Analytics ohne Cookies: Website-Statistik ohne Cookie-Banner, selbst gehostet (2026)

Analytics ohne Cookies zählt, wie viele Menschen deine Website besuchen, welche Seiten sie lesen und woher sie kommen, ohne ein Cookie oder eine andere Kennung auf ihrem Gerät abzulegen. Gegenüber klassischen Tools wie Google Analytics verlierst du genau eine Sache: Du kannst dieselbe Person nicht über mehrere Tage und Geräte verfolgen. Für die meisten Websites ist das ein guter Tausch.

Wir haben dafür ein eigenes Tool gebaut, Tacilytics, weil wir genau das für unsere eigenen Seiten wollten und nichts davon richtig gepasst hat. Es ist Open Source (MIT) und zählt seit Juni 2026 jeden Seitenaufruf auf diesem Blog und sieben weiteren Seiten von uns. Dieser Artikel erklärt, wie Analytics ohne Cookies funktioniert, wo die ehrlichen Grenzen liegen und wie du es selbst betreibst. Drei Zahlen aus unserer eigenen Instanz vorab:

1. Unsere Produktivdatenbank enthält 852.700 Ereignisse von 8 Seiten aus 112 Tagen, in einer einzigen SQLite-Datei mit 267 MB. Kein Postgres, kein ClickHouse, kein Redis.

2. Das Tracker-Skript ist 4,9 KB groß (gzip). Der Google-Tag (gtag.js), den wir am selben Tag gemessen haben, kommt auf 155 KB (gzip), rund 32-mal so viel.

3. Das Salz, mit dem Besucher zählbar werden, liegt in einer eigenen Datei mit den Rechten 600 und wurde zuletzt um 00:00 Uhr neu geschrieben. Die Besucher von gestern lassen sich nicht mehr mit denen von heute verknüpfen, nicht einmal von uns.

Was „ohne Cookies“ wirklich bedeutet

Klassische Web-Analytics arbeitet mit einer festen Kennung. Google Analytics schreibt ein Cookie (_ga) mit einer zufälligen Client-ID, die bis zu zwei Jahre lebt. Jedes Mal, wenn du wiederkommst, kommt die ID mit, und daran erkennt das Tool dich als wiederkehrenden Besucher.

Analytics ohne Cookies verzichtet komplett auf diese Kennung. Auf dem Gerät des Besuchers wird nichts gespeichert. Um trotzdem eindeutige Besucher statt nur Seitenaufrufe zu zählen, bildet der Server ein kurzlebiges Pseudonym aus Daten, die ohnehin jede Anfrage mitbringt:

1. Der Browser schickt ein kleines Signal mit Pfad, Referrer, Zeitzone und Sprache.
2. Der Server kombiniert IP-Adresse und User-Agent des Besuchers mit einem zufälligen Salz, das sich jeden Tag ändert, und bildet daraus einen Einweg-Hash.
3. Gespeichert wird nur der Hash. Die IP-Adresse landet nie auf der Festplatte.
4. Um Mitternacht wird das Salz ersetzt. Ab dann erzeugt derselbe Besucher einen völlig anderen Hash.

Das ist der ganze Trick. Innerhalb eines Tages kannst du „fünf Aufrufe von einer Person“ von „fünf Personen mit je einem Aufruf“ unterscheiden. Über mehrere Tage hinweg nicht, und das ist gewollt.

Was du ehrlich gesagt verlierst

Fast jeder Anbieter von Analytics ohne Cookies sagt gern „du bekommst alles, nur ohne Cookies“. Das stimmt nicht, und wer das behauptet, macht die ganze Idee unglaubwürdig. Das fällt weg:

• Wiederkehrende Besucher über mehrere Tage. „Eindeutige Besucher der letzten 30 Tage“ ist die Summe der Tageswerte. Wer am Montag und am Donnerstag kommt, zählt doppelt.
• Geräteübergreifende Wege. Morgens am Handy, abends am Laptop: zwei Besucher.
• Lange Zuordnungsfenster. Klickt jemand am Montag auf deinen Newsletter und kauft am Freitag, sieht ein Tool ohne Cookies am Freitag einen direkten Kauf. Wege innerhalb eines Tages funktionieren weiterhin.
• Genaue Standorte. Tacilytics leitet das Land aus der Zeitzone des Browsers ab, nie aus der IP. Das reicht für „Deutschland oder USA“, nicht für Auswertungen nach Städten.

Was bleibt, ist genau das, worauf die meisten Seitenbetreiber wirklich schauen: wie viele Menschen kamen, welche Seiten sie gelesen haben, welche Quellen und Kampagnen sie gebracht haben, wie lange sie geblieben sind und welche Ziele sie erreicht haben.

Brauche ich für Analytics ohne Cookies einen Cookie-Banner?

Das ist die Frage, die alle stellen, und die ehrliche Antwort lautet: Es kommt darauf an, und kein Tool kann dir das abnehmen. Das hier ist keine Rechtsberatung.

Es geht um zwei verschiedene Regeln:

• Zugriff aufs Endgerät (ePrivacy-Richtlinie Art. 5 Abs. 3, in Deutschland § 25 TDDDG). Sie betrifft das Speichern und Auslesen von Informationen auf dem Gerät, nicht nur Cookies. Der Europäische Datenschutzausschuss legt „Zugriff“ weit aus. Ein Skript, das die Zeitzone ausliest oder in den localStorage schreibt, fällt auch ohne Cookie darunter.
• Datenschutz (DSGVO). Die IP-Adresse ist personenbezogen, solange sie gehasht wird, auch wenn sie nie gespeichert wird. Du brauchst eine Rechtsgrundlage, meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f, und einen Satz in deiner Datenschutzerklärung.

Tools ohne Cookies verkleinern das Problem stark, aber sie lassen es nicht verschwinden. Tacilytics hat zwei Einstellungen für alle, die weiter gehen wollen:

• Strict Mode (data-strict am Script-Tag) liest auf dem Gerät nichts mehr aus, was nicht ohnehin jede Seitenanfrage mitbringt: kein localStorage, keine Zeitzone, keine Sprache, keine Fenstergröße. Dafür fallen Land und Scrolltiefe weg.
• Server-Modus führt auf dem Gerät des Besuchers gar kein Skript aus. Dein eigener Server meldet den Seitenaufruf über die API an Tacilytics.

Ob du dann noch eine Einwilligung brauchst, hängt von deinem Land, deinen übrigen Skripten und deinem Aufbau ab. Sagt dein Anwalt ja, hat Tacilytics auch dafür einen Schalter.

Tools ohne Cookies im Vergleich

Neben unserem gibt es gute Alternativen. Das ist der Vergleich mit Stand Oktober 2026, nach bestem Wissen:

Unsere ehrliche Einschätzung: Wer eine Seite mit Millionen Aufrufen pro Tag betreibt, fährt heute mit Plausible oder Umami auf einer richtigen Datenbank sicherer. Tacilytics ist für die anderen 99 % gebaut: Shops, Blogs, Apps und Firmenseiten, die einen Prozess und eine Datei wollen, die sie komplett verstehen.

Bei den Tracker-Größen lohnt ein zweiter Blick, weil sie oft falsch zitiert werden. Wir haben alle am 18. Oktober 2026 gemessen, gzip-komprimiert über die Leitung: Plausibles script.js hat 1,3 KB, der Tacilytics-Tracker 4,9 KB und Googles gtag.js 155 KB.

Tacilytics in fünf Minuten selbst hosten

Du brauchst einen Server mit Node.js 18 oder neuer und eine Domain fürs Dashboard.

1. Starten.

mkdir my-analytics && cd my-analytics
npx tacilytics serve      # http://127.0.0.1:3920

Setze WEB_PASSWORD, SESSION_SECRET, INGEST_SALT und API_KEY in einer .env-Datei in diesem Ordner. Lieber Docker? docker compose up -d aus dem Repository funktioniert genauso.

2. TLS davor setzen. Tacilytics lauscht nur auf 127.0.0.1. Mit Caddy, das Zertifikate automatisch holt, ist das die komplette Konfiguration:

analytics.example.com {
    encode gzip
    reverse_proxy 127.0.0.1:3920
}

Falls Reverse Proxys neu für dich sind: Unser Artikel Was ist ein Reverse Proxy? erklärt genau diesen Aufbau.

3. Seite anlegen und Snippet einbauen. Einloggen, auf + Add site klicken und eine Zeile in deinen <head> setzen:

<script defer data-domain="example.com"
        src="https://analytics.example.com/tacilytics.js"></script>

Das war’s. Die ersten Seitenaufrufe kommen nach wenigen Sekunden an.

Was du über Seitenaufrufe hinaus bekommst

• Ziele und eigene Ereignisse mit Eigenschaften, zum Beispiel tacilytics('Purchase', { plan: 'pro' }), inklusive Conversion-Rate.
• UTM-Kampagnen, Einstiegs- und Ausstiegsseiten und die echte Zeit, in der eine Seite sichtbar war.
• Filtern überall: Klick auf ein Land, eine Seite, eine Quelle oder Kampagne, und das ganze Dashboard filtert darauf.
• Umsatz nach Quelle für Shops, wie in der Live-Demo mit einem fiktiven Shop.
• API und CLI für KI-Agents. tacilytics stats example.com 30d --country=DE --json liefert einem Agent dieselben Zahlen, die du siehst. Wir nutzen das selbst jeden Tag.
• Import aus Google Analytics 4 oder Plausible, damit ein Wechsel nicht bei null anfängt.
• Ein Flutter-SDK für Apps und ein WordPress-Plugin.

Keine Lust auf einen eigenen Server?

Auch gut. Tacilytics Cloud ist dieselbe Software, von uns auf Servern in Deutschland betrieben. Weil dann jemand anderes die IP-Adressen deiner Besucher zum Hashen bekommt, brauchst du einen Auftragsverarbeitungsvertrag. Den stellen wir unter tacilytics.com/dpa bereit.

Fazit

Analytics ohne Cookies ist kein abgespecktes Google Analytics. Es beantwortet die Fragen, die die meisten Seitenbetreiber wirklich haben, ohne Menschen durchs Netz zu verfolgen, und das mit einem Bruchteil der Skriptgröße. Die Grenzen sind echt: keine wiederkehrenden Besucher über Tage, keine geräteübergreifenden Wege, kurze Zuordnungsfenster. Wenn du damit leben kannst, bekommst du Zahlen, die du jedem Besucher erklären kannst.

Tacilytics ist kostenlos, steht unter MIT-Lizenz und liegt auf GitHub. Unsere anderen Open-Source-Tools findest du auf unserer Open-Source-Seite.