Anmeldung und Sitzungen

Der Normalweg ist passwortlos: Sie geben eine E-Mail-Adresse an und bekommen einen einmaligen Link. In der Cloud ist das der einzige Weg; die Enterprise-Installation kennt zusätzlich ein Passwort.

Magic-Link — Cloud und Enterprise

Eigenschaft	Wert
Gültigkeit	15 Minuten
Verwendbarkeit	genau einmal — das Einlösen ist eine einzige, atomare Datenbankoperation
Speicherung	nur der SHA-256-Hash des Tokens, nie das Token selbst
Drossel	5 offene Anfragen je E-Mail-Adresse und Stunde
Sitzung	Cookie, 30 Tage gleitend — jede Benutzung verlängert

Zwei Eigenheiten, die regelmäßig Fragen auslösen

Der Link führt auf eine Bestätigungsseite, nicht direkt ins Konto. Link-Scanner in Mailsystemen rufen jeden Link einer eingehenden Nachricht auf und hätten das Einmal-Token verbraucht, bevor der Empfänger es überhaupt sieht.

Die Anmeldung verrät nie, ob eine Adresse ein Konto hat. Anmelden und Registrieren sind derselbe Ablauf, und eine gedrosselte Anfrage sieht für den Aufrufer aus wie eine erfolgreiche. Nutzer und persönlicher Mandant entstehen erst beim Einlösen des Links.

Passwort — nur in der Enterprise-Installation

In der Cloud hat kein Konto ein Passwort; das Anmeldeformular bietet dort auch keines an. In einer Installation im eigenen Haus ist das Passwort der Hauptweg, weil eine frische Installation ohne Mailrelais sonst unerreichbar wäre.

Eigenschaft	Wert
Verfahren	PBKDF2-HMAC-SHA256, 210 000 Iterationen, 16-Byte-Salt, 32-Byte-Ausgabe
Mindestlänge	12 Zeichen — nur Länge, keine Zusammensetzungsregeln (nach NIST SP 800-63B)
Sperre	nach 10 aufeinanderfolgenden Fehlversuchen für 15 Minuten

Ein Administrator kann ein Passwort auf der Kommandozeile setzen und dabei einen Wechsel beim nächsten Anmelden erzwingen. Siehe Verwaltung auf der Kommandozeile.

Was bei Rechteentzug passiert

Die Mitgliedschaft wird bei jeder Anfrage frisch gelesen — ein entzogenes Recht wirkt sofort, auch wenn die 30-Tage-Sitzung noch gültig ist. Siehe Mitglieder und Rollen.