Ist dieser Anmeldelink sicher? So prüfst du einen Magic Link

Du gibst deine E-Mail-Adresse ein, und die Website sagt: „Schau in dein Postfach.“ Kurz darauf kommt eine E-Mail mit einem Button: Anmelden, Bei Slack anmelden oder Anmeldung bestätigen. Dieser Button ist ein Magic Link. Ein Klick, und du bist drin.

Kurz gesagt: Klick nur auf einen Anmeldelink, den du gerade selbst angefordert hast. Prüf vor dem Klick, ob er wirklich die Website öffnet, bei der du dich anmelden willst. Passt eins von beidem nicht, klick nicht. Ruf die Website selbst auf und fordere einen neuen Link an.

Was ist ein Magic Link?

Ein Magic Link ist ein Anmeldelink mit einem geheimen Einmalschlüssel darin. Die E-Mail landet nur in deinem Postfach. Öffnest du den Link, beweist du damit, dass das Postfach dir gehört. So ersetzt der Link das Passwort.

• Meist gilt er nur einmal.
• Er verfällt schnell, oft schon nach 10 bis 30 Minuten.
• Bei vielen Websites ist jeder angemeldet, der ihn öffnet. Leite ihn deshalb nie weiter, und schick auch keinen Screenshot davon.

Jede Website nennt sie anders: Magic Link, Anmeldelink, Login-Link, „Einmal-Link“ oder „Bist du das?“-E-Mail. Gemeint ist immer dasselbe.

Warum man auf gefälschte Links hereinfällt

Mit solchen E-Mails rechnest du, also klickst du schnell. Eine Fälschung sieht genauso aus. Ihr Button öffnet aber einen Nachbau der echten Website. Dort sollst du dein Passwort, einen Code oder deine Kartendaten eingeben. Alles, was du eintippst, landet bei den Betrügern. Genau das ist Phishing.

Ist dieser Link sicher? So prüfst du ihn in fünf Schritten

1. Hast du ihn gerade selbst angefordert? Wolltest du dich eben nicht anmelden, klick nicht. Dann hat jemand anderes deine E-Mail-Adresse eingegeben, aus Versehen oder mit Absicht. Ohne den Link kommt er nicht in dein Konto. Ignorier die E-Mail einfach.
2. Achte auf die Absenderadresse, nicht auf den Namen. Im Namen kann alles Mögliche stehen. Entscheidend ist, was in der Adresse hinter dem @ steht.
3. Sieh nach, wohin der Button führt, ohne zu klicken. In den meisten Mail-Apps hältst du dazu den Zeiger kurz auf den Button. Dann erscheint die Adresse. In Gmail im Browser siehst du sie unten in der Ecke des Fensters. Oder klick bei gedrückter ctrl-Taste auf den Button, wähle Link kopieren und füge den Link in eine Notiz ein.
4. Lies den Namen der Website richtig. Such hinter https:// den ersten einzelnen Schrägstrich. Was direkt davor steht, ist die Website. Lies diesen Teil von rechts nach links. Beispiele findest du weiter unten.
5. Nach dem Klick: erst schauen, dann tippen. Ein echter Magic Link meldet dich an. Will die Seite stattdessen dein Passwort oder deine Kartendaten, schließ sie.

Echt oder gefälscht? So liest du einen Link

Entscheidend sind die letzten zwei Teile des Namens vor dem ersten einzelnen Schrägstrich. Bei Adressen wie bank.co.uk sind es die letzten drei.

Angenommen, du hast bei Notion einen Anmeldelink angefordert:

• https://www.notion.so/loginwithemail?token=… öffnet notion.so. Das ist Notion.
• https://notion.so.sign-in.example/verify öffnet sign-in.example. „notion.so“ ist nur der Anfang des Namens.
• https://notion-so.com/login öffnet notion-so.com. Sieht ähnlich aus, ist aber ein anderer Name.
• https://example.com/r?u=notion.so öffnet example.com. Notion steht erst nach dem Schrägstrich.

Einen Haken gibt es aber: Manche echten E-Mails leiten ihre Links erst über einen E-Mail-Dienstleister. Dann sieht die Adresse fremd aus, obwohl die E-Mail echt ist. Ansehen kannst du einem solchen Link das nicht. Im Zweifel rufst du die Website selbst auf und forderst einen neuen Link an.

Auf einen Phishing-Link geklickt: Was tun?

• Du hast nichts eingegeben: Schließ die Seite. Allein das Öffnen richtet selten Schaden an.
• Du hast ein Passwort eingegeben: Ändere es sofort auf der echten Website und überall, wo du es sonst noch nutzt. Schalte die Zwei-Faktor-Authentifizierung ein.
• Du hast einen Code oder Kartendaten eingegeben: Wende dich an den Dienst oder deine Bank. Prüf dein Konto auf fremde Geräte oder Zahlungen.

So hilft CodeCatch am Mac

Ich habe CodeCatch für Bestätigungscodes gebaut. Mit Anmeldelinks hast du aber dasselbe Hin und Her. CodeCatch liest deine E-Mails aus Apple Mail, Gmail und anderen Postfächern und zeigt jeden neuen Anmeldelink direkt neben deinen Codes. So siehst du, welche Website er öffnet, bevor du dich entscheidest.

• Es öffnet nie von selbst einen Link. Du klickst auf Open Link oder Copy Link.
• Es zeigt dir, welche Website der Link öffnet. Den Namen liest es dabei so, wie oben beschrieben.
• Passt diese Website nicht zur Absenderadresse, warnt es dich, wie im Bild oben.
• Es nimmt nur den Anmelde-Button, keine Links zum Abbestellen oder zur Hilfe. Und nur sichere https-Links.
• Links zum Zurücksetzen des Passworts prüft es genauso.

Die Warnung ist ein Hinweis, keine Garantie. Sie vergleicht den Link mit der Absenderadresse, und die lässt sich fälschen. Am wichtigsten bleibt Schritt 1: Klick nur auf Links, die du selbst angefordert hast.

Häufige Fragen