Authentication (oft kurz Auth) ist der Prozess, mit dem eine App feststellt: "Wer bist du gerade?" Bei jeder App, in die du dich einloggst, läuft Auth ab. Du gibst Email und Passwort ein, die App vergleicht den Hash mit ihrer Datenbank und gibt dir – wenn alles passt – einen Session-Token, mit dem du als angemeldet giltst.
Davon zu unterscheiden ist Authorization: "Was darfst du tun?" Erst Auth (wer bist du), dann Authorization (welche Rechte hast du). Beides hängt zusammen, ist aber technisch getrennt.
Wie funktioniert Authentication?
Moderne Auth-Flows sehen meist so aus:
- User gibt Email + Passwort ein (oder klickt "Login mit Google")
- Frontend schickt das an den Auth-Server
- Server prüft Credentials, erstellt einen JWT (JSON Web Token) oder eine Session
- Token wird im Browser gespeichert (Cookie oder LocalStorage)
- Bei jedem API-Request schickt der Browser den Token mit
- Backend prüft den Token vor jeder Aktion
Verbreitete Auth-Methoden:
- Email + Passwort – der Klassiker
- Magic Link – Email-Link statt Passwort, verbreitet bei modernen Apps
- OAuth / Social Login – "Mit Google/Apple/GitHub einloggen"
- Passkey / WebAuthn – die neue Standard-Methode ohne Passwort, biometrisch
- 2FA / MFA – zusätzliche Sicherheit per SMS, Authenticator-App oder Hardware-Key
Wofür brauchst du Authentication?
- User-spezifische Inhalte – Notizen, Profile, Bestellungen
- Bezahl-Inhalte – nur Abonnenten sehen Premium-Features
- Multi-User-Apps – jeder sieht nur seine eigenen Daten
- Admin-Bereiche – Backend nur für berechtigte Personen
- API-Schutz – nur authentifizierte Apps oder User dürfen aufrufen
- Compliance – DSGVO verlangt sicheren Zugriff auf personenbezogene Daten
Authentication und VibeCoding
Auth selbst zu bauen ist gefährlich. Passwort-Hashing, Token-Rotation, CSRF-Schutz, Brute-Force-Limits, Account-Recovery – an jeder Stelle kann etwas schiefgehen, mit echten Sicherheitsfolgen. Die einzige sinnvolle Empfehlung 2026: Nutze einen Auth-Service.
Die Top-Optionen:
- Supabase Auth – integriert mit Supabase-Datenbank, kostenlos im Free-Tier
- Clerk – beste UX, viele fertige UI-Komponenten, kostet ab Größe
- Auth.js (ehemals NextAuth) – Open Source, in deinem Next.js-Backend
- Firebase Auth – Google, gut für Mobile
Mit Claude Code generierst du Login-Komponenten, geschützte Routen und Session-Handling in wenigen Prompts – auf Basis dieser Services. Was du selbst nie programmieren solltest: deine eigene Passwort-Speicherung.
Sicherheits-Regeln:
- Niemals Passwörter im Klartext speichern (immer gehashed mit bcrypt/argon2)
- HTTPS überall, kein Login über HTTP
- Tokens regelmäßig rotieren
- Sessions invalidieren beim Logout
Empfehlung
- Beste Integration mit Postgres und Realtime: Supabase Auth
- Beste UX out of the box: Clerk
- Maximum Open Source und kostenlos: Auth.js mit eigenem Backend
- B2B-SaaS mit SSO und SCIM: WorkOS