WordPress Multisite „Cookies are blocked“ beheben – Domain-Mapping, SSL & Cookies korrekt setzen

Du kennst das: Du hast eine schicke WordPress Multisite aufgesetzt, alles läuft wie am Schnürchen, und dann – zack! – taucht beim Login oder im Backend plötzlich die kryptische Fehlermeldung „Cookies are blocked or not supported by your browser“ auf. Panik? Nicht nötig! Denn ich nehme dich heute mit auf eine Reise durch die Untiefen von Domain-Mapping, SSL und der richtigen Cookie-Konfiguration in WordPress Multisites. Und ja, wir gehen wirklich tief – mit Fakten, Praxisbeispielen und einer Prise Humor. Also, schnapp dir einen Kaffee und los geht’s!

WordPress Multisite ist ein mächtiges Werkzeug: Mit nur einer Installation kannst du beliebig viele Websites verwalten – ideal für Agenturen, Unternehmen mit mehreren Marken oder internationale Projekte. Laut W3Techs läuft mittlerweile über 43% aller Websites weltweit auf WordPress, und Multisite ist ein fester Bestandteil davon. Doch mit großer Macht kommt… naja, du weißt schon: große Verantwortung. Und manchmal auch große Kopfschmerzen, wenn es um Cookies, Domains und SSL geht.

Die Fehlermeldung „Cookies are blocked“ ist dabei ein echter Klassiker. Sie tritt vor allem dann auf, wenn du Domain-Mapping nutzt – also verschiedene Domains für deine Subsites einsetzt – und SSL (https) im Spiel ist. Aber warum eigentlich?

• Cookies & Domains: WordPress setzt beim Login ein Cookie, das für die Authentifizierung sorgt. Dieses Cookie ist standardmäßig an die Hauptdomain gebunden. Wenn du aber Subsites mit eigenen Domains betreibst (z.B. site1.de, site2.de), kann das Cookie nicht mehr domainübergreifend gelesen werden. Das führt zu Login-Problemen und der berühmten Fehlermeldung.
• SSL & Mixed Content: SSL ist heute Pflicht – nicht nur für Datenschutz, sondern auch für SEO. Aber: Wenn SSL nicht korrekt für alle Domains eingerichtet ist, blockieren Browser die Cookies oder werfen Mixed-Content-Fehler. Das Ergebnis: Kein Login, keine Session, keine Freude.
• Browser-Sicherheit: Moderne Browser sind streng geworden. Sie akzeptieren Cookies nur noch, wenn sie bestimmte Flags wie SameSite und Secure korrekt gesetzt haben. WordPress ist zwar nachgezogen, aber bei Multisite-Setups mit Domain-Mapping musst du oft selbst nachhelfen.

Bevor wir in die Praxis einsteigen, hier ein kleiner Überblick, wie Cookies, Domains und SSL zusammenspielen:

So, genug der grauen Theorie – jetzt wird’s praktisch! Hier kommt die Schritt-für-Schritt-Anleitung, wie du das „Cookies are blocked“-Problem in den Griff bekommst.

• 1. Domain-Mapping korrekt einrichten
  • Subdomains vs. Subdirectories: WordPress Multisite kann mit Subdomains (site1.deinedomain.de) oder Subverzeichnissen (deinedomain.de/site1) arbeiten. Domain-Mapping kommt ins Spiel, wenn du komplett eigene Domains für jede Subsite willst. Dafür brauchst du ein Plugin wie WordPress MU Domain Mapping oder die in WordPress 5.8+ integrierte Funktion.
  • DNS & Server-Konfiguration: Jede gemappte Domain muss per DNS auf deinen Server zeigen. Am besten per A-Record oder CNAME. Prüfe, ob alle Domains korrekt auf die Multisite-Installation zeigen – sonst gibt’s Chaos.
  • WordPress-Konfiguration: In der wp-config.php muss DOMAIN_CURRENT_SITE korrekt gesetzt sein. Beispiel:

    define('DOMAIN_CURRENT_SITE', 'deinedomain.de');

    Für gemappte Domains brauchst du keine weiteren Anpassungen, aber das Plugin oder die Netzwerk-Einstellungen müssen stimmen.

• 2. SSL für alle Domains aktivieren
  • SSL-Zertifikate: Jede Domain braucht ein eigenes SSL-Zertifikat. Am einfachsten geht das mit Let’s Encrypt (kostenlos) oder einem Wildcard-Zertifikat. Viele Hoster bieten automatische Zertifikate für Multidomain-Setups an.
  • Mixed Content vermeiden: Stelle sicher, dass alle Ressourcen (Bilder, Skripte, CSS) über https geladen werden. Sonst blockiert der Browser die Cookies. Plugins wie Really Simple SSL helfen, aber prüfe immer manuell nach.
  • Redirects & HSTS: Leite alle Anfragen per 301-Redirect auf https um und setze Strict-Transport-Security im Header. Beispiel für die .htaccess:

    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

• 3. Cookies korrekt setzen
  • Cookie-Domain anpassen: In der wp-config.php kannst du die Cookie-Domain explizit setzen. Beispiel:

    define('COOKIE_DOMAIN', $_SERVER['HTTP_HOST']);

    Das sorgt dafür, dass das Cookie immer für die aktuelle Domain gesetzt wird – egal, ob Haupt- oder gemappte Domain.

  • SameSite & Secure-Flag: Seit 2020 verlangen Browser, dass Cookies mit SameSite=None; Secure gesetzt werden, wenn sie domainübergreifend genutzt werden. WordPress macht das ab Version 5.4 automatisch, aber bei älteren Installationen oder Custom-Setups musst du ggf. nachhelfen. Beispiel für ein Snippet in der functions.php:

    
    add_filter('session_cookie_path', function($path) {
      return '/';
    });
    add_filter('secure_auth_cookie', function($cookie) {
      return $cookie . '; SameSite=None; Secure';
    });
            

    Achtung: Teste das gründlich, denn falsche Einstellungen können zu neuen Problemen führen!

  • Cache & Cookies: Caching-Plugins wie WP Rocket oder W3 Total Cache können Cookies beeinflussen. Stelle sicher, dass Login- und Admin-Seiten nicht gecacht werden, sonst gibt’s Cookie-Chaos.
• 4. Troubleshooting: Typische Fehlerquellen
  • Browser-Plugins & Privacy-Tools: Manche Adblocker oder Privacy-Plugins blockieren Cookies. Teste im Inkognito-Modus oder mit deaktivierten Erweiterungen.
  • Server-Zeit & Cookies: Wenn die Serverzeit falsch ist, laufen Cookies sofort ab. Prüfe die Zeitzone in der php.ini und in WordPress.
  • Alte Cookies löschen: Manchmal hilft es, alle Cookies im Browser zu löschen und neu zu starten. Klingt banal, wirkt aber Wunder.

Hier noch eine kompakte Übersicht der wichtigsten Best Practices:

• Jede Domain braucht ein eigenes SSL-Zertifikat
• Alle Ressourcen müssen über https geladen werden
• Setze COOKIE_DOMAIN auf $_SERVER['HTTP_HOST']
• Nutze aktuelle WordPress-Versionen (ab 5.4 für SameSite-Support)
• Teste mit verschiedenen Browsern und Geräten
• Deaktiviere Caching für Login- und Admin-Seiten

Und falls du jetzt denkst: „Puh, das ist ja ganz schön viel Technik-Kram!“ – keine Sorge. Genau dafür gibt’s uns bei Nakaryu. Wir lieben komplexe Multisite-Setups, Domain-Mapping, SSL und alles, was dazugehört. Und wir sorgen dafür, dass deine Website nicht nur läuft, sondern rockt – DSGVO-konform, blitzschnell und mit echtem Charakter.

Du willst dich nie wieder mit Cookie-Fehlern, SSL-Zertifikaten oder Domain-Mapping herumschlagen? Dann schau dir unsere Webdesign-Flatrate an – individuell, flexibel und mit persönlichem Ansprechpartner. Wir kümmern uns um Technik, Design und alles dazwischen. Damit du dich auf das konzentrieren kannst, was wirklich zählt: Dein Business.

Quellen:

• W3Techs: WordPress Usage Statistics
• WordPress Developer Resources: wp-config.php
• Let’s Encrypt
• MDN Web Docs: SameSite cookies
• WordPress MU Domain Mapping Plugin
• Really Simple SSL Plugin