DEEN
Erstgespräch buchen

Datenschutz

Matomo ohne Cookies: cookieless und cookiefrei messen

Matomo kann ganz ohne Cookies messen, und das ist schnell eingeschaltet. Damit es zu einem Betrieb ohne Einwilligung passt, gehört aber mehr dazu als ein Schalter. Hier steht, welche Aufrufe und Einstellungen nötig sind, was in den Berichten fehlt und wie Sie im Browser nachprüfen, dass wirklich nichts gespeichert wird.

Von Peter Boehlke

Stand: 7 Min. Lesezeit

Ohne Cookies kann Matomo einen Besucher nicht über Tage wiedererkennen. Alles andere bleibt: Seitenaufrufe, Einstiege, Kanäle, Kampagnen, Ereignisse und Ziele innerhalb eines Besuchs. Für viele Websites ist das genau die richtige Menge an Daten, und sie lässt sich mit wenigen Zeilen einstellen.

Die zwei Aufrufe

Im Tracking-Code von Matomo stehen dafür zwei zusätzliche Zeilen, vor trackPageView:

_paq.push(['requireCookieConsent']);
_paq.push(['disableBrowserFeatureDetection']);

Mit requireCookieConsent setzt Matomo keine Cookies, solange keine Zustimmung vorliegt. Das ist flexibler als das bekanntere disableCookies: Stimmt ein Besucher später zu, etwa über ein Consent-Tool, nutzt Matomo ab dann Cookies, ohne dass Sie den Tracking-Code umbauen. Wer nie Cookies setzen will, bleibt bei disableCookies.

Aufruf Ohne Einwilligung Nach Einwilligung
disableCookies keine Cookies weiter keine Cookies
requireCookieConsent keine Cookies Cookies, sobald das Consent-Tool rememberCookieConsentGiven aufruft

Warum die Feature-Erkennung aus sein sollte

Der zweite Aufruf wird oft vergessen und ist mindestens genauso wichtig. Ab Werk ermittelt Matomo über die Browser-Feature-Erkennung zum Beispiel die Bildschirmauflösung und unterstützte Browser-Funktionen und fragt in neueren Versionen zusätzliche Geräteinformationen über Client Hints ab. Das ist ein Zugriff auf Informationen im Endgerät, und für den gilt in Deutschland § 25 TDDDG genauso wie für Cookies. Warum das so ist und welche zweite Frage die DSGVO stellt, steht unter Matomo und Datenschutz.

In den Berichten fehlen ohne Feature-Erkennung Angaben wie Bildschirmauflösung und Browser-Plugins. Browser, Betriebssystem und Gerätetyp bleiben, weil Matomo sie aus dem User-Agent ableitet, den der Browser bei jedem Aufruf ohnehin mitschickt.

Im Matomo Tag Manager

Nutzen Sie den Matomo Tag Manager, stellen Sie dasselbe in der Variable Matomo-Konfiguration Ihres Containers ein:

  • Einwilligung zu Cookies erfordern entspricht requireCookieConsent.
  • Cookies deaktivieren entspricht disableCookies.
  • Erkennung von Browser-Funktionen deaktivieren entspricht disableBrowserFeatureDetection.

Die Änderung wirkt erst, wenn Sie eine neue Version des Containers veröffentlichen. Einen Screenshot dieser Einstellungen finden Sie unter Matomo-Cookies, wie Vorschau und Versionen funktionieren unter Matomo Tag Manager. Prüfen Sie auch, ob Tags im Container etwas im Browser speichern: Das Auslöselimit „Einmal alle 24 Stunden“ zum Beispiel nutzt den lokalen Speicher.

Für alle Websites erzwingen

Haben Sie viele Websites oder alte Tracking-Codes, auf die Sie keinen Zugriff haben, gibt es einen globalen Schalter: Administration > Privatsphäre > Daten anonymisieren > Tracking ohne Cookies erzwingen. Laut Matomo ändert er die Datei matomo.js so, dass der Tracker keine Cookies setzt, und Matomo ignoriert Tracking-Cookies zusätzlich auf dem Server. Das gilt auch dann, wenn ein Tracking-Code eine Einwilligung meldet. Mit Einwilligung Cookies zu nutzen, geht damit nicht mehr.

Die Feature-Erkennung schaltet dieser Schalter nicht ab. Dafür brauchen Sie weiterhin disableBrowserFeatureDetection im Tracking-Code oder im Tag Manager.

Mit Einwilligung Cookies dazu

Wer ohnehin ein Consent-Tool einsetzt, kann Matomo nach der Einwilligung auch mit Cookies betreiben. Genau dafür ist requireCookieConsent da: Ohne Einwilligung misst Matomo cookielos und ohne Feature-Erkennung, nach Einwilligung ruft das Consent-Tool rememberCookieConsentGiven auf, und Matomo setzt ab dann Cookies. So bleiben die Grundzahlen vollständig, und wer zustimmt, wird über mehrere Besuche wiedererkannt.

Ein Tracking-Code für beide Fälle: Ohne Einwilligung misst Matomo cookielos und ohne Feature-Erkennung, nach Einwilligung mit Cookies.

Mit der Einwilligung schaltet Matomo auch die Feature-Erkennung wieder ein, das steht so im Tracker. Wer zustimmt, wird also mit Cookies und mit Geräteeigenschaften gemessen. Ohne Zustimmung bleibt beides aus.

Was ohne Cookies fehlt

Bleibt verlässlich Wird ungenauer Fehlt
Besuche und Seitenaufrufe Eindeutige Besucher über Wochen und Monate Wiedererkennung über Tage
Einstiege, Kanäle, Kampagnen Wiederkehrende Besucher Kohorten
Ereignisse und Ziele im selben Besuch Tage bis zur Conversion Zuordnung über mehrere Besuche
Absprungrate und Besuchsdauer Besuche je Besucher Berichte zu Bildschirmauflösung und Plugins

Am deutlichsten merken Sie es bei Kampagnen: Kommt jemand über einen Newsletter, geht und kauft zwei Stunden später, zählt der Kauf für den direkten Zugriff. Wie Matomo Besucher ohne Cookie erkennt und warum die Zahl der eindeutigen Besucher dann fast der Zahl der Besuche entspricht, steht unter Eindeutige Besucher.

Ohne Cookies, aber nicht ohne Kennung

Damit die Seitenaufrufe eines Besuchs zusammenbleiben, bildet Matomo ohne Cookie auf dem Server einen Hash, die config_id. Er entsteht aus Merkmalen wie Betriebssystem, Browser und Version, IP-Adresse und Sprache, enthält einen Wert, der jeden Tag wechselt, und Matomo sucht damit in der Standardeinstellung nur 30 Minuten zurück. Mit abgeschalteter Feature-Erkennung fließen keine Angaben zu Browser-Plugins ein, weil der Browser sie gar nicht erst schickt.

So entsteht die Kennung auf dem Server: Merkmale der Anfrage und ein Wert, der täglich wechselt, ergeben den Hash config_id. Ohne Feature-Erkennung kommen keine Angaben zu Plugins an, die Hashwerte sind Beispiele.

Wem auch das zu viel ist, kann unter Daten anonymisieren die Option Zufällige config_ID für verbesserten Datenschutz einschalten. Dann bildet Matomo für jede Anfrage eine neue Kennung, und jede Aktion zählt als eigener Besuch. Besuche, Absprungrate und Besuchsdauer verlieren damit ihre Bedeutung.

Im Browser prüfen

Einstellungen sind das eine, was der Browser tatsächlich tut, das andere. So prüfen Sie es in wenigen Minuten:

  1. Privates Fenster öffnen und die Website aufrufen, ohne im Consent-Tool etwas anzuklicken.
  2. Cookies ansehen: In den Entwicklerwerkzeugen unter Anwendung oder Speicher dürfen keine Cookies beginnend mit _pk_ stehen.
  3. Lokalen Speicher ansehen: Dort sollte nichts von Matomo oder dem Tag Manager liegen.
  4. Tracking-Anfrage ansehen: In der Netzwerkansicht die Anfrage an matomo.php suchen, je nach Einstellung auch an js/. Mit abgeschalteter Feature-Erkennung fehlen dort die Parameter res für die Bildschirmauflösung, uadata für Client Hints und Kennungen für Plugins wie pdf.
  5. Mit Einwilligung wiederholen, falls Sie ein Consent-Tool nutzen: Erst nach der Zustimmung dürfen die _pk_-Cookies erscheinen.
Das sollten Sie in den Entwicklerwerkzeugen sehen, die Nummern entsprechen den Schritten 2 bis 5: keine Cookies mit _pk_, ein leerer lokaler Speicher und eine Anfrage an matomo.php ohne res, uadata und pdf. Erst nach einer Einwilligung kommen Cookies und Geräteeigenschaften dazu.

Ob die Website vor einer Einwilligung schon Daten an Dritte sendet, zeigt zusätzlich der kostenlose Website-Check.

Technik ist nicht Recht

Diese Seite beschreibt die technische Seite. Ob Ihr Setup ohne Einwilligung zulässig ist, beantwortet Ihre Datenschutz- oder Rechtsberatung. Ich kümmere mich um eine saubere Umsetzung und eine Dokumentation, mit der diese Bewertung möglich ist, beschrieben unter Cookieless & Datenschutz-Einstellungen.

Weiterlesen bei feinwerk.io: Matomo ohne Cookies betreiben: Einstellungen, Opt-out und Grenzen

Quellen

Stand: 11. November 2026

FAQ

Häufige Fragen

Brauche ich ohne Cookies keinen Cookie-Banner mehr?

Das hängt nicht nur an Cookies. Nach § 25 TDDDG zählt jedes Speichern und Auslesen auf dem Endgerät, auch das Auslesen von Geräteeigenschaften. Matomo lässt sich so einstellen, dass es ohne solche Zugriffe misst. Ob das für Ihre Website reicht, klärt Ihre Datenschutz- oder Rechtsberatung.

Was ist der Unterschied zwischen disableCookies und requireCookieConsent?

Beide verhindern Cookies, solange keine Einwilligung vorliegt. Mit disableCookies bleibt es dabei, auch nach einer Zustimmung. Mit requireCookieConsent setzt Matomo Cookies, sobald Ihr Consent-Tool die Zustimmung meldet. Wer kein Consent-Tool hat, fährt mit beiden gleich.

Zählt Matomo ohne Cookies Besucher doppelt?

Innerhalb eines Besuchs nicht. Kommt dieselbe Person aber nach mehr als 30 Minuten oder am nächsten Tag wieder, zählt Matomo sie ohne Cookie in der Regel als neuen Besucher. Besuche und Seitenaufrufe bleiben verlässlich, wiederkehrende Besucher nicht.

Ist cookieless Tracking mit Matomo Fingerprinting?

Matomo bildet ohne Cookie auf dem Server eine kurzlebige Kennung aus Merkmalen wie IP-Adresse, Browser und Sprache. Sie enthält einen Wert, der jeden Tag wechselt, und Matomo sucht damit nur 30 Minuten zurück. Mit abgeschalteter Feature-Erkennung liest Matomo dafür nichts zusätzlich im Browser aus.

Setzt Matomo ohne Cookies wirklich gar keine Cookies?

Fast. Widerspricht ein Besucher über den Opt-out von Matomo, speichert Matomo das im Cookie mtm_consent_removed, damit der Widerspruch gilt. Es enthält keine Kennung. Alle anderen Cookies bleiben aus.

Fragen zu Ihrem Setup?

Im Erstgespräch schauen wir gemeinsam auf Ihre Situation.

Erstgespräch buchen

Newsletter

Matomo-Wissen, einmal im Monat.

Praxistipps zu Tracking, Datenschutz-Einstellungen und Performance, dazu Hinweise auf wichtige Matomo-Updates. Kein Spam, Abmeldung jederzeit.