Worum es geht: Anmeldung ist der Bereich, in dem Fehler am teuersten sind – und in dem Eigenbau am wenigsten lohnt. Diese Lektion erklärt die Begriffe und die Entscheidungen, die Sie treffen müssen, auch wenn Sie eine fertige Lösung einsetzen.
1. Vier Fragen
Authentifizierung
Die Prüfung der Identität: Passwort, Einmalcode, Anmeldung über einen anderen Dienst. Das Ergebnis ist ein Nachweis, den der Aufrufer bei jeder weiteren Anfrage mitschickt.
Häufiger Fehler: Passwörter im Klartext speichern. Sie gehören ausschließlich als Hash mit einem modernen Verfahren wie Argon2 oder bcrypt in die Datenbank.
Die zweite Stufe ist die am häufigsten übersehene. Eine Anwendung, die nur prüft, ob jemand angemeldet ist, aber nicht, ob er diesen Datensatz sehen darf, hat eine schwere Sicherheitslücke – und sie fällt im Betrieb nicht auf, weil sie nur auffällt, wenn jemand sie sucht.
2. Warum kein Eigenbau
Anmeldung selbst zu bauen bedeutet, Passwort-Hashing, Zurücksetzen per E-Mail, Sitzungsverwaltung, Schutz gegen automatisiertes Durchprobieren und Zwei-Faktor-Anmeldung selbst richtig zu machen. Jede dieser Stellen hat Fallstricke, die außerhalb des eigenen Fachgebiets liegen. Fertige Lösungen sind hier fast immer die bessere Wahl.
| Lösung | Wann |
|---|---|
| Bibliothek im eigenen Projekt | Volle Kontrolle, Daten bleiben bei Ihnen – etwas mehr Arbeit bei Betrieb und Pflege |
| Anbieter mit fertigem Dienst | Schnell startklar, viele Anmeldewege eingebaut – Abhängigkeit und laufende Kosten |
| Anmeldung über bestehende Konten | Bequem für Nutzer, weniger Passwörter für Sie – Abhängigkeit vom Anbieter |
| Eigenbau | Praktisch nie zu empfehlen |
3. Rollen und Rechte
Für die meisten Anwendungen genügen zwei bis drei Rollen, etwa Betrachter, Bearbeiter und Verwalter. Wichtig ist, dass die Prüfung an einer Stelle passiert und nicht in jeder Route neu geschrieben wird – sonst wird sie irgendwo vergessen. Bewährt hat sich eine zentrale Funktion, die bei jeder Anfrage fragt: Darf dieser Nutzer diese Handlung an diesem Objekt ausführen?
Bei feineren Anforderungen – etwa: ein Nutzer sieht nur die Anfragen seines eigenen Standorts – gehört die Regel in dieselbe zentrale Funktion, nicht in eine zusätzliche Bedingung in der Abfrage.
4. Was rechtlich dazugehört
Ein Anmeldebereich verarbeitet personenbezogene Daten. Damit gelten die üblichen Pflichten: Eintrag im Verzeichnis der Verarbeitungstätigkeiten, Angaben in der Datenschutzerklärung, Löschkonzept und angemessene technische Maßnahmen. Zwei Punkte werden regelmäßig übersehen: Nutzer müssen ihr Konto löschen können, und bei einer Datenpanne gilt eine Meldefrist von 72 Stunden.
Für Passwörter empfiehlt das Bundesamt für Sicherheit in der Informationstechnik keine erzwungenen regelmäßigen Wechsel mehr, sondern lange Passwörter und einen Abgleich gegen bekannte geleakte Listen. Das ist zugleich nutzerfreundlicher.
5. Häufige Fragen
Was ist der Unterschied zwischen Sitzung und Token? Bei einer Sitzung hält der Server die Daten und der Browser nur eine Kennung; beim Token stehen die Daten signiert im Token selbst. Tokens skalieren besser, lassen sich aber schwerer vorzeitig zurückziehen.
Brauchen wir Zwei-Faktor-Anmeldung? Für alles mit Verwalterrechten oder sensiblen Daten: ja. Für einen einfachen Kundenbereich ist sie optional – anbieten sollte man sie trotzdem.
Wie testet man Rechte? Mit zwei Testkonten. Melden Sie sich als Nutzer A an und rufen Sie gezielt einen Datensatz von Nutzer B ab. Kommt er zurück, haben Sie die Lücke aus Abschnitt 1 gefunden – dieser Test dauert zwei Minuten und wird fast nie gemacht.
Stand: September 2026. Die Übungen laufen vollständig in Ihrem Browser – es wird nichts gespeichert oder übertragen.