Local Storage vs. Cookies: Technische Alternativen im Vergleich

Cookies sind das bekannteste Mittel zur clientseitigen Datenspeicherung im Browser. Doch moderne Browser bieten weitere Mechanismen: Local Storage, Session Storage und IndexedDB. Entwickler greifen häufig auf diese Alternativen zurück, sei es aus technischen Gründen oder in der Hoffnung, datenschutzrechtliche Anforderungen zu umgehen.

Letzteres funktioniert nicht. Dieser Artikel erklärt die technischen Unterschiede und warum die rechtliche Einordnung unabhängig vom eingesetzten Speichermechanismus ist.

Cookies: Grundlagen

Cookies werden vom Server über den HTTP-Header Set-Cookie gesetzt oder per JavaScript über document.cookie angelegt. Sie haben folgende Eigenschaften:

• Werden bei jedem HTTP-Request automatisch mitgesendet
• Können mit HttpOnly vor JavaScript-Zugriff geschützt werden
• Laufen nach dem eingestellten Ablaufdatum ab (oder beim Schließen des Browsers bei Session-Cookies)
• Sind auf eine Domain beschränkt (SameSite, Domain-Attribut)

Cookies sind technisch für Server-seitige Authentifizierung unverzichtbar, weil nur sie automatisch mit jeder Anfrage mitgeschickt werden.

Local Storage

Local Storage ist eine einfache Key-Value-Datenbank im Browser. Sie hat folgende Eigenschaften:

• Zugriff nur per JavaScript, nicht über HTTP-Header
• Kein automatisches Senden bei HTTP-Requests
• Kein Ablaufdatum: Daten bleiben bis zur manuellen Löschung erhalten
• Kapazität ca. 5 bis 10 MB je Origin

Local Storage wird häufig für Nutzereinstellungen, Themes oder den Zwischenspeicher von Formulardaten genutzt. Für Authentifizierung ist er ungeeignet, weil er anfällig für XSS-Angriffe ist.

Session Storage

Session Storage funktioniert wie Local Storage, ist aber auf die aktuelle Browser-Session beschränkt. Beim Schließen des Tabs oder Fensters werden die Daten gelöscht. Zwischen Tabs derselben Domain wird kein Zustand geteilt.

Typische Einsatzbereiche: Formular-Wizards, mehrseitige Checkout-Prozesse, temporäre Filter-Zustände.

IndexedDB

IndexedDB ist eine vollständige, objektorientierte Datenbank im Browser. Sie unterstützt Transaktionen, Indices und das Speichern größerer Mengen strukturierter Daten. Sie ist deutlich komplexer als Local Storage, bietet aber deutlich mehr Kapazität und Abfragemöglichkeiten.

Einsatzbereiche: Progressive Web Apps, Offline-Funktionalität, lokale Datensynchronisation.

Datenschutzrechtliche Einordnung

Der entscheidende Punkt: Das TDDDG (früher TTDSG) und die DSGVO knüpfen die Einwilligungspflicht nicht am technischen Speichermittel fest, sondern am Zweck.

Wenn personenbezogene Daten oder gerätebezogene Kennzeichnungen gespeichert werden, gilt die Einwilligungspflicht unabhängig davon, ob es sich um einen Cookie, Local Storage oder IndexedDB handelt. Der Erwägungsgrund 30 der DSGVO spricht ausdrücklich von “Online-Kennzeichnungen, die von Geräten, Anwendungen, Werkzeugen und Protokollen bereitgestellt werden” und nennt Cookies dabei nur als ein Beispiel.

Praktisch heißt das: Wer eine Tracking-ID im Local Storage speichert, um das Cookie-Banner zu umgehen, verstößt gegen dieselben Regeln.

Fingerprinting als Sonderfall

Browser-Fingerprinting speichert keine Daten im Browser, sondern kombiniert technische Merkmale wie Auflösung, Schriftarten, Plugins und Rendering-Details zu einem nahezu eindeutigen Fingerabdruck. Da hier keine lokale Speicherung stattfindet, war die rechtliche Einordnung zunächst unklar.

Inzwischen ist weitgehend anerkannt, dass Fingerprinting die Verarbeitung personenbezogener Daten darstellt und damit der DSGVO unterliegt. Eine Einwilligung ist in den meisten Fällen erforderlich.

Fazit für die Praxis

Für Entwickler bedeutet das: Die Wahl des Speichermechanismus ist eine rein technische Entscheidung und hat keine Auswirkung auf die datenschutzrechtliche Einwilligungspflicht. Wer Tracking, Analyse oder Werbung umsetzt, muss in jedem Fall eine Einwilligung einholen.

Technisch notwendige Funktionen wie Formularzustände oder Theme-Einstellungen können im Local Storage gespeichert werden, ohne eine Einwilligung zu erfordern, sofern dabei keine personenbezogenen Daten anfallen. Der Cookie-Generator auf dieser Website berücksichtigt ausschließlich Cookies, die Einwilligungspflicht gilt jedoch gleichermaßen für alle genannten Speichermechanismen.