Sicherheit von passwortgeschützten Links — was passiert beim Klicken

Die Hälfte der Anleitungen zu Passwort-Links beginnt mit dem Satz, dass dies eine „zusätzliche Sicherheitsebene“ sei. Und damit endet es auch schon. Meiner Meinung nach ist das genau das am wenigsten wichtige, was man darüber sagen kann.

Denn die „Sicherheitsebene“ erklärt gar nichts. Sie sagt dir nicht, was mit diesem Passwort passiert, wer es sieht oder wann es überhaupt sinnvoll ist. Und das sind die einzigen Fragen, die man sich stellen sollte, bevor man auf „Passwort hinzufügen“ klickt.

Also nacheinander.

Das Passwort am Link ist nicht dasselbe wie das Schloss am Tor

Die Leute stellen sich vor, dass ein Passwort einen Link hermetisch abriegelt. Das ist nicht der Fall. Die Sicherheit von passwortgeschützten Links funktioniert eher wie ein Konzertticket: Wer ein Ticket hat, kommt rein. Wer es jemandem gibt, lässt ebenfalls jemanden hinein.

Das klingt wie ein Fehler. Ist es nicht. Man muss nur wissen, wozu dieser Mechanismus dient.

Drei Situationen, in denen es wirklich nützlich ist:

Preisliste für Premium-Kunden oder ein Dokument in der Beta-Version, bevor es in die Welt geht. Ohne Passwort wird ein solcher Link früher oder später bei Google landen oder von Hand zu Hand gehen.

Inhalt mit Ablaufdatum. Angebot nur am Freitag. Material von der Konferenz ausschließlich für Teilnehmer. Das Passwort macht aus dem Link einen kontrollierten Zugang — du weißt, dass jemand es von dir erhalten hat und nicht zufällig gefunden hat.

Und eine Sache, die du vollkommen öffentlich postest, aber bei der du den Finger in der Wunde halten willst. Der Link kann kursieren. Ohne Passwort wird sowieso niemand hineinkommen.

Und nun das, was dieser Leitfaden nicht auslassen sollte

Du gibst das Passwort in das Formular ein. Im selben Moment verschwindet es. Buchstäblich. Dass du „tajne123“ eingestellt hast, hört auf, in lesbarer Form zu existieren, bevor du die Taste loslassen kannst.

Was bleibt in der Datenbank? Nicht das Passwort. Ein Fingerabdruck davon. Fachsprachlich: Hash. Eine Zeichenfolge, die nur dann zu deinem Passwort passt, wenn jemand genau dasselbe eingibt wie du. An sich verrät sie nichts.

Ich sage es ganz direkt, denn es ist wichtig: Ich, der Betreiber des Dienstes, habe keine Möglichkeit, dein Passwort zu lesen. Nicht, weil ich höflich bin. Sondern weil es physisch nichts zu lesen gibt. Wenn sich jemand in die Datenbank einbrechen würde, würde er nur einen Stapel dieser Fingerabdrücke mitnehmen und das war's.

Der Algorithmus, der dies berechnet, ist absichtlich langsam. Ich weiß, dass „langsam“ wie eine Beschwerde klingt, aber das ist ein Vorteil. Es geht darum, dass jemand, der die Datenbank gestohlen hat, absurd viel Zeit aufwenden müsste, um nur ein einziges Passwort zu erraten. Wir sprechen hier von Jahren, nicht von Sekunden.

Klick von der anderen Seite

Jemand erhält deinen Link und klickt darauf. Anstatt direkt das Ziel zu erreichen, sieht er einen Bildschirm: „dieser Link ist passwortgeschützt“, ein Eingabefeld, eine Schaltfläche.

Er gibt es ein. Der Server vergleicht die Eingabe mit dem gespeicherten Fingerabdruck. Stimmt es überein? Er erhält ein Session-Token, das 24 Stunden lang gültig ist. In den nächsten 24 Stunden kehrt er über den Link zurück, ohne etwas eingeben zu müssen. Er muss sich nichts merken, er muss sich nicht anstrengen.

Nicht einverstanden? Fehler. Fünf Fehlversuche von derselben IP-Adresse und der Zugang wird für fünf Minuten gesperrt. Ein Bot, der versucht, Passwörter nacheinander auszuprobieren, prallt gegen eine Wand.

Was hier einfach nicht vorhanden ist

Wir speichern keine Passwörter im Klartext. Nirgendwo. Nicht einmal in den Logs, die ich bei der Fehlersuche einsehe.

Wir versenden keine Passwörter per E-Mail. Das bedeutet, dass ich Ihnen kein Passwort zusenden kann, falls Sie es vergessen haben, da ich es nicht kenne. Sie müssen es selbst senden, über denselben Kanal wie zuvor.

Und wir geben keine Passwörter nach außen weiter. Keine Analytik, kein Marketing, kein AB kommt mit diesen Daten in Berührung. (Dies ist eine Regel, die für das gesamte cutty.dev gilt, nicht nur hier.)

Zwei Gewohnheiten, die den Unterschied machen

Erster: Erfinde kein Passwort aus dem Kopf. Firmenname plus Gründungsjahr ist ein Geschenk für jeden, der dich kennt. Ein Generator im Browser spuckt in einer Sekunde etwas Besseres aus.

Der zweite, wichtigere: Sende das Passwort nicht über denselben Kanal wie den Link. Ging der Link per E-Mail? Sende das Passwort per SMS. Oder umgekehrt. Der Sinn dahinter ist, dass die Übernahme eines einzigen Postfachs niemandem den vollständigen Satz an Informationen liefert.

Ein Detail, das nur wenige wissen: Du kannst mehrere Links erstellen, die auf dieselbe Adresse führen, aber mit unterschiedlichen Passwörtern. Du gibst fünf Personen Zugriff, jeder einen eigenen Link. Muss eine Person gehen? Du sperrst ihren Link, der Rest wird es nicht einmal bemerken.

Das Passwort können Sie ändern, ohne einen neuen Link zu erstellen. Panel, „Bearbeiten“, neues Passwort. Achtung: alle aktiven 24-Stunden-Sitzungen enden sofort. Jeder muss das Passwort neu eingeben.

Eine Grenze, die man rechtzeitig kennen sollte

Kommen wir zurück zum Konzertticket. Das Passwort schützt vor der Suchmaschine und vor einem zufälligen Gast. Es schützt nicht vor jemandem, der das Passwort kennt und beschließt, es mit der Welt zu teilen.

Wenn dein Szenario lautet „genau diese eine Person soll das sehen und sonst niemand“, reicht ein Passwort nicht aus. Hier brauchst du Konten, Login, Autorisierung. Eine andere Liga, ein anderes Problem.

Aber Hand hoch, wie oft hast du wirklich so ein Szenario? Meiner Erfahrung nach selten. In der überwiegenden Mehrheit der Fälle geht es um ein einfaches „Ich möchte nicht, dass jemand von der Straße hierher kommt“. Und dafür reicht diese Begründung völlig aus.

Wenn Sie sehen möchten, wie das von innen aussieht — beim Erstellen eines Links erweitern Sie die „Erweiterten Optionen“ und wählen Sie „Passwort hinzufügen“. Der Rest geschieht von selbst.