Seitenaufrufe zu zählen ist einfach. Besucher zu zählen ist schwieriger, vor allem ohne Cookies.
Für einen Seitenaufruf reicht es, jeden Aufruf mitzuzählen. Für die Zahl der Besucher muss ein Analytics-Tool aber wissen, ob zwei Aufrufe von derselben Person kommen. Klassisch löst man das mit einem Cookie: Beim ersten Besuch bekommt der Browser eine zufällige ID, und bei jedem weiteren Aufruf schickt er sie wieder mit.
Ohne Cookie braucht es einen anderen Weg. In diesem Artikel erkläre ich, wie das funktioniert. Ich nehme dafür Lienks als Beispiel, mein eigenes Analytics-Tool, weil ich da genau weiß, was im Code passiert.
Ob du für Web Analytics ein Cookie-Banner brauchst, ist eine eigene Frage. Darum geht es in meinem Artikel Brauche ich für Web Analytics ein Cookie-Banner?. Hier geht es nur um die Technik.
Was der Browser sowieso mitschickt
Jedes Mal, wenn du eine Website aufrufst, schickt dein Browser ein paar Informationen an den Server. Das passiert bei jeder Website, ganz egal, ob dort ein Analytics-Tool läuft oder nicht.
Für die Besucherzählung sind vor allem zwei davon wichtig:
- Die IP-Adresse. Ohne sie wüsste der Server nicht, wohin er die Antwort schicken soll.
- Der User-Agent. Das ist eine Zeile Text, in der steht, welcher Browser und welches Betriebssystem du nutzt, zum Beispiel Firefox auf Windows.
Dazu kommen die aufgerufene Seite und, falls vorhanden, die Seite, von der du gekommen bist.
Das Lienks-Script muss dafür nichts auf deinem Gerät speichern oder von dort auslesen. Es schickt nur den Seitenaufruf an den Server, und IP-Adresse und User-Agent kommen dabei automatisch mit.
Aus IP und Browser wird eine Kennung
Auf dem Server bildet Lienks aus drei Dingen eine Kennung: der Website, der IP-Adresse und dem User-Agent.
Dafür nutzt Lienks einen Hash. Ein Hash ist eine Rechenfunktion, die aus einer Eingabe eine lange, zufällig aussehende Zeichenkette macht. Zwei Eigenschaften sind dabei wichtig:
- Dieselbe Eingabe ergibt immer dieselbe Kennung. Kommen zwei Aufrufe mit derselben IP und demselben Browser auf dieselbe Website, landen sie bei derselben Kennung. So erkennt Lienks, dass es ein Besucher war.
- Aus der Kennung kommt man nicht einfach zurück zur IP-Adresse. Die Rechnung funktioniert nur in eine Richtung.
Die Website steckt mit in der Rechnung, damit dieselbe Person auf zwei verschiedenen Websites zwei verschiedene Kennungen bekommt. Wer also deine Website und eine andere Website mit Lienks besucht, lässt sich darüber nicht verbinden.
Warum ein geheimer Schlüssel, der jeden Tag wechselt
Ein einfacher Hash allein wäre nicht sicher genug. Es gibt nur rund vier Milliarden IPv4-Adressen und eine überschaubare Zahl gängiger Browser. Ein Computer könnte alle Kombinationen durchrechnen und so herausfinden, welche IP zu welcher Kennung gehört.
Deshalb fließt bei Lienks ein geheimer Schlüssel in die Rechnung ein. Technisch ist das ein HMAC mit SHA-256, also ein Hash mit Schlüssel. Ohne den Schlüssel lässt sich die Kennung nicht nachrechnen.
Und dieser Schlüssel wechselt jeden Tag. Lienks leitet ihn aus einem festen Geheimnis und dem aktuellen Datum ab. Der Tagesschlüssel wird nirgends gespeichert, sondern bei jedem Aufruf kurz im Arbeitsspeicher berechnet.
Das hat eine wichtige Folge: Dieselbe Person bekommt am nächsten Tag eine neue Kennung. Lienks verbindet die Besuche von Montag und Dienstag also nicht miteinander. Der Tag wechselt dabei um Mitternacht nach UTC, in Deutschland also um 1 Uhr nachts, im Sommer um 2 Uhr.
Ganz ehrlich gesagt: Wer das feste Geheimnis kennt und dazu IP-Adresse und Browser einer bestimmten Person hat, könnte ihre Kennung für einen bestimmten Tag nachrechnen. Lienks speichert aber nirgends, welche Kennung zu welcher IP gehört. Ohne IP, Browser und das Geheimnis lässt sich eine Kennung keiner Person zuordnen.
Was am Ende gespeichert wird
IP-Adresse und User-Agent werden nur in dem kurzen Moment verwendet, in dem die Kennung berechnet wird. Gespeichert wird keins von beiden.
Ein Seitenaufruf sieht in der Datenbank von Lienks vereinfacht so aus:
Zeitpunkt: 2026-10-18 09:14:03
Seite: /blog/tracking-ohne-cookies
Herkunft: google.com
Kennung: 3f9a1c…e72b (64 Zeichen)
Browser: Firefox
System: Windows
Gerät: Desktop
Land: DEBrowser, System, Gerät und Land speichert Lienks nur, wenn du das für deine Website eingeschaltet hast. Standardmäßig bleiben diese Felder leer. Und auch dann landen nur grobe Kategorien in der Datenbank, also „Firefox“ und nicht die genaue Version.
Das Land ermittelt Lienks über eine Datenbank, die direkt auf dem Server liegt. Die IP-Adresse wird dafür nicht an einen anderen Dienst geschickt. Übrig bleibt nur der Ländercode, zum Beispiel „DE“.
Auf deinem Gerät speichert Lienks in diesem Modus gar nichts, weder ein Cookie noch etwas im localStorage.
Was man dafür aufgibt
Diese Methode ist nicht so genau wie ein Cookie. Das sollte man wissen, bevor man die Zahlen liest.
- Neue IP, neuer Besucher. Wechselt jemand im Laufe des Tages vom WLAN ins Mobilfunknetz, ändert sich die IP-Adresse. Lienks zählt diese Person dann zweimal.
- Gleiche IP, gleicher Browser. Surfen mehrere Personen im selben Büro oder Haushalt mit demselben Browser auf demselben System, kann Lienks sie nicht unterscheiden und zählt sie nur einmal.
- Keine wiederkehrenden Besucher. Weil die Kennung jeden Tag wechselt, weiß Lienks nicht, ob jemand gestern schon da war.
- Besucher pro Woche oder Monat. Aus demselben Grund ist die Besucherzahl über einen längeren Zeitraum im Grunde die Summe der Besucher pro Tag. Wer an drei Tagen in der Woche vorbeischaut, zählt als drei Besucher.
Für die meisten Websites ist das genau genug. Ob ein Artikel gut ankommt, woher Besucher kommen oder ob eine Seite mehr Aufrufe bekommt als letzten Monat, siehst du damit zuverlässig. Eine exakte Zahl eindeutiger Menschen ist es aber nicht.
Ist das nicht Fingerprinting?
Nein, auch wenn beides auf den ersten Blick ähnlich klingt.
Beim Fingerprinting liest ein Script im Browser gezielt viele Merkmale des Geräts aus, zum Beispiel die Bildschirmgröße, installierte Schriften oder wie die Grafikkarte etwas zeichnet. Daraus entsteht ein Fingerabdruck, mit dem sich ein Gerät oft über Wochen und über viele Websites hinweg wiedererkennen lässt.
Lienks macht das nicht. Das Script liest keine Merkmale aus dem Gerät aus. Die Kennung entsteht auf dem Server, nur aus dem, was ohnehin bei jedem Aufruf ankommt. Und sie gilt nur für eine Website und nur für einen Tag.
Kurz zusammengefasst
Tracking ohne Cookies funktioniert bei Lienks so: Der Server bildet aus Website, IP-Adresse und Browser eine Kennung, mit einem geheimen Schlüssel, der jeden Tag wechselt. Gespeichert wird nur diese Kennung, nicht die IP und nicht der User-Agent. Auf dem Gerät deiner Besucher landet nichts.
Dafür ist die Zählung etwas ungenauer als mit Cookie, und Besucher werden über mehrere Tage nicht wiedererkannt. Ich finde, das ist ein guter Tausch.
Neben diesem Cookieless-Modus gibt es bei Lienks noch einen Minimal-Modus ohne Besucherkennung und einen Modus mit Cookie. Welcher wofür passt, steht in meinem Artikel zum Cookie-Banner.
Wenn du es ausprobieren möchtest, kannst du Lienks 30 Tage kostenlos und ohne Zahlungsmethode testen. Und falls du Fragen hast oder etwas in diesem Artikel nicht stimmt, schreib mir an philip@lienks.com.