Ein Cookie-Banner nach der DSGVO hängt oft eigene Tracking-Parameter an die URL, bevor die Seite überhaupt geladen ist — wer den Link in seine Bestandteile zerlegt, sieht genau, welche Einwilligung tatsächlich übertragen wurde, statt es zu vermuten.
Die Bestandteile einer URL
- Schema —
https://, legt die Verbindungsmethode fest. - Host —
beispiel.de, der Domainname des Servers. - Port — optional, standardmäßig 443 für HTTPS und 80 für HTTP.
- Pfad —
/über-uns, kann Umlaute und ß enthalten. - Query-String — nach
?, oft mitutm_source- oder Cookie-Consent-Parametern. - Fragment — nach
#, wird ausschließlich vom Browser verarbeitet.
Warum aus "über" plötzlich eine Kette von Prozentzeichen wird
Umlaute und das ß gehören nicht zum sicheren Zeichensatz einer URL: Jedes Zeichen wird zunächst in mehrere UTF-8-Bytes zerlegt, und jedes Byte wird dann zu einer Sequenz wie %C3%BC. Aus /über-uns wird so im Server-Log schnell /%C3%BCber-uns — was das Lesen von Logs unnötig erschwert und kopierte Links deutlich länger macht, als sie aussehen sollten.
Wo Consent-Parameter in der Query-String landen
Seit der DSGVO hängen viele deutsche Websites zusätzliche Parameter wie einen Consent-Status oder eine Einwilligungs-ID an Marketing-Links an, oft neben den üblichen utm_-Parametern. Wer eine solche URL zerlegt, kann klar trennen, was aus der ursprünglichen Kampagne stammt und was das Cookie-Banner selbst hinzugefügt hat — hilfreich, um zu prüfen, ob ein Link versehentlich personenbezogene Daten im Pfad oder in der Query preisgibt.
Wofür man das braucht
- Prüfen, welcher Kampagnenparameter (
utm_source,utm_campaign) tatsächlich bei einem Klick ankam. - Verstehen, warum ein Umlaut im Pfad einen manuell kopierten Link zerstört.
- Eine korrekte URL programmatisch ohne Kodierungsfehler erstellen.
Der Phishing-Trick mit userinfo
Eine URL wie https://accounts.google.com@evil.com/ sieht so aus, als führe sie zu accounts.google.com, tatsächlich öffnet der Browser aber evil.com — der Teil vor dem @-Symbol ist lediglich ein Benutzername (userinfo), nicht der Host. Moderne Browser heben deshalb den echten Host optisch hervor, und manche Link-Kürzungsdienste verbieten userinfo in URLs schlicht.