Ein sicherer Admin-Login besteht aus mehr als einem Passwortfeld

Die Anmeldung ist nur der Anfang

OWASP beschreibt Authentifizierung als Zusammenspiel mehrerer Maßnahmen. Dazu gehören sichere Transportwege, der Umgang mit Fehlversuchen, geeignete Passwortregeln und zusätzliche Faktoren, wo sie sinnvoll sind.

Nach einer erfolgreichen Anmeldung muss die Anwendung weiterhin wissen, welche Sitzung zu welchem berechtigten Nutzer gehört. Ein öffentlich erreichbarer Bearbeitungsendpunkt darf diese Prüfung nicht auslassen, nur weil das Formular selbst versteckt ist.

Mensch-Prüfung richtig einordnen

Eine Aufgabe gegen automatisierte Anfragen kann bestimmte Missbrauchsversuche erschweren. Sie beweist aber weder die Identität einer Person noch ihre Berechtigung, Inhalte zu ändern. Diese Aufgaben bleiben bei Anmeldung und Zugriffskontrolle.

Für ein kleines Redaktionsteam lässt sich das gut testen: Öffne eine Bearbeitungsadresse in einem privaten Browserfenster. Ohne Anmeldung dürfen keine internen Entwürfe, Kundendaten oder Bearbeitungsfunktionen verfügbar werden.

Ein sinnvoller Abnahmetest

• Anmeldung mit gültigen und ungültigen Daten prüfen.
• Wiederholte Fehlversuche begrenzen.
• Nach dem Abmelden geschützte Adressen erneut aufrufen.
• Schreibende Anfragen gegen fremde Sitzungen absichern.
• Änderungen an besonders sensiblen Einstellungen gesondert prüfen.

Diese Liste ist eine praktische Auswahl und kein vollständiges Sicherheitskonzept. Sie hilft aber, häufig übersehene Übergänge sichtbar zu machen. Gerade ein umfangreicher Admin sollte dieselbe Zugriffsprüfung für alle Module verwenden, statt pro Unterseite neue Ausnahmen einzuführen.