Unser Fingerabdruck wechselt jetzt jede Woche: So messen wir ohne Cookies und ohne jemanden zu verfolgen

Overtracking ist Webanalyse ohne Cookies: Wir speichern nichts im Browser Ihrer Besucher, weder Cookies noch localStorage. Um Ihnen nützliche Daten zu liefern, müssen wir trotzdem wissen, welche Seiten zum selben Besuch gehören. Das lösen wir mit einem Fingerabdruck, einer Kennung, die auf unseren Servern berechnet wird.

Seit dem 12. November 2026 wechselt dieser Fingerabdruck jede Woche. Eine kleine Änderung im Code mit großer Wirkung für den Datenschutz: Ein Besucher ist nur in der laufenden Woche wiedererkennbar und niemals über verschiedene Websites hinweg.

Woher eine Analyse ohne Cookies weiß, dass zwei Seiten zum selben Besuch gehören

Klassische Webanalyse setzt ein Cookie mit einer Kennung und liest es auf jeder Seite aus. Wir setzen nichts. Wenn ein Besuch eintrifft, kombiniert der Server einige technische Angaben, die der Browser ohnehin bei jeder Anfrage mitschickt:

• die IP-Adresse,
• die gemessene Website,
• den Browser (User-Agent),
• die Header für Sprache und Kodierung.

Daraus wird ein Hash berechnet, eine Zeichenkette aus 64 Zeichen, die sich nicht zurückrechnen lässt. Zwei Seiten, die vom selben Browser und über dieselbe Verbindung aufgerufen werden, ergeben denselben Hash. So zählen wir Sitzungen, Einstiegs- und Ausstiegsseiten oder den Weg zu einem Ziel. Die IP dient nur zur Berechnung des Fingerabdrucks und des ungefähren Standorts; sie wird nicht als Feld in Ihren Statistiken gespeichert.

Warum ein fester Fingerabdruck nicht genügte

Bisher war der Fingerabdruck eines Besuchers auf einer Website immer derselbe. Aus Sicht des Datenschutzes hat das zwei Nachteile:

1. Er ist eine Kennung, die ewig gilt. Auch ohne Namen oder E-Mail-Adresse lässt sich der heutige Besuch mit einem von vor Monaten verknüpfen.
2. Er lässt sich nachrechnen. Es gibt rund 4,3 Milliarden IPv4-Adressen: Mit genug Rechenleistung könnte jemand, der die Formel kennt, so lange IPs ausprobieren, bis ein bestimmter Hash passt.

Wir wollten beides begrenzen: Der Fingerabdruck soll ablaufen, und niemand von außen soll ihn nachbilden können.

Was wir geändert haben

Der Fingerabdruck wird jetzt mit einem geheimen Schlüssel berechnet, der jede Woche wechselt. Technisch ist das ein HMAC-SHA256: Aus einem Hauptschlüssel, der nur auf unseren Servern existiert, leiten wir für jede Kalenderwoche einen eigenen Schlüssel ab (ISO-Woche, Beginn montags um 00:00 Uhr Madrider Zeit) und signieren damit die Besuchsdaten.

• Eine Woche, ein Fingerabdruck. Am Montag ist der Fingerabdruck jedes Besuchers neu und steht in keinem mathematischen Zusammenhang mit dem der Vorwoche.
• Von außen nicht nachrechenbar. Ohne den geheimen Schlüssel hilft weder die Formel noch das Ausprobieren von IPs: Das Ergebnis stimmt nicht überein.
• Ein eigener Fingerabdruck pro Website. Die Website fließt in die Berechnung ein, daher hat derselbe Besucher auf jeder mit Overtracking gemessenen Website einen anderen Fingerabdruck. Er lässt sich nicht von einer Website zur nächsten verfolgen.

Warum wöchentlich und nicht täglich

Manche Tools erneuern den Fingerabdruck täglich. Wir haben das abgewogen und uns für die Woche entschieden, weil sie Datenschutz und Nutzen besser ausbalanciert:

• Die eindeutigen Besucher der Woche bleiben exakt, und die Woche ist der Zeitraum, der am häufigsten verglichen wird.
• Wer am Dienstag wiederkommt, nachdem er am Montag da war, bleibt innerhalb dieser Woche derselbe Besucher.
• Besuche über Mitternacht werden nicht jeden Tag zerteilt, sondern nur einmal pro Woche.

Und die Grenze bleibt kurz: Nach sieben Tagen kann niemand, auch wir nicht, die Aktivität einer Woche anhand des Fingerabdrucks mit der nächsten verknüpfen.

Was das für Ihre Statistiken bedeutet

Sie müssen nichts tun: Der Tracking-Code bleibt gleich, und Ihr Dashboard zeigt dieselben Kennzahlen. Innerhalb jeder Woche werden Besuche, Sitzungen, Seiten, Traffic-Quellen und Ziele genau wie bisher berechnet.

Das Einzige, was Ihnen bei langen Zeiträumen auffällt, folgt direkt aus der Änderung: Ein Besucher, der in einer anderen Woche wiederkommt, zählt als neuer Besucher, eben weil er nicht mehr wiedererkannt werden kann. Wenn Sie Monate vergleichen, vergleichen Sie Zeiträume ab dem 12. November, damit beide nach demselben Kriterium gezählt sind.

Was sich nicht ändert

• Keine Cookies: nichts wird im Browser des Besuchers gespeichert.
• Daten in Europa: in der Europäischen Union gehostet.
• Keine websiteübergreifenden Profile und keine Weitergabe von Daten für Werbung.
• Leichtgewichtig: ein Pixel, das Ihre Website nicht bremst.

Alle Details dazu, was wir wie messen, finden Sie in der Datenschutz-Dokumentation.

Häufige Fragen

Fragen dazu, wie die Änderung zu Ihrer Website passt? Schreiben Sie uns über das Kontaktformular.