schickt Klaviyo ihm – servergesteuert – eine Mail und macht ihm ein Angebot: Du bist unser Lieblingskunde, deshalb ist hier dein Rabattcode.

Klingt gut? Mit der Orchesterlösung, den richtigen Schnittstellen und deinem Server als Dirigenten ist das möglich. Die ollen Cookies, die bei deinen Marktbegleitern noch serviert werden, will dann bestimmt niemand mehr. Alles, was du jetzt noch brauchst, ist jemand, der den Connected Commerce für dich umsetzt. Uns zum Beispiel. Schreib uns einfach und setze in die Beschreibung deines Anliegens ‚CX-Analyse‘.

Consent Mode für DSGVO-/CCPA-Compliance

Aber apropos Consent: Wir sollten nicht vergessen zu erwähnen, dass sich mit Server-Side-Tracking die Datenschutzbestimmungen sowohl für die EU (DSGVO) als auch für Kanada (CCPA) vollständig rechtskonform umsetzen lassen.

Das Ganze läuft wie folgt ab: Eine Surferin betritt deinen Store und wird von deiner Consent-Management-Plattform (CMP) zunächst wie gewohnt nach ihrer Zustimmung gefragt. Welche Daten dürfen wir von dir sammeln, wofür können wir sie verwenden und an wen dürfen wir sie weitergeben? Das Schöne dabei: Da weder Skripte laufen noch Cookies gesetzt werden, ist die Liste oft deutlich kürzer und in jedem Fall übersichtlicher als beim Client-Side-Tracking.

Bevor die Dame nicht ausdrücklich zugestimmt oder abgelehnt hat, passiert gar nichts. Es werden keine Informationen erhoben, nichts wird an den Server gespielt. Das Erste, was in der Datenbank landet, ist immer das Ergebnis der CMP-Abfrage.

Alles Weitere richtet sich nach diesen Informationen. Gespeichert und weiterverarbeitet wird nur, was die Nutzerzustimmung hat. So lassen sich die Abläufe exakt steuern: Die Nutzerin ist einverstanden, dass du ihren Seitenbesuch anhand ihrer Interessen personalisieren darfst, will mit Google und Meta aber nichts am Hut haben? Kein Problem. Ihre Daten bleiben auf deinem Server und auch nur dort. Das schafft Vertrauen, ist maximal rechtskonform und macht deinen Datenschutzbeauftragten sehr glücklich.

Die Daten analysieren: Tools für Server-Side-Tracking-Auswertungen

Prima, wir können also vollständig auf Cookies verzichten. Alle Daten werden trotzdem gesammelt und (mit Consent) an die unterschiedlichen Plattformen verschickt. In der Maximallösung sind diese sogar untereinander vernetzt. Es wäre daher super, wenn sämtliche Informationen nicht nur separat, sondern gesammelt ausgewertet werden können.

Genau zu diesem Zweck möchten wir dir drei Tools vorstellen:

Analyzify

Analyzify ist eine All-in-One-Datenanalyse-Lösung, die Shopify Shops mit Marketingplattformen wie GA4, Google Ads, Facebook, TikTok und Klaviyo verbindet. Die App ermöglicht es, Server-Side-Tracking zu implementieren, um so eine höhere Genauigkeit und natürlich Datenschutzkonformität zu gewährleisten. Sie richtet sich insbesondere an Shopify-Händler:innen, die ihre Marketing- und Conversion-Daten präzise erfassen möchten, ohne gleichzeitig tiefgehende technische Kenntnisse zu besitzen.

Geeignet für: kleine bis mittelgroße Shops, die nach einer No-Code-Integration suchen, die sich einfach implementieren lässt.

Elevar

Auch bei Elevar handelt es sich um eine Shopify-App, mit der du, Conversion- und Nutzerdaten präzise erfassen und an über 50 Marketing- und Analyseplattformen übermitteln kannst. Darunter sind natürlich Google, Meta und TikTok. Via Server-Side-Tracking reduziert sie durch Adblocker oder Cookie-Einschränkungen erzeugte Informationslücken. Dabei können sogar wiederkehrende, anonyme Nutzer:innen eindeutig identifiziert und in Marketingkampagnen berücksichtigt werden. Selbstverständlich in DSGVO-Compliance.

Geeignet für: Größere Shops mit Multi-Channel-Attributionen.

Mable

Als dritte Shopify-App hat sich Mable vor allem auf Conversion-Tracking spezialisiert. Sie macht es möglich, deine Werbeplattformen auf Meta oder Google mit hochpräzisen Daten zu versorgen, um die Effektivität deiner Kampagnen zu steigern. Zwar lässt sich Mable auch Client-seitig verwenden, liefert über Server-Side-Tracking aber eine deutlich höhere Datenqualität. Länderspezifisches Pixel-Routing macht die App besonders geeignet für multinationale Shops.

Geeignet für: International agierende Shopify Stores, die auf Shopify Markets setzen.

Die Tools in der Übersicht

 

Ab in die Umsetzung: Best Practices für den Mittelstand rund um Server-Side-Tracking

Bleibt eigentlich nur noch eine Frage: Wie setzt du das Server-Side-Tracking für dein eigenes Business am besten um? Denn einfach installieren und auf das Beste hoffen hat noch nie funktioniert. Unsere Tipps für dich sind:

Parallel einführen

Lass Client- und Server-Side-Tracking zunächst parallel zueinander laufen. Schließlich sind die Cookies bislang nur ein wenig ranzig und noch nicht vollständig verdorben. So schaffst du ein Sicherheitsnetz aus Redundanzen und verlierst nicht sämtliche Nutzerdaten, sollte bei der Implementierung irgendwas schiefgehen.

Schrittweise vorgehen

Versuche außerdem nicht, deine komplette Systemlandschaft in einem Atemzug auf die Server‑Side zu packen. Implementiere zunächst nur ein Tool, am besten das größte und wichtigste. In vielen Fällen ist das GA4. Wenn dort alles läuft, ziehst du die nächste Plattform nach. So profitiert dein Team von gemachten Learnings und behält die maximale Kontrolle.

Behalte den Datenschutz im Blick

Vom ersten Moment an gehört dein Datenschutzbeauftragter mit ins Boot; die DSGVO-Konformität muss ab Stunde Null mitgedacht werden. Dabei soll der liebe Beauftragte ruhig gestreng den Finger heben – denn wenn du deine ITler alleine zaubern lässt, probieren sie aus, was alles geht, und wissen am Ende mehr über deine Kundschaft als deren eigene Eltern.

Testen & Validieren

Eigentlich sollte es selbstverständlich sein, aber wir haben es schon zu oft in die Hose gehen sehen: Teste dein Set-up bis ins kleinste Detail und lass dabei nicht nur deine Profis ran! Die Userin mit den drei Google-Konten will wahrscheinlich ihre Privatsphäre wahren und nicht über alle Konten hinweg verfolgt werden. Und was passiert eigentlich, wenn das ADS-Kiddie sich in 0,2 Millisekunden durch dein Consent-Management klickt? Immer an die Fringe Cases denken.

Dein Team schulen

Platform-Policies ändern sich ständig, die Gesetzgebung ist im Fluss, und was der oberste Datenschutzbeauftragte als Nächstes vorhat, weiß nicht mal er selbst. Soll heißen: Deine Crew muss verstehen, was da gerade passiert, warum es passiert und was es für ihre tägliche Arbeit bedeutet. Lass sie also diesen Beitrag lesen oder – fast noch besser – bilde sie regelmäßig fort.

Server-Side-Tracking: Hol dir die richtige Unterstützung

Solltest du gerade ein wenig ratlos schauen, weil du gar keine eigene IT hast, dann gibt es natürlich immer noch uns. Wir helfen dir gerne dabei, deine Cookieless Solution zu implementieren. Zwei Wege stehen dir dabei offen:

Entweder, indem wir deinen Store zunächst zu Shopify migrieren. Denn anders als all die anderen Systeme da draußen wurde Shopify von Anfang an als API-zentriertes, offenes System entwickelt; eignet sich daher besonders für die Server-Side. Schreib dafür einfach unserem Team für die Migration.

Oder, indem wir deinen bestehenden Shopify Store einer Generalüberholung unterziehen. Relaunch sagen manche auch dazu. Dabei optimieren wir UX und UI, steigern die Performance, binden deine komplette Systemlandschaft an und kümmern uns natürlich auch um das Server-Side-Tracking. Dein Ansprechpartner ist in diesem Fall unsere Crew für den Relaunch.

Als Abschlussstatement noch Folgendes: Wusstest du, dass wir sogar mit akustischen Signalen getrackt wurden? Manche Smartphones und Tablets haben unhörbare Ultraschalltöne von sich gegeben, die von anderen Geräten empfangen wurden. Dein Hund hat also nicht gejault, weil Sturm der Liebe auf dem Smart-TV lief, sondern weil dein Telefon gepetzt hat, wer da gerade schaut. Zum Glück wurde der Kram zumindest bei uns sehr schnell verboten.