Was ich nicht ganz verstehe warum ist es denn so schlimm wenn ich einen Link zum löschen und deaktivieren nehme?

Ganz einfach, weil praktisch jeder Webseitenbetreiber etwas bauen kann wie:

<img src="http://deinhost/verz/skript.php?action=delete&itemtype=user&item=xHBBo" width=2 height=2>

Du siehst in der Webseite oder in dem Mail gar nichts und doch ist der User weg.... Darüber hinaus gibt's noch Trottel, die lassen sich externe Grafiken in HTML-Mails anzeigen und solche, die klicken bei einem Mail auf "hier" weil davor steht "Wenn dieses Mail nicht vollständig oder nicht ordnungsgemäß angezeigt wird, dann klicken Sie ".

Du meinst, das sei ungefährlich, weil eine Authentifizierung das verhindert?

Das tut sie nicht. Du meldest Dich an und der Angreifer schickt Dir zufällig (oder gekonnt) kurz danach den Link. Den kann er auch verbergen, wenn  er z.B. einen URL-Shortener benutzt. Dann sähe obiges so aus: http://goo.gl/LDlklq

Aus genau diesem Grund gibt es also die Grundregel, dass alles, was Daten auf dem Server verändert per POST gesendet werden soll wenn es darum geht, dem Server nur mitzuteilen, welche Daten man sehen/holen/hören will, dann GET

Jörg Reinholz