Crazy Egg vs OpenReplay 2026: Wer speichert die Aufzeichnungen Ihrer Besucher?
Im November 2017 veröffentlichten Forschende des Center for Information Technology Policy der Universität Princeton eine Studie, die den Umgang des Webs mit Sitzungsaufzeichnungen eigentlich hätte verändern müssen. Bei der Untersuchung der meistbesuchten Websites stellten sie fest, dass 482 der 50.000 größten Seiten sogenannte Session-Replay-Skripte einsetzten und dass mehrere dieser Skripte weit mehr erfassten als Mausbewegungen: Passwörter, medizinische Angaben und teilweise Kartennummern wurden in einigen Fällen an Server Dritter geschickt, bevor überhaupt eine Maskierung stattfand. Fast ein Jahrzehnt später ist Session Replay verbreiteter denn je, und die Kernfrage jener Studie bleibt auf den meisten Websites unbeantwortet: Wer verwahrt die Aufzeichnungen, wo, und nach den Regeln welcher Regierung? Crazy Egg und OpenReplay, die beiden hier verglichenen Werkzeuge, geben darauf radikal unterschiedliche Antworten. Das eine zentralisiert Aufzeichnungen in seiner eigenen US-Cloud. Das andere erlaubt es, das gesamte System auf einem Server Ihrer Wahl zu betreiben, in einer Demokratie Ihrer Wahl. Für ein verbraucherorientiertes Unternehmen in Europa ist dieser Unterschied keine technische Geschmacksfrage mehr. Es ist eine Entscheidung über die demokratische Lieferkette der Daten Ihrer Besucher.
Warum die demokratische Herkunft bei Software zur Sitzungsaufzeichnung zählt
Tools zur Sitzungsaufzeichnung rekonstruieren Bild für Bild, was ein Besucher auf einer Website getan hat. Selbst bei sorgfältiger Maskierung offenbaren Aufzeichnungen Surfgewohnheiten, Produktinteressen, Zögern auf Preisseiten und manchmal Textfragmente, die nie hätten erfasst werden dürfen. Anders als ein einfacher Seitenaufrufzähler handelt es sich um Verhaltensdaten von echter Intimität. Das rechtliche Umfeld, in dem sie gespeichert werden, entscheidet darüber, ob diese Intimität geschützt ist. In vollwertigen Demokratien unterliegen Unternehmensdaten richterlichen Beschlüssen, gerichtlicher Kontrolle und unabhängigen Datenschutzbehörden. In autoritären Systemen können staatliche Stellen ohne Aufsicht Zugriff verlangen, und Unternehmen können weder ablehnen noch die Anfrage offenlegen. Democratic Market bewertet Session-Replay-Software deshalb vor allem anhand zweier Fragen: In welchem Land sitzt das kontrollierende Unternehmen, und in welchem Land werden die Aufzeichnungen gespeichert? Die Vereinigten Staaten, Heimat von Crazy Egg und der Gesellschaft hinter OpenReplay, erreichen 7,85 Punkte im EIU-Demokratieindex. Deutschland, ein beliebter Standort für selbst gehostete europäische Installationen, kommt auf 8,58. Dänemark, Heimat des Konkurrenten Mouseflow, erreicht 9,28. Russland, wo Yandex' Webvisor seine Aufzeichnungen speichert, liegt bei 2,22. Für deutsche Unternehmen kommt hinzu, dass Aufzeichnungen von Beschäftigten, etwa in internen Webanwendungen, der Mitbestimmung des Betriebsrats unterliegen können.
Crazy Egg: der US-Pionier der visuellen Heatmap
Crazy Egg wurde 2005 von Neil Patel und Hiten Shah gegründet, zwei der bekanntesten Figuren des amerikanischen Growth-Marketings, und gilt oft als das Werkzeug, das Klick-Heatmaps Jahre vor der Überfüllung des Marktes in den Mainstream brachte. Das Produkt hat sich zu einer Suite visueller Analysewerkzeuge entwickelt: Klick-Heatmaps, Scroll-Maps, ein Konfetti-Bericht, der Klicks nach Traffic-Quelle segmentiert, eine Overlay-Ansicht mit Klicks pro Element, Sitzungsaufzeichnungen, A/B-Tests, Umfragen und Fehlertracking. Seine Stärke ist die Zugänglichkeit. Eine Marketerin kann ein Snippet installieren und innerhalb eines Tages sehen, welche Bereiche einer Landingpage Aufmerksamkeit erhalten, ohne Analytics-Expertise zu benötigen. Die Preise beginnen bei rund 30 US-Dollar im Monat für kleine Websites und steigen mit erfassten Seitenaufrufen und Aufzeichnungen. Aus demokratischer Sicht ist Crazy Eggs Profil solide, aber nicht herausragend. Die Vereinigten Staaten sind eine Demokratie mit starken Gerichten, und Crazy Egg unterliegt US-Recht, doch die Aufzeichnungen liegen auf der eigenen Cloud-Infrastruktur in den USA. Europäische Websitebetreiber sind daher für die Übermittlung auf das EU-US Data Privacy Framework und Standardvertragsklauseln angewiesen. Die Software ist proprietär, das Maskierungsverhalten lässt sich also nicht unabhängig prüfen, und Websitebetreiber haben keine Möglichkeit, Aufzeichnungen innerhalb der Europäischen Union zu halten. Für ein auf die USA ausgerichtetes Unternehmen sind das kleinere Bedenken. Für ein europäisches Unternehmen, das Daten europäischer Bürgerinnen und Bürger verarbeitet, sind sie wesentlich.
OpenReplay: quelloffenes Session Replay zum Selbsthosten
OpenReplay startete 2018 unter dem Namen Asayer, durchlief im Sommer 2019 das Programm von Y Combinator und wird von seinem Gründer Mehdi Osman geführt. Die Gesellschaft ist in den Vereinigten Staaten registriert, doch das prägende Merkmal des Produkts ist, dass sein Kern als Open Source veröffentlicht und für das Selbsthosting konzipiert ist. Ein Unternehmen kann den kompletten Stack, also Aufzeichnung, Speicherung, Suche und Wiedergabe, mit Docker oder Kubernetes auf eigenen Servern betreiben, bei einem Anbieter und in einem Land seiner Wahl: in einem Hetzner-Rechenzentrum in Nürnberg oder Falkenstein, in einer Region von OVHcloud oder Scaleway in Frankreich (7,99) oder im eigenen Serverraum. In dieser Konfiguration erreichen die Aufzeichnungen die Infrastruktur von OpenReplay überhaupt nicht. Der Funktionsumfang zielt eher auf Produkt- und Entwicklungsteams als auf Marketing. Neben der Sitzungswiedergabe erfasst OpenReplay Konsolenausgaben, Netzwerkanfragen und Performance-Metriken, sodass ein Entwickler genau sehen kann, warum ein Checkout bei einem bestimmten Nutzer fehlgeschlagen ist. Es bietet Co-Browsing für Supportteams, Produktanalysen und Bereinigungsoptionen, die Texte und Eingaben verbergen, bevor Daten den Browser verlassen. Eine verwaltete Cloud-Version steht Teams zur Verfügung, die keine Server betreiben wollen, und einige fortgeschrittene Funktionen sind kostenpflichtigen Enterprise-Lizenzen vorbehalten. Der Preis dafür ist betrieblicher Natur: Selbsthosting bedeutet, Updates einzuspielen, Speicher zu skalieren und die Installation selbst abzusichern. Das demokratische Ergebnis ist jedoch eindeutig. Mit OpenReplay bestimmen Sie die Rechtsordnung Ihrer Aufzeichnungen, nicht Ihr Anbieter.
Session-Replay-Tools mit demokratischem Risiko: Yandex Webvisor und undurchsichtige SDKs
Das am weitesten verbreitete Hochrisiko-Werkzeug für Sitzungsaufzeichnungen ist Webvisor, Teil des russischen Analysedienstes Yandex Metrica. Es ist kostenlos, technisch leistungsfähig und gehörte zu den in der Princeton-Studie untersuchten Skripten. Russland erreicht 2,22 Punkte im EIU-Index und gilt als autoritär. Russisches Recht verpflichtet inländische Unternehmen, Daten lokal zu speichern und Sicherheitsdiensten über das SORM-System technischen Zugriff zu gewähren, ohne die richterlichen Schutzmechanismen von Demokratien. Jede Website, die Webvisor einbettet, exportiert faktisch das Verhalten ihrer Besucher in dieses Umfeld. Viele europäische Unternehmen und Behörden blockieren inzwischen Yandex-Skripte, und Datenschutzbehörden haben solche Übermittlungen als unvereinbar mit der DSGVO eingestuft. Eine zweite Risikogruppe ist weniger sichtbar: Session-Replay-SDKs, die kleine Anbieter mit unklaren Eigentumsverhältnissen in mobile Apps einbauen. Prüfungen von App-Stores fördern regelmäßig Replay-Bibliotheken zutage, die Bildschirmaufnahmen an Server in Rechtsordnungen mit EIU-Werten unter 4 hochladen, mitunter ohne dass der App-Entwickler genau versteht, was die Bibliothek tut. Kann ein Anbieter seine juristische Person, seine Eigentümer und seinen Speicherort nicht belegen, stuft Democratic Market ihn als Anbieter undurchsichtiger Herkunft ein und schließt ihn von Empfehlungen aus. Deutsche App-Entwickler sollten daher in jedem Datenschutz-Audit auch die eingebundenen Drittbibliotheken samt deren Endpunkten auflisten.
Crazy Egg vs OpenReplay vs Alternativen: Funktionen, Preis und demokratisches Profil
Nebeneinandergestellt bedienen die beiden Werkzeuge unterschiedliche Nutzer. Crazy Egg ist für Marketer und Inhaber kleiner Unternehmen gebaut, die schnell visuelle Antworten wollen: Heatmaps, Scroll-Maps und A/B-Tests mit minimalem Aufwand, zu einer berechenbaren Monatsgebühr. OpenReplay richtet sich an Produkt- und Entwicklungsteams, die echte Nutzersitzungen debuggen müssen, mit Entwicklerwerkzeugen, die Crazy Egg gar nicht anbieten will. Beim Preis ist Crazy Eggs Abonnement einfach und beginnt bei rund 30 Dollar im Monat; die selbst gehostete Edition von OpenReplay verursacht für den quelloffenen Kern keine Lizenzkosten, doch Infrastruktur und Personalzeit sind reale Ausgaben, für kleine Websites typischerweise ein bescheidener virtueller Server, für stark frequentierte Installationen deutlich mehr. Beim demokratischen Profil sitzen beide Unternehmen in den Vereinigten Staaten mit 7,85 Punkten, der Unterschied liegt also bei Speicherort und Überprüfbarkeit. Crazy Egg speichert Aufzeichnungen in den USA auf geschlossener Infrastruktur. OpenReplay kann sie überall speichern, auch in Deutschland mit 8,58, und sein Code lässt sich einsehen. Drei Alternativen runden das Bild ab. Mouseflow, entwickelt in Kopenhagen, verbindet dänische Rechtsordnung (9,28) mit EU-Hosting. PostHog, eine quelloffene US-Plattform, bietet Session Replay mit einer EU-Cloud-Region in Frankfurt oder vollständigem Selbsthosting. Matomo, dessen kommerzieller Träger InnoCraft in Neuseeland (9,61) sitzt, liefert ein selbst gehostetes Plugin für Heatmaps und Aufzeichnungen, das in deutschen Behörden und Hochschulen ohnehin weit verbreitet ist.
Die tatsächlichen Betriebskosten: Abonnement oder eigener Server
Die Kosten verdienen einen genaueren Blick, denn der Vergleich wird oft unfair geführt. Eine selbst gehostete OpenReplay-Installation für eine Website mit einigen tausend Sitzungen am Tag kann auf einem einzigen virtuellen Server mit ausreichend Speicher laufen, den europäische Anbieter für einige zehn Euro im Monat vermieten, doch jemand muss Updates einspielen, die Plattenbelegung überwachen und die Datenbank sichern. Für ein Unternehmen mit bestehendem Entwicklungsteam ist dieser zusätzliche Aufwand gering; für einen Zwei-Personen-Onlineshop kann er unzumutbar sein, und dann wird die verwaltete Cloud-Edition oder ein in der EU gehostetes SaaS zum vernünftigen Weg. Crazy Eggs Abonnement bündelt dagegen Hosting, Wartung und Support, und die Preise skalieren berechenbar. Auch die Speicherpolitik unterscheidet sich: Selbsthosting erlaubt es, genau festzulegen, wie lange Aufzeichnungen existieren, und sie unwiderruflich zu löschen, während man die Aufbewahrungs- und Backup-Praktiken eines SaaS-Anbieters im Vertrauen hinnehmen muss. Diese betrieblichen Details entscheiden den Kauf oft mehr als jede Funktionsliste.
EU-Recht 2026: DSGVO, ePrivacy und Data Act
Sitzungsaufzeichnungen sind in der Europäischen Union streng reguliert. Nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in Deutschland in Paragraf 25 TDDDG umgesetzt, benötigen Skripte, die Informationen auf dem Endgerät speichern oder auslesen, eine vorherige, informierte Einwilligung, und europäische Aufsichtsbehörden behandeln Session Replay durchgängig als nicht notwendige Verarbeitung, die sich nicht auf Ausnahmen stützen kann. Die DSGVO regelt dann alles, was nach der Einwilligung geschieht: Aufzeichnungen müssen einem festgelegten Zweck dienen, nur das Nötigste erfassen, sensible Felder maskieren und nach angemessener Zeit gelöscht werden. Übermittlungen in die Vereinigten Staaten hängen vom EU-US Data Privacy Framework ab, das im Juli 2023 angenommen und im September 2025 vom Gericht der Europäischen Union bestätigt wurde, wobei weitere Verfahren vor dem Europäischen Gerichtshof möglich bleiben. Eine selbst gehostete Installation in der EU umgeht die Übermittlungsfrage vollständig, eines der stärksten praktischen Argumente für OpenReplay in Europa. Der Data Act, anwendbar seit September 2025, fügt eine weitere Dimension hinzu: Er verpflichtet Cloud- und SaaS-Anbieter, den Wechsel und die Datenportabilität zu erleichtern, wobei Wechselentgelte bis Januar 2027 auslaufen. Für Käufer stärkt das die Position aller, die ein geschlossenes SaaS-Werkzeug verlassen und ihre Daten mitnehmen wollen. Für Unternehmen, die nach NIS2, in Deutschland über das NIS2-Umsetzungsgesetz, als wesentliche oder wichtige Einrichtungen gelten, machen die Pflichten zur Lieferkettensicherheit die Wahl des Analyseanbieters außerdem zu einer prüfbaren Entscheidung.
Wie Democratic Market Tools zur Sitzungsaufzeichnung bewertet
Unsere Methodik für Session-Replay-Software gewichtet fünf Kriterien. Das erste ist die Rechtsordnung: der EIU-Wert des Landes, in dem die kontrollierende Gesellschaft des Anbieters sitzt, mit einer harten Schwelle von 6,0. Das zweite ist der Datenstandort: wo Aufzeichnungen standardmäßig gespeichert werden, ob EU-Speicherung oder Selbsthosting möglich ist und welche Unterauftragsverarbeiter Zugriff haben. Das dritte ist Datenschutz durch Voreinstellung: ob Texte, Eingaben und sensible Elemente maskiert werden, bevor Daten den Browser verlassen, oder erst, wenn sie die Server des Anbieters erreichen, ein Unterschied, den die Princeton-Studie als entscheidend herausgestellt hat. Das vierte ist Überprüfbarkeit: quelloffener Code, veröffentlichte Sicherheitsaudits und anerkannte Zertifizierungen. Das fünfte ist Portabilität: ob sich Aufzeichnungen und Konfiguration exportieren lassen und ob das Werkzeug ersetzt werden kann, ohne historische Daten zu verlieren. In diesem Rahmen erzielt OpenReplay bei Selbsthosting hohe Werte für Standort, Überprüfbarkeit und Portabilität, während seine Cloud-Edition eher bei anderen US-SaaS-Werkzeugen liegt. Crazy Egg besteht bei Rechtsordnung und Bedienbarkeit, schneidet aber bei Datenstandort und Überprüfbarkeit schwächer ab. Yandex Webvisor ist ausgeschlossen. Die Bewertungen werden überprüft, sobald sich Eigentümer ändern, der EIU einen neuen Index veröffentlicht oder sich der Übermittlungsrahmen verschiebt.
Kaufberatung Schritt für Schritt: ein demokratisches Session-Replay-Tool wählen
Beginnen Sie mit der Frage, die Sie beantwortet haben wollen. Wenn Sie wissen müssen, wo Besucher klicken und wie weit sie auf Marketingseiten scrollen, ist ein visuelles Werkzeug wie Crazy Egg oder Mouseflow effizient. Wenn Sie verstehen müssen, warum Nutzer in einer Webanwendung auf Fehler stoßen, sind OpenReplay oder PostHog besser geeignet. Zweitens: Entscheiden Sie, wer die Aufzeichnungen verwahren soll. Kann Ihr Team einen Server pflegen, verschafft Ihnen ein selbst gehostetes OpenReplay in einem EU-Rechenzentrum die stärkste demokratische und rechtliche Position. Wenn nicht, wählen Sie einen SaaS-Anbieter mit EU-Speicherung. Drittens: Prüfen Sie die juristische Person des Anbieters, den EIU-Wert ihrer Rechtsordnung und die Liste der Unterauftragsverarbeiter. Viertens: Konfigurieren Sie Ihr Einwilligungsbanner so, dass das Aufzeichnungsskript erst nach ausdrücklicher Zustimmung geladen wird. Fünftens: Aktivieren Sie standardmäßig die Maskierung aller Texte und Eingaben und heben Sie sie nur gezielt für Elemente auf, die Sie wirklich brauchen. Sechstens: Schließen Sie sensible Seiten vollständig aus, also Login, Kontoeinstellungen, Checkout und alles, was Gesundheits- oder Finanzinformationen betrifft. Siebtens: Legen Sie eine Aufbewahrungsfrist von 30 bis 90 Tagen fest und beschränken Sie den Zugriff auf ein kleines, namentlich benanntes Team; dokumentieren Sie das im Verzeichnis der Verarbeitungstätigkeiten. Überprüfen Sie die Konfiguration schließlich jedes Quartal, denn Änderungen an der Website können neue Felder der Aufzeichnung aussetzen, ohne dass es jemand bemerkt.
Fazit: Welches Session-Replay-Tool sollte ein demokratisches Unternehmen wählen?
Crazy Egg bleibt ein leistungsfähiges, leicht bedienbares Werkzeug für Marketer, und seine US-Herkunft besteht die Schwelle von Democratic Market. Für ein Unternehmen, dessen Besucher überwiegend außerhalb Europas sind oder dessen Bedarf sich auf Heatmaps für Marketingseiten beschränkt, ist es mit rund 30 Dollar im Monat ein vernünftiger Kauf. Für europäische Unternehmen und für jedes Team, das die Lehre der Princeton-Studie ernst nimmt, bietet OpenReplay eine strukturell stärkere Option: offenen Code, den Sie prüfen können, und Aufzeichnungen, die auf Servern unter Ihrer Kontrolle bleiben, in einer Demokratie Ihrer Wahl, ob Deutschland, Frankreich oder die nordischen Länder. Übersteigt Selbsthosting Ihre Ressourcen, bietet Mouseflow aus Dänemark EU-Speicherung unter einer der stärksten Demokratien der Welt. Ohne Ausnahme abraten müssen wir von kostenlosen Aufzeichnungsdiensten aus autoritären Staaten und von Anbietern, die Sie nicht identifizieren können. Session Replay zeigt Ihnen das Verhalten Ihrer Besucher in bemerkenswertem Detail. Das Mindeste, was Sie ihnen im Gegenzug schulden, ist eine klare Antwort darauf, wo dieses Detail aufbewahrt wird.