Rybbit Analytics: eine cookielose, selbst gehostete Alternative zu Google Analytics

Was ist Rybbit, wie funktioniert es und wie richtet man es ein?

Rybbit ist ein Open-Source-Tool für Webanalyse, das Besucher zählt, ohne Cookies zu setzen. Das Projekt ist jung. Version 1.0 erschien am 30. Mai 2025, 2.0 folgte im Oktober 2025, und am 15. Oktober 2026 ist 2.9.1 die neueste Version, veröffentlicht am 12. September 2026. Der Code liegt unter der Lizenz AGPL-3.0 auf GitHub. Tomato.gg LLC, das US-Unternehmen hinter Rybbit, verkauft außerdem eine gehostete Version.

Wir setzen es auf c9group.dev ein, selbst gehostet auf unseren eigenen Servern, so wie Mautic. Wenn wir wissen wollen, was Besucher auf einer Seite tatsächlich getan haben, öffnen wir zuerst Rybbit. Dieser Leitfaden zeigt, was es gut kann, wo es an Grenzen stößt und wie Sie es einrichten.

So funktioniert es: Ein kleines Skript, script.js, wird von Ihrem Rybbit-Server geladen und meldet Seitenaufrufe und Events an ihn zurück. Die Events landen in ClickHouse, einer spaltenorientierten Datenbank, die genau für diese Art des Zählens gebaut ist. Konten, Websites und Einstellungen liegen in Postgres. Das Dashboard ist eine Next.js-App, die API dahinter ein Node.js-Server.

Was sind die wichtigsten Vorteile von Rybbit?

Keine Cookies

Rybbit setzt keine Cookies. Der Server erkennt wiederkehrende Besucher an einem Hash aus IP-Adresse und User-Agent des Browsers. Seit Version 2.8 behandelt er außerdem einen Besucher, dessen IP-Adresse sich mitten im Besuch ändert, weiterhin als dieselbe Person, indem er die Merkmale seines Browsers abgleicht. GA4 dagegen setzt Cookies und wartet auf die Einwilligung, sodass jeder Besucher, der das Banner ignoriert oder ablehnt, in den Berichten fehlt (Googles Consent Mode ergänzt einen Teil davon durch Modellierung).

Keine Cookies heißt nicht, dass sich die Frage nach der Einwilligung erübrigt. Das Tracking-Skript der Version 2.9 schreibt bei jedem Besuch eine zufällige Besucher-ID in den Local Storage des Browsers, unabhängig von Ihren Einstellungen; an den Server geht sie nur, wenn Sie die Feature Flags von Rybbit nutzen. Die Einwilligungsregel der ePrivacy-Richtlinie (Art. 5 Abs. 3) erfasst jede Information, die auf dem Endgerät des Besuchers gespeichert wird, nicht nur Cookies, und der Europäische Datenschutzausschuss legt sie in seinen Leitlinien 2/2023 weit aus. Auch die DSGVO greift: Die IP-Adresse kommt trotzdem auf Ihrem Server an, und laut Rybbits eigener Dokumentation kann die standardmäßig gehashte ID „gemäß DSGVO als Speicherung personenbezogener Daten gelten“.

Ob Rybbit laufen darf, bevor der Besucher auf Ihr Banner reagiert hat, entscheidet also, wer bei Ihnen für die Datenschutzerklärung verantwortlich ist, und nicht das Wort „cookielos“. Einstellungen, die einschränken, was Rybbit erfasst, finden Sie unten unter Datenschutzeinstellungen.

Sitzungsdaten, mit denen Sie arbeiten können

Jede Sitzung enthält Traffic-Quelle, UTM-Parameter, Kanal, Dauer und Seitenaufrufe. Mit aktiviertem Autocapture zählt Rybbit außerdem Klicks auf Buttons, abgeschickte Formulare, Änderungen in Eingabefeldern, kopierten Text und ausgehende Klicks. Aus der Frage „Haben sie interagiert?“ wird eine Zahl statt einer Vermutung.

Wenn Sie für Traffic bezahlen, sehen Sie hier, noch bevor Sie das Budget erhöhen, ob diese Besucher die Seite gelesen haben oder nach einer Sekunde wieder weg waren.

Replay, Funnels und Journeys in der kostenlosen Edition

Die selbst gehostete Edition enthält Session Replay, Funnels, User Journeys, Retention, Ziele, Fehlertracking und Web Vitals. Hier unterscheidet sich Rybbit am stärksten von den Alternativen. Matomo verkauft Heatmaps und Sitzungsaufzeichnungen für selbst gehostete Installationen als kostenpflichtige Plugins. Plausible lässt Funnels und User Journeys in seiner kostenlosen Community Edition weg.

Sparsam im Betrieb

Rybbit verlangt einen Server mit mindestens 2 GB RAM. Ein einzelner VPS reicht für den gesamten Stack, und Rybbits eigene Dokumentation veranschlagt für eine selbst gehostete Einrichtung 30 bis 120 Minuten.

Eine API und ein MCP-Server

Alles, was das Dashboard zeigt, ist auch über eine REST-API mit persönlichem API-Schlüssel abrufbar. Rybbit liefert außerdem einen MCP-Server mit, sodass ein KI-Assistent wie Claude Code oder Cursor Ihre Zahlen direkt abfragen kann. Beides funktioniert auch mit einer selbst gehosteten Instanz.

So richten Sie Rybbit ein

Rybbit Cloud

Der schnellste Weg: registrieren, Domain hinzufügen, ein Script-Tag einfügen. Die Cloud speichert Analysedaten auf Hetzner-Servern in Deutschland und Finnland. Tarife und Preise finden Sie unten unter Kosten.

WordPress

Ein offizielles Plugin gibt es nicht, und Sie brauchen auch keins. Laut Rybbits WordPress-Anleitung binden Sie das Script-Tag über ein Plugin wie WPCode ein oder über functions.php bzw. header.php eines Child-Themes. Auf WordPress.com setzt das den Business-Tarif oder höher voraus.

Selbst gehostet mit Docker

Kleiner Umfang: Startups und kleine Websites

Was Sie brauchen:

• Einen VPS mit mindestens 2 GB RAM. Rybbit wird unter Ubuntu 24 LTS auf x86_64 getestet; ein ARM-Server muss ARMv8.2-A oder neuer sein, weil ClickHouse das voraussetzt.
• Docker Engine und Git.
• Eine Subdomain wie analytics.example.com mit einem A-Record, der auf den Server zeigt. HTTPS ist Pflicht, denn Browser blockieren ein Tracking-Skript, das über einfaches HTTP ausgeliefert wird. Liegt die Domain bei Cloudflare, stellen Sie den Eintrag auf DNS only oder den SSL-Modus auf Full bzw. Full (strict).

Danach:

git clone https://github.com/rybbit-io/rybbit.git
cd rybbit
chmod +x *.sh
./setup.sh analytics.example.com

Das Skript schreibt eine .env-Datei und startet die Container: ClickHouse, Postgres, Redis, das Backend, das Dashboard und Caddy, das sich um das TLS-Zertifikat kümmert. Öffnen Sie https://analytics.example.com/signup und legen Sie das erste Konto an.

Schließen Sie danach die Tür hinter sich. Tragen Sie DISABLE_SIGNUP=true in die .env ein und führen Sie ./restart.sh aus, damit Fremde auf Ihrem Server keine Konten anlegen können.

Läuft auf dem Server bereits ein Reverse Proxy wie Traefik oder Nginx, starten Sie ./setup.sh analytics.example.com --no-webserver. Caddy bleibt dann außen vor, und Ihr Proxy terminiert TLS.

Zum Aktualisieren: git pull, dann ./update.sh.

Großer Umfang: große Websites und Agenturen

Das Backend liest CLICKHOUSE_HOST, POSTGRES_HOST und REDIS_HOST aus seiner Umgebung, sodass jede Datenbank auf einen eigenen Server umziehen kann, ohne dass Sie die Anwendung anfassen müssen. Wachsen wird vor allem ClickHouse: Dort liegt jedes Event und, wenn Sie Sitzungen aufzeichnen, jedes Replay. Geben Sie ClickHouse als Erstes eine eigene Maschine mit schnellem SSD-Speicher.

Auf AWS laufen die Images von Backend und Dashboard wie jeder andere Container auf ECS Fargate, ClickHouse auf einer EC2-Instanz und Postgres auf RDS. Session Replays werden standardmäßig 30 Tage lang aufbewahrt, gesteuert über eine TTL auf zwei ClickHouse-Tabellen, die Sie verkürzen können.

Wenn Sie nichts davon selbst betreiben möchten, bietet Rybbits Enterprise-Tarif eine dedizierte Instanz oder eine On-Premise-Installation.

Das Tracking-Skript

<script src="https://analytics.example.com/api/script.js?siteId=YOUR_SITE_ID" async></script>

Übergeben Sie die Site-ID in der URL. Das ältere Attribut data-site-id funktioniert weiterhin, aber Optimierungs-Plugins wie WP Rocket bauen Script-Tags neu auf und entfernen dabei data--Attribute.

Single-Page-Apps brauchen nichts weiter. Das Skript folgt der Navigation über die History API und erfasst jeden Routenwechsel nach einem Debounce von 500 ms als Seitenaufruf. Hash-Routen, die mit #/ beginnen, werden ebenfalls erfasst.

Für eigene Events:

window.rybbit.event('quote_requested', { plan: 'pro' });

Event-Namen dürfen bis zu 256 Zeichen lang sein, Eigenschaften (Strings und Zahlen) bis zu 2 KB.

Hauptfunktionen von Rybbit

Analytics

• Sitzungen, eindeutige Nutzer, Seitenaufrufe, Absprungrate und Sitzungsdauer
• Echtzeit-Dashboard mit Live-Globus
• Standort bis auf Land, Region und Stadt
• Filter über mehr als 15 Dimensionen und gespeicherte Segmente
• Eigene Events mit Eigenschaften
• Ziele, Funnels, User Journeys und Retention
• Fehlertracking für nicht abgefangene JavaScript-Fehler
• Web Vitals
• Bot-Erkennung und -Filterung

Verhalten

• Session Replay, bei dem standardmäßig jeder Eingabewert maskiert ist
• Autocapture von Klicks, abgeschickten Formularen, Kopiervorgängen und ausgehenden Links
• Nutzerprofile mit Namen und Merkmalen, sobald Sie für angemeldete Nutzer rybbit.identify() aufrufen

Teilen und Integration

• Beliebig viele Websites und Organisationen mit Teams
• Öffentliche Dashboards und einbettbare Widgets
• REST-API und MCP-Server
• Integration der Google Search Console (selbst gehostet braucht sie Google-OAuth-Zugangsdaten)
• Import aus Plausible, Umami und Simple Analytics

Datenschutzeinstellungen

• User ID Salting: ändert den Besucher-Hash jeden Tag, sodass Rybbit nach 24 Stunden vergisst, wer jemand ist. Das hat einen echten Preis: Eindeutige Nutzer über längere Zeiträume werden zu hoch ausgewiesen, und der Retention-Bericht verliert jede Aussagekraft. Entscheiden Sie sich vor dem Start, denn ein späteres Umschalten sorgt für Brüche in Ihren Trendlinien.
• Track IP Address: ausgeschaltet, solange Sie es nicht aktivieren. Rybbits Dokumentation nennt das Speichern von IP-Adressen „nicht DSGVO-konform“.
• Session Replay: eine Einstellung pro Website, die nach dem Aktivieren für jeden Besucher gilt. Um nur Besucher aufzuzeichnen, die zugestimmt haben, ergänzen Sie für alle anderen das Script-Tag um data-replay-sample-rate="0".
• Replay-Maskierung: Mit der Klasse rr-block nehmen Sie ein Element von Aufzeichnungen aus, mit rr-mask ersetzen Sie seinen Text durch Sternchen.
• Ausschlüsse: nach IP oder IP-Bereich, Land, Pfad, Hostname und User-Agent, angewendet auf dem Server, bevor irgendetwas gespeichert wird.

Warum Rybbit statt anderer Lösungen?

vs. Google Analytics 4

• Abdeckung: Wo Sie es vor der Einwilligung laden dürfen, zählt es auch die Besucher, die nie auf das Banner reagieren (siehe Keine Cookies oben)
• Speicherort der Daten: auf Ihrem Server oder in Rybbits Cloud mit Hosting in der EU
• Verhalten im Detail: Session Replay, das GA4 nicht hat, und ein lesbares Protokoll jeder Sitzung
• Wo GA4 vorn liegt: Google-Ads-Integration, Zielgruppen für Remarketing und datengetriebene Attribution

vs. Matomo

Wir haben beides eingerichtet; siehe unseren Matomo-Leitfaden.

• Matomo ist älter und breiter aufgestellt: E-Commerce-Berichte, ein Tag-Manager, eine große Plugin-Bibliothek und ein Import Ihrer Google-Analytics-Historie. Es läuft auf PHP und MySQL, was fast jeder Hoster unterstützt.
• Rybbit bietet mehr kostenlos: Replay und Funnels ohne kostenpflichtige Plugins und ein einfacheres Dashboard.
• Cookies: Rybbit setzt keine. Matomo verwendet standardmäßig First-Party-Cookies und lässt sich so konfigurieren, dass es ohne sie auskommt.
• Historie: Rybbit kann weder aus Google Analytics noch aus Matomo importieren.

Wenn Sie online verkaufen oder Ihre GA-Historie brauchen, nehmen Sie Matomo. Wenn Sie sehen wollen, was Besucher tun, ganz ohne Cookies, nehmen Sie Rybbit.

vs. Plausible

• Keines von beiden setzt Cookies, und beide stehen unter der AGPL.
• Der kostenlosen Community Edition von Plausible fehlen Funnels, User Journeys, E-Commerce-Umsatzziele, SSO und die Sites API, und sie bekommt zweimal im Jahr ein Release.
• Plausible hat kein Session Replay.
• Plausible ist das einfachere der beiden Tools. Wenn Ihnen eine Seite mit den wichtigsten Kennzahlen genügt, spricht das für Plausible.

Wo Rybbit an Grenzen stößt

• Es ist jung. 1.0 erschien im Mai 2025, und neue Releases folgen in kurzen Abständen. Lesen Sie vor jedem Update die Release Notes.
• Es meldet keine Conversions. Rybbit misst das Verhalten auf der Seite. Google Ads und Meta brauchen weiterhin ihr eigenes Conversion-Tracking, und eine Zahl aus Rybbit darf nie als Conversion gelesen werden.
• Autocapture benennt einen Button nach seinem Text. Auf einer mehrsprachigen Website kommt derselbe Button in jeder Sprache als eigenes Event an, eine Website in 19 Sprachen bekommt also 19 Versionen desselben Klicks. Senden Sie stattdessen für jeden Funnel-Schritt ein eigenes Event mit festem Namen.
• Selbst gehostet gibt es keine E-Mail-Berichte. In der Cloud schon.
• AGPL-Pflichten. Wenn Sie Rybbit verändern und andere es über ein Netzwerk nutzen lassen, müssen Sie Ihre Änderungen veröffentlichen.

Technische Anforderungen

Am 15. Oktober 2026 ist 2.9.1 die neueste Version.

Mindestanforderungen

• 2 GB RAM
• x86_64 oder ARMv8.2-A oder neuer
• Docker Engine und Git
• Eine Domain oder Subdomain mit HTTPS

Empfohlen für den Produktivbetrieb

• 4 GB RAM oder mehr, da ClickHouse den meisten Arbeitsspeicher braucht
• SSD-Speicher
• Geplante Backups der Volumes von ClickHouse und Postgres
• Registrierung nach dem ersten Konto deaktiviert

Kosten

Selbst gehostet

• Software: kostenlos, unter AGPL-3.0
• Server: für den Anfang ein kleiner VPS
• Wartung: Ihre Zeit für Updates und Backups

Rybbit Cloud

Preise am 15. Oktober 2026, bei jährlicher Abrechnung, mit einer kostenlosen Testphase von 7 Tagen:

• Standard: ab 13 USD im Monat für 100.000 Seitenaufrufe pro Monat. Bis zu 5 Websites und 3 Teammitglieder, 3 Jahre Datenaufbewahrung, kein Session Replay.
• Pro: ab 26 USD im Monat. Beliebig viele Websites und Teammitglieder, Session Replay, 5 Jahre Aufbewahrung.
• Enterprise: Preis auf Anfrage, auch als dedizierte oder On-Premise-Instanz.

Best Practices

1. Deaktivieren Sie die Registrierung, sobald Ihr eigenes Konto existiert.
2. Entscheiden Sie vor dem Start über User ID Salting. Eine spätere Änderung unterbricht die Kontinuität Ihrer Nutzerzahlen.
3. Halten Sie Ihren eigenen Traffic heraus. Schließen Sie localhost und Vorschau-Domains per Hostname aus und Ihr Büro per IP.
4. Erlauben Sie das Skript in Ihrer Content Security Policy. Ihre Rybbit-Domain gehört sowohl in script-src als auch in connect-src, sonst blockiert der Browser das Skript, und nur die Konsole verrät, warum.
5. Benennen Sie Ihre Funnel-Events selbst, wenn Ihre Website mehrsprachig ist, statt sich auf Autocapture zu verlassen.
6. Erst maskieren, dann aufzeichnen. Setzen Sie rr-block auf alles, was Kundendaten zeigt, etwa eine Bestellbestätigung, bevor Sie Replay einschalten.
7. Sichern Sie beide Datenbanken. ClickHouse enthält die Events, Postgres die Konten und Einstellungen.
8. Nennen Sie Rybbit in Ihrer Datenschutzerklärung: was es erfasst, den Eintrag im Local Storage, Session Replays, falls Sie welche aufzeichnen, und wie lange Sie die Daten aufbewahren.

Typische Anwendungsfälle

• Marketing-Websites: sehen, ob bezahlter Traffic die Seite tatsächlich liest, bevor Sie das Budget erhöhen
• SaaS-Produkte: Funnels, Retention und Nutzerprofile für angemeldete Nutzer
• Agenturen: beliebig viele Websites, Teams und öffentliche Dashboards für Kunden
• Europäische Unternehmen: Analysedaten auf Ihren eigenen Servern oder in Rybbits Cloud in der EU
• Debugging: Fehlertracking und ein Replay genau der Sitzung, in der etwas schiefging

Brauchen Sie Hilfe bei der Einrichtung von Rybbit?

Wir betreiben Rybbit selbst produktiv. Typische Aufgaben, bei denen wir helfen:

• Selbst gehostete Installation hinter Ihrem bestehenden Reverse Proxy
• Umstieg von Google Analytics oder, samt Ihrer Historie, von Plausible oder Umami
• Eigene Events und Funnels, die jede Übersetzung überstehen
• Datenschutzeinstellungen und Replay-Maskierung, abgeglichen mit Ihrer Datenschutzerklärung
• Rybbit neben Mautic, vom anonymen Besuch bis zum identifizierten Lead

Kontaktieren Sie uns unter office@c9group.dev für eine kostenlose Beratung und ein Angebot.

---

Veröffentlicht: 15. Oktober 2026 Kategorien: Analytics, Open Source, Datenschutz