Hallo,

Warum wird das so gemacht? Weil dann das Passwort nicht im Klartext verschickt wird bzw. wenn sie angekommen ist in einer Mail steht oder weil man mit der Mail nur 24 Stunden etwas anfangen kann?

Es ist eine wichtiges Sicherheitsfeature, dass Webanwendungen niemals Passwörter im Klartext abspeichern. Passwörter werde oftmalsn wiederverwendet und können weitere private Informationen enthalten. Wenn die Datenbank kompromittiert wird, sollten die Passwörter nicht im Klartext lesbar sein.

Passwörter sollten mit einem Hash-Algorithmus, ergänzt durch einen zufälligen Salt, behandelt werden, bevor sie in der Datenbank gespeichert werden. Es ist dann praktisch unmöglich, das verwendete Passwort aus diesem Hash/Salt zurückzurechnen. Bei jeder Anmeldung wird das übermittelte Passwort erneut durch die Hashfunktion geschickt und das Ergebnis wird verglichen.

Aus dem Grund können Dienste wie eBay einem gar nicht vergessene Passwörter zuschicken. Sie haben nur einen Hashwert gespeichert, nicht das ursprüngliche Passwort. Sie können nur einen Passwort-zurücksetzen-Link verschicken. Dann kann der User ein neues Passwort angeben und es wird ein neuer Hash/Salt in der Datenbank gespeichert.

Dienste wie eBay werden Passwörter ferne niemals unverschlüsselt übertragen. Für die Website wird zwangsweise SSL verwendet und auf das Verschicken des Passworts in unverschlüsselten E-Mails wird wie gesagt verzichtet. Genau so solltest du es auch machen.

• Ich ersetze die einfachen Passwörter durch kryptische.

Das wird das Problem nicht beheben. Leute werden sich diese Passwörter nicht merken können und sie abändern. User müssen sich ihre Passwörter merken können, daher sind von dir generierte Passwörter nur eine Übergangslösung.

Baue lieber eine Logik, die die Komplexität des Passworts beim Anlegen misst und gute Vorschläge gibt, wie User sichere Passwörter/Passphrases erstellen. Dann setze alle Passwörter zurück, d.h. sende allen Usern einen Reset-Link und bitte sie, ihre Passwörter zu ändern. Schwache Passwörter werden vom Formular dann nicht mehr akzeptiert.

• Ich schaffe den Benutzernamen ab und lass die Redakteure stattdessen ihre Email-Adresse eingeben.

Warum? Das verbessert die Sicherheit und den Komfort nicht. Ich würde ruhig beides erlauben.

• Ich schaffe einen "Passwort vergessen"-Link, über den sich das Passwort an die Email-Adresse schicken lässt.

Das bitte auf keinen Fall, siehe oben. Nutze eine fertige, sichere Authentifizierungslösung. Die gängigen implementieren das oben beschriebene Verfahren (Hashes in der Datenbank, Password-Reset per E-Mail mit einem Token, der nur kurze Zeit gültig ist).

Grüße
Mathias