Passkeys, Magic Links, OTP: Welches Verfahren wofür?
Anmelden ohne Passwort geht auf mehreren Wegen: mit Passkeys, Magic Links, Codes per E-Mail oder SMS oder einem Code, den der Nutzer sendet. Sie unterscheiden sich in der Sicherheit, darin, was der Nutzer zur Hand haben muss, und darin, was passiert, wenn etwas schiefgeht. Dieser Leitfaden vergleicht die Verfahren für die Anmeldung bei bestehenden Konten und zeigt, welches zu welchem Konto passt.
- Fünf Verfahren im Überblick
- Welches phishing-resistent ist
- Welches Verfahren für welches Konto
Christian Schätzlein, Gründer und Entwickler von Sendity
3 Min. Lesezeit
Fünf Wege zur Anmeldung ohne Passwort
Was jedes braucht und wo es schwach ist
-
Passkey Fingerabdruck oder Gesicht am Gerät Gerät
Phishing-resistent Stärkste Option. Braucht ein eingerichtetes Gerät und einen Plan für dessen Verlust.
-
Magic Link Link in einer E-Mail anklicken Postfach
Postfach nötig Öffnet sich in einem anderen Browser, wenn die Mail am Handy gelesen wird.
-
E-Mail-Code Code aus einer E-Mail abtippen Postfach
Postfach nötig Funktioniert geräteübergreifend, aber die Mail kann im Spam landen.
-
SMS-Code Code aus einer SMS abtippen Nummer
Kosten pro SMS Vertraut, aber anfällig für SIM-Swap und SMS-Pumping.
-
Reverse OTP Code vom Handy oder Postfach senden Nachricht
Nichts abzutippen Ein Tipp auf „Senden“, kein Code zuzustellen. Nicht phishing-resistent.
Anmelden per Nachricht. Ohne Formular, ohne Code.
Sendity ist ein Anmelde-Widget für Ihre Website. Statt ein Formular auszufüllen, schicken Ihre Besucher eine kurze Nachricht per WhatsApp oder E-Mail. Sendity prüft, von wem sie stammt, und übergibt Ihrer Seite den Namen und die verifizierte Telefonnummer oder E-Mail-Adresse.
So funktioniert Sendity →-
Eine Nachricht statt Formular Besucher tippen in WhatsApp oder ihrem E-Mail-Programm auf „Senden“. Nichts abtippen, keine Bestätigungsmail anklicken.
-
Verifiziert durch die Nachricht selbst Der Kontakt stammt vom Absender der Nachricht. Tippfehler und erfundene Adressen landen gar nicht erst in Ihrer Liste.
-
Bezahlt wird pro verifiziertem Kontakt Sie starten mit 1.000 Credits geschenkt, ohne Kreditkarte. Danach Prepaid-Pakete, ohne Abo.
Vier Fragen entscheiden, welches Verfahren passt.
Passkeys
Ein Schlüsselpaar auf dem Gerät, entsperrt per Fingerabdruck, Gesicht oder PIN. Der Browser nutzt es nur auf der richtigen Domain, eine falsche Seite bekommt also nichts. Der Haken sind Einrichtung und Wiederherstellung, wenn das Gerät verloren geht.
Magic Links und E-Mail-Codes
Der Zugang hängt am Postfach. Nichts zu merken, aber jede Anmeldung wartet auf eine Mail. Links öffnen sich im Browser der Mail-App, Codes müssen abgetippt werden.
SMS-Codes
Allen vertraut und schnell, aber jede SMS kostet Geld, Bots können sie auslösen, und ein SIM-Swap leitet jeden Code zum Angreifer um.
Reverse OTP
Die Seite zeigt einen Code, der Nutzer sendet ihn per WhatsApp, E-Mail oder, falls freigegeben, per SMS. Nichts muss zugestellt oder abgetippt werden. Wie alle Codes ist es nicht phishing-resistent: Eine falsche Seite kann einen echten Code zeigen.
Die Wiederherstellung entscheidet
Ein Konto ist nur so sicher wie sein schwächster Weg zurück hinein. Passkeys mit einem Passwort-Reset allein per SMS sind so schwach wie SMS.
Welches Verfahren für welches Konto?
Wählen Sie danach, was ein Angreifer gewinnen würde.
Geld oder sensible Daten
Bieten Sie Passkeys an, planen Sie die Wiederherstellung mit mehr als einem Faktor und verlassen Sie sich nicht allein auf Codes.
Seltene Anmeldungen
Shop-Konten, Communitys, Veranstaltungsportale: Ein Magic Link oder Reverse OTP erspart Menschen das vergessene Passwort.
Der Kontakt zählt
Brauchen Sie auch eine verifizierte Nummer oder Adresse, meldet Reverse OTP an und verifiziert den Kontakt in einer Nachricht.
Magic Link oder Reverse OTP?
Zwei Wege zur Anmeldung ohne Passwort im Vergleich.
| Aspect | Magic Link | Mit Sendity |
|---|---|---|
| Nutzer wartet auf | Eine E-Mail | Nichts, er sendet |
| Gerätewechsel | Link öffnet sich in anderem Browser | Der ursprüngliche Tab meldet an |
| Spamordner | Kann den Link schlucken | Nichts zuzustellen |
| Phishing | Nicht resistent | Nicht resistent |
Kombinieren wirkt am besten.
Kein Verfahren muss allein stehen.
Passkeys als Upgrade
Bieten Sie Passkeys nach der ersten Anmeldung an, statt sie vorab zu verlangen.
Zwei Kanäle
E-Mail und Telefon als Alternativen, damit eine verschlossene Tür niemanden aussperrt.
Wiederherstellung mit Sorgfalt
Für wertvolle Konten braucht die Wiederherstellung einen zweiten Faktor oder eine menschliche Prüfung.
In wenigen Minuten auf Ihrer Seite.
Sendity läuft als kompaktes Widget auf Ihrer Seite. Wählen Sie den Weg, der zu Ihrer Website passt.
Anmelden ohne Passwort: häufige Fragen.
Ersetzen Passkeys bald alles andere?
Nicht so bald. Nicht jeder Besucher hat einen Passkey eingerichtet, und Konten brauchen weiter einen Weg zurück, wenn ein Gerät verloren geht.
Ist Reverse OTP ein zweiter Faktor?
Es belegt den Besitz einer Telefonnummer oder eines Postfachs. Als einziger Faktor passt es zu Konten mit wenig Risiko, als zweiter Faktor neben einem Passwort ergänzt es den Besitz.
Was ist mit Social Login?
Anmelden mit Google oder Apple geht schnell, bindet Ihre Nutzer aber an deren Konten. Unser Leitfaden zur Registrierung ohne Passwort vergleicht das im Detail.
Welches Verfahren hat die wenigsten Abbrüche?
Das, das für Ihre Zielgruppe die wenigsten Wechsel zwischen Apps und Geräten braucht. Testen Sie es mit echten Besuchern, statt nach Faustregeln zu gehen.
Weiterlesen.
Fachlich geprüft im von Christian Schätzlein.
Anmelden mit einer gesendeten Nachricht.
Probieren Sie die Live-Demo auf Ihrem Handy aus, in zehn Sekunden sind Sie durch.