Seit fünf Jahren steht in jeder zweiten Marketing-Präsentation derselbe Satz: Die Drittanbieter-Cookies sterben, also bau First-Party-Daten auf. Der erste Teil ist inzwischen widerlegt. Google hat den Ausstieg 2025 abgesagt und das Ersatzprojekt kurz darauf eingestellt. Der zweite Teil stimmt weiter, nur aus anderen Gründen als damals verkauft. Damit verschiebt sich die Frage: nicht mehr, ob du Daten sammelst, sondern was von dem, was in deinem System liegt, überhaupt nutzbar ist. Wir rechnen das durch. Was 2025 wirklich entschieden wurde, wie viel deines Traffics ohnehin nie im Cookie-Spiel war, und welche vier Filter aus 10.000 Kontakten ein paar hundert machen.
Was ist 2025 wirklich passiert?
Im Januar 2020 kündigte Google an, Drittanbieter-Cookies in Chrome innerhalb von zwei Jahren abzuschaffen. Daraus wurden fünf Jahre Verschiebung. Am 22. April 2025 schrieb Anthony Chavez, VP Privacy Sandbox, den Satz, der die Sache beendete: "we've made the decision to maintain our current approach to offering users third-party cookie choice in Chrome, and will not be rolling out a new standalone prompt for third-party cookies". Keine Abschaffung, kein Auswahldialog, alles bleibt in den Chrome-Einstellungen, wo es vorher schon war.
Ein halbes Jahr später fiel auch der Ersatz. Am 17. Oktober 2025 stellte dasselbe Team zehn Privacy-Sandbox-Technologien ein, darunter Topics, Protected Audience und die Attribution Reporting API. Die Begründung steht wörtlich im Beitrag: "After evaluating ecosystem feedback about their expected value and in light of their low levels of adoption, we've decided to retire the following Privacy Sandbox technologies". Übrig bleiben drei schmale Bausteine: CHIPS, FedCM und Private State Tokens.
Für die Praxis heißt das zweierlei. Wer sein Datenprojekt nur mit der Deadline begründet hat, hat sein Argument verloren. Und wer daraus schließt, das Thema sei erledigt, verwechselt einen abgesagten Stichtag mit einem gelösten Problem. Die Attribution über fremde Domains hinweg funktioniert heute nicht besser als vor der Absage, sie ist nur nicht mehr im Kalender.
Heißt das, du kannst weitermachen wie bisher?
Nein, und zwar aus einem Grund, der nie an Google hing. Chrome ist nur ein Teil des Marktes. Safari blockt Drittanbieter-Cookies seit März 2020 vollständig, Firefox blockiert Tracking-Cookies von Drittanbietern seit September 2019 standardmäßig und isoliert seit 2022 auch alle übrigen, Brave war nie anders eingestellt. Diese Browser haben auf keinen Stichtag gewartet.
Rechne es an deinem eigenen Markt nach. Statcounter weist für Österreich im Juli 2026 Chrome mit 48,19 Prozent aus, Safari mit 21,27, Edge mit 10,64 und Firefox mit 9,95 Prozent. Safari und Firefox zusammen sind 31,22 Prozent: knapp ein Drittel deines österreichischen Traffics war nie im Cookie-Spiel, unabhängig von jeder Ankündigung. In Deutschland liegt derselbe Wert bei 25,18 Prozent, weil Chrome dort stärker ist.
Der Stichtag war also nie das Ereignis. Das Ereignis war ein schleichender Verlust an Sichtbarkeit, der längst stattgefunden hat. Genau deshalb bleibt der eigene Datenbestand wichtig: Er ist der einzige Teil der Messung, der nicht von der Browser-Einstellung eines Fremden abhängt.
Was ist deine Datenbasis wirklich wert?
Die Zahl, die in Präsentationen steht, ist fast immer die Zeilenzahl im CRM. Die ist kein Vermögenswert, sondern eine Speichergröße. Nutzbar ist nur der Teil, der vier Filter übersteht, und die Filter multiplizieren sich.
Erstens die Einwilligung, und zwar für den Zweck, den du vorhast, nicht irgendeine. Zweitens die Auflösbarkeit: dieselbe Person darf nicht als drei Datensätze mit drei Schreibweisen dastehen, sonst zählst du sie dreifach und sprichst sie dreifach an. Drittens die Aktualität, denn eine Adresse von 2021 ist keine Zielgruppe, sondern eine Vermutung. Viertens die Verknüpfbarkeit: ein Datensatz, der sich nicht mit dem Verhalten auf deiner Seite oder mit einem Kaufvorgang verbinden lässt, kann nichts vorhersagen.
Ob bei dir 18 oder 40 Prozent herauskommen, ist nicht der Punkt. Der Punkt ist die Multiplikation. Vier Quoten, die einzeln harmlos klingen, ergeben zusammen einen Bruchteil. Und jeder Euro, den du in Reichweite steckst, um die 10.000 auf 12.000 zu bringen, arbeitet gegen diese Multiplikation an, statt sie zu verbessern. Der billigere Hebel liegt fast immer auf der rechten Seite der Rechnung. Das ist auch der Unterschied zur reinen Datenhygiene, über die wir in CRM-Hygiene vor KI geschrieben haben: Dort geht es darum, dass Automationen sauber laufen, hier darum, wie groß dein nutzbarer Bestand überhaupt ist.
Warum "First-Party" keine Rechtskategorie ist
Ein verbreiteter Irrtum: Was auf der eigenen Domain passiert, sei einwilligungsfrei. Das steht so nirgends. In Deutschland regelt § 25 Abs. 1 TDDDG den Zugriff auf Endgeräte, und der Wortlaut kennt keine Erst- oder Drittanbieter: "Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat." Die Ausnahme in Absatz 2 Nummer 2 greift nur, wenn der Zugriff "unbedingt erforderlich" ist, damit der Dienst funktioniert, den der Nutzer ausdrücklich angefordert hat. Reichweitenmessung fällt nicht darunter, auch nicht die eigene.
In Österreich steht dasselbe in § 165 Abs. 3 TKG 2021. Die Datenschutzbehörde formuliert es in ihren FAQ so knapp, dass es keine Auslegung braucht: "Für alle 'technisch nicht notwendigen Cookies' muss eine Einwilligung eingeholt werden." Die Behörde erwähnt die Unterscheidung nach Domain ausdrücklich als Sortierkriterium, aber nicht als Erlaubnistatbestand. Erstanbieter-Analytics braucht dieselbe Einwilligung wie ein fremdes Pixel.
Dazu kommt die Zweckbindung aus Art. 5 Abs. 1 lit. b DSGVO. Daten, die du für die Abwicklung einer Bestellung erhoben hast, sind nicht automatisch Newsletter-Basis und schon gar nicht Trainingsmaterial. Wer das übersieht, baut einen Bestand auf, der auf dem Papier groß ist und im Einsatz nicht verwendet werden darf. Genau deshalb gehört ein sauberes Consent-Management nicht in die Rechtsabteilung, sondern in die Datenstrategie: Es entscheidet, wie viel von deinem Bestand überhaupt zählt. Und wer die Messung serverseitig verlagert, verschiebt mit Server-Side-Tagging die Technik, nicht die Einwilligungspflicht.
Welche Zahl du statt der Benchmark nimmst
Die naheliegende Abkürzung ist ein Vergleichswert von außen. Der CMP-Anbieter Didomi weist für seinen Europa-Benchmark 2026 eine Zustimmungsquote von 75,1 Prozent für Westeuropa aus, 89,3 Prozent für Osteuropa und 71 Prozent für Frankreich, erhoben über die eigenen Consent-Interaktionen des Jahres 2025. Die Spannweite von 18 Punkten zwischen zwei Regionen zeigt das Problem der Zahl besser als jede Kritik: Wenn die Region so viel ausmacht, machen Branche, Bannergestaltung und Traffic-Quelle mindestens ebenso viel aus. Es sind außerdem Anbieterdaten ohne ausgewiesene Fallzahl je Land.
Nimm stattdessen drei eigene Zahlen, monatlich, aus deinem eigenen System. Die Zustimmungsquote je Zweck, nicht global. Den Anteil der Kontakte, die sich eindeutig einer Person zuordnen lassen. Und die Altersverteilung der letzten Interaktion. Diese drei sagen dir mehr über deinen Datenbestand als jeder Branchenschnitt, und sie sind die einzigen, gegen die du im nächsten Quartal ehrlich messen kannst. Wer sie kennt, weiß auch, wann sich eigene Reichweite lohnt und wann sie nur Speicher füllt.
Drei Hebel für die nächsten Wochen
Rechne den Bestand einmal durch. Vier Filter, vier Prozentwerte, ein Ergebnis. Die Zahl am Ende ist deine echte Basis, alles darüber ist Speicher. Eine Stunde Arbeit, und die Diskussion über das nächste Reichweiten-Budget verläuft danach anders.
Prüfe die Einwilligung gegen den Zweck, nicht gegen das Häkchen. Für jede geplante Nutzung eine Zeile: Welcher Zweck, welche Rechtsgrundlage, welcher Teil des Bestands ist gedeckt. Was nicht gedeckt ist, wird nicht kleiner, wenn man es ignoriert.
Miss deine Zustimmungsquote je Zweck. Aus dem eigenen Consent-Log, monatlich, nicht aus einer Benchmark. Sie ist der Multiplikator, an dem jede spätere Datenarbeit hängt.
Wenn du wissen willst, was unter diesen vier Filtern von deinem Bestand übrig bleibt, rechnen wir das gern einmal gemeinsam durch. Meistens dauert es eine Stunde und ändert die Prioritäten für das nächste Quartal. 📊