Sollte man Login-Fehler genauer anzeigen?

[Samuel467]

Hey Leute,

ich bastle gerade an einer kleinen Webseite und habe eine Frage zu den Login-Meldungen. Ich habe gelesen, dass man beim Login nicht zu genau sagen soll, was schiefgelaufen ist, weil das Angreifern helfen könnte. Zum Beispiel statt 'Falsches Passwort' nur 'Login fehlgeschlagen'.

Aber ich habe auch gesehen, dass viele Seiten ziemlich genau angeben, ob der Benutzername oder das Passwort falsch ist.

Was denkt ihr, ist es wirklich riskant, zu viele Details zu zeigen? Oder ist das eher übertrieben? Bin da ein bisschen unsicher und würde gerne eure Meinungen hören.

Danke im Voraus!

Samuel

 

[Christian]

Hallo,

ich halte es tatsächlich so, dass bei einem Login keine genauen Infos rausgegeben werden. Das hat einerseits mit der Sicherheit als solches zu tun, aber auch mit Datenschutz und Diskretion.

Wenn ich einem Angreifer sage "das Passwort ist falsch", weiß er schonmal, dass der Benutzername/Mail richtig ist. Er muss also nur noch eine von zwei Komponenten erraten. Wenn er nicht mal weiß, ob der User, den er versucht einzuloggen, überhaupt existiert, beißt er sich vielleicht schon an nicht-existenten Benutzern die Zähne aus.

Zum Datenschutz/Diskretion: Viele Logins laufen heute ja via Mail oder Handynummer. Jemand unbefugtes soll ja keine Info dazu bekommen, wer mit welcher Mail-Adresse oder Handynummer registriert ist.

Ein einfacher Fehler wie "Login fehlgeschlagen" oder "Die Kombination aus Nutzername und Passwort ist nicht bekannt" reicht vollkommen aus. Gleiches gilt für Passwort vergessen-Funktionen: Du sagst dem Nutzer nicht, ob seine Anfrage erfolgreich war. Du sagst nur "Sofern die Mail-Adresse bei uns eingetragen ist, erhältst du in Kürze eine E-Mail von uns".

Hier gilt wirklich: Jede Info die du rausgibst ist eine Info zu viel.

Klar, der Nutzer der zig Mail Adressen hat und sich nicht mehr erinnert, mit welcher er bei dir registriert war, hat damit auch mehr Schwierigkeiten. Aber da muss man leider auch mal sagen "Sicherheit geht vor".

 

[daniel1013]

Login-Fehlermeldungen sind tatsächlich ein interessantes Thema. Der Grundgedanke hinter allgemeinen Meldungen wie "Login fehlgeschlagen" ist, die Anzahl der Informationen, die ein potenzieller Angreifer erhalten könnte, zu minimieren. Wenn du spezifizierst, dass der Benutzername falsch ist, könnten Angreifer leichter herausfinden, welche Benutzernamen gültig sind und sich dann auf das Erraten der Passwörter konzentrieren.

Auf der anderen Seite kann es aus Usability-Sicht frustrierend für Nutzer sein, nicht zu wissen, wo genau ihr Fehler liegt. Es ist ein Balanceakt zwischen Sicherheit und Benutzerfreundlichkeit.

In der Praxis habe ich es oft so umgesetzt, dass nur sehr allgemeine Fehlermeldungen angezeigt werden. Intern loggen wir aber detailliertere Informationen, um Fehlersuche und Support zu erleichtern. Eine andere Möglichkeit wäre, nach mehreren Fehlversuchen eine Captcha-Abfrage hinzuzufügen, um automatisierte Angriffe zu erschweren.

Letztendlich hängt es auch ein bisschen von der Art der Anwendung ab und wie sensibel die Daten sind, die du schützt. Bei einer kleinen Webseite könnte man eventuell etwas mehr auf Benutzerfreundlichkeit setzen, während bei sensibleren Anwendungen die Sicherheit im Vordergrund stehen sollte.

 

[Hayleigh01]

Zu viele Details bei Login-Fehlern zu zeigen, kann tatsächlich ein Sicherheitsrisiko sein. Wenn du z.B. konkret sagst, dass der Benutzername falsch ist, weiß ein Angreifer schon mal, dass das Passwort richtig war. Ein allgemeines "Login fehlgeschlagen" ist sicherer, auch wenn’s für die User manchmal nervig ist. Ist halt 'ne Abwägungssache zwischen Sicherheit und User Experience. Ich persönlich würde die sichere Variante wählen.

 

[Quassnoi]

Stell dir die Login-Seite wie eine Art Rätsel vor. Wenn du zu viele Hinweise gibst, wird es für jemanden, der es knacken möchte, einfacher. Wenn du aber gar keine Hinweise gibst, frustrierst du die legitimen Nutzer. Ein klassisches Beispiel ist das verräterische "Benutzername existiert nicht" vs. "Falsches Passwort". Letzteres verrät einem Angreifer, dass der Benutzername korrekt ist und er sich nur noch auf das Passwort konzentrieren muss.

Es gibt aber auch die Überlegung, dass eine präzisere Fehlermeldung die User Experience verbessert, weil der Nutzer schnell weiß, was er falsch gemacht hat. Manche argumentieren, dass der Komfort der Nutzer mehr Gewicht haben sollte, besonders bei weniger kritischen Anwendungen.

Vielleicht ist eine mögliche Lösung, zumindest beim ersten Login-Versuch spezifisch zu sein, um legitimen Nutzern zu helfen, und dann bei weiteren Versuchen weniger präzise zu werden, um nicht zu viele Informationen preiszugeben. Das könnte eine Balance zwischen Sicherheit und Benutzerfreundlichkeit darstellen.

Was mir einfällt: Man könnte auch über alternative Authentifizierungsmethoden nachdenken, die das Problem umgehen, wie z.B. Zwei-Faktor-Authentifizierung, wo ein zusätzliches Sicherheitsmerkmal ins Spiel kommt.

Letztlich ist es oft eine Risikoabwägung, die auch vom Kontext der Anwendung abhängt. Wenn es um hochsensible Daten geht, tendiert man vielleicht eher zur Vorsicht.