Anmeldung ohne Passwort: Warum wir Code und Link zugleich schicken

Der Teil einer Anmeldung, der die meisten Probleme verursacht, ist das Passwort. Man vergisst es, wartet auf eine E-Mail zum Zurücksetzen oder nutzt dasselbe Passwort auch auf anderen Websites. Für den Anbieter ist ein Passwort außerdem etwas, das gespeichert und vor Datenlecks geschützt werden muss.

Sie können sich jetzt ohne Passwort im Opus-Growth-Dashboard anmelden. Wenn Sie Ihre E-Mail-Adresse eingeben, senden wir sowohl einen sechsstelligen Code als auch einen Anmeldelink an Ihr Postfach, und Sie melden sich mit einem der beiden an. In diesem Beitrag erklären wir, warum wir beides senden, wie sich das Verfahren auf die Sicherheit auswirkt und wo Sie nachsehen sollten, wenn die E-Mail nicht ankommt.

Warum wir einen Code und einen Link senden

Systeme, die nur einen Link senden, scheitern in einer sehr häufigen Situation. Wenn Sie sich am Computer anmelden möchten, die E-Mail aber auf dem Handy öffnen und dort auf den Link tippen, öffnet sich die Sitzung im Browser des Handys statt am Computer. Sie sind dann auf dem falschen Gerät angemeldet.

Der Code löst dieses Problem, weil er nicht vom Gerät abhängt. Sie lesen die E-Mail auf dem Handy, geben den sechsstelligen Code am Computer ein, und die Sitzung öffnet sich dort, wo Sie sie brauchen. Der Link ist schneller, wenn Sie sich auf demselben Gerät anmelden, auf dem Sie die E-Mail lesen, denn ein einziger Tipp genügt.

Deshalb senden wir beides. So müssen wir nicht raten, welches Gerät Sie gerade nutzen, und beide Situationen sind abgedeckt.

Wie sich die Anmeldung ohne Passwort auf die Sicherheit auswirkt

Häufig wird angenommen, eine Anmeldung ohne Passwort sei schwächer. Tatsächlich schließt sie mehrere wichtige Angriffswege vollständig.

• Geleakte Passwörter sind nutzlos. Ein auf einer anderen Website gestohlenes Passwort kann hier nicht verwendet werden, weil Ihr Konto keines hat.
• Rateangriffe funktionieren nicht. Der Code ist 15 Minuten gültig und kann nur einmal verwendet werden. Nach fünf Fehlversuchen wird der Code ungültig, und Sie müssen einen neuen anfordern.
• Es gibt keine Passwortdaten, die gestohlen werden könnten. Ein Passwort, das nie gespeichert wird, kann auch bei einem Datenleck nicht auftauchen.

Im Gegenzug verlagert sich das Gewicht der Sicherheit auf Ihr E-Mail-Konto, denn wer Zugriff auf Ihr Postfach hat, könnte auch den Anmeldecode sehen. Wir empfehlen deshalb, bei Ihrem E-Mail-Anbieter die Bestätigung in zwei Schritten eingeschaltet zu lassen.

Auch die kurze Gültigkeit des Codes ist eine bewusste Entscheidung. Ein lange gültiger Code würde es jemandem, der die E-Mail später liest, ermöglichen, sich anzumelden.

Wenn der Klick auf den Link Sie nicht anmeldet

Ihre Sitzung wird unter der Adresse gespeichert, unter der der Anmeldelink geöffnet wurde, und sie wird nicht auf eine andere Subdomain übertragen. Wenn Sie den Link aus der E-Mail kopieren und unter einer anderen Adresse öffnen, wird die Anmeldung daher nicht abgeschlossen.

Öffnen Sie in diesem Fall den Link genau so, wie er in der E-Mail steht, oder geben Sie den Code von Hand ein.

Wo Sie nachsehen sollten, wenn kein Code ankommt

1. Prüfen Sie den Spam-Ordner. Bei der ersten Anmeldung landet die E-Mail am häufigsten dort. Sobald Sie sie als „kein Spam“ markieren, kommen spätere E-Mails im Posteingang an.
2. Prüfen Sie die Adresse. Die Anmeldung per E-Mail funktioniert nur für bestehende Konten. Weicht die eingegebene Adresse von der in Ihrem Konto hinterlegten ab, wird kein Code an sie gesendet. Wenn Sie noch kein Konto haben, können Sie sich mit Google registrieren.
3. Denken Sie an Firmenfilter. Firmen-E-Mail-Systeme stellen automatische Nachrichten von außen manchmal unter Quarantäne. Bitten Sie in diesem Fall Ihre IT, sie zuzulassen, oder verwenden Sie eine andere in Ihrem Konto hinterlegte Adresse.

Wenn der Code angekommen, aber abgelaufen ist, fordern Sie einfach einen neuen an. Sobald ein neuer Code gesendet wird, ist der alte ungültig.

Häufig gestellte Fragen

Ist die Anmeldung ohne Passwort sicher?

Ja. Geleakte Passwörter und Rateangriffe funktionieren dabei nicht. Im Gegenzug wird die Sicherheit Ihres E-Mail-Kontos wichtiger, lassen Sie dort also die Bestätigung in zwei Schritten eingeschaltet.

Warum bekomme ich einen Code und einen Link?

Der Code ist für alle, die die E-Mail auf dem Handy lesen, sich aber am Computer anmelden. Der Link ist für alle, die sich auf dem Gerät anmelden, auf dem sie die E-Mail lesen. Beide öffnen dieselbe Sitzung.

Wie lange ist der Code gültig?

Der Code ist 15 Minuten gültig und kann nur einmal verwendet werden. Ist er abgelaufen oder wurde er fünfmal falsch eingegeben, müssen Sie einen neuen anfordern.

Ich habe auf den Link geklickt, wurde aber nicht angemeldet. Warum?

Wenn Sie den Link unter einer anderen Adresse als der in der E-Mail geöffnet haben, wird die Sitzung nicht auf diese Adresse übertragen. Öffnen Sie den Link genau so, wie er in der E-Mail steht, oder geben Sie den Code von Hand ein.

Was kann ich tun, wenn die E-Mail nicht ankommt?

Prüfen Sie zuerst Ihren Spam-Ordner und dann, ob die eingegebene Adresse mit der in Ihrem Konto hinterlegten übereinstimmt. Wenn Sie eine Firmenadresse nutzen, hat der Filter Ihres Unternehmens automatische Nachrichten möglicherweise unter Quarantäne gestellt.