Ist ein Magic-Link sicherer als ein Passwort?

Ja — weil er kein wiederverwendbares Geheimnis ist. Ein Magic-Link ist einmalig gültig und läuft nach kurzer Zeit ab. Passwörter werden dagegen oft wiederverwendet, in Passwort-Managern unsicher gespeichert oder bei Datenlecks gestohlen.

Was passiert, wenn jemand Zugriff auf mein E-Mail-Konto hat?

Dann kann er sich einloggen — das ist das gleiche Risiko wie bei einer Passwort-Zurücksetzung per E-Mail. Deshalb sollte das E-Mail-Konto selbst durch 2FA geschützt sein.

Magic-Link statt Passwort — warum Passwordless die Zukunft ist | mekyn

Definition

Ein Magic-Link ist ein kryptografisch signierter, zeitlich begrenzter Login-URL, der per E-Mail an den Nutzer gesendet wird. Statt ein Passwort einzugeben, gibt der Nutzer nur seine E-Mail-Adresse ein, klickt auf den Link in der erhaltenen E-Mail und ist eingeloggt. Der Link ist nach einmaliger Verwendung oder nach Ablauf der Frist (typisch 15 Minuten) ungültig.

Was ist ein Magic-Link?

Ein Magic-Link ist ein zeitlich begrenzter, kryptografisch signierter URL, der per E-Mail an den Nutzer gesendet wird. Ein Klick darauf bestätigt die Identität — kein Passwort nötig.

Warum Passwörter das falsche Modell sind

Passwörter haben drei fundamentale Probleme, die sich durch kein Design-Pattern lösen lassen:

Sie werden wiederverwendet. 65 % der Nutzer verwenden dasselbe Passwort für mehrere Dienste (Verizon DBIR 2025). Ein Leak bei Dienst A kompromitiert Dienst B — ohne dass Dienst B etwas falsch gemacht hat.

Sie werden schlecht gewählt. „Password123”, „Qwerty2026”, der Name des Haustiers — die Top 100 der meistgenutzten Passwörter decken 20 % aller Accounts ab. Passwort-Regeln („mindestens 12 Zeichen, ein Großbuchstabe, eine Zahl, ein Sonderzeichen”) nerven Nutzer und führen zu Post-its am Monitor.

Sie erfordern Zurücksetz-Flows. 30–50 % aller Support-Tickets bei SaaS-Produkten sind Passwort-Zurücksetzungen. Jeder Zurücksetz-Flow ist eine Angriffsfläche (E-Mail-Spoofing, SIM-Swapping).

Wie funktioniert ein Magic-Link technisch?

Der Flow ist simpel, aber kryptografisch sauber:

User gibt E-Mail ein: Kein Passwort, nur die E-Mail-Adresse.
Server generiert Token: Ein kryptografisch sicheres Zufallstoken (256 Bit) wird mit der User-ID verknüpft und in der Datenbank gespeichert — mit einem Ablaufzeitstempel (15 Minuten).
E-Mail wird gesendet: Der Link enthält das Token als URL-Parameter: https://app.example.com/auth/magic-link?token=abc123...
User klickt: Der Server validiert das Token: existiert es? Ist es abgelaufen? Wurde es schon verwendet? Wenn ja: Login erfolgreich, Token wird gelöscht.
Session wird erstellt: Wie bei einem normalen Login wird eine Session-Cookie gesetzt.

Das Token ist einmalig und kurzlebig. Selbst wenn es abgefangen wird, ist es nach 15 Minuten wertlos.

Auf einen Blick

Vorteile von Magic-Links gegenüber Passwörtern

Kein Merken nötig: Nutzer müssen sich kein Passwort merken. E-Mail rein, Link klicken, fertig.
Kein Zurücksetz-Flow: Der Magic-Link ist der Zurücksetz-Flow — kein separates „Passwort vergessen”-Feature nötig.
Phishing-resistenter: Ein abgefangener Magic-Link ist nach 15 Minuten wertlos. Ein abgefangenes Passwort ist es unbegrenzt.
Weniger Support-Kosten: Keine Passwort-Zurücksetzungen = 30–50 % weniger Support-Tickets.
Bessere Conversion: Das Signup-Formular hat nur ein Feld (E-Mail) statt drei (E-Mail, Passwort, Passwort bestätigen). Weniger Reibung = mehr Signups.
DSGVO-freundlicher: Kein Passwort-Speicher = kein Hash-Leak-Risiko = weniger Datenschutz-Risiko.

Wann sind Magic-Links nicht geeignet?

Magic-Links sind nicht die Lösung für jeden Anwendungsfall:

Hohe Security-Anforderungen: Für Banking, Gesundheitsdaten oder Admin-Zugänge sollte Magic-Link + 2FA (z. B. TOTP) kombiniert werden. Der Magic-Link allein ist nur so sicher wie das E-Mail-Konto.

E-Mail-Zugang eingeschränkt: In Unternehmensnetzwerken mit strengen Firewall-Regeln können externe E-Mails verzögert oder blockiert werden. Dann ist ein Passwort-Flow die zuverlässigere Option.

Offline-Nutzung: Magic-Links erfordern eine aktive E-Mail-Verbindung. Für Apps, die offline funktionieren müssen, ist ein lokaler Authentifizierungs-Mechanismus nötig.

Was ist mit 2FA?

Magic-Links ersetzen keine Zwei-Faktor-Authentifizierung — sie ersetzen Passwörter. Für erhöhte Security können Sie Magic-Link + 2FA kombinieren: Der erste Login erfolgt via Magic-Link, und für sensible Aktionen (Zahlungseinstellungen, API-Key-Generierung) wird ein zweiter Faktor (TOTP, Security Key) verlangt.

Weiterführend auf mekyn.com

→ Zur Pillar-Page: Security → Verwandt: Payment-Provider Vergleich