Cookie-Scanner / -Analyzer

Der Cookie-Scanner / -Analyzer ist ein kostenloses Online-Tool, mit dem du Set-Cookie-Header oder document.cookie einfügen kannst, um Attribute, Sicherheits-Flags, Kategorien und die DSGVO-Konformität zu analysieren und Vorlagen für Einwilligungsbanner zu erstellen. Er läuft vollständig in deinem Browser, ohne Installation oder Anmeldung.

Set-Cookie-Header (eine pro Zeile) oder rohe document.cookie-Zeichenketten. Das Format wird automatisch erkannt.

Über namensbasierte Heuristiken für über 30 Muster: _ga/_gid → Analyse, _fbp → Marketing, __cf/csrf/session → Notwendig, pref/lang → Präferenzen.

Nein. Das gesamte Parsen und Analysieren läuft in deinem Browser.

Ja, der Cookie-Scanner / -Analyzer ist zu 100 % kostenlos, ohne Registrierung, ohne versteckte Gebühren und ohne Nutzungslimits. Die gesamte Verarbeitung erfolgt lokal in deinem Browser und gewährleistet vollständige Privatsphäre.

Ja, der Cookie-Scanner / -Analyzer ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Du kannst ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ganz ohne App-Download.

Es ist kein Konto und keine Registrierung erforderlich. Öffne einfach den Cookie-Scanner / -Analyzer in deinem Browser und beginne sofort mit der Nutzung. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Gib einfach deine Eingabe in das vorgesehene Feld ein, passe die Einstellungen nach Wunsch an, und das Tool verarbeitet sie sofort. Anschließend kannst du das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der Cookie-Scanner / -Analyzer funktioniert in allen modernen Browsern, darunter Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwende die neueste Version deines bevorzugten Browsers.

Weil der Browser sie absichtlich verbirgt. Die JavaScript-Eigenschaft document.cookie gibt nur die name=value-Paare preis, die Ihre Skripte lesen dürfen; Attribute wie HttpOnly, Secure, SameSite, Domain, Path oder Expires werden nie angezeigt. HttpOnly-Cookies, also die mit Session-Tokens, sind per Design vollständig von document.cookie ausgeschlossen, sodass ein aus der Konsole kopierter String deren Sicherheits-Flags gar nicht zeigen kann. Deshalb zeigt dieser Scanner bei einem erkannten document.cookie-Input nur Namen und Werte an und liefert für jedes Cookie nur ein unvollständiges Bild statt einer vollständigen Sicherheitsbewertung. Für eine korrekte Prüfung der Flags holen Sie die rohen Set-Cookie-Response-Header aus dem Network-Tab Ihres Browsers (unter Response Headers) oder über einen curl -I-Request und fügen diese stattdessen ein, um eine vollständige Attribut- und Sicherheitsanalyse zu erhalten.

Jedes Cookie startet bei 100 Punkten und verliert Punkte für fehlende Schutzmaßnahmen. Ein fehlendes Secure-Flag kostet 30 Punkte, da das Cookie unverschlüsselt über HTTP übertragen werden kann. Ein fehlendes HttpOnly-Flag kostet ebenfalls 30 Punkte, weil JavaScript das Cookie dann auslesen kann und jeder XSS-Bug zum Session-Diebstahl wird. Ein fehlendes SameSite-Attribut kostet 25 Punkte, da das Cookie dadurch offen für CSRF ist. SameSite=Lax verliert nur 5 Punkte; SameSite=None verliert 10 Punkte, oder 15, wenn das erforderliche Secure-Flag fehlt; SameSite=Strict erzielt die beste Bewertung ohne Abzug. Das Partitioned-Attribut (CHIPS) bringt einen kleinen Bonus von 5 Punkten. Die Einzelwerte pro Cookie werden anschließend zu einer Gesamtnote von A–F gemittelt. Fügen Sie Ihre Set-Cookie-Header ein, um genau zu sehen, welche Flags den Score jedes Cookies drücken.

SameSite=None bedeutet, dass das Cookie bewusst auch bei Cross-Site-Requests gesendet wird, was für legitime Fälle wie eingebettete Widgets, SSO oder Third-Party-iFrames notwendig ist. Der Scanner markiert es trotzdem, weil Cross-Site-Cookies ein höheres Risiko tragen und Browser eine strikte Regel durchsetzen: SameSite=None funktioniert nur, wenn zusätzlich das Secure-Flag gesetzt ist; moderne Browser verwerfen None-Cookies ohne dieses Flag. Deshalb zieht das Tool 10 Punkte für None mit Secure ab, und deutlich stärkere 15 Punkte plus eine Warnung, wenn Secure fehlt, da dieses Cookie schlicht verworfen wird. Die Markierung sagt nicht, dass Sie etwas falsch gemacht haben, sondern nur, dass dieses Cookie besondere Aufmerksamkeit und eine korrekte Secure-Kombination braucht. Wenn ein Cookie same-site sein kann, bevorzugen Sie Lax oder Strict. Fügen Sie Ihre Header ein, um zu prüfen, ob Ihre None-Cookies Secure tragen.

Ein Session-Cookie hat kein Ablaufdatum, sodass der Browser es beim Schließen löscht; ein persistentes Cookie trägt ein Expires-Datum oder Max-Age und bleibt bis zu diesem Zeitpunkt bestehen. Der Scanner liest beide Attribute, markiert jedes Cookie als Session oder Persistent und berechnet für persistente Cookies die verbleibenden Tage bis zum Ablauf anhand von Max-Age oder dem Expires-Zeitstempel. Das ist sowohl für Sicherheit als auch Datenschutz relevant: kurzlebige Session-Cookies begrenzen den Schaden, falls ein Token abfließt, während langlebige persistente Cookies, besonders Analytics- und Marketing-Cookies, unter der DSGVO besonders kritisch geprüft werden, da eine lange Speicherdauer im Verhältnis zum Zweck stehen muss. Das Tool weist außerdem darauf hin, dass persistente Cookies eine angemessene Ablaufdauer haben sollten. Fügen Sie Ihre Set-Cookie-Header ein, um zu sehen, welche Cookies wie lange bestehen bleiben.

Nach der DSGVO und der ePrivacy-Richtlinie sind nur technisch notwendige Cookies von der Einwilligungspflicht befreit. Der Scanner ordnet jedes Cookie anhand von über 30 Namensmustern einer der Kategorien Necessary, Analytics, Marketing, Preferences oder Unknown zu und hinterlegt die entsprechende Einwilligungspflicht. Necessary-Cookies, etwa für Session, CSRF oder Authentifizierung, dürfen ohne Einwilligung gesetzt werden, gehören aber trotzdem in Ihre Datenschutzerklärung. Analytics-Cookies wie _ga und _gid sowie Marketing-Cookies wie _fbp oder _gcl_au erfordern eine ausdrückliche, vorherige Opt-in-Einwilligung und dürfen erst gesetzt werden, wenn der Nutzer zustimmt. Preferences-Cookies benötigen in der Regel eine Einwilligung, außer sie erfüllen direkt eine vom Nutzer angeforderte Funktion wie die Sprachauswahl. Alles unter Unknown sollte überprüft und als nicht essenziell behandelt werden. Fügen Sie Ihre Cookies ein, um die Einwilligungshinweise je Kategorie zu sehen und ein passendes Consent-Banner zu erzeugen.