Angemeldet bleiben: der Haken und seine zwei Nebenwirkungen
Es ist ein Kästchen unter zwei Eingabefeldern. Man setzt den Haken einmal, und danach steht man beim Öffnen der App direkt im Konto statt vor dem Anmeldebildschirm.
Der Gewinn daran ist überschaubar. Ein paar Sekunden, wenn das Passwort im Kopf ist. Etwas weniger, wenn es ohnehin aus einem Passwortmanager kommt.
Trotzdem lohnt sich ein Blick auf dieses Kästchen, und zwar aus einem Grund, der mit gesparter Tipparbeit nichts zu tun hat. Der Haken tut nämlich noch zwei andere Dinge. Er ändert, wer außer dir in dieses Konto kommt. Und er ändert, wie kurz dein eigener Weg dorthin ist. Beides wiegt schwerer als die gesparten Sekunden.
Auf dem Gerät liegt ein Schlüssel, nicht dein Passwort
Ohne den Haken läuft es so: Du gibst Benutzername und Passwort ein, der Anbieter prüft beides und stellt dir für die Dauer des Besuchs einen Sitzungsschlüssel aus. Ein Ausweis auf Zeit. Jede Seite, die du danach aufrufst, zeigt diesen Ausweis vor, und deshalb musst du dich nicht bei jedem Klick neu anmelden. Er ist an den Besuch gebunden und nicht dafür gemacht, ihn zu überdauern.
Mit dem Haken passiert im Grunde dasselbe, nur bekommt der Ausweis eine längere Gültigkeit und bleibt über das Schließen hinaus liegen. Er bleibt auf dem Gerät liegen: im Browser als Cookie beziehungsweise als Websitedatum, in einer installierten App im Speicher der App. Beim nächsten Öffnen wird er wieder vorgezeigt, der Anbieter erkennt eine gültige Sitzung, und der Anmeldebildschirm entfällt.
Aus dieser Beschreibung folgen drei Dinge, die im Alltag leicht durcheinandergehen.
Erstens ist das etwas anderes als ein gespeichertes Passwort. Ein gespeichertes Passwort füllt ein Feld aus, aber die Anmeldung findet statt. Liegt das Passwort in einem Manager hinter einem Hauptpasswort oder hinter Fingerabdruck oder Gesichtserkennung, steht dort noch ein Schloss, auch wenn es sich schnell öffnen lässt. Bei „angemeldet bleiben“ gibt es keine Anmeldung mehr, an die man ein Schloss hängen könnte. Der Ausweis liegt schon fertig da.
Zweitens ist der Ausweis nicht das Passwort. Er ist ein Nachweis darüber, dass eine Anmeldung stattgefunden hat. Ob ein Anbieter bei einer Passwortänderung auch alle bestehenden Sitzungen beendet, ist damit keine Selbstverständlichkeit, sondern eine Frage an die Hilfeseiten oder an den Support. Ein neues Passwort und ein sauber abgemeldetes Gerät sind zwei getrennte Handlungen, und nur die zweite betrifft den Schlüssel, der irgendwo herumliegt.
Drittens erledigt sich das nicht durch das Löschen des Browserverlaufs. Der Verlauf ist die Liste der besuchten Seiten. Der Sitzungsschlüssel steckt in den Cookies und Websitedaten, also in einem anderen Kästchen desselben Dialogs. Und in einer installierten App steckt er überhaupt nicht im Browser, sondern im Speicher der App, wo eine Browserreinigung ihn gar nicht erreicht. Wer nach dem Verlaufslöschen weiter angemeldet ist, hat nichts falsch gemacht, sondern nur die falsche Schublade geleert.
Nebenbei: Dasselbe Gerät, das dich angemeldet hält, ist auch das Gerät, an dem ein Anbieter dich wiedererkennt. Was dabei außer dem Sitzungsschlüssel noch ausgelesen wird und wofür das genutzt wird, steht unter Geräteerkennung im Online-Casino.
Wer das Gerät in der Hand hat, ist im Konto
Das ist die erste Nebenwirkung, und sie lässt sich in einem Satz sagen: Ein dauerhaft angemeldetes Gerät ist ein Zugang zum Konto, bei dem beim Öffnen weder Passwort noch zweiter Faktor abgefragt wird.
Solange nur du dieses Gerät benutzt, ist das eine theoretische Aussage. Sie wird praktisch, sobald jemand anderes es in die Hand bekommt, und dafür braucht es keinen Einbruch. Ein Handy, das entsperrt auf dem Küchentisch liegt. Ein Tablet, das im Haushalt herumgereicht wird. Ein Laptop, an dem noch jemand anderes arbeitet. Ein Gerät, das man kurz aus der Hand gibt, damit jemand ein Foto ansieht.
Beim Handy kommen mehrere Umstände zusammen, die es zum kritischen Fall machen. Es geht überallhin mit. Es wird weitergereicht. Es kann liegen bleiben, verloren gehen oder gestohlen werden. Und die einzige Barriere, die dann noch übrig ist, ist die Gerätesperre selbst, also PIN, Muster oder Biometrie. Die schützt aber das Gerät und nicht das Konto: Wer an der Sperre vorbei ist, ist an allem vorbei, was dahinterliegt, ohne dass für das Spielerkonto noch eine eigene Frage gestellt würde. Je nach Einstellung zeigt schon der Sperrbildschirm Benachrichtigungen des Anbieters an, was die Sache nicht besser macht.
Vor dem Haken lohnt sich deshalb eine ehrliche Frage zum Gerät statt zur Person: Wer hat darauf Zugriff, geplant oder zufällig? Alles Weitere zum Absichern eines Spielerkontos, von der Zwei-Faktor-Anmeldung bis zu den Angriffswegen, die es sonst noch gibt, ist unter Kontosicherheit im Online Casino zusammengetragen und soll hier nicht wiederholt werden.
Ein Punkt gehört allerdings hierher, weil er über die Sicherheit hinausgeht: Ein Spielerkonto ist auf eine Person zugelassen, deren Identität geprüft wurde. Ein Gerät, das dauerhaft angemeldet und für andere erreichbar ist, kann aus einem Einzelkonto praktisch ein geteiltes machen, ohne dass das jemand beabsichtigt hätte. Warum das bis in die Auszahlung hinein Folgen hat, ist unter Casino-Konto teilen beschrieben.
Die Anmeldung war auch eine Unterbrechung
Jetzt zur zweiten Nebenwirkung, und die ist der eigentliche Anlass, über ein so kleines Kästchen zu schreiben.
Zwischen „App öffnen und spielen“ und „App öffnen, Passwort eingeben, spielen“ liegen wenige Sekunden. Der Unterschied ist zeitlich lächerlich. Er ist trotzdem einer, weil in diesen Sekunden etwas anderes passiert als Warten: Man muss etwas tun. Man muss sich erinnern, tippen, bestätigen. Es ist ein Schritt, der eine Entscheidung verlangt, und sei sie noch so beiläufig.
Mit gesetztem Haken fällt dieser Schritt weg. Der Weg vom Impuls bis zum geöffneten Konto besteht dann aus einer Berührung des Bildschirms. Genau das steht auf dem Kästchen auch drauf: Es nimmt den Anmeldebildschirm weg. Was dabei sonst noch verschwindet, steht nicht dabei.
Wer eine Pause einhalten möchte, kann das umdrehen und sich den Einstieg absichtlich unbequemer machen. Der Gedanke dahinter ist nicht neu und nicht auf Glücksspiel gemünzt: Man baut das, wovon man weniger möchte, ein Stück umständlicher, und das, wovon man mehr möchte, ein Stück leichter.
Und jetzt der Vorbehalt, der dazugehört. Ob das im Einzelfall etwas bewirkt, kann hier niemand versprechen, und wer es verspricht, geht über das hinaus, was er wissen kann. Ein fehlender Haken ist keine Sperre. Er ist eine Verzögerung von Sekunden, die sich mit ein paar Tastenanschlägen aufheben lässt. Es ist eine Überlegung, keine Methode, und sie steht und fällt damit, ob man in dem Moment, den sie schafft, überhaupt etwas mit ihm anfangen will.
Verbindlich wird eine Pause an anderer Stelle. Einzahlungs- und Zeitlimits im Konto wirken, ohne dass man sie im Moment der Entscheidung noch einmal befolgen müsste. Eine Sperre über OASIS wirkt anbieterübergreifend und lässt sich nicht durch einen Klick zurücknehmen. Und für die Zeit während einer Sitzung gibt es die Spielzeit-Erinnerung, die an einer ganz anderen Stelle ansetzt als die Anmeldung, nämlich mittendrin: Wie diese Einblendung funktioniert und was sie leistet, steht unter Spielzeit-Erinnerung. Der Haken ist neben diesen Werkzeugen eine Kleinigkeit, und er soll auch nichts anderes sein.
Gespeicherte Karte, Symbol auf dem Startbildschirm, Push
Wenn man einmal auf Reibung achtet, fallen im selben Umfeld noch drei Einstellungen auf, die in dieselbe Richtung wirken.
Gespeicherte Zahlungsmittel. Sie nehmen dem Einzahlen die Eingabe, so wie der Haken der Anmeldung die Eingabe nimmt. Am gesetzlichen Rahmen ändert das nichts: Das anbieterübergreifende Einzahlungslimit von 1.000 Euro gilt unabhängig davon, wie schnell die Zahlung ausgelöst ist. Was sich ändert, ist der Abstand zwischen dem Gedanken und der Buchung.
Das Symbol auf dem Startbildschirm. Ob eine Seite als Lesezeichen im Browser liegt oder als Symbol zwischen den anderen Apps, ist keine Frage der Technik, sondern der Wegstrecke. Ein Symbol auf dem Startbildschirm ist bei jedem Entsperren des Handys im Blickfeld. Ein Lesezeichen muss gesucht werden. Kurze Wege prägen mobile Angebote insgesamt, und was daraus für die Bedienung folgt, steht unter Mobile First im Online Casino.
Push-Benachrichtigungen. Sie drehen die Richtung um. Bei den beiden Punkten davor gehst du zum Angebot, bei einer Push-Nachricht kommt das Angebot zu dir, ohne dass du an es gedacht hättest. Wer die Wegstrecke bewusst verlängern will, fängt sinnvollerweise hier an, denn eine abbestellte Benachrichtigung wirkt auch dann, wenn man gerade an etwas anderes denkt. Welche Kanäle es gibt und wo man sie einzeln abstellt, steht unter Casino-Werbung stoppen.
Zurücknehmen heißt abmelden
Zum praktischen Teil, und der fällt bewusst knapp aus, weil konkrete Menüwege je nach Anbieter, App-Version und Gerät anders aussehen und sich außerdem ändern.
Der Haken sitzt am Anmeldeformular, nicht in den Kontoeinstellungen. Deshalb gibt es dort auch keinen Schalter, mit dem man ihn nachträglich umlegen könnte. Der Weg zurück führt über das Abmelden: einmal bewusst abmelden, beim nächsten Mal ohne gesetztes Kästchen wieder anmelden. Das ist alles.
Wichtig ist dabei ein Unterschied, der leicht untergeht. Abmelden ist nicht dasselbe wie Schließen. Eine App, die man aus der Übersicht der laufenden Programme wischt, ist geschlossen, aber die Sitzung ist es nicht. Ein geschlossener Browsertab ebenso wenig. Nur die Abmeldung beendet die Sitzung selbst, und genau deshalb ist sie auf dem Gerät selbst die einzige Handlung, die am Zustand etwas ändert.
In manchen Konten findet sich zusätzlich eine Übersicht der aktiven Sitzungen oder der angemeldeten Geräte, mit der Möglichkeit, einzelne davon oder alle auf einmal zu beenden. Ob es so eine Liste gibt, sieht man erst im eigenen Konto; verlassen sollte man sich vorher nicht darauf. Wo sie fehlt, bleibt nur der Weg über das jeweilige Gerät, was die Frage nach vergessenen Geräten interessant macht: das alte Handy in der Schublade, das Tablet, das seit Monaten niemand angefasst hat.
Gerätewechsel, Weitergabe, Verlust
Drei Situationen, in denen aus einer Bequemlichkeitseinstellung eine offene Baustelle wird.
Beim Wechsel auf ein neues Gerät bleibt das alte zunächst angemeldet, denn der Schlüssel liegt dort weiter. Solange das Altgerät in der eigenen Schublade liegt, ist das unkritisch. Sobald es weitergegeben, verkauft, verschenkt oder zur Reparatur gebracht wird, ist es das nicht mehr.
Vor der Weitergabe gehört das Abmelden deshalb an den Anfang, vor das Zurücksetzen und nicht danach. Abmelden beendet die Sitzung. Eine gelöschte App nimmt nur den Zugriff von diesem einen Gerät weg, und auch das nur, soweit die App ihre gespeicherten Daten mitnimmt. Wer sichergehen will, nimmt beides: erst abmelden, dann zurücksetzen. Dasselbe gilt für gespeicherte Zahlungsmittel und für ein Symbol auf dem Startbildschirm, das sonst als Hinweis stehen bleibt.
Bei Verlust oder Diebstahl ist der Weg ein anderer, weil das Gerät nicht mehr erreichbar ist. Dann führt der Weg über das Konto: Passwort ändern, und falls der Anbieter eine Geräteliste anbietet, die betroffene Sitzung dort beenden. Gibt es beides nicht in ausreichender Form, ist der Support die Stelle, an der man fragt, was in so einem Fall möglich ist. Was ein Anbieter dabei anbietet, steht in seinen Hilfeseiten und lässt sich von außen nicht vorhersagen.
Nicht ob, sondern auf welchem Gerät
Zusammengenommen läuft die Sache auf eine Frage hinaus, die anders geschnitten ist als die, mit der man vor dem Kästchen steht.
„Angemeldet bleiben, ja oder nein“ ist keine Grundsatzentscheidung, die man einmal für sich trifft und danach überall gleich anwendet. Der Haken bedeutet auf jedem Gerät etwas anderes, weil die beiden Nebenwirkungen an Eigenschaften des Geräts hängen und nicht an Eigenschaften der Person.
Ein Rechner, der an einem festen Platz steht, den sonst niemand benutzt und der das Haus nicht verlässt: Da ist die Sicherheitsseite überschaubar, und der Weg ins Konto ist ohnehin nicht der kürzeste. Ein Handy, das mitgeht, herumliegt, weitergereicht wird und das man in der Hand hat, sobald man auf die Uhr schaut: Da treffen beide Nebenwirkungen zusammen, und zwar in voller Stärke. Es ist das Gerät mit dem größten fremden Zugriffsrisiko und gleichzeitig das mit dem kürzesten Weg zum ersten Einsatz.
Wer sich also einmal entscheidet, entscheidet zu grob. Sinnvoller ist eine Entscheidung je Gerät, und die kann durchaus unterschiedlich ausfallen: am Rechner mit Haken, am Handy ohne. Oder umgekehrt, wenn der Rechner der ist, an dem noch jemand anderes sitzt.
Eine Ergänzung noch für den Fall, dass die Entscheidung gegen den Haken ausfällt. Sie läuft ins Leere, wenn das Passwort auf demselben Gerät ohne jede Rückfrage eingesetzt wird, denn dann ist die Wegstrecke wieder auf null. Liegt der Passwortmanager hinter Fingerabdruck oder Gesichtserkennung, bleibt wenigstens ein Schritt bestehen, der als Schritt erkennbar ist. Und wer sich für den Haken entscheidet, kann die Sicherheitsseite trotzdem ernst nehmen: Gerätesperre, ein zweiter Faktor für die Anmeldung, keine sensiblen Benachrichtigungen auf dem gesperrten Bildschirm. Der Haken ersetzt keine dieser Einstellungen. Er macht nur sichtbarer, warum sie da sind.
Einzelfragen zur dauerhaften Anmeldung
Ist „angemeldet bleiben“ dasselbe wie ein im Browser gespeichertes Passwort?
Nein, und der Unterschied ist der wichtigste Punkt an der ganzen Sache. Ein gespeichertes Passwort füllt ein Feld aus, die Anmeldung findet trotzdem statt, und wenn der Passwortmanager hinter einem Hauptpasswort oder einem Fingerabdruck liegt, steht dort noch ein Schloss. Bei „angemeldet bleiben“ gibt es keine Anmeldung mehr, die man absichern könnte: Auf dem Gerät liegt ein Sitzungsschlüssel, den der Anbieter beim Öffnen als bereits erfolgte Anmeldung akzeptiert.
Verschwindet die dauerhafte Anmeldung, wenn ich den Browserverlauf lösche?
Der Verlauf ist die Liste der besuchten Seiten und damit eine andere Sache als der Sitzungsschlüssel. Der liegt in den Cookies beziehungsweise den Websitedaten, und in einer installierten App liegt er überhaupt nicht im Browser, sondern im Speicher der App. Löschen lässt er sich also nur, indem man gezielt Cookies und Websitedaten entfernt oder sich abmeldet. Abmelden ist der direktere Weg, weil er die Sitzung selbst beendet und nicht nur eine ihrer Spuren.
Beendet ein neues Passwort automatisch alle Sitzungen auf anderen Geräten?
Das ist nicht selbstverständlich, weil der Sitzungsschlüssel eben nicht das Passwort ist. Ob ein Anbieter bei einer Passwortänderung alle offenen Sitzungen mit beendet, gehört zu den Dingen, die man in den Hilfeseiten nachliest oder beim Support erfragt, statt sie anzunehmen. Wer sichergehen will, meldet sich auf dem betroffenen Gerät zusätzlich ab oder nutzt eine Geräteliste, falls der Anbieter eine anbietet.
Wie nehme ich den Haken wieder zurück?
Über das Abmelden. Der Haken sitzt am Anmeldeformular und nicht in den Kontoeinstellungen, deshalb gibt es dort auch keinen Schalter, den man umlegen könnte. Man meldet sich einmal bewusst ab und beim nächsten Mal ohne gesetztes Kästchen wieder an. Wichtig ist der Unterschied zwischen Abmelden und Schließen: Eine geschlossene App und ein geschlossener Tab beenden die Sitzung nicht, sie legen sie nur weg.
Was ist zu tun, bevor ein Handy weitergegeben oder verkauft wird?
Auf dem Gerät abmelden, und zwar bevor man mit dem Zurücksetzen anfängt. Abmelden beendet die Sitzung, während das Löschen einer App nur das entfernt, was auf dem Gerät liegt, und auch das nur, soweit die App ihre Daten mitnimmt. Dasselbe gilt für gespeicherte Zahlungsmittel und für ein Symbol auf dem Startbildschirm. Bei einem verlorenen oder gestohlenen Gerät ist der Weg ein anderer: Passwort ändern, eine Geräteliste im Konto nutzen, falls es dort eine gibt, und andernfalls beim Support nachfragen, was sich von außen noch beenden lässt.
Hilft es gegen zu häufiges Spielen, wenn ich mich jedes Mal neu anmelde?
Versprechen lässt sich das nicht, und niemand sollte es versprechen. Was sich sagen lässt: Ohne den Haken steht zwischen dem Öffnen und dem ersten Einsatz wieder ein Schritt, den man aktiv tun muss, und das ist ein Moment, in dem eine Entscheidung möglich ist. Mehr ist es nicht. Wer eine Pause wirklich absichern möchte, arbeitet mit Einzahlungs- und Zeitlimits oder mit einer Sperre über OASIS, denn das sind Instrumente und nicht bloß Überlegungen.
Auf welchem Gerät ist der Haken am kritischsten?
Auf dem Handy, und das aus zwei Gründen gleichzeitig. Es ist das Gerät, das mitgeht, herumliegt, weitergereicht wird und verloren gehen kann, womit die Sicherheitsseite zum Tragen kommt. Und es ist das Gerät, auf dem der Weg vom Impuls zum ersten Einsatz ohnehin am kürzesten ist, womit die zweite Nebenwirkung zum Tragen kommt. Ein Rechner, der an einem Platz steht und den sonst niemand benutzt, ist in beiden Punkten der harmlosere Fall.