Passwortlos anmelden: Magic Links und Konto-Wiederherstellung

Kurz: Passwortlose Anmeldung ersetzt Passwörter durch Einmal-Links, Codes oder Passkeys; entscheidend ist, dass auch die Wiederherstellung des Kontos sicher bleibt.

Genauer: Passwörter werden vergessen, wiederverwendet und gephisht. Viele Dienste bieten deshalb passwortlose Verfahren. Die Sicherheit hängt vom schwächsten Glied: oft ist das der Weg zur Kontowiederherstellung.

Im Detail

Verfahren

• Passkeys (FIDO2/WebAuthn): Schlüsselpaar im Gerät/Passwortmanager, Bestätigung per Fingerabdruck/Gesicht/PIN. Phishing-resistent, derzeit der beste Weg.
• Magic Link: Link per E-Mail, der einmalig und kurz gültig (10 bis 15 Minuten) anmeldet. Sicherheit = Sicherheit des E-Mail-Kontos.
• Einmalcode per E-Mail/SMS (OTP): bequem, aber abfangbar (SIM-Swapping, Phishing in Echtzeit).
• Authenticator-App (TOTP) oder Sicherheitsschlüssel als zweiter Faktor.
• Push-Bestätigung („Bist du das?”).

Sicher umsetzen (für Entwickler)

• Magic-Link-Tokens zufällig (mind. 128 Bit), einmal verwendbar, kurz gültig, nur gehasht speichern, an die Anfrage binden (Gerät/Browser, wenn möglich).
• Rate Limiting für Link- und Codeanfragen.
• Keine Hinweise, ob ein Konto existiert (gleiche Antwort), um Konten-Aufzählung zu verhindern.
• E-Mail-Scanner (Linkprüfer) können Links vorab aufrufen: Anmeldung erst nach Bestätigung per Klick/POST abschließen.
• Bei Codes: Wiederholungsversuche begrenzen.
• Sitzung danach normal absichern (Cookies HttpOnly, Secure, SameSite).

Konto-Wiederherstellung

Die Wiederherstellung ist die Hintertür: Wer sie erlangt, übernimmt das Konto. Gute Praxis: Backup-Codes (einmalig, sicher ablegen), zweiter Faktor/Sicherheitsschlüssel, bestätigte Wiederherstellungs-E-Mail mit eigener Absicherung, Wartezeiten und Benachrichtigungen („Wiederherstellung angefordert“), keine „Sicherheitsfragen“ (Antworten lassen sich erraten oder recherchieren), bei sensiblen Konten Identitätsprüfung. Auch als Nutzer: mehrere Passkeys/Schlüssel registrieren, Backup-Codes offline aufbewahren.

Einordnung

Passwortlos erhöht oft Komfort und Sicherheit, verlagert Risiko aber auf E-Mail, Geräte und Wiederherstellung. Kombiniere Verfahren sinnvoll, biete Alternativen (nicht jeder Nutzer hat ein kompatibles Gerät) und informiere verständlich. Ein Passwortmanager bleibt für viele Dienste sinnvoll.

Siehe auch: Passkeys, TOTP und WebAuthn, Rate Limiting, Passwortmanager