Magic Link.
Ein Magic Link ist ein Anmeldeverfahren ohne Passwort: Die Person gibt ihre E-Mail-Adresse ein und erhält einen einmal gültigen, kurzlebigen Link, der sie beim Anklicken direkt anmeldet. Der Besitz des E-Mail-Postfachs ersetzt damit das Passwort.
Magic Link — ausführlich erklärt
Beim Magic Link erzeugt der Server nach Eingabe der E-Mail-Adresse ein zufälliges, schwer erratbares Token, speichert es mit einem Ablaufzeitpunkt und schickt einen Link mit diesem Token per E-Mail. Klickt die Person auf den Link, prüft der Server, ob das Token existiert, noch gültig ist und noch nicht verwendet wurde, und startet dann eine Sitzung. Danach wird das Token entwertet. Ein Passwort gibt es nicht, also kann es auch nicht vergessen, wiederverwendet oder bei einem Datenleck eines anderen Dienstes erbeutet werden.
Der Vorteil liegt in der Einfachheit für selten genutzte Anwendungen: Wer sich nur einmal im Monat in ein Kundenportal einloggt, um eine Rechnung zu holen, hat sein Passwort ohnehin vergessen und landet bei «Passwort zurücksetzen», also faktisch auch bei einem Link per E-Mail. Der Magic Link macht diesen Umweg zum Standardweg. Für die Sicherheit gilt dabei: Das Konto ist genau so gut geschützt wie das E-Mail-Postfach.
Magic Links haben typische Schwächen. Der Link öffnet sich oft im falschen Browser: Die Person startet die Anmeldung am Computer, liest die Mail aber am Handy und ist danach auf dem Handy angemeldet. Manche E-Mail-Sicherheitssysteme rufen Links in eingehenden Mails automatisch auf, um sie zu prüfen, und entwerten so ein einmal gültiges Token, bevor der Mensch klickt. Und eine Phishing-Mail, die wie eine Anmeldemail aussieht, ist schwer von der echten zu unterscheiden. Diese Punkte lassen sich abmildern, verschwinden aber nicht ganz.
Eine verbreitete Alternative ist der Einmal-Code per E-Mail: Statt eines Links erhält die Person einen sechsstelligen Code, den sie im selben Browserfenster eingibt. Damit bleibt die Anmeldung auf dem Gerät, auf dem sie begonnen wurde, und automatische Link-Prüfungen stören nicht. DLM Digital setzt im eigenen Kundenportal auf genau diese Kombination: Anmeldung per E-Mail-Code und zusätzlich Passkeys, also Face ID oder Fingerabdruck auf dem eigenen Gerät. Passkeys sind gegen Phishing deutlich widerstandsfähiger als jedes Verfahren, das über eine E-Mail läuft.
Was einen sicheren Magic Link ausmacht
Das Token muss mit einem kryptografisch sicheren Zufallsgenerator erzeugt werden und lang genug sein, um nicht erraten zu werden. Es sollte nur kurz gültig sein, typischerweise wenige Minuten, und nach der ersten Verwendung verfallen. In der Datenbank gehört es nur als Hash hinterlegt, damit ein Datenbankauszug keine gültigen Anmeldelinks enthält. Wiederholte Anfragen für dieselbe Adresse sollten begrenzt werden, damit niemand ein Postfach mit Anmeldemails überschwemmen kann.
Weil Mail-Scanner Links vorab aufrufen, ist es sinnvoll, dass der Link nicht sofort anmeldet, sondern eine Seite mit einem Knopf «Jetzt anmelden» zeigt; erst der Klick darauf löst die Anmeldung aus. Für Konten mit höherem Schutzbedarf eignet sich der Magic Link als alleiniges Verfahren nicht. Dort gehört mindestens ein zweiter Faktor dazu, siehe Zwei-Faktor-Authentifizierung.
Beispiel: Offerten-Portal eines Gartenbauers
Ein Beispiel: Ein Gartenbauunternehmen stellt seinen Kunden Offerten, Pläne und Fotos in einem kleinen Portal bereit. Die meisten Kunden besuchen es zwei- oder dreimal pro Projekt. Ein Passwort würde fast jeder vergessen. Deshalb meldet man sich mit der E-Mail-Adresse an, die auch auf der Offerte steht, und erhält einen Anmeldelink oder Code.
Damit Kunden, die am Büro-PC beginnen und die Mail am Handy lesen, nicht verwirrt werden, zeigt die Mail zusätzlich einen Code, den man am PC eingeben kann. Wer das Portal oft nutzt, kann nach der Anmeldung einen Passkey einrichten. Solche Anmeldewege planen wir, wenn wir eine Web-App entwickeln oder eine App für iPhone und Android bauen.
Weiterführende Seite
PasskeyHäufige Fragen zu Magic Link
Er beseitigt typische Passwortprobleme wie schwache oder wiederverwendete Passwörter. Dafür hängt die Sicherheit vollständig am E-Mail-Postfach, und Phishing über gefälschte Anmeldemails bleibt möglich. Für Konten mit hohem Schutzbedarf sind Passkeys oder ein zweiter Faktor die bessere Wahl.
Ein Code, den man im selben Fenster eingibt, hält die Anmeldung auf dem Gerät, auf dem sie begonnen wurde, und wird nicht von Mail-Scannern entwertet. Ein Link ist auf dem Handy bequemer. Viele Anwendungen schicken deshalb beides in derselben Mail.
Kurz, typischerweise einige Minuten bis höchstens eine Stunde, und nur für eine einzige Verwendung. Ein Link, der tagelang gültig bleibt, wird zum Risiko, falls die Mail weitergeleitet oder ein Postfach später kompromittiert wird.
Weitere Begriffe mit „M“
Meta Description
Die Meta Description ist ein HTML-Tag, der eine kurze Zusammenfassung einer Webseite für Suchmaschin...
Mobile-First-Index
Seit 2019 crawlt und indexiert Google primär die mobile Version einer Website (nicht mehr die Deskto...
Multimodal Search
Multimodal Search ermöglicht die Suche mit verschiedenen Eingabeformaten gleichzeitig: Text, Bild, S...
Bereit für Ihr Projekt?
Wenden Sie dieses Wissen auf Ihre Website an — DLM Digital hilft Ihnen dabei.
Magic Link in der Praxis
Wie der Begriff im Alltag von Schweizer KMU auftaucht — vertieft in Artikeln aus dem DLM Magazin.