9 cookielose Google-Analytics-Alternativen im Test

Die meisten Vergleiche cookieloser Analyse-Tools, der datenschutzfreundlichen Alternativen zu Google Analytics, wiederholen, was die Anbieter über sich selbst sagen. Wir wollten es selbst sehen. Also haben wir neun davon auf dieselbe Testseite gesetzt, in Chrome denselben Besuch durchgespielt und aufgezeichnet, was jedes Tool im Browser hinterlässt und was es sendet.

Außerdem haben wir sie gegen die Filterlisten der gängigen Werbeblocker geprüft, verglichen, wie sie Besucher unterscheiden und was sie kosten, und angesehen, was ein KI-Assistent wie Claude oder ChatGPT mit jedem davon kann. Sechs der neun haben mit ihrem Standardcode bei unserem Besuch nichts im Browser gespeichert. Matomo und PostHog speichern nichts mehr, sobald Sie ihre cookielose Einstellung einschalten, Mixpanel behält auch mit seiner eine Warteschlange von Events im Browser. Viel größer sind die Unterschiede darin, was sie erfassen, was sie mit persönlichen Daten in Ihren Adressen machen und ob ein Werbeblocker sie durchlässt. Privatrak, unser eigenes Tool, ist durch denselben Test gegangen, und seine Ergebnisse stehen genauso hier, auch dort, wo es schlechter abschneidet.

Getestet am 24. Oktober 2026 mit dem Standardcode jedes Tools. Preise ohne Mehrwertsteuer, am 23. Oktober geprüft. Wie wir getestet haben, steht am Ende.

Die Ergebnisse auf einen Blick

Die erste Spalte beschreibt den Standardcode jedes Tools. Die dritte zählt die neun Adressen mit einer E-Mail-Adresse, einem Token oder einer ID an verschiedenen Stellen und wie viele davon ohne diese persönlichen Daten beim Tool ankamen. Die folgenden Abschnitte erklären jede Spalte, und der Adresstest zeigt jeden Fall.

Was sie im Browser hinterlassen

Cookieloses Tracking sollte heißen, dass nichts auf dem Gerät des Besuchers gespeichert wird, nicht nur, dass es kein Cookie gibt. Deshalb haben wir nach dem ganzen Besuch Cookies, localStorage, sessionStorage und IndexedDB des Browsers angesehen. Plausible, Fathom, Simple Analytics, Umami, Pirsch und Privatrak hatten dort nichts hinterlassen.

Außerdem haben wir den Code dieser sechs Skripte gelesen. Plausible, Fathom, Umami und Pirsch lesen einen Eintrag aus dem localStorage, einen Schalter, mit dem ein Website-Betreiber in seinem eigenen Browser die eigenen Besuche ausschließen kann. Fathom schreibt diesen Eintrag nur, wenn der Betreiber es verlangt. Privatrak schreibt nur dann in den sessionStorage, wenn jemand mit Konto auf der Website seinen Element Picker öffnet. Keines der sechs speichert etwas über einen Besucher. Ein Test hat aus dem Code geschlossen, dass Plausible und Fathom localStorage nutzen, um Sitzungen nicht doppelt zu zählen. Sie nutzen localStorage, im Code, den wir gelesen haben, aber nur für diesen Schalter.

Matomo, PostHog und Mixpanel speichern mit ihrem Standardcode sehr wohl etwas.

• Matomo hat zwei Cookies gesetzt, _pk_id mit einer Besucher-ID für 13 Monate und _pk_ses für 30 Minuten.
• PostHog hat ein Cookie und einen Eintrag im localStorage mit einer Besucher-ID für ein Jahr gesetzt, dazu vier Einträge im sessionStorage.
• Mixpanel hat einen Eintrag im localStorage mit einer Besucher-ID ohne Ablaufdatum gesetzt, einen zweiten mit einer Warteschlange noch nicht gesendeter Events, zwei Einträge im sessionStorage und zwei IndexedDB-Datenbanken.

In der EU braucht eine solche Besucher-ID für Webanalyse in der Regel vorher eine Einwilligung. Brauchen Sie für Webanalyse einen Cookie-Banner? erklärt, warum.

Alle drei haben eine Einstellung, um ohne Cookies zu arbeiten. Also haben wir auch die getestet. Mit disableCookies in Matomo und cookieless_mode: 'always' in PostHog hat keines etwas gespeichert, und beide haben weiter dieselben Events erfasst. Mixpanel hat mit disable_persistence: true die Besucher-ID weggelassen, seine Warteschlange noch nicht gesendeter Events im localStorage aber behalten. Nach dem Besuch lag darin noch ein Klick, mit einer ID. Was sich bei allen dreien ändert, ist, wie sie Personen zählen.

• Matomo sendet dann keine Besucher-ID mehr. Laut eigener Dokumentation werden eindeutige und wiederkehrende Besucher dadurch ungenau, und ein Kauf lässt sich nicht mehr der Kampagne eines früheren Besuchs zuordnen.
• PostHog sendet jedes Event ohne Besucher-ID und bildet auf seinem Server eine für den Tag. Eine Person zählt also jeden Tag neu und bekommt kein Profil. Der Modus muss außerdem in den Projekteinstellungen eingeschaltet sein, sonst verwirft PostHog diese Events.
• Mixpanel erzeugt bei jedem Seitenaufruf eine neue ID, jeder Seitenaufruf sieht also wie ein neuer Besucher aus. Laut seiner Dokumentation funktionieren dann auch Eigenschaften nicht mehr, die einmal für alle späteren Events gesetzt werden, und die Verknüpfung eines anonymen Besuchers mit einem angemeldeten Nutzer.

Matomo und PostHog sind also echte cookielose Möglichkeiten, wenn Sie den Standardcode ändern und diese Abstriche hinnehmen. Mit der Einstellung von Mixpanel wird weiter etwas gespeichert, und es kann einen Besucher nicht mehr vom nächsten unterscheiden.

Was sie ohne eigenen Code erfassen

Auf der Testseite haben wir einen funktionierenden Button geklickt, einen kaputten Button viermal hintereinander, ein Bild, das klickbar aussieht, aber nichts tut, viermal hintereinander, ein PDF heruntergeladen, einen Link auf eine andere Seite und einen auf eine andere Website geklickt und ein Newsletter-Formular abgeschickt.

• Plausible, Fathom, Simple Analytics und Umami haben Seitenaufrufe erfasst und sonst nichts. Plausible hat Schalter für ausgehende Links, Downloads und Formulare, die aber aus sind, bis Sie sie einschalten. Jeder Button-Klick braucht eine Zeile Code von Ihnen.
• Pirsch und Matomo haben zusätzlich den PDF-Download und den ausgehenden Link erfasst, aber keine Button-Klicks.
• PostHog hat die Klicks auf Buttons und Links und das Formular erfasst und die wiederholten Klicks auf den kaputten Button gemeldet. Im cookielosen Modus genauso. Die Klicks auf das Bild hat es ebenfalls als Klicks erfasst und als wiederholt gemeldet. Es kann auch Klicks melden, die nichts bewirken, das ist aber eine Projekteinstellung, die bei neuen Projekten aus ist.
• Mixpanel hat die Klicks auf Buttons und Links erfasst, die wiederholten Klicks gemeldet und dass der kaputte Button nichts bewirkt hat. Beim Bild genauso, und den PDF-Download hat es ebenfalls als Klick gemeldet, der nichts bewirkt hat. Diese Klicks gehören zu seiner Sitzungsaufzeichnung, die sein Schnellstart-Code für jeden Besuch einschaltet. Ohne Aufzeichnung hat es nur Seitenaufrufe erfasst. Seine Einstellung ohne Speicherung hat daran nichts geändert.
• Privatrak hat die Klicks auf Buttons und Links und das Formular erfasst, die wiederholten Klicks gemeldet und außerdem, dass der kaputte Button nichts bewirkt hat. Beim Bild hat es keinen Klick erfasst, aber gemeldet, dass es nichts bewirkt hat und wiederholt geklickt wurde.

Am Bild zeigt sich ein Unterschied darin, was als Klick zählt. PostHog und Mixpanel haben die Klicks darauf als Klicks gezählt. Privatrak zählt nur Klicks auf Buttons, Links und andere Bedienelemente und beobachtet Dinge, die nur klickbar aussehen, etwa ein Bild, ein Icon oder unterstrichenen Text, auf Klicks, die nichts bewirken oder hastig wiederholt werden.

Wichtig wird das bei einer Frage, die Ihnen erst später einfällt. Sagen wir, Sie wollen nächsten Monat wissen, wie oft der Button zur Registrierung benutzt wird. Mit einem Tool, das nur erfasst, was Sie eingerichtet haben, gibt es keine Vorgeschichte. Sie bauen Code ein und warten. Mit einem Tool, das Klicks von selbst erfasst, benennen Sie den Button und sehen auch die Klicks des letzten Monats. Von den neun können das PostHog, Mixpanel und Privatrak. PostHog braucht dafür ohne Cookie seinen cookielosen Modus, Mixpanel eine eingeschaltete Sitzungsaufzeichnung und speichert auch mit seiner Einstellung etwas, Privatrak arbeitet von Haus aus so.

Persönliche Daten und IDs in der Adresse

Persönliche Daten landen öfter in Adressen von Seiten, als man denkt. Sie stecken in Newsletter-Links, Links zum Zurücksetzen von Passwörtern, Rücksprüngen nach dem Login und Kontoseiten. Also haben wir Adressen mit persönlichen Daten oder IDs an verschiedenen Stellen geöffnet und angesehen, was jedes Tool sendet. Dazu Adressen mit Daten, die nicht privat sind und erhalten bleiben sollten, um zu sehen, ob ein Tool die gleich mit wegwirft.

Das ist die andere Hälfte der Frage nach der Einwilligung. Auch ein Tool, das nichts im Browser speichert, kann persönliche Daten bekommen, und eine E-Mail-Adresse oder Kundennummer in einer Adresse ist ein personenbezogenes Datum wie jedes andere. Sie an einen Analyseanbieter zu senden, braucht nach der DSGVO eine Rechtsgrundlage, und bei Webanalyse ist das oft eine Einwilligung. Ein Tool ohne Cookies erspart Ihnen den Banner also nur, wenn es auch keine persönlichen Daten erfasst. Brauchen Sie für Webanalyse einen Cookie-Banner? behandelt beide Hälften.

Jedes Tool hat für jede Adresse einen Seitenaufruf gesendet. Die Tabelle zeigt also, was darin stand. In den ersten vier Spalten heißt „Gesendet“, dass die persönlichen Daten unverändert ankamen, „Abgeschnitten“, dass das Tool diesen Teil der Adresse weggelassen hat, und „Unkenntlich gemacht“, dass es den Wert durch einen Platzhalter ersetzt hat. Die letzte Spalte sind Daten, die erhalten bleiben sollten. Dort ist „Erhalten“ das gute Ergebnis.

Die Adressen waren ?email=someone@example.com, dieselbe Adresse unter einem Parameter namens u, ein Link zum Zurücksetzen des Passworts mit ?token=…, ein Login-Token in einem Parameter namens t, /unsubscribe/someone@example.com, /users/48213/settings, eine Bestellnummer als UUID, /callback#access_token=… und eine Seite, deren Adresse eine E-Mail-Adresse enthielt, bevor der Besucher weiterklickte, sodass sie als Referrer mitging. Die Daten, die erhalten bleiben sollten, waren /search?q=running+shoes, /products?page=2&sort=price, ein Produktname, ein Datum und eine Versionsnummer im Pfad.

• Plausible, Umami, Pirsch, Matomo, PostHog und Mixpanel haben jede Adresse so gesendet, wie sie war, auch das Token nach dem #. Ihre cookielosen Einstellungen haben daran nichts geändert. Mixpanel hat die ganze Adresse außerdem mit jedem Teil seiner Sitzungsaufzeichnung gesendet.
• Fathom und Simple Analytics entfernen die meisten Parameter und alles nach dem #. Sie behalten die Kampagnen-Tags (utm_…), Fathom auch den Suchbegriff in q. Das hält E-Mail-Adressen und Tokens in Parametern draußen, aber auch Seitenzahl und Sortierung, bei Simple Analytics auch den Suchbegriff. Persönliche Daten und IDs im Pfad gingen trotzdem mit.
• Privatrak hat jede E-Mail-Adresse, jedes Token und jede ID durch :redacted oder :id ersetzt, egal wo sie stand, und Suche, Seitenzahl, Sortierung, Produktname und Versionsnummer behalten. Es prüft Parameternamen wie email, token und code und erkennt E-Mail-Adressen und gängige Zugangsschlüssel an ihrem Wert. Was es ebenfalls ändert, ist jeder Teil des Pfads, der nur aus Ziffern besteht. /blog/2026/10/launch-notes kommt also als /blog/:id/:id/launch-notes an.

Bei allen diesen Tools können Sie Adressen selbst weiter filtern. Die Tabelle zeigt die Standards, und mit denen laufen die meisten Websites.

Werbeblocker

Wir haben das Skript jedes Tools und die Adresse, an die es sendet, mit drei Gruppen von Filterlisten geprüft. Das waren die Listen, die uBlock Origin von Haus aus einschaltet, EasyList mit EasyPrivacy (die Brave nutzt) und die Basis- und Tracking-Listen von AdGuard.

Plausible, Fathom, Simple Analytics, Umami, Pirsch, Matomo Cloud und Mixpanel werden mit ihrem Standardcode von allen dreien blockiert. Das Skript von PostHog blockieren alle drei, seine Sendeadresse nur AdGuard. Privatrak steht auf keiner der Listen, vermutlich weil es neu ist. Das kann sich mit jeder Aktualisierung der Listen ändern. Wählen Sie also kein Tool deswegen.

Sind Ihnen Werbeblocker wichtig, können Sie bei den meisten dieser Tools die Daten über Ihre eigene Domain senden, die die Listen nicht so leicht erkennen. Diese Varianten haben wir nicht getestet.

Wie sie Besucher unterscheiden

Ohne Cookie kann ein Tool einen wiederkehrenden Besucher nicht erkennen. Die meisten berechnen deshalb auf dem Server einen Code aus IP-Adresse und Browser des Besuchers und einem Geheimwert, der sich regelmäßig ändert. Wie oft er sich ändert, bestimmt, wie lange dieselbe Person als ein Besucher zählt. Das dokumentiert jedes Tool.

Dieselben Besucherzahlen bedeuten also Verschiedenes. Wer am Montag und am Donnerstag kommt, ist in Umami und in Matomo mit seinem Cookie ein Besucher, in Plausible, Privatrak oder Matomo ohne Cookies zwei. Je kürzer der Zeitraum, desto weniger kann jemand einer Person folgen, das Tool eingeschlossen.

Was sie kosten

Die Tools rechnen unterschiedliche Dinge ab. Plausible, Fathom, Simple Analytics und Pirsch zählen Seitenaufrufe. Matomo zählt Hits, also Seitenaufrufe plus Downloads, ausgehende Links und andere erfasste Aktionen. Umami, PostHog, Mixpanel und Privatrak zählen Events, wobei ein Seitenaufruf ein Event ist und jeder erfasste Klick ein weiteres. Derselbe Besuch verbraucht also in jedem Tool unterschiedlich viel, und wir haben nicht zwischen den Einheiten umgerechnet. Die Tabelle zeigt die veröffentlichten Monatspreise, ohne Mehrwertsteuer und ohne Rabatt für jährliche Zahlung.

Plausible, Umami, Matomo und PostHog sind außerdem kostenlos, wenn Sie sie selbst hosten. Pirsch rechnet eigene Events und ein Zehntel der Events, die eine Sitzung verlängern, auf die Seitenaufrufe an. Der kostenlose Tarif von Mixpanel deckt auch 10.000 Sitzungsaufzeichnungen im Monat ab. Privatrak lässt sich so einstellen, dass es nur Seitenaufrufe erfasst, dann verbraucht ein Seitenaufruf ein Event.

Einen KI-Assistenten nach Ihren Zahlen fragen

Immer mehr Leute fragen Claude oder ChatGPT nach ihren Analysedaten. Das geht über einen MCP-Server, der den Assistenten mit dem Tool verbindet. Manche Server lesen nur Ihre Zahlen, andere können auch Ihre Einrichtung ändern, und dann zählt, wie Sie wieder zurückkommen.

Für Plausible, Fathom und Pirsch gibt es Server aus der Community. Sie laufen auf Ihrem Rechner mit einem API-Schlüssel und lesen Ihre Zahlen.

Jedes Tool in Kürze

Was jedes Tool im Test gut gemacht hat und wo es schlechter abgeschnitten hat, unser eigenes eingeschlossen.

Plausible

• Stärken. Ein winziges Skript (3 KB), nichts im Browser gespeichert, Open Source und selbst hostbar. Downloads, ausgehende Links und Formulare sind einen Schalter entfernt.
• Schwächen. Sendet jede Adresse, wie sie ist, mit E-Mail-Adressen und Tokens. Erfasst nur Seitenaufrufe, bis Sie mehr einschalten, und jede Werbeblocker-Liste hält es auf.

Fathom

• Stärken. Das kleinste Skript (2 KB), nichts gespeichert, und die meisten Parameter und alles nach dem # fallen weg, sodass E-Mail-Adressen und Tokens dort draußen bleiben.
• Schwächen. Persönliche Daten und IDs im Pfad gehen trotzdem mit, Seitenzahl und Sortierung gehen verloren, es gibt keine Funnels, und jede Liste blockiert es.

Simple Analytics

• Stärken. Nichts gespeichert, und Parameter und der Teil nach dem # fallen weg, bevor etwas gesendet wird.
• Schwächen. Es erkennt wiederkehrende Besucher gar nicht, verliert Suchbegriff, Seitenzahl und Sortierung, sendet persönliche Daten im Pfad, hat keine Funnels und wird von jeder Liste blockiert.

Umami

• Stärken. Kostenlos bis 100.000 Events, Funnels, selbst hostbar und ein offizieller MCP-Server, der liest.
• Schwächen. Sendet jede Adresse, wie sie ist, erfasst ohne eigenen Code nur Seitenaufrufe und wird von jeder Liste blockiert.

Pirsch

• Stärken. Niedrige Preise ab 6 $ im Monat, nichts gespeichert, und Downloads und ausgehende Links werden ohne eigenen Code erfasst.
• Schwächen. Sendet jede Adresse, wie sie ist, erfasst keine Button-Klicks, hat keinen offiziellen MCP-Server und wird von jeder Liste blockiert.

Matomo

• Stärken. Selbst hostbar, viele Berichte, eine cookielose Einstellung, die nichts speichert, und ein offizieller MCP-Server.
• Schwächen. Mit dem Standardcode ein Cookie für 13 Monate, ein Skript mit 22 KB, jede Adresse unverändert gesendet und von jeder Liste blockiert. Ohne Cookies erkennt es einen Besucher höchstens einen Tag lang.

PostHog

• Stärken. Alles in einem Tool, Klicks ohne eigenen Code erfasst, kostenlos bis eine Million Events, selbst hostbar und ein offizieller MCP-Server, der auch ändern kann.
• Schwächen. Mit dem Standardcode ein Cookie und localStorage für ein Jahr, ein Skript mit 104 KB und jede Adresse unverändert gesendet. Sein cookieloser Modus zählt eine Person jeden Tag neu und muss an zwei Stellen eingeschaltet werden.

Mixpanel

• Stärken. Erfasst Klicks, wiederholte Klicks und Klicks, die nichts bewirken, während es die Sitzung aufzeichnet, ist kostenlos bis eine Million Events und hat einen offiziellen MCP-Server mit Änderungsprotokoll.
• Schwächen. Eine Besucher-ID im localStorage ohne Ablaufdatum, und seine Einstellung ohne Speicherung speichert weiter eine Warteschlange und kann Besucher nicht mehr unterscheiden. Es lädt 33 KB plus eine Aufzeichnung mit 103 KB, sendet jede Adresse unverändert, auch mit jedem Teil der Aufzeichnung, und wird von jeder Liste blockiert.

Privatrak

• Stärken. Nichts gespeichert, Klicks auf Buttons, Links und Formulare erfasst und Klicks gefunden, die nichts bewirken, persönliche Daten in Adressen ersetzt, während Suche und Sortierung bleiben, und ein MCP-Server, dessen Änderungen sich rückgängig machen lassen.
• Schwächen. Ein Skript mit 14 KB, und Zahlen im Pfad werden als :id zusammengefasst, wenn Sie das nicht abschalten. Sie können es nicht selbst hosten, und es ist neu, mit weniger Integrationen, Anleitungen und Antworten aus der Community.

Welches cookielose Analyse-Tool Sie nehmen sollten

• Wenn Sie nur wissen wollen, wie viele Leute kamen und woher, nehmen Sie Fathom, Plausible oder Pirsch. Fathom und Simple Analytics halten E-Mail-Adressen in Parametern von Haus aus aus Ihren Daten heraus.
• Wenn Sie Funnels wollen und wenig zahlen möchten, nehmen Sie Umami.
• Wenn Sie selbst hosten wollen, nehmen Sie Umami, Plausible oder Matomo. Matomo arbeitet auch ohne Cookies, sobald Sie seinen Standardcode ändern.
• Wenn Sie alles in einem Tool wollen, nehmen Sie PostHog oder Mixpanel mit Cookie-Banner. Der cookielose Modus von PostHog geht auch, mit den Abstrichen von oben.
• Wenn Sie wissen wollen, welche Features genutzt werden und wo Klicks ins Leere gehen, ohne Cookie-Banner, nehmen Sie Privatrak.

Wie wir getestet haben

Wir haben eine Testseite gebaut, mit einem funktionierenden Button, einem kaputten Button, einem Bild mit Hand-Mauszeiger, das nichts tut, einem Link auf ein PDF, einem Link auf eine andere Seite, einem Link auf eine andere Website und einem Newsletter-Formular. Für jedes Tool haben wir seinen Standardcode mit einer erfundenen Website-ID eingebaut, die Seite in Chrome 155 geöffnet und per Skript denselben Besuch durchgespielt. In einem zweiten Durchlauf haben wir nacheinander die Adressen mit persönlichen Daten, IDs und erhaltenswerten Daten geöffnet.

Jedes Tool hat einen per Skript gesteuerten Besuch von etwa einer Minute durchlaufen. Was wir berichten, ist das, was bei diesem Besuch passiert ist, und bei den sechs kleineren Skripten zusätzlich, was ihr Code zeigt. Funktionen, die wir nicht genutzt haben, etwa Umfragen oder Feature Flags, können auf anderen Websites mehr speichern oder senden.

Bei den Anbietern ist nichts angekommen. Chrome hat jede Anfrage an einen lokalen Server auf unserem Rechner geschickt. Der hat die Seite und das Skript jedes Tools ausgeliefert, das wir am 23. Oktober heruntergeladen hatten, und alles aufgezeichnet, was die Tools gesendet haben. Die Testseite lief per HTTPS unter einer erfundenen Domain, sodass sich die Tools wie auf einer echten Website verhalten haben.

• Plausible erzeugt für jede Website ein eigenes Skript mit deren Einstellungen. Wir haben sein offizielles npm-Paket mit den dokumentierten Standards genutzt, das ist derselbe Code.
• Matomo, PostHog und Mixpanel haben wir zweimal getestet, mit dem Standardcode und mit ihrer cookielosen Einstellung.
• PostHog wartet auf die Einstellungen seines Servers, bevor es Klicks erfasst. Wir haben mit dem geantwortet, was sein Server einem neuen Projekt schickt, laut Quellcode von PostHog: Klickerfassung an, Heatmaps und die Erkennung von Klicks, die nichts bewirken, aus.
• Mixpanel lief mit Code und Optionen aus seinem Schnellstart für JavaScript, der jeden Besuch als Sitzung aufzeichnet und Klickdaten für Heatmaps sammelt. Seine eigene Einstellung zur Klickerfassung ist von Haus aus aus. Unser Server hat jeden Stapel so bestätigt wie der von Mixpanel, denn Mixpanel behält einen Stapel und sendet ihn erneut, bis er bestätigt ist.
• Privatrak liest seine Einstellungen ebenfalls vom Server. Wir haben mit den Einstellungen eines neuen Projekts geantwortet.

Für die Prüfung der Werbeblocker haben wir die Filterlisten mit dem Stand vom 23. Oktober 2026 und die Matching-Engine von Ghostery genutzt, die dieselben Regeln anwendet wie die Blocker.

Der Testcode und alle Rohergebnisse liegen auf GitHub unter Privatrak/cookieless-analytics-test. Dort können Sie unsere Zahlen prüfen oder den Test selbst laufen lassen.