Bitte hör auf, mich dazu zu zwingen, magische Links zum Anmelden zu benutzen

Sicherheit in jede Entscheidung einzubauen, die Sie online treffen, ist nicht immer einfach, und in einigen Fällen haben Websites und Dienste das Problem übernommen und größtenteils gelöst.

Magische Links, wie sie genannt werden, sollen das Einloggen in Ihre Konten erheblich erleichtern. Anstatt ein Passwort einzugeben, klicken Sie auf „Senden Sie mir einen Login-Link“, öffnen Ihren Posteingang, tippen die E-Mail an und Sie sind direkt eingeloggt. Es klingt einfach, modern und sicher.

Aber ich stoße immer wieder auf Probleme mit magischen Links, ganz zu schweigen davon, dass ich nicht immer eine weitere App öffnen möchte, um mich bei Apps und Diensten anzumelden, was den Login tatsächlich länger dauern lässt und einen weiteren Service in den Prozess einbindet.

Kurz gesagt, ich bin fertig.

Ich mag Passwörter eigentlich ganz gerne

Ich mag sie auf jeden Fall mehr als magische Links

Die Idee von Magic-Links ist leicht zu verstehen, und ich verstehe, warum Menschen es vorziehen, sie zu benutzen. Es gibt keine Passwörter zu merken, keine Zurücksetzabläufe, keine Tippfehler und weniger schwache oder wiederverwendete Zugangsdaten im Umlauf.

Aber meistens bedeutet es, dass ich aufhören muss, was ich gerade mache, eine andere App öffnen, darauf warten muss, dass die Nachricht ankommt, auf den Link tippen und hoffen muss, dass er im richtigen Browser geöffnet wird. Auf einem Desktop bedeutet das oft, mehrere Tabs und Konten zu jonglieren. Auf einem Mobilgerät könnte es sogar im völlig falschen Browser geöffnet werden.

Das ist bevor man zu einigen der anderen Probleme kommt, die ich mit Magic-Link-Anmelde-E-Mails erlebt habe:

• In den Spam verschoben und sofort gelöscht
• Nicht in E-Mail auf dem Gerät eingeloggt
• Links verfallen, bevor sie ankommen, wenn es einen Ausfall oder ein Problem gibt
• E-Mail-Weiterleitung unterbricht das Authentifizierungstoken
• Browser-Profile verwirren die Anmeldungssitzung

Und wenn Sie offline sind oder keinen 4G-/5G-Empfang haben, haben Sie einfach Pech, wenn der Dienst keine passwortbasierte Anmeldung anbietet.

Wenn Sie Konten absichtlich trennen - zum Beispiel eine persönliche E-Mail für Anmeldungen und ein Arbeitskonto für die Arbeit verwenden - bestrafen magische Links diese Trennung aktiv. Sie müssen immer Zugriff auf dasselbe Postfach haben, auf demselben Gerät, zur gleichen Zeit. Wenn Ihr E-Mail-Konto gesperrt ist, verlieren Sie den Zugriff auf alles, was damit verbunden ist.

Magische Links setzen voraus, dass Ihr Posteingang immer verfügbar und ständig verbunden ist, aber das ist einfach nicht der Fall.

Magische Links sind von Natur aus nicht sicherer

Es verlagert die Authentifizierung nur an einen anderen Ort

Magic Links werden oft als Sicherheitsverbesserung dargestellt, weil es kein Passwort gibt, das gestohlen oder wiederverwendet werden kann. Aber es verschiebt das Sicherheitsmodell auf etwas anderes in der Kette: dein E-Mail-Konto. Und vergessen wir nicht, dass dieses immer noch nur so sicher ist wie das Passwort, das du verwendet hast, ganz zu schweigen von den anderen oben genannten Problemen.

Damit wird Ihr E-Mail-Konto zu einem einzigen Ausfallpunkt, sei es durch Malware, einen Sicherheitsverstoß oder aus anderen Gründen. Ein Angreifer erhält nicht nur Zugriff auf Ihr E-Mail-Konto; er erhält Zugriff auf alles, was einen Magic Link zur Anmeldung erfordert. Mir ist dabei bewusst, dass, wenn jemand Ihr E-Mail-Konto gehackt hat, Sie eine ganze Reihe von Problemen haben und dass er auch andere Arten der Zwei-Faktor-Authentifizierung, wie etwa Einmalpasscodes, umleiten könnte.

Ich werde diese Kombination zusammen mit meinen anderen Beschwerden in den Stapel „E-Mail ist nicht ideal für die Authentifizierung, aber wir müssen sie ständig verwenden“ einordnen, weil sie ähnlich sind. In allen Fällen übergibst du die Konten-Authentifizierung an deinen E-Mail-Anbieter, ob es ihm gefällt oder nicht, und das kann eine ganze Reihe von Sicherheitsproblemen bündeln.

In Wirklichkeit gibt es bei allen Formen der Multi-Faktor-Authentifizierung Probleme, aber einige sind definitiv sicherer als andere.

Die echte Lösung ist super einfach

Ich wette, du hast es schon erraten

Ich persönlich würde lieber einfach die E-Mail- und Passwortkombination verwenden, die ich in meinem sicheren Passwort-Manager gespeichert habe. Es ist schnell, immer verfügbar und erfordert keine andere App. Es ist ein Prozess, der schon lange (nun ja, meistens) gut funktioniert, und mit dem Aufkommen kostenloser und sicherer Passwort-Manager ist es einfacher denn je, die Wiederverwendung von Passwörtern, das Verlieren von Zugangsdaten und Ähnliches zu vermeiden.

Aber ich verstehe es. Passwörter sind nicht jedermanns Sache, und nicht jeder möchte einen Passwortmanager verwenden. In solchen Fällen sind die Leute wahrscheinlich überglücklich bei dem Gedanken, dass ihnen ein magischer Link geschickt wird, besonders wenn sie sich über keine der oben erwähnten Probleme Gedanken machen müssen (Konten, verschiedene Apps, verschiedene Profile und so weiter).

Also... könnten diese Apps und Dienste uns einfach die Wahl lassen, wie wir uns anmelden möchten, anstatt uns einen bestimmten Weg aufzuzwingen? Denn was für die eine Person funktioniert, ist für die nächste nicht unbedingt das Beste, und wir haben in all dem noch nicht einmal wirklich Passkeys berücksichtigt. So sollte es wirklich funktionieren:

• Passkeys
• Passwörter mit OTP
• Hardware-Tasten, wie zum Beispiel ein Yubikey
• Magische Links optional bei Konten mit geringem Einsatz

Achten Sie auf das Konto mit geringem Risiko? Ich möchte niemals einen magischen Link erhalten, um mich bei meinen Bank- oder Sparkonten anzumelden, und das sollte auch niemand tun. Genau hier sollte die große Linie gezogen werden, die niemals überschritten werden darf.