Anmelden mit Google, Apple oder Facebook: So funktioniert es, Vorteile und Risiken

Die Schaltflächen „Weiter mit Google“, „Mit Apple anmelden“ oder „Mit Facebook anmelden“ finden Sie auf fast jeder Website. Sie ersparen die Registrierung und ein neues Passwort. Muss man sich davor in Acht nehmen, oder ist das sogar sicherer als ein Passwort? Kurz gesagt: Der Knopf selbst ist nicht gefährlich, aber dann hängt alles an einem einzigen Konto, das Sie schützen können müssen.

So funktioniert es

Technisch ist es der Standard OpenID Connect, der auf OAuth 2.0 aufbaut. Beteiligt sind drei Seiten: Sie, die Website oder App, bei der Sie sich anmelden, und der Anbieter der Anmeldung (Google, Apple, Facebook).

1. Sie klicken auf die Schaltfläche, und die Website leitet Sie auf die Seite des Anbieters weiter.
2. Beim Anbieter melden Sie sich an (oft sind Sie es schon). Das Passwort geben Sie nur dort ein, die Website sieht es nie.
3. Der Anbieter fragt, was die Website erhalten darf, meist Name, E-Mail-Adresse und Foto. Bei Google ist das das Basisprofil, bei Facebook kann eine App ohne Prüfung das öffentliche Profil und die E-Mail-Adresse anfordern, und Apple ermöglicht es, die E-Mail-Adresse zu verbergen.
4. Der Anbieter schickt der Website die Bestätigung, wer Sie sind, und die Website meldet Sie an oder legt Ihr Konto an.

OAuth gibt es, damit Apps Ihr Passwort nicht erhalten müssen. Ohne es würde ein Dritter das Passwort kennen und speichern, und der Zugriff ließe sich nur durch eine Passwortänderung beenden. Heute bekommt die Website eine begrenzte Berechtigung, die Sie zurücknehmen können.

Was für die Anmeldung über einen Anbieter spricht

• Es entsteht kein weiteres Passwort. Die Website hat kein Passwort von Ihnen, kann es also bei einem Datenleck nicht verlieren, und Sie können es nicht mehrfach verwenden.
• Sie erben den Schutz des Anbieters. Zwei-Faktor-Authentisierung, Passkeys und Warnungen bei verdächtigen Anmeldungen wirken, wenn Sie sie beim Anbieter einschalten.
• Sie steuern, was die Website erhält, und können es widerrufen. Google führt eine Liste verknüpfter Apps, die Sie jederzeit prüfen oder entfernen können, bei Apple beenden Sie die Nutzung von „Mit Apple anmelden“ für eine App in den Einstellungen, und Facebook hat den Bereich „Apps und Websites“.
• Es geht schnell. Weniger Tippfehler, weniger vergessene Passwörter, weniger Formulare.

Wo die Risiken liegen

• Ein Konto öffnet viele Türen. Sperrt der Anbieter Ihr Konto, verlieren Sie es oder übernimmt es jemand, sind alle verknüpften Dienste auf einmal gefährdet oder weg.
• Der Anbieter erfährt mehr über Sie. Die Website bittet den Anbieter, Sie zu bestätigen, also kennt der Anbieter jede solche Anmeldung. Was er damit macht, regeln seine eigenen Richtlinien.
• Zustimmungen sind schnell gegeben. Microsoft warnt, dass Menschen oft auf „Akzeptieren“ klicken, ohne die Berechtigungen zu lesen. Eine betrügerische App kann dann mehr verlangen, als sie braucht, oder sich als vertrauenswürdig ausgeben. Eine Wetter-Website braucht keinen Zugriff auf Ihre E-Mails.
• Das Widerrufen löscht nicht, was die Website schon hat. Google weist darauf hin, dass Sie die Löschung bereits erhobener Daten beim Entwickler beantragen müssen, und Facebook bietet für eine entfernte App einen Antrag auf Datenlöschung.
• Das Konto beim Dienst hängt am Konto des Anbieters. Ändern Sie Ihre E-Mail-Adresse, wechseln Sie den Anbieter oder schalten Sie bei Apple die Weiterleitung einer versteckten Adresse ab, kann die Wiederherstellung schwierig werden oder Nachrichten kommen nicht mehr an.

Muss man sich fürchten?

Nicht vor dem Knopf. Eher vor einem schwach geschützten Konto beim Anbieter. Die Anmeldung über ein gut geschütztes Konto (langes einzigartiges Passwort oder Passkey, Zwei-Faktor-Authentisierung, aktuelle Wiederherstellungsdaten) ist bei den meisten Diensten sicherer als ein neues, von Hand eingegebenes Passwort, das mehrfach genutzt wird. Ist das Konto beim Anbieter aber mit einem schwachen Passwort geschützt, wird aus einem Leck eine Katastrophe über alle Dienste hinweg.

Sinnvoll ist es, zu unterscheiden. Bei weniger wichtigen Diensten (Shop, Spiel, Nachrichtenseite) ist die Anmeldung über einen Anbieter bequem und sicher genug. Für E-Mail, Online-Banking, Arbeit und den Passwortmanager nutzen Sie besser ein eigenes starkes Passwort oder einen Passkey, damit sie nicht von einem weiteren Konto abhängen.

So nutzen Sie es sicher

1. Sichern Sie das Konto beim Anbieter: langes einzigartiges Passwort (erzeugen Sie eines) oder Passkey, Zwei-Faktor-Authentisierung, aktuelles Telefon und Wiederherstellungs-E-Mail.
2. Lesen Sie, was die Website verlangt. Passt es zu ihrem Zweck? Und prüfen Sie, dass die Anmeldeseite wirklich dem Anbieter gehört und keine Nachahmung ist.
3. Geben Sie so wenig wie möglich preis. Wenn Sie Ihre E-Mail-Adresse nicht herausgeben wollen, bietet Apple an, sie zu verbergen.
4. Gehen Sie ab und zu Ihre verknüpften Apps durch (Google, Apple und Facebook haben jeweils eine Liste) und entfernen Sie, die Sie nicht mehr nutzen.
5. Halten Sie bei wichtigen Diensten einen zweiten Anmeldeweg bereit, etwa ein eigenes Passwort oder einen Passkey, damit Sie bei Verlust des Anbieterkontos nicht ausgesperrt sind.
6. Wenn Sie einen Dienst nicht mehr nutzen, widerrufen Sie den Zugriff und bitten Sie um Löschung Ihrer Daten.

Das ist keine Sicherheitsberatung für Ihre konkrete Situation. Weder die Anmeldung über einen Anbieter noch ein starkes Passwort schützen allein vor Phishing oder Schadsoftware.