Google: Chrome rollt Regeln für Same-Site-Cookies vorerst zurück

Kritische Webseiten sollen auch in der Coronakrise weiter funktionieren. Die Änderung soll zu einem späteren Zeitpunkt aber wiederkommen.

Artikel veröffentlicht am 6. April 2020, 8:57 Uhr, Sebastian Grüner

Die Cookie-Regeln in Chrome sollen wiederkommen. (Bild: Craig Barritt/Getty Images for New York Magazine)

Google setzt das Forcieren der seit Anfang Februar gültigen Regeln zum Umgang mit Same-Site-Cookies im Chrome-Browser vorübergehend aus. Dies teilte das Unternehmen in seinem Chromium-Blog mit. Die Entwickler hatten die Änderungen mit der Chrome-Version 80 Anfang Februar erstmals in einer stabilen Version des Browsers eingeführt und seitdem schrittweise an einen verhältnismäßig kleinen Teil der Nutzer ausgerollt.

Cookies im Browser können von der Domain kommen, die Nutzer gerade ansurfen (First-Level), oder von einer externen Domain, die dort nur eingebunden ist (Third-Level). Vor allem letztere werden häufig zum Verfolgen von Nutzern über mehrere Webseiten hinweg verwendet. Das Same-Site-Attribut für Cookies verfügt dabei über mehrere vorgegebene Werte, mit denen Webentwickler festlegen können, ob die Verwendung des Cookies auf die eigene Seite beschränkt bleiben soll oder nicht.

In Chrome 80 war der externe Zugriff auf Cookies nur noch dann erlaubt, wenn diese explizit als SameSite=None markiert sind. Ebenso muss das Attribut Secure gesetzt werden, das den Zugriff per HTTPS forciert. Dies führt dazu, dass alle Cookies ohne das Same-Site-Attribut auf First-Level-Domains beschränkt werden.

Mit Blick auf die "außergewöhnlichen globalen Umstände aufgrund von Covid-19" setzt Google dieses Verhalten nun aus. Zwar sei ein Großteil der Webseiten und Entwickler auf diese Veränderungen vorbereitet gewesen, hieß es. Dennoch will Google "die Stabilität von Websites gewährleisten, die wichtige Dienstleistungen anbieten, dazu gehören Banken, Onlinesupermärkte, staatliche Stellen und das Gesundheitswesen. Solange wir die Durchsetzung zurücknehmen, sollten Organisationen, Benutzer und Websites keine Störungen wahrnehmen".

Auf Grund der Coronakrise setzte Google zuvor bereits Versions-Upgrades für seinen Browser aus und damit auch das Ende für TLS 1.0 und 1.1. Dieser Entscheidung folgte Microsoft. Die Firefox-Entwickler von Mozilla nahmen ebenso das Ende der veralteten Verschlüsselungsprotokolle zurück.