Webanalyse ohne Cookies: Was Umami kann – und was nicht

Warum viele Unternehmen schlanker messen wollen

Die Fragen, die ein mittelständisches Unternehmen an seine Website hat, sind überschaubar: Welche Seiten werden gelesen? Woher kommen die Besucher? Führt die Kampagne zu Anfragen? Dafür braucht es keine Plattform, die Nutzer über Wochen und Geräte hinweg verfolgt.

Drei Gründe hören wir in Gesprächen immer wieder:

• Einwilligungsbanner: Je mehr ein Werkzeug über Besucher speichert, desto umfangreicher werden Banner und Datenschutzerklärung.
• Datenweitergabe: Die Messdaten liegen bei einem Dritten, oft bei einem US-Konzern mit eigenen Interessen an diesen Daten.
• Komplexität: Wer nur alle paar Wochen hineinschaut, findet sich in hunderten Berichten nicht zurecht.

Umami setzt am anderen Ende an: wenige Berichte, keine Cookies, auf Wunsch vollständig im eigenen Haus betrieben.

Was Umami misst – und wie es Besucher ohne Cookies erkennt

Umami ist Open Source unter MIT-Lizenz. Die Übersicht passt auf eine Bildschirmseite:

• Seitenaufrufe, Besucher und Besuche, Absprungrate und Besuchsdauer
• Herkunft: verweisende Websites, Suchmaschinen, Kanäle
• Länder, Browser, Betriebssysteme und Gerätetypen
• Einstiegs- und Ausstiegsseiten
• eigene Ereignisse, etwa „Formular abgeschickt“ oder „PDF geladen“
• Kampagnen über UTM-Parameter, dazu Ziele, Trichter (Funnels) und Besucherpfade

Seit Version 3.1 kann Umami zusätzlich die Core Web Vitals (LCP, INP, CLS, FCP, TTFB) aus den Browsern der Besucher erfassen. Das muss im Skript eigens eingeschaltet werden.

Der wechselnde Hash

Um Besucher von Seitenaufrufen zu unterscheiden, bildet der Server aus Website-Kennung, IP-Adresse, Browserkennung und einem wechselnden Zufallswert („Salt“) einen Hash. Dieser Hash ist die Sitzungskennung. Wechselt der Salt, entsteht für denselben Besucher eine neue Kennung – eine Verbindung zur alten gibt es nicht.

Ein Detail wird oft falsch wiedergegeben: In der Standardeinstellung wechselt der Salt bei Umami monatlich, nicht täglich. Seit Version 3.1 lässt sich der Rhythmus über die Einstellung SALT_ROTATION auf wöchentlich oder täglich verkürzen. Wer sich Umami wegen der täglichen Rotation aussucht, muss sie also selbst einschalten.

Was Umami bewusst nicht tut – und was es nicht ersetzt

Manches fehlt mit Absicht:

• Kein Wiedererkennen über den Rotationszeitraum hinaus. Ein Besucher, der im nächsten Zeitraum wiederkommt, zählt als neu.
• Kein Verfolgen über mehrere Websites. Die Website-Kennung steckt im Hash.
• Keine Demografie, keine Interessenprofile. Alter, Geschlecht oder Kaufabsichten kennt Umami nicht.
• Keine Werbeanbindung. Zielgruppen für Anzeigennetzwerke lassen sich nicht übergeben.

Anderes liefern besser andere Werkzeuge:

• Suchbegriffe: Mit welchen Suchanfragen Ihre Seiten gefunden werden, zeigen nur die Suchmaschinen selbst – die Google Search Console und die Bing Webmaster Tools. Beide sind kostenlos und kommen ohne Skript auf der Website aus.
• Zuordnung über Wochen: Liest jemand im März einen Artikel und fragt im Mai an, sieht Umami zwei Besucher. Für lange Entscheidungswege im B2B-Geschäft bleibt der Blick ins CRM oder die schlichte Frage „Wie sind Sie auf uns gekommen?“ zuverlässiger.
• Heatmaps und Sitzungsaufzeichnungen: Hier hat sich etwas geändert. Umami bringt seit Version 3.1 Sitzungsaufzeichnungen und seit Version 3.2 Klick- und Scroll-Heatmaps mit, über ein zusätzliches Skript. Das ist allerdings eine andere Kategorie als das Zählen von Seitenaufrufen: Es wird Verhalten einzelner Besuche aufgezeichnet. Wir nutzen diese Funktionen nicht und würden sie nicht ohne Einwilligung und eigene Prüfung einschalten.

Die rechtliche Seite: „ohne Cookies“ heißt nicht „ohne Einwilligung“

Dieser Artikel ist keine Rechtsberatung. Die Grundstruktur lässt sich aber sachlich beschreiben. Es gelten zwei Regelwerke nebeneinander.

§ 25 TDDDG schützt das Endgerät. Eine Einwilligung ist nötig, sobald Informationen dort gespeichert oder von dort ausgelesen werden – ausgenommen, was unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst zu erbringen. Das Gesetz spricht nicht von Cookies. Es kommt auch nicht darauf an, ob die Informationen personenbezogen sind. Gemeint ist ebenso der lokale Speicher des Browsers, und die Datenschutzkonferenz wertet es als Zugriff, wenn ein Skript aktiv Geräteeigenschaften ausliest, um daraus eine Kennung zu bilden.

Für Umami heißt das: Das Skript setzt keine Cookies. Es liest aber per JavaScript die Bildschirmgröße und die Browsersprache aus und prüft im lokalen Speicher, ob ein Besucher die Messung für sich abgeschaltet hat. Ob das unter § 25 fällt, ist eine Einzelfallfrage, die wir nicht für Sie entscheiden können.

Die DSGVO gilt daneben, sobald personenbezogene Daten verarbeitet werden. Der Hersteller erklärt, Umami erhebe keine personenbezogenen Daten und anonymisiere alles. Die IP-Adresse wird aber zumindest für die Hash-Bildung und die Länderzuordnung verarbeitet. Ob eine Aufsichtsbehörde die Sitzungskennung als anonym ansieht, hängt unter anderem vom Rotationszeitraum ab.

Aufschlussreich ist die Orientierungshilfe der Datenschutzkonferenz für digitale Dienste (Version 1.2, November 2024). Sie lehnt es ausdrücklich ab, Reichweitenmessung pauschal als einwilligungsfrei einzustufen. Eine Aussage sei allenfalls für eine genau definierte Konfiguration und Zweckbestimmung möglich; selbst die einfache Messung von Besucherzahlen gehöre nicht per se zum Basisdienst. Wer liest, Umami brauche „garantiert kein Banner“, liest also eine Herstelleraussage und keine Position der deutschen Aufsicht.

Wir haben uns für den vorsichtigen Weg entschieden: Das Umami-Skript wird auf unserer Website erst nach Zustimmung im Cookie-Banner geladen. Was das für die Zahlen bedeutet, steht weiter unten.

Selbst hosten oder Cloud – und der Vergleich mit Matomo und GA4

Umami gibt es in zwei Formen. Selbst gehostet braucht es einen Server mit Node.js ab Version 18.18 und eine PostgreSQL-Datenbank ab 12.14; am einfachsten läuft es als Docker-Container. Die Daten bleiben auf dem eigenen Server, bei uns in Deutschland. Dafür sind Sie für Updates, Sicherung und Absicherung zuständig. Umami entwickelt sich schnell – allein 2026 kamen mehrere Funktionsversionen. Ein Update dauert wenige Minuten, muss aber jemand einplanen. Umami Cloud nimmt Ihnen den Betrieb ab; die Server stehen laut Anbieter in den USA und in der EU. Dann brauchen Sie einen Vertrag zur Auftragsverarbeitung und sollten den Speicherort klären.

Keines der drei Werkzeuge ist „das richtige“. Matomo passt, wenn Sie tiefer auswerten wollen und ohnehin PHP-Hosting betreiben. GA4 passt, wenn Sie Google Ads in größerem Umfang steuern. Umami passt, wenn die Fragen einfach sind und die Daten im Haus bleiben sollen. Bei der Einrichtung im Rahmen einer DSGVO-konformen Website und beim Hosting unterstützen wir Sie.

Aus unserem Betrieb: Zahlen richtig lesen

Weil unser Skript erst nach Zustimmung lädt, zählen wir nur Besucher, die zugestimmt haben. Unsere Zahlen liegen damit unter dem tatsächlichen Verkehr. Diesen Preis zahlen wir bewusst. Wichtig ist nur, ihn beim Lesen im Kopf zu haben:

• Trends statt absoluter Werte. Ob ein Artikel diesen Monat mehr gelesen wird als im Vormonat, lässt sich ablesen. Wie viele Menschen ihn insgesamt gelesen haben, nicht.
• Kleine Zahlen nicht überdeuten. Bei einer Handvoll Aufrufen pro Tag ist eine Verdopplung oft Zufall.
• Gleiche Zeiträume vergleichen. Monat mit Monat, nicht eine Ferienwoche mit einer Messewoche.
• Vorsicht bei „Besuchern“ über lange Zeiträume. Wegen des wechselnden Hashs zählt ein Stammleser mehrfach.

Was uns drei Monate Daten gezeigt haben: Die meisten Besucher aus Suchmaschinen landen nicht auf der Startseite, sondern auf einer Handvoll praktischer Anleitungsartikel. Die Einstiegsseiten sagen deshalb mehr als die Summe aller Seitenaufrufe. Sie zeigen, mit welchem Anliegen jemand kommt – und ob die Seite ihn danach weiterführt oder verliert.

Statistik in normaler Sprache abfragen

Neu bei uns: Seit Version 3.4 gibt es einen offiziellen MCP-Server (@umami/mcp), über den sich KI-Assistenten mit Umami verbinden lassen. Wir haben unseren Assistenten darüber angebunden, mit einem eigenen API-Schlüssel. Fragen wie „Welche Artikel haben im letzten Monat Besucher gebracht?“ lassen sich so in normaler Sprache stellen. Alle Werkzeuge des Servers sind laut Hersteller rein lesend. Der Assistent kann Statistiken abfragen, aber nichts ändern, und der Schlüssel lässt sich in den Einstellungen jederzeit widerrufen.

Fazit

Umami beantwortet die Fragen, die die meisten Unternehmenswebsites tatsächlich haben, mit wenig Aufwand und ohne Cookies. Es ersetzt weder die Search Console noch eine Auswertung langer Entscheidungswege, und es nimmt Ihnen die rechtliche Prüfung nicht ab. Wer das weiß, bekommt ein Werkzeug, in das man tatsächlich hineinschaut – und Zahlen, deren Grenzen man kennt. Wenn Sie eine datensparsame Webanalyse für Ihre Website einrichten möchten, sprechen Sie uns an.