Prüfpunkt software.cookie.zu_grossSitzung, Cookies und Zahlungsdaten
Wie groß darf ein Cookie sein?
Mit einem Cookie merkt sich eine Website etwas im Browser des Besuchers, etwa die Anmeldung oder den Warenkorb. Der Browser schickt es bei jeder Anfrage an den Server zurück. Die Norm für Cookies empfiehlt Browsern, ein Cookie bis 4096 Byte samt Namen und Merkmalen zu speichern; was darüber liegt, darf ein Browser verwerfen. Die Prüfung misst jedes Cookie, das eine gemessene Seite setzt.
Der Entwurf der neuen Norm lässt den Browser das Cookie ganz verwerfen
Die Neufassung der Cookie-Norm, RFC 6265bis, liegt als Entwurf vor. Sie sagt dem Browser genau, was er tut: Sind Name und Wert zusammen länger als 4096 Byte, verwirft er das Cookie vollständig. Ein einzelnes Merkmal wie Path mit mehr als 1024 Byte lässt er weg. Der Besucher sieht davon nichts, und Ihre Website bekommt das Cookie einfach nicht zurück. So fällt der Fehler erst auf, wenn die Anmeldung scheinbar grundlos verschwindet.
Alle Cookies einer Domain teilen sich eine Kopfzeile
Der Browser schickt je Anfrage eine Kopfzeile Cookie, und darin stehen alle Cookies, die zu dieser Adresse passen. Für diese Zeile gelten die Grenzen des Servers: Bei nginx sind es in der Grundeinstellung 8 Kilobyte je Kopfzeile, bei Apache 8190 Byte. Drei Cookies mit je 3000 Byte bleiben jedes für sich unter der Grenze von 4096 Byte und ergeben zusammen rund 9000 Byte. Das kann zur Fehlerseite führen, obwohl kein einzelnes Cookie auffällt.
Eine Statistik zählt den ausgesperrten Kunden nicht
Trifft die Sperre einen Kunden, sieht er bei jedem Aufruf nur eine Fehlerseite, auch über den Link aus Ihrer Werbung. Cookies sammeln sich über viele Besuche an, es kann also gerade Stammkunden treffen. Eine Statistik, die als Skript auf der Seite läuft, zählt diesen Besuch nicht, weil die Seite nie ankommt. Eine Spur gibt es nur im Protokoll des Servers.
Zu große Cookies gehen verloren oder sperren den Besucher aus
Verwirft der Browser ein zu großes Cookie, fehlt der Website, was darin stand: der Besucher ist abgemeldet oder der Warenkorb leer. Behält er es, schickt er es bei jeder Anfrage mit, auch beim Abruf jedes Bildes. Viele Server begrenzen die Größe der Kopfzeilen einer Anfrage und antworten bei zu großen Cookies mit einer Fehlerseite, bis der Besucher seine Cookies löscht.
Gemessen wird jede Kopfzeile Set-Cookie
Die Prüfung liest bei jeder gemessenen Seite die Kopfzeilen Set-Cookie der Antwort und misst jede in Byte, mit Namen, Wert und Merkmalen wie Path oder Expires, so wie die Norm die Größe eines Cookies bestimmt. Ist eine größer als 4096 Byte, nennt der Bericht den Namen des Cookies und seine Größe. Cookies, die erst ein Skript im Browser setzt, sieht dieser Prüfpunkt nicht.
Im Cookie nur eine Kennung
Ihre Agentur speichert im Cookie nur eine kurze Kennung und hält die Daten auf dem Server, etwa den Warenkorb in der Datenbank. Braucht der Browser selbst mehr Daten, etwa Einstellungen der Anzeige, gehören sie in den Speicher der Seite (localStorage), den der Browser nicht bei jeder Anfrage mitschickt. Anmeldedaten gehören nicht dorthin, weil jedes Skript der Seite diesen Speicher lesen kann.
Beispiele
Warenkorb im Cookie und auf dem Server
Set-Cookie: warenkorb=%7B%22artikel%22%3A%5B%7B%22id%22%3A4711%2C%22name%22%3A%22…%22%7D%2C…%5D%7D; Path=/Set-Cookie: sitzung=9c1e7a2b5d; Path=/; Secure; HttpOnly; SameSite=LaxDie Kennung führt den Server zum Warenkorb in seiner Datenbank. Das Cookie bleibt wenige Byte groß, egal wie voll der Warenkorb ist.
So gehen Sie es an
- Lassen Sie Ihre Agentur das Cookie aus dem Bericht ansehen: welche Daten stehen darin?
- Sie legt die Daten auf dem Server ab und speichert im Cookie nur eine Kennung.
- Setzt ein Plugin das Cookie, sucht sie dort eine Einstellung oder eine Fassung, die nur eine Kennung speichert.
- Lassen Sie die Website neu messen. Der Bericht zeigt, ob noch ein Cookie größer als 4096 Byte ist.
Tipps aus der Praxis
- Lassen Sie neben dem größten Cookie die Summe aller Cookies Ihrer Website ansehen. Sie steht in der Kopfzeile Cookie einer gewöhnlichen Anfrage.
- Setzen Sie das Merkmal Domain nur, wenn eine Unterdomäne das Cookie wirklich braucht. Mit Domain=example.com geht es auch an www.example.com und jede weitere Unterdomäne.
- Begrenzen Sie Cookies mit dem Merkmal Path auf den Bereich, der sie braucht, etwa /shop. Auf allen anderen Seiten schickt der Browser sie dann nicht mit.
- Räumen Sie auf: Ein abgeschafftes Cookie bleibt bis zu seinem Ablaufdatum im Browser. Ein Set-Cookie mit demselben Namen, Pfad und derselben Domain und einem Datum in der Vergangenheit entfernt es sofort.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was kostet ein Cyberangriff mein Unternehmen?Stillstand, verlorene Kunden, Benachrichtigungen, Sichtbarkeit in der Suche: was ein Angriff ein kleines Unternehmen in Österreich und Deutschland kostet.
- Welche Adresse erfahren fremde Dienste, wenn Ihre Formularseite sie lädt?Mit der Referrer-Policy legt Ihre Website fest, welchen Teil ihrer Adresse andere Server erfahren. Auf Formularseiten gehört die volle Adresse nicht zu Dritten.
- Was leistet HSTS, und welche Einstellung erfüllt die Prüfung?HSTS sorgt dafür, dass der Browser Ihre Website nur verschlüsselt lädt. Die Prüfung erwartet mindestens 180 Tage und alle Unterdomänen.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Sitzung, Cookies und Zahlungsdaten. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
