Passwortlose Anmeldung für Lernende: weniger Resets, mehr Sicherheit

Personen, die sich nur einmal im Jahr für eine Compliance-Auffrischung in Ihrem LMS anmelden, werden sich ihr Passwort nie merken. Sie klicken also auf „Passwort vergessen“, warten auf eine E-Mail, erfinden ein neues Passwort, das sie wieder vergessen, oder geben auf und eröffnen ein Ticket. Die passwortlose Anmeldung beseitigt das Passwort ganz. Dieser Leitfaden erklärt, wie sie funktioniert, wo die Sicherheitsabwägungen wirklich liegen und wann es sich lohnt, zusätzlich SAML-Single-Sign-on einzuführen.

Warum Passwörter bei Gelegenheitslernenden scheitern

Passwörter funktionieren am besten bei Systemen, die Menschen täglich nutzen. Eine Schulungsplattform ist oft das Gegenteil: Personen melden sich an, wenn sie eingeschrieben werden, wenn eine Erinnerung eintrifft oder wenn ein Zertifikat abzulaufen droht.

Das führt zu einer vorhersehbaren Reihe von Problemen:

• Vergessene Passwörter. Liegen Monate zwischen den Anmeldungen, beginnen viele Lernende mit einem Reset – oft genau an dem Tag, an dem die Schulung fällig ist.
• Wiederverwendung. Wer sich nicht noch ein weiteres Passwort merken kann, verwendet eines von woanders wieder. Wird diese andere Website gehackt, lässt sich dieselbe Kombination aus E-Mail-Adresse und Passwort bei Ihrem LMS ausprobieren.
• Umgehungslösungen. Strenge Passwortregeln führen zu Passwörtern auf Haftnotizen oder zu vorhersehbaren Abwandlungen wie einer jedes Mal hochgezählten Zahl.
• Supportaufwand. Jede Sperrung und jeder Reset ist ein Ticket für Ihren Helpdesk oder Ihr L&D-Team.

Es gibt außerdem einen leiseren Punkt. Die meisten Passwortsysteme lassen Personen ihr Passwort per E-Mail zurücksetzen – das Postfach kontrolliert das Konto also schon jetzt. Das Passwort ist der Teil, den Menschen vergessen, nicht der Teil, der sie schützt. Die passwortlose Anmeldung macht das lediglich explizit.

So funktioniert die passwortlose Anmeldung

Einmalcodes per E-Mail

1. Der Lernende gibt seine E-Mail-Adresse ein.
2. Das LMS erzeugt einen kurzen zufälligen Code und sendet ihn per E-Mail.
3. Der Lernende tippt den Code ein, und das LMS prüft ihn.

Ein gut gestalteter Code funktioniert nur einmal, läuft innerhalb von Minuten ab und wird nach einigen Fehlversuchen ungültig. Es gibt nichts zu merken, nichts von einer anderen Website Wiederverwendetes und kein Passwort, das gestohlen werden könnte.

Manche Systeme senden statt eines Codes einen Anmeldelink per E-Mail. Codes sind praktisch, wenn jemand E-Mails auf dem Smartphone liest, sich aber an einem Arbeitsrechner anmeldet, weil er den Code einfach übertragen kann.

Konten bei Google, Microsoft oder LinkedIn

Bei den Schaltflächen „Anmelden mit“ übergibt das LMS die Anmeldung mithilfe von Standardprotokollen wie OAuth 2.0 und OpenID Connect an den Anbieter. Der Anbieter prüft, wer die Person ist – einschließlich einer etwaigen Zwei-Schritt-Verifizierung ihres Kontos –, und teilt dem LMS mit, wer sie ist und wie ihre verifizierte E-Mail-Adresse lautet. Das LMS sieht ihr Passwort nie.

Das passt zu Mitarbeitenden, die sich ohnehin täglich bei Microsoft 365 oder Google Workspace anmelden: ein Klick, und sie sind drin.

Die Sicherheitsabwägungen – ehrlich betrachtet

Passwortlos ist keine Magie. Es verlagert das Vertrauen an eine andere Stelle, und Sie sollten wissen, wohin.

Ein paar Besonderheiten, die man verstehen sollte:

• Das E-Mail-Konto ist am wichtigsten. Wer die E-Mails eines Lernenden lesen kann, kann sich als dieser Lernende anmelden. Die Multi-Faktor-Authentifizierung für Firmenpostfächer tut mehr für die LMS-Sicherheit als jede Passwortregel.
• Ablauf und begrenzte Versuche verhindern Raten. Ein sechsstelliger Code hat rund eine Million mögliche Werte, sodass jemand, der rät, mit drei Versuchen nur eine Chance von wenigen in einer Million hat – und jeder Code lebt nur Minuten. Begrenzungen dafür, wie oft Codes angefordert werden können, bremsen zusätzlich.
• Codes können trotzdem gephisht werden. Eine gefälschte Anmeldeseite kann nach einem Code fragen und ihn sofort verwenden. Bringen Sie den Personen bei, Codes nur auf der echten Adresse Ihres LMS einzugeben und dass niemand, auch nicht der Support, sie jemals danach fragen wird.
• Gemeinsam genutzte Postfächer schwächen Ihre Nachweise. Können mehrere Personen ein Postfach lesen, kann sich jede von ihnen als dessen Inhaber anmelden. Jeder Lernende braucht seine eigene Adresse, damit Schulungsnachweise etwas bedeuten.
• Ausscheidende müssen überall entfernt werden. Ein privates Google- oder LinkedIn-Konto verschwindet nicht, wenn jemand geht. Sperren oder archivieren Sie die Personen im Rahmen des Offboardings im LMS – nicht nur in Ihrem Verzeichnis.
• Die E-Mail-Zustellung ist Teil des Systems. Codes, die im Spam landen oder verspätet eintreffen, verursachen fehlgeschlagene Anmeldungen. Bitten Sie die IT, die E-Mails des LMS durch Ihre Mailfilter zu lassen.

Planen Sie die Wiederherstellung, bevor Sie sie brauchen

Mit der passwortlosen Anmeldung verschwinden Tickets zu „Passwort vergessen“ weitgehend. Die übliche Supportfrage wird zu „Ich habe meinen Code nicht bekommen“, und die Antwort lautet fast immer: Spam-Ordner prüfen, die Adresse bestätigen und einen neuen Code anfordern.

Administratoren erfordern mehr Überlegung. Verlassen Sie sich auf Single Sign-on und Ihr Identity Provider hat einen Ausfall oder eine Einstellung wird versehentlich geändert, brauchen Sie einen Zugang, der nicht von dem abhängt, was ausgefallen ist. Bewährte Praxis:

• Halten Sie mindestens zwei Administratoren vor, damit der Zugriffsverlust einer Person nicht die Organisation aussperrt.
• Stellen Sie sicher, dass Administratoren einen Wiederherstellungsweg haben, der nicht von Ihrem Identity Provider abhängt.
• Probieren Sie diesen Wiederherstellungsweg einmal in Ruhe aus, bevor Sie ihn an einem schlechten Tag brauchen.
• Wenn Sie Administratoren auf IP-Bereiche des Büros beschränken, prüfen Sie, wie Administratoren im Remote-Betrieb hineinkommen.

Wann sich SAML-Single-Sign-on lohnt

E-Mail-Codes und die Anmeldung über soziale Konten genügen den meisten Lernenden. SAML-Single-Sign-on lohnt sich, wenn:

• Ihre Mitarbeitenden bereits in Microsoft Entra ID, Okta oder Google Workspace verwaltet werden.
• die Multi-Faktor- und Zugriffsrichtlinien Ihres Identity Providers auch für die Schulung gelten sollen.
• Personen den Zugriff verlieren sollen, sobald sie in Ihrem Verzeichnis deaktiviert werden.
• Sicherheitsprüfungen oder Kundenfragebögen Single Sign-on verlangen.

Es ist nicht die ganze Antwort, wenn viele Lernende außerhalb Ihres Verzeichnisses stehen, etwa externe Auftragnehmer, Freiwillige, Kunden oder Mitarbeitende anderer Organisationen. Nutzen Sie dann SSO für Ihre eigenen Mitarbeitenden und behalten Sie E-Mail-Codes für alle anderen bei. Die Einrichtung behandeln wir ausführlicher in Single Sign-on für Ihr LMS.

So macht es Acadenix

Acadenix kommt ganz ohne Passwörter aus. Personen melden sich auf eine dieser Arten an:

• E-Mail-Codes. Personen geben ihre E-Mail-Adresse ein und erhalten einen sechsstelligen Code. Er funktioniert einmal, fünf Minuten lang, und wird nach drei Fehlversuchen ungültig. Wer zu oft Codes anfordert, wird gebeten zu warten.
• Google, Microsoft und LinkedIn. Jede Methode wird unter Settings → Authentication (Einstellungen → Authentifizierung) ein- oder ausgeschaltet und lässt sich auf bestimmte verifizierte E-Mail-Domains beschränken. Bevor eine Änderung gespeichert wird, sehen Sie, wie viele Personen und Sitzungen sie betrifft.
• Ihre eigenen Anmelde-Apps. Organisationen können ihre eigene Google-, Microsoft- oder LinkedIn-App verwenden. Mit Ihrer eigenen Microsoft-App können nur Konten in Ihrem Tenant sie nutzen.
• SAML-Single-Sign-on mit Gold. Verbinden Sie Microsoft Entra ID, Okta oder Google Workspace. Lernendenkonten können bei der ersten Anmeldung angelegt werden, aber nur für Adressen aus den E-Mail-Domains Ihrer Organisation. Wenn sich jemand zum ersten Mal über SAML anmeldet, wird ein Code per E-Mail gesendet, um die Verknüpfung zu bestätigen – einmal pro Person. Andere Methoden, die Sie eingeschaltet haben, bleiben als Rückfalloption bestehen. Siehe Tarife und Preise.

Für Administratoren gibt es zusätzliche Schutzmaßnahmen. Administratoren lassen sich auf Ihre IP-Bereiche beschränken, ohne Lernende zu beeinträchtigen, und inaktive Sitzungen werden abgemeldet. Funktioniert Ihre übliche Anmeldung nicht mehr, kommt ein Administrator weiterhin mit einem Wiederherstellungscode hinein, der an seine E-Mail-Adresse gesendet wird – und dieser Weg lässt sich nicht abschalten. Das Sperren eines Kontos verhindert sofort die Anmeldung, und Email History (E-Mail-Verlauf) zeigt, welche E-Mails in den letzten 30 Tagen gesendet wurden oder fehlgeschlagen sind – ohne Nachrichteninhalte oder Codes zu speichern. Mehr Details finden Sie auf unserer Sicherheitsseite.

Das Wichtigste in Kürze

• Bei Gelegenheitslernenden verursachen Passwörter Resets, Wiederverwendung und Tickets, ohne viel zusätzlichen Schutz zu bieten.
• E-Mail-Codes und die Anmeldung mit dem Arbeitskonto beseitigen das Passwort; das Postfach oder das Anbieterkonto wird zum Schlüssel – schützen Sie es daher mit Multi-Faktor-Authentifizierung.
• Einmalcodes, die schnell ablaufen und nur wenige Versuche zulassen, machen Raten unpraktikabel – dennoch müssen Personen wissen, dass sie einen Code niemals weitergeben dürfen.
• Planen Sie die Wiederherstellung für Administratoren und das Offboarding, bevor Sie Methoden einschalten.
• Ergänzen Sie SAML-Single-Sign-on, wenn Ihre Mitarbeitenden in einem zentralen Identity Provider verwaltet werden, und behalten Sie E-Mail-Codes für alle anderen bei.

Wenn Passwörter die größte Quelle Ihrer Support-Tickets zur Schulung sind, sehen Sie, wie die passwortlose Anmeldung mit Ihren eigenen Leuten funktioniert. Fordern Sie eine Evaluierung an und richten Sie die Anmeldemethoden ein, die zu Ihrer Organisation passen.