ITP (Intelligent Tracking Protection)

Was ITP macht

ITP kam mit Safari 11 (2017) und wurde mit jeder größeren Safari-Version seither verschärft. Das aktuelle Regelwerk 2026:

• Third-Party-Cookies sind standardmäßig blockiert für seitenübergreifendes Tracking
• Per document.cookie gesetzte First-Party-Cookies (also per JavaScript) laufen nach 7 Tagen ab
• First-Party-Cookies in strengeren Modi (privates Surfen) sind auf 24 Stunden begrenzt
• CNAME-Cloaking (wenn ein Third-Party-Tracker eine per CNAME verknüpfte Subdomain deiner Seite nutzt) bekommt dieselbe 7-Tage-Grenze
• Storage Access API nötig, damit seitenübergreifende iframes überhaupt auf Cookies zugreifen

Der kumulierte Effekt: Tracking, das auf dauerhaften, Client-seitig gesetzten Cookies beruht, funktioniert für Safari-Nutzer nicht mehr zuverlässig.

Was ITP kaputtmacht

Konkret:

• Sitzungsübergreifende Attribution. Ein Nutzer, der nach mehr als 7 Tagen zurückkommt, erscheint als neuer Nutzer.
• Geräteübergreifende Journeys. Ohne stabiles Cookie kannst du probabilistisches Identity-Matching nicht verankern.
• Attribution mit langem Fenster. Ein 30-Tage-Klick-Attributionsfenster schrumpft auf Safari effektiv auf 7 Tage.
• Retargeting-Audiences. Audience-Listen, die auf der Cookie-Persistenz beruhen, schrumpfen dramatisch.

ITP macht Tracking nicht pauschal kaputt, es zielt gezielt auf Cookie-basiertes Tracking, besonders auf die Third-Party-Variante, auf der Ad-Netzwerke ihr Geschäft aufgebaut haben.

Wie du ITP überlebst

Drei Muster funktionieren:

1. Serverseitiges First-Party-Tracking. Setze Cookies über HTTP-Header von deinem eigenen Server (nicht per JavaScript). Diese bekommen eine längere Lebensdauer als per JavaScript gesetzte Cookies.
2. Serverseitige Identität. Die Identität lebt in deinem Backend, nicht in einem Cookie. Sie wird bei Bedarf erneut an den Browser ausgegeben.
3. CAPI-/Conversions-API-Integration. Wenn die Browser-Pipeline schwächelt, funktioniert die Server-Pipeline weiter. Kombiniere Pixel + CAPI für mehr Ausfallsicherheit.

Das ersetzt nicht perfekt, was ITP weggenommen hat, holt aber das meiste zurück für Nutzer, die mit deinem Business auf identifizierbare Weise interagieren (eingeloggt, wiederkehrend, gehashtes E-Mail-Match).

Häufige Fehler

• First-Party-Cookies per document.cookie setzen. Von ITP auf 7 Tage begrenzt. Nutze stattdessen HTTP-Set-Cookie-Header.
• Safari als kleinen Anteil abtun. In Premium- und DTC-Verticals sind es oft über 40 % des Traffics.
• Sich auf das Third-Party-Pixel als einzigen Conversion-Pfad verlassen. Meldet garantiert zu wenig.

FAQ zu ITP (Intelligent Tracking Protection)

Was ist ITP?

ITP (Intelligent Tracking Protection) ist Apples in Safari eingebautes Datenschutz-Framework. Es blockiert Third-Party-Cookies komplett und begrenzt per JavaScript gesetzte First-Party-Cookies auf 7 Tage.

Wie umgehe ich ITP?

Nutze serverseitiges First-Party-Tracking, setze Cookies über HTTP-Header statt per JavaScript und leite Conversion-Events über CAPI oder ähnliche serverseitige APIs, die nicht von Browser-Cookies abhängen.

Betrifft ITP auch Chrome und Firefox?

ITP gibt es nur in Safari. Firefox hat ein vergleichbares System namens ETP (Enhanced Tracking Protection). Chrome hat eigene, sich weiterentwickelnde Einschränkungen, darunter die Privacy Sandbox und die laufende Abschaffung von Third-Party-Cookies.