Das Problem war, dass offensichtlich $req->cookies immer einen wahren Wert zurückgibt, auch wenn gar kein Cookie existiert. Keine Ahnung, warum das so ist.
Die Lösung war daher einfach in der if Bedingung statt if ($cookie) das Cookie bereits mit if ($cookie->{'session_id'} zu benennen.

Im echten Programm hab ich den Response wohl falsch gemacht. Die Funtkion psgi_redirect gibt bereits ein Arrayref zurück, sodass in der letzten Zeile return [$status_code, $headers_aref, [] ]; genügt.