Session-Cookie
Ein Session-Cookie ist eine kleine Datei, die eine Webseite im Browser ablegt, damit sie den Nutzer während eines Besuchs wiedererkennt. Sie wird gelöscht, sobald man den Browser schließt.
Eine Webseite vergisst normalerweise nach jedem Klick, wer gerade auf ihr unterwegs ist. Jeder Seitenaufruf ist für den Server, also den Computer, der die Seite ausliefert, ein neuer Vorgang ohne Erinnerung. Damit das trotzdem funktioniert, legt die Seite eine winzige Textdatei im Browser ab. Diese Datei heißt Cookie und enthält meist nur eine lange, zufällige Zeichenkette. Ein Session-Cookie ist die Variante davon, die nur für den aktuellen Besuch gilt. Schließt man das Browserfenster, verschwindet sie wieder.
Ohne sie wäre jeder Klick ein Neuanfang
Am deutlichsten merkt man das beim Einkaufen im Netz. Man legt Schuhe in den Warenkorb, klickt weiter zu den Jacken und der Korb ist noch gefüllt. Genau das leistet der Session-Cookie. Er sagt dem Server bei jedem Klick: Das ist wieder derselbe Besucher wie eben.
Das Gleiche gilt für jede Anmeldung. Nach der Eingabe von Nutzername und Passwort erzeugt der Server einen Sitzungsschlüssel und legt ihn als Session-Cookie ab. Bei jeder weiteren Seite schickt der Browser diesen Schlüssel automatisch mit. Ohne ihn müsste man sich auf jeder Unterseite neu einloggen.
Wichtig ist die Abgrenzung zum dauerhaften Cookie. Ein solches Cookie hat ein Ablaufdatum und bleibt Wochen oder Jahre gespeichert. Damit lässt sich ein Nutzer über viele Besuche hinweg verfolgen, was für Werbung interessant ist. Session-Cookies gelten dagegen als vergleichsweise harmlos. Deshalb dürfen technisch notwendige Session-Cookies in der EU meist ohne Einwilligung gesetzt werden.
Der Schlüssel im Browser, die Daten auf dem Server
Ein guter Vergleich ist die Garderobe im Theater. Man gibt die Jacke ab und bekommt eine Nummer auf einem Zettel. Der Zettel ist der Session-Cookie, die Jacke sind die Daten auf dem Server. Auf dem Zettel steht nichts über die Jacke, nur eine Nummer. Wer den Zettel hat, bekommt die Jacke.
Technisch läuft das so ab: Der Server schickt bei der ersten Antwort eine Zeile mit der Sitzungsnummer mit. Der Browser speichert sie im Arbeitsspeicher, nicht auf der Festplatte. Bei jeder folgenden Anfrage an dieselbe Seite hängt er sie automatisch an. Der Server sucht die passende Sitzung heraus und weiß wieder Bescheid.
Daraus folgt auch die größte Gefahr. Wer die Sitzungsnummer stiehlt, kann sich als der Nutzer ausgeben, ganz ohne Passwort. Man nennt das Session Hijacking, also Sitzungsentführung. Dagegen helfen verschlüsselte Verbindungen und Kennzeichnungen, die den Zugriff durch fremde Skripte verbieten. Zusätzlich laufen Sitzungen nach einiger Zeit ohne Aktivität von selbst ab.
Cookie-Banner, Online-Banking und der Ärger mit den Tabs
Am häufigsten begegnet einem der Begriff im Cookie-Banner. Dort stehen Session-Cookies fast immer unter den notwendigen Cookies, die man nicht abwählen kann. Der Grund ist einfach: Ohne sie ließe sich die Seite gar nicht sinnvoll bedienen. Die ablehnbaren Häkchen betreffen dagegen meist Werbe- und Analyse-Cookies mit langer Laufzeit.
Beim Online-Banking sind Session-Cookies besonders kurzlebig. Nach wenigen Minuten ohne Klick wird man automatisch abgemeldet. Das ist keine Schikane, sondern Absicht. Je kürzer eine Sitzung gültig ist, desto weniger nützt ein gestohlener Schlüssel.
Ein verbreiteter Irrtum ist die Annahme, ein Session-Cookie enthalte persönliche Daten. In aller Regel steht dort nur eine Zufallszahl. Auch die Idee, mehrere Tabs seien getrennte Sitzungen, stimmt nicht. Alle Tabs desselben Browsers teilen sich das Cookie. Wer zwei Konten gleichzeitig nutzen will, braucht deshalb ein privates Fenster oder einen anderen Browser.