Instagram-Cookies: was in der Datei steckt und warum sie so schnell wertlos wird

Kurz zur Einordnung, damit niemand hier falsch landet: Es geht nicht um den Zustimmungsbanner und nicht um das Löschen von Cookies im Browser. Auf Deutsch meint „Cookies“ fast immer das. Hier geht es um etwas anderes, nämlich um die Datei, die manchmal statt eines Passworts zu einem gekauften Konto geliefert wird. Wenn Sie eine solche Datei vor sich haben und nicht wissen, was Sie damit anfangen sollen, sind Sie richtig.

Was in der Datei steht

Ein Cookie-Satz ist kein Zugangsdatum. Er ist ein bereits angemeldeter Zustand, den Sie in Ihren Browser einsetzen. Der Unterschied klingt akademisch und entscheidet praktisch alles.

Ein Passwort beweist, wer Sie sind, und daraus entsteht eine Sitzung. Ein Cookie ist das Ergebnis dieses Vorgangs, ohne den Vorgang selbst. Es beweist nichts, es ist die Sitzung. Wer den Eintrag hat, ist angemeldet, und zwar ohne Passwort, ohne Einmalcode und ohne dass jemand gefragt wird.

Wichtig ist in dem Satz Ihres Verkäufers meist nur eine Handvoll Einträge, aber die entscheidenden zwei sind der Sitzungsschlüssel und die Kennung des Kontos. Ein Satz ohne den Sitzungsschlüssel ist wertlos, egal wie viele Zeilen er hat.

Daraus folgt sofort die wichtigste Eigenschaft, in beide Richtungen: Eine Sitzung gehört dem, der sie hat. Wenn Sie diese Datei bekommen haben, kann sie jeder benutzen, der sie ebenfalls hat, und der Verkäufer hatte sie zuerst. Das ist kein Verdacht, sondern eine Beschreibung des Formats. Der letzte Abschnitt behandelt, was daraus folgt.

Warum der Import scheitert

Der deutsche Suchvorschlag zum Thema ist bezeichnenderweise „not working“, deshalb hier die Ursachen statt einer Anleitung, sortiert nach Häufigkeit.

Sie sind mit einem anderen Konto angemeldet. Die einfachste und häufigste. Ein bestehender Eintrag wird durch den importierten nicht sauber ersetzt, beide stehen nebeneinander und die Seite entscheidet sich für den falschen. Ein leeres Profil oder ein privates Fenster löst das.

Die Domain stimmt nicht. Ein Cookie gilt für genau eine Domain. Eingesetzt, während Sie auf einer anderen Seite stehen, landet er im Nichts. Sie müssen sich beim Einsetzen bereits auf der Zielseite befinden.

Der Satz ist abgelaufen. Sitzungen haben ein Verfallsdatum, das im Satz selbst steht. Ein Satz, der ein paar Tage in einem Ticket lag, kann bereits tot sein, ohne dass jemand einen Fehler gemacht hat.

Die Sitzung wurde beendet. Wird das Passwort des Kontos geändert oder meldet sich jemand ausdrücklich ab, werden bestehende Sitzungen ungültig. Das ist auch der Weg, wie ein Verkäufer eine gelieferte Datei nachträglich wertlos machen kann.

Der Ortswechsel ist zu groß. Der unangenehmste Fall, weil formal alles stimmt. Eine Sitzung, die gestern in einem Land aktiv war und heute aus einem anderen kommt, ist ein auffälliges Muster. Das Ergebnis ist keine Fehlermeldung, sondern eine Sicherheitsabfrage, und die verlangt genau das, was Sie nicht haben: Zugriff auf das hinterlegte Postfach oder die hinterlegte Nummer. Aus dieser Ecke stammen die meisten Fälle, in denen der Import „einfach nicht klappt“.

Wenn Ihr Konto von einer Adresse kommt, die weit von der Herkunft der Sitzung entfernt liegt, ist das der erste Punkt, an dem anzusetzen ist. Was dabei tatsächlich hilft und was nicht, steht unter Proxys.

Warum es später aufhört zu funktionieren

Auch ein gelungener Import hält nicht dauerhaft, und das ist kein Fehler, sondern Absicht.

Sitzungen laufen ab. Sie werden ungültig, wenn das Passwort geändert wird. Sie werden ungültig, wenn jemand in den Einstellungen des Kontos Geräte abmeldet. Und sie werden ungültig, wenn das Verhalten der Sitzung auffällig genug ist, etwa weil sie parallel von zwei weit auseinanderliegenden Orten benutzt wird.

Der letzte Punkt ist der praktische: Wenn Verkäufer und Käufer denselben Satz gleichzeitig benutzen, beendet das die Sitzung mit einiger Wahrscheinlichkeit für beide. Ein Cookie-Satz ist deshalb kein Zustand, in dem man bleibt, sondern ein Zeitfenster, in dem man handelt.

Zwei-Faktor-Abfrage nach dem Import

Wenn nach dem Einsetzen trotzdem ein Code verlangt wird, ist die Sitzung nicht das Problem. Verlangt wird der Code, weil eine neue Anmeldung stattfindet, also weil der Import nicht gegriffen hat, oder weil die Sicherheitsprüfung aus dem vorigen Abschnitt eine Bestätigung verlangt.

Wenn das Geheimnis für die Einmalcodes mitgeliefert wurde, lässt sich der Code daraus erzeugen; wie das geht und was der häufigste Grund für einen abgelehnten Code ist, steht im Beitrag zum Code-Generator. Wenn es nicht mitgeliefert wurde, ist die Lieferung unvollständig, und das gehört in den Nachrichtenstrang zur Bestellung.

Was Sie in den ersten Minuten tun sollten

Hier der Teil, auf den es tatsächlich ankommt und der am häufigsten aufgeschoben wird.

Eine Sitzungsdatei ist die schwächste denkbare Form einer Übergabe. Sie beweist nicht, dass Ihnen das Konto gehört. Sie beweist nur, dass Sie im Moment angemeldet sind, so wie der Verkäufer und potenziell jeder, der die Datei danach noch weitergibt. Ein Konto, das Ihnen nur über einen Cookie-Satz gehört, gehört Ihnen nicht.

Deshalb ist der erste Schritt nach einem gelungenen Import nicht, das Konto zu benutzen, sondern es zu übernehmen: die hinterlegte E-Mail-Adresse auf eine ändern, die Ihnen gehört, dann das Passwort, dann den zweiten Faktor neu einrichten, und zum Schluss in den Einstellungen alle anderen Sitzungen beenden. Der letzte Schritt macht die Datei, die Sie gerade benutzt haben, ungültig, und genau das ist der beabsichtigte Ausgang.

Die Reihenfolge ist nicht beliebig, und was passiert, wenn man sie umdreht, steht ausführlicher in den Sicherheitshinweisen für Käufer.

Warum die Uhr dabei drängt

Zwei Fristen laufen, und beide sprechen dafür, den Import sofort nach der Lieferung zu machen und nicht am Abend.

Erstens das Garantiefenster des Angebots. Es läuft ab der Lieferung, nicht ab der Zahlung, und seine Länge setzt der Verkäufer je Angebot; ein Drittel des sichtbaren Bestands liegt unter vier Stunden. Wer eine Sitzungsdatei erst am nächsten Tag ausprobiert, hat bei einem kurzen Fenster keinen Anspruch mehr, wenn sie nicht funktioniert.

Zweitens die Lebensdauer der Sitzung selbst, die unabhängig davon läuft und die niemand kennt. Eine funktionierende Datei kann in zwölf Stunden eine tote sein, ohne dass irgendjemand etwas falsch gemacht hat.

Praktisch heißt das: Import, Prüfung und Übernahme gehören in einen Vorgang, und die Bestätigung der Bestellung kommt danach. Verfügbare Angebote stehen unter Instagram-Konten.