Warum „Magic Link“-E-Mails fehlschlagen: Probleme bei der Zustellbarkeit bei der passwortlosen Authentifizierung

Es ist leicht nachvollziehbar, warum Unternehmen die Anmeldung per „Magic Link“ anbieten. Passwörter werden vergessen, Anfragen zum Zurücksetzen nehmen Zeit in Anspruch, und beides ist für die Nutzer nicht gerade angenehm. 

Das Versenden eines Anmeldelinks per E-Mail scheint eine sinnvolle Lösung für dieses Problem zu sein.

Aber wie man so schön sagt: Der Teufel steckt im Detail. Die E-Mail selbst ist nun ein Teil des Anmeldevorgangs. Wenn sie nicht ankommt, kann der Nutzer die Anmeldung nicht abschließen, selbst wenn auf Ihrer Website alles zu funktionieren scheint.

Wenn Sie die Nutzer bitten, ihren Spam-Ordner zu überprüfen, ihre E-Mail-Spamfilter neu zu konfigurieren und es noch einmal zu versuchen, werden Sie wahrscheinlich viele potenzielle Kunden verlieren. Das ist für einen durchschnittlichen Nutzer zu kompliziert.

Die Behebung der Hauptprobleme bei der Lieferung scheint der beste Ansatz zu sein. Aber was läuft bei der Lieferung eigentlich schief? 

Im Folgenden gehen wir auf die Hauptgründe ein, warum E-Mails mit „Magic Links“ fehlschlagen, unterscheiden zwischen Problemen bei der E-Mail-Zustellung und Problemen mit den Links selbst und erklären, wie Sie die Chancen erhöhen können, dass diese E-Mails den Posteingang der Nutzer erreichen.

Was sind „Magic Link“-E-Mails und wie funktionieren sie?

„Magic Link“-E-Mail ist eine umgangssprachliche Bezeichnung für E-Mails, die an Nutzer gesendet werden, um ihnen einen passwortlosen Zugriff auf eine Website oder eine Ressource zu ermöglichen. Technischere Alternativen zu diesem Begriff sind beispielsweise „passwortloser Anmeldelink“ oder „E-Mail-Anmeldelink“.

Passwörter sind schwierig, vor allem, weil es Mühe kostet, sie sich zu merken. Deshalb setzen Unternehmen auf passwortlose Authentifizierungslösungen, darunter auch „Magic Links“. So funktioniert das Schritt für Schritt (vereinfachte Darstellung):

1. Auf der Anmeldeseite geben Sie Ihre E-Mail-Adresse ein.
2. Der Dienst erstellt einen temporären Login und sendet Ihnen per E-Mail einen Link (E-Mail mit dem „Magic Link“ zum Einloggen), der diesen enthält.
3. Sie klicken auf den Link, und das System führt eine kurze Überprüfung auf berechtigten Zugriff durch.
4. Wenn die Überprüfung erfolgreich ist, sind Sie angemeldet.

Ein solcher Link läuft in der Regel nach einer bestimmten, begrenzten Zeit (meistens nach wenigen Minuten) ab und ist nur für eine einmalige Nutzung gültig.

In dieser Abbildung sehen Sie den gesamten Ablauf:

Das Schlüsselwort in dieser ganzen Geschichte lautet „passwortlos“, aber das bedeutet nicht, dass es nichts mehr zu schützen gibt. Jemand, der Zugriff auf Ihren Posteingang erhält, könnte auch die dort gesendeten Anmeldelinks nutzen. Genau hier kommt die Zwei-Faktor-Authentifizierung einen großen Unterschied machen und nicht nur Ihr Konto retten, sondern auch Ihre passwortlose Anmeldung schützen kann.

Für das Unternehmen, das diese E-Mails versendet, ist eine zuverlässige Zustellung ebenso wichtig. Wenn die Nachricht den Nutzer nie erreicht, bricht der Anmeldevorgang ab, bevor dieser auf den Dienst zugreifen kann. 

Warum E-Mails mit „Magic Link“ nicht im Posteingang ankommen

Wenn man seiner App die Abwicklung des Benutzerauthentifizierungsprozesses anvertraut, ist man schnell geneigt anzunehmen, dass alles reibungslos ablaufen wird. Schließlich handelt es sich um einen rein technischen Vorgang, bei dem menschliche Fehler ausgeschlossen sind. Es gibt jedoch mehrere Stellen, an denen etwas schiefgehen kann.

Beginnen wir mit dem empfangenden Server und seinen routinemäßigen technischen Überprüfungen, die darüber entscheiden, ob Ihrer E-Mail vertraut werden kann.

Probleme bei der Konfiguration von SPF, DKIM und DMARC

Ein bekannter Absendername ist keine Garantie dafür, dass Ihre E-Mail vom Verifizierungssystem der Empfängerserver positiv aufgenommen wird. Jeder kann einen Namen kopieren. Empfängerserver benötigen mehr als nur einen Namen – sie benötigen etwas, das sie tatsächlich überprüfen können.

Hier kommen SPF, DKIM und DMARC ins Spiel:

• SPF identifiziert autorisierte Absenderserver.
• DKIM fügt eine digitale Signatur hinzu, die bei der Überprüfung der Nachricht hilft.
• DMARC prüft, ob ein positives SPF- oder DKIM-Ergebnis mit Ihrer sichtbaren Absenderdomain übereinstimmt.

Drei technische Prüfungen, eine Entscheidung, ob Ihre E-Mail angenommen oder abgelehnt wird (oder in den Spam-Ordner verschoben wird).

Selbst wenn Ihre normalen geschäftlichen E-Mails einwandfrei funktionieren, kann es zudem vorkommen, dass Ihre Anmelde-E-Mails die abschließende DMARC-Prüfung nicht bestehen.

Um herauszufinden, wo das Problem liegt, können Sie einfach Tools zur Überprüfung der E-Mail-Zustellbarkeit nutzen und regelmäßige Überprüfungen durchführen. Überprüfen Sie die SPF-, DKIM- und DMARC-Einstellungen und testen Sie, ob Ihre E-Mails den Posteingang erreichen. Achten Sie außerdem darauf, eine tatsächliche Anmelde-E-Mail zu testen, da diese möglicherweise andere Absendereinstellungen verwendet als Ihre regulären E-Mails.

Schlechte IP- und Absender-Domain-Reputation

Bevor wir uns überhaupt mit dem Inhalt von E-Mails als potenziellem Faktor für Probleme bei der Zustellbarkeit befassen, gibt es etwas weitaus Offensichtlicheres zu berücksichtigen: die Reputation der Domain und der IP-Adresse eines Absenders. In gewisser Weise ist dies sogar noch wichtiger (zumindest hat es Vorrang) als die technischen Überprüfungen, die wir im vorigen Kapitel besprochen haben.

Um die Reputation zu bewerten, prüfen E-Mail-Anbieter, welche E-Mails von Ihrer Domain und Ihrer Absender-IP gesendet wurden:

• Haben die Empfänger diese E-Mails als Spam markiert? 
• Wurde die IP-Adresse zum Versenden unerwünschter Nachrichten genutzt? 

Diese Faktoren beeinflussen, wie zukünftige E-Mails behandelt werden, einschließlich E-Mails, die Ihre „magischen“ URLs enthalten.

Außerdem sind Sie möglicherweise nicht das einzige Unternehmen, das diese IP-Adresse nutzt. Viele E-Mail-Versanddienste lassen mehrere Kunden eine gemeinsame Infrastruktur nutzen. Sie können sich glücklich schätzen, wenn die anderen Nutzer dieser IP-Adresse eine bessere Reputation haben als Sie, aber das ist nicht immer der Fall. Ihre angeschlagene Reputation wird unweigerlich die Reputation Ihrer gemeinsam genutzten IP-Adresse beeinträchtigen, 

Das Ergebnis? Auch Ihre E-Mails mit Anmeldedaten können von den Filtern abgefangen werden.

Spamfilter und verdächtige E-Mail-Inhalte

Spamfilter funktionieren nicht immer wie vorgesehen. Ihre Algorithmen werden bei jedem größeren Betriebssystem- oder Sicherheitspatch-Update überprüft. Wenn Sie also monatelang E-Mails mit „magischen Links“ erhalten, bedeutet das nicht, dass diese im nächsten Monat nicht doch in Ihrem Spam-Ordner landen werden.

Im Wesentlichen suchen E-Mail-Spamfilter nach verdächtigen E-Mail-Inhalten:

• Irreführende Betreffzeilen, die die Nutzer dazu drängen, sofort zu handeln.
• Verlinkte Domains, die mit Spam oder Phishing in Verbindung stehen.
• Unerwartete Anhänge, die in einer Anmelde-E-Mail keinen Sinn ergeben.
• Werbeangebote, die in eine Nachricht mit einem magischen Link eingebettet sind.

Manche Spamfilter reagieren sehr empfindlich auf Links, deren Zieladresse hinter URL-Kürzern oder mehreren Weiterleitungen verborgen ist. Diese Liste ist nicht vollständig, da es noch weitere Gründe geben kann, warum Spamfilter eine E-Mail blockieren.

Natürlich macht ein Link oder ein dringlicher Ausdruck eine E-Mail noch nicht automatisch zu Spam. E-Mail-Spamfilter berücksichtigen mehrere Signale gleichzeitig, darunter auch die Reputation des Absenders. Aber unnötige Zusätze können dazu führen, dass eine legitime Anmeldemeldung weniger vertrauenswürdig wirkt.

Falls Ihre Anmelde-E-Mails eine automatisch hinzugefügte Signatur enthalten, überprüfen Sie auch diesen Teil der Nachricht. Eine nach der DKIM-Signierung hinzugefügte Signatur fügt nicht nur zusätzliche Links und Bilder ein, sondern kann auch Probleme bei der E-Mail-Authentifizierung verursachen, da sie bereits signierte Inhalte verändert. 

Warum magische Links in E-Mails auch nach dem Versand fehlschlagen können

Eine zugestellte E-Mail wird im Dashboard als Erfolg angezeigt. Für den Kunden bedeutet Erfolg, dass er sich in sein Konto einloggen kann. Zwischen diesen beiden Ereignissen liegt jedoch noch ein Schritt, der nicht immer reibungslos verläuft.

Abgelaufene Links und wiederholte Anmeldeaufforderungen

Kunden richten ihren Tagesablauf nicht danach aus, wann sie die E-Mail mit dem Link für den Zugriff auf ihr Konto erhalten. Wenn eine Zugriffsanfrage gesendet wird, erhält der Kunde möglicherweise einen Anruf und wird für eine Weile abgelenkt. Wenn der Kunde sich dann wieder in sein Konto einloggen möchte, ist die E-Mail zwar bereits zugestellt worden, aber der spezielle Link ist bereits abgelaufen.

Das ist das erwartete Verhalten bei einem temporären Link. Dennoch ist die Situation frustrierend, wenn der Kunde aufgrund der langen Wartezeit während der Lieferung kaum Gelegenheit hat, diesen zu nutzen.

Zudem kann das Versenden wiederholter Anfragen zu einer weiteren Form von Unklarheit führen. Je nachdem, wie das versendende System funktioniert, wird jedes Mal, wenn Sie auf die Schaltfläche „Erneut senden“ klicken, der vorherige Link ungültig gemacht, sodass Sie mehrere nahezu identische E-Mails erhalten und sich fragen müssen, welche davon gültig ist … und welche nicht.

Wenn du versuchst, eine alte Nachricht zu öffnen, kann es passieren, dass du einen ungültigen Link anklickst; und wenn du dann noch eine weitere Anfrage sendest, fügst du all den anderen verwirrenden Links noch einen weiteren hinzu. Ein bekanntes Problem, nicht wahr?

Sicherheitsscanner, die Einmal-Links verwenden

Manche Sicherheitsscanner arbeiten gründlicher als andere. Das ist ein klassischer Fall, in dem das Bessere der Feind des Guten ist, d. h., wenn ein Sicherheitssystem nicht nur den Inhalt der E-Mail scannt und die Domain des Absenders überprüft, sondern tatsächlich alle Links öffnet, die diese E-Mail enthält.

Man muss kein Genie sein, um zu verstehen, was in diesem Fall mit einer E-Mail mit einem „Magic Link“ passiert. Der darin enthaltene Link ist nur für eine einmalige Nutzung gültig. Das Sicherheitssystem entzieht Ihnen somit praktisch das Recht, diesen Link zu nutzen, und der Link läuft ab, noch bevor Sie ihn überhaupt öffnen.

Wenn das passiert, hilft es möglicherweise nicht, eine weitere E-Mail zu senden. Die Ersatz-E-Mail durchläuft dieselben Sicherheitsprüfungen und kann aus genau demselben Grund unbrauchbar werden.

Zu den weiteren häufigen Problemen mit Magic Links nach der Zustellung in den Posteingang des Nutzers zählen der Kontextwechsel (ein Nutzer muss zwischen verschiedenen Anwendungen wechseln, was insbesondere auf Mobilgeräten sehr mühsam ist) sowie Probleme beim Wechsel zwischen verschiedenen Geräten:

So verbessern Sie die Zustellbarkeit von E-Mails mit „Magic Link“

Wissen ist Macht. Wir haben bewusst viel Zeit und Platz darauf verwendet, alle möglichen Ursachen zu erläutern, die zu Fehlern bei der Anmeldung über den „Magic Link“ führen können. Schauen wir uns nun an, wie sich Probleme bei der E-Mail-Zustellung beheben lassen, die Nutzer daran hindern, auf ihre Konten zuzugreifen.

Eines muss gleich zu Beginn klargestellt werden: Es gibt keine einzige Einstellung, mit der sich jedes Zustellungsproblem beheben lässt. Aber Sie können die Zuverlässigkeit Ihrer Anmelde-E-Mails durchaus verbessern, indem Sie diese vier Punkte beachten:

1. Überprüfen Sie Ihre Authentifizierungseinstellungen. Konfigurieren Sie SPF und DKIM und stellen Sie anschließend sicher, dass mindestens eine der beiden Prüfungen mit der für DMARC erforderlichen Domain-Übereinstimmung bestanden wird. Wenn Ihre geschäftliche E-Mail-Adresse und Ihre Anmelde-E-Mails dieselbe Domain nutzen, testen Sie jede Sendekonfiguration separat.
2. Trennen Sie E-Mails zur Anmeldung von Marketing-E-Mails. Gestalten Sie Ihre Anmelde-E-Mails so übersichtlich wie möglich. Vermeiden Sie es, sie mit Werbeinhalten zu vermischen, und fügen Sie vor allem keine zusätzlichen Links ein. 
3. Halten Sie die E-Mail auf den Punkt. Schreiben Sie keine langen Texte in E-Mails mit Magic-Links. Je länger der Text ist, desto höher ist die Wahrscheinlichkeit, dass ein Spamfilter oder eine Sicherheits-App darin etwas Verdächtiges entdeckt. 
4. Schauen Sie über die Zustellraten hinaus. Verfolgen Sie die Zustellbarkeit Ihrer E-Mails mit dem „Magic Link“ und nutzen Sie Ihre Erkenntnisse, um die Leistung zu verbessern. Worauf Sie achten sollten: wie schnell die Nachrichten ankommen, Bounces und Platzierung im Posteingang bei den E-Mail-Anbietern, die Ihre Kunden tatsächlich nutzen.

Profi-Tipp: Prüfen Sie, ob Ihr E-Mail-Dienstanbieter Klick-Tracking zu Anmeldelinks hinzufügt, und bitten Sie ihn gegebenenfalls, dies zu entfernen. Durch Klick-Tracking kann die ursprüngliche URL durch eine Tracking-Weiterleitung ersetzt werden, was eine weitere Stelle schafft, an der etwas schiefgehen kann. Für Anmelde-E-Mails ist Klick-Tracking ohnehin nicht erforderlich.

Fazit: Machen Sie eine zuverlässige Übermittlung zu einem festen Bestandteil der passwortlosen Authentifizierung

Magische Links in E-Mails zur passwortlosen Authentifizierung können aus verschiedenen Gründen fehlschlagen. Manche Gründe sind technischer Natur, andere liegen am Menschen.

Als Absender sollten Sie nicht aufhören, den Verlauf zu überprüfen, auch wenn im Dashboard Ihres E-Mail-Clients „zugestellt“ angezeigt wird. Nehmen Sie sich die Zeit und durchlaufen Sie den Anmeldeprozess selbst, um zu prüfen, an welchen Stellen Ihre Kunden Probleme haben. Sie werden überrascht sein, wie viele Erkenntnisse Sie dabei gewinnen und wie viele Maßnahmen Sie ergreifen können, um Ihren E-Mail-Zustellungsprozess zu verbessern.

Ihre Kunden sollten davon nichts mitbekommen müssen. Sie haben um Zugriff auf ihr Konto gebeten, und der Anmeldevorgang sollte dies zu einer unkomplizierten Angelegenheit machen.

Häufig gestellte Fragen

Sind „Magic Links“ sicherer als Passwörter?

„Magic Links“ sind in einer Hinsicht sicherer als Passwörter: Sie beseitigen die bekannte Sicherheitslücke, die entsteht, wenn Nutzer schwache Passwörter wählen oder dasselbe Passwort für mehrere Konten verwenden. Allerdings bringen sie eine andere Sicherheitslücke mit sich: dass jemand Zugriff auf das E-Mail-Konto des Empfängers erlangt und dessen Zugriffsrechte missbraucht.

Wie lange sollte ein Magic Link gültig bleiben?

Es gibt kein universelles, für alle Fälle geeignetes Zeitfenster. Ein „Magic Link“ sollte dem Nutzer genügend Zeit geben, seinen E-Mail-Client zu öffnen, den Text der E-Mail zu lesen, den Link zu finden und darauf zu klicken. Bei der Festlegung dieses Zeitlimits sollten Sie die Zustellverzögerungen und die Sensibilität des Kontos berücksichtigen.

Garantiert das Bestehen des DMARC-Tests die Zustellung in den Posteingang?

Nein, das tut es nicht. Das Bestehen des DMARC-Tests dient lediglich dazu, zu bestätigen, dass die sichtbare Absenderdomain mit einer Domain übereinstimmt, die über SPF oder DKIM authentifiziert wurde. Neben der DMARC-Richtlinie kann es noch andere Gründe geben, warum die Zustellung fehlschlägt, z. B. eine angeschlagene Absenderreputation, spammiger Nachrichteninhalt, versteckte Links oder einfach zu viele Links in einer einzigen E-Mail.

Was sollen Nutzer tun, wenn eine E-Mail mit dem „Magic Link“ nicht eintrifft?

Als Erstes sollten Sie den Spam-Ordner überprüfen, da die meisten nicht zugestellten E-Mails dort landen. Ein weiteres häufiges Problem ist ein Fehler in der E-Mail-Adresse, wenn diese manuell eingegeben wird. Wenn diese beiden Schritte nicht helfen, fordern Sie einen neuen Link an, aber klicken Sie nicht wiederholt auf „Senden“. Falls Sie immer noch keine E-Mail erhalten, wenden Sie sich an den Kundendienst des Anbieters oder nutzen Sie eine andere Anmeldemöglichkeit, falls verfügbar.