Jeder Kunde wünscht sich einen „sicheren Login". Fast niemand meint damit dasselbe. Bei einer Gesundheitsplattform muss der Login einem Audit standhalten. Bei einem B2B-Tool muss die IT-Abteilung eines Kunden eine neue Mitarbeiterin ohne Support-Ticket anmelden können. Bei einer Verbraucher-App heißt es einfach nur „die Nutzer nicht zum Nachdenken zwingen". Von außen sieht Authentifizierung wie ein einziges Problem aus. Aus der Nähe betrachtet ist es jedes Mal ein anderes Problem — und wer es wie ein Häkchen auf einer Liste behandelt, endet mit Logins, die auf dem Papier sicher sind und in der Praxis eine Qual.
Gute Authentifizierung ist nicht die stärkste verfügbare Option. Sie ist die richtige für die Menschen, die sich tatsächlich anmelden.
01Wir beginnen damit, wer sich anmeldet — nicht damit, was gerade im Trend liegt
Passkeys haben gerade ihren großen Moment, setzen aber ein modernes Gerät und eine stabile Verbindung voraus — das ist nicht immer gegeben. Ein Außendienstteam mit geteilten Tablets braucht etwas Offline-first. Ein internes Tool für fünf Personen braucht weniger Zeremonie als eine öffentliche App mit einer Million Logins. Bevor wir einen Login-Bildschirm anfassen, fragen wir, wer ihn tatsächlich nutzt — der ausgefeilteste Faktor ist wertlos, wenn er genau die Menschen aussperrt, für die er gedacht war.
02Compliance entscheidet mehr, als uns lieb ist
Manche der größten Authentifizierungsentscheidungen treffen nicht wir — sondern die Branche des Kunden. Kunden aus dem Gesundheits- und Finanzwesen dürfen Sitzungsdaten oft nicht aus einer Region herauslassen und müssen jeden Login-Versuch protokollieren, nicht nur die erfolgreichen. Einer Aufsichtsbehörde ist die Technik weniger wichtig als die Frage, ob man Monate später nachweisen kann, wer wann worauf zugegriffen hat. Wir entwerfen den Audit-Trail, bevor wir den Login-Button entwerfen — Compliance nachträglich einzubauen ist weitaus schmerzhafter.
03Wir bauen um das herum, was bereits da ist
Nur sehr wenige Kunden starten bei null. Meist gibt es schon ein bestehendes Verzeichnis, ein Azure-AD- oder Okta-Setup, ein Altsystem, das niemand anfassen will, das aber auch niemand abschalten kann. Neue Authentifizierung muss sich in diese Realität einfügen — SSO unterstützen, wo es existiert, Zugangsdaten migrieren, ohne alle Passwörter zurückzusetzen, und das alte System mitten im Rollout niemals aussperren. Die beste Authentifizierungsarbeit ist oft unsichtbar: Niemand bemerkt den Login, der schon vorher funktioniert hat.
04Für diesen Kunden gebaut, trotzdem ihres zum Mitnehmen
Auch wenn Authentifizierung exakt auf die Anforderungen eines Kunden zugeschnitten ist, gilt dieselbe Regel wie bei allem anderen, das wir ausliefern: Es muss ihnen gehören und bleiben. Kein proprietäres Format, das ihre Nutzerdaten gefangen hält, keine Abhängigkeit, die nur wir warten können. Maßgeschneidert muss nicht Lock-in bedeuten — es bedeutet nur, dass es für sie gebaut wurde, nach ihren Bedingungen, und noch lange funktioniert, nachdem wir es übergeben haben.
Beschäftigen Sie sich gerade mit Ihren eigenen Authentifizierungsanforderungen und möchten eine zweite Meinung? Projekt starten