{"id":31720,"date":"2024-11-12T12:39:41","date_gmt":"2024-11-12T12:39:41","guid":{"rendered":"https:\/\/www.seobility.net\/?post_type=wiki&p=31720"},"modified":"2025-03-21T16:36:06","modified_gmt":"2025-03-21T16:36:06","slug":"Session-ID","status":"publish","type":"wiki","link":"https:\/\/www.seobility.net\/de\/wiki\/Session-ID","title":{"rendered":"Session-ID"},"content":{"rendered":"

Definition<\/span><\/h2>\n

Die Session-ID ist ein Identifikationsmerkmal f\u00fcr die Kommunikation zwischen Client und Server, um verschiedene Anfragen eines Nutzers einer Session zuzuordnen. ID steht f\u00fcr Identifikator oder Kennzeichen und bezeichnet ein Merkmal zur sicheren Identifizierung von Vorg\u00e4ngen oder Objekten. Diese eindeutige ID wird als Zahlencode, Zifferncode oder alphanumerischer Code dargestellt. Als Session bezeichnet man in der Informatik eine tempor\u00e4r bestehende Verbindung von Server und Client. Der gesamte Prozess von Anfragen und Responses einer Sitzung im Rahmen der oben genannten Kommunikation wird mit einer Session-ID gekennzeichnet.\n<\/p>\n

Gebr\u00e4uchlich ist auch die Kurzversion SID (Sitzungs-ID), wenn zum Beispiel von Webservern die Rede ist.\n<\/p>\n

Im Bereich der Suchmaschinenoptimierung (SEO) sind Session-IDs ein relevantes Thema, da es unter bestimmten Umst\u00e4nden zu Problemen mit Duplicate Content<\/a> kommen kann.\n<\/p>\n

Methoden zum Einsatz von Session-IDs<\/span><\/h2>\n
\n
\"Session-ID\"<\/a> <\/p>\n
Abbildung:<\/b> Session-ID – Autor: Seobility – Lizenz: CC BY-SA 4.0<\/a><\/div>\n<\/div>\n<\/div>\n

Cookies<\/span><\/h3>\n

Besucht ein User beispielsweise einen Onlineshop, generiert der Server des Shops eine individuelle Session-ID, die exakt diesem User und dieser Sitzung zugeordnet wird. Diese Session-ID wird in einem Cookie, dem Session-Cookie, lokal beim User gespeichert. Stellt der Besucher w\u00e4hrend der Sitzung eine neue Anfrage an den Server, wird das Cookie mit der zugeordneten ID mitgesendet, sodass der Server die Kommunikation dem entsprechenden User zuordnen kann.\n<\/p>\n

Verl\u00e4sst dieser Nutzer den Warenkorb, um sich andere Produkte im Shop anzuschauen oder gar den Shop zu schlie\u00dfen, sorgt das Cookie daf\u00fcr, dass die Session wiedererkannt und der letzte Stand des Warenkorbs mit den bereits darin abgelegten Produkten angezeigt wird, sobald der User zur\u00fcck auf die Webseite kommt.\n<\/p>\n

Die Produkte im Warenkorb werden dabei \u00fcber exakte alphanumerische Zeichencodes der gespeicherten Session-ID zugeordnet. Vorausgesetzt wird, dass mit jeder Anfrage an den Server und mit jeder Antwort des Servers an den User genau diese Session-ID mitgeliefert wird. Wird die Session-ID im Laufe dieser Sitzung einmal nicht mitgeliefert, wird bei der n\u00e4chsten Anfrage des Clients eine neue ID vergeben, und die alte Session geht verloren.\n<\/p>\n

URL-Parameter<\/span><\/h3>\n

Sollte der Nutzer im Vorfeld die Ablage von Cookies ausgeschlossen haben, zum Beispiel \u00fcber die Browser-Funktion \u201eCookies deaktivieren\u201c, kann die Session-ID als Parameteranhang zur URL<\/a> der Shopseite vom Server an den Browser \u00fcbergeben werden. Aufgrund der Session-ID in der URL ist die Anwendung in der Lage, eine Session eindeutig zu markieren und wiederzuerkennen, womit Informationen wie zum Beispiel Warenk\u00f6rbe o. \u00e4. erneut aufgerufen werden k\u00f6nnen, da sie mit der Session verkn\u00fcpft sind.\n<\/p>\n

Beispiel einer URL mit Parameteranhang:\n<\/p>\n

https:\/\/www.example.com\/index.php?sid=123454321abcde-54321dcba<\/pre>\n
Die Web-Programmiersprache PHP ist in der Lage, diesen Link zu identifizieren und zuzuordnen. Somit ist der gesuchte Warenkorb erneut auffindbar.\n<\/p>\n
Hidden Form Field<\/span><\/h3>\n
Eine weitere Form der Aufzeichnung von Userverhalten ist das Hidden Form Field, welches es erm\u00f6glicht, Daten an den Server mitzusenden, die vom Benutzer nicht gesehen oder ge\u00e4ndert werden k\u00f6nnen. So wird zum Beispiel in einem verborgenen Feld eines Formulars gespeichert, welcher Datenbankeintrag aktualisiert werden soll. Auf diese Weise kann auch eine Session-ID vom Browser an den Server \u00fcbermittelt werden.\n<\/p>\n
Session-ID und SEO<\/span><\/h2>\n
Die Verwendung von URL-Parametern zur \u00dcbertragung von Session-IDs kann zu Duplicate Content<\/a> f\u00fchren, da Google die entsprechenden URLs finden und indexieren kann. Greifen unterschiedliche Nutzer auf das gleiche Produkt oder die gleiche Kategorieseite zu und erzeugen so unterschiedliche Parameteranh\u00e4nge der URL, die jedoch identischen Content erreichen, besteht die Gefahr, dass Google diese Inhalte als Duplicate Content klassifiziert. Das gilt es bei der SEO zu ber\u00fccksichtigen. Allerdings stuft Google die betreffende Webseite nicht aktiv im Ranking herab \u2013 vielmehr wird die Relevanz der jeweiligen Unterseite auf die zahlreichen URLs mit unterschiedlichen Session-IDs verteilt. Als indirekte Folge kann sich dies dann negativ auf ihr Ranking bei Google auswirken.\n<\/p>\n
Aus SEO-Sicht ist eine Session-ID als URL-Parameter daher problematisch und, sofern m\u00f6glich, zu vermeiden. Ist die \u00dcbermittlung als URL-Parameter hingegen unumg\u00e4nglich, l\u00e4sst sich das Problem durch die Verwendung eines Canonical Tags<\/a> l\u00f6sen. Auf diese Weise wird Google trotz ver\u00e4nderter URL signalisiert, dass die URL ohne Session-ID die f\u00fcr die Indexierung<\/a> vorgesehene Originalressource ist, w\u00e4hrend die URLs mit Session-ID nicht indexiert werden.\n<\/p>\n
Session-IDs sollten grunds\u00e4tzlich nicht obligatorisch sein und nur dann eingesetzt werden, wenn sie einen Mehrwert f\u00fcr den Seitenbesucher und\/oder Seitenbetreiber bieten. Das kann den Rahmen von E-Commerce weit \u00fcbersteigen.\n<\/p>\n
Session-Cookie und DSGVO<\/span><\/h2>\n
Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO) in der EU. Diese regelt nicht ausdr\u00fccklich den Einsatz von Session-Cookies. In Artikel 6 DSGVO ist die Rede davon, dass von einer vorherigen Einwilligung zur Verwendung von Cookies durch den Nutzer abzusehen ist, wenn das Cookie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Auch das Session-Cookie wird zu diesen Cookies gez\u00e4hlt. Daher sollte die Verwendung von Session-Cookies auch in der Datenschutzerkl\u00e4rung angegeben werden.\n<\/p>\n
Sicherheit<\/span><\/h2>\n
Der Einsatz von Session-IDs gilt als relativ sicher. Durch Manipulation von gespeicherten Session-IDs im Browser ist aber theoretisch die M\u00f6glichkeit gegeben, an die Session-ID eines dritten Anwenders zu gelangen. Diese Wahrscheinlichkeit gilt als \u00e4u\u00dferst gering, sofern der generierende Server von individuellen Session-IDs aus einem hinreichend gro\u00dfen Spektrum alphanumerischer Zeichencodes sch\u00f6pft, die nicht fortlaufend oder anderweitig einfach zu erraten sind. Abgesehen davon arbeiten Shops in der EU h\u00e4ufig mit SSL-Verschl\u00fcsselung, was eine zus\u00e4tzliche Sicherheitsstufe darstellt. Ein Treffer w\u00e4re in der Tat purer Zufall.\n<\/p>\n
Anders sieht es bei der bewussten Implementierung von sch\u00e4digendem Code aus. Wird von einem Angreifer via Cross-Site-Scripting (XSS) solch ein Code in ein Shopsystem eingeschleust und dieser von einem Nutzer \u00fcber die Webseite ausgef\u00fchrt, k\u00f6nnte die ID \u00fcbertragen und die gesamte Session gehijackt, also fremdgeleitet werden. Der Angreifer h\u00e4tte somit Zugriff auf bestimmte Kundendaten und k\u00f6nnte seinerseits eine Bestellung im Namen des Nutzers ausf\u00fchren.\n<\/p>\n
Weiterf\u00fchrende Links<\/span><\/h2>\n