Dies ist eine Blechpresse-Fiktion mit technischem Geländer. Der Türsummer ist erfunden. Die Cookies leider nicht.
Im Login-Flur hängt seit heute ein kleiner Messingkasten. Er summt nicht richtig, eher so: brrt, brrt, als hätte jemand eine Hummel in den Hausmeisterplan eingetragen. Darunter klebt ein Schild: Angemeldet bleiben. Daneben ein zweites Schild: Aber nicht für immer, Herrschaftszeiten.
Der Benutzer drückt. Der Browser nickt. Der Server legt ein Sitzungszettelchen in die Ablage und sagt: Kenn ich. Zumindest für diese Weile. HTTP selber merkt sich ja nichts, dieses brave alte Protokoll läuft nach jedem Satz aus dem Zimmer und fragt beim Wiederkommen, wer denn hier eigentlich wohne.
MDN beschreibt Cookies genau als solche kleinen Datenstücke, die der Server an den Browser schickt und die später wieder mitgesendet werden können. Für Logins wird daraus meist ein Session-Identifier. Kein Personalausweis, eher eine Garderobenmarke mit nervösem Sicherheitsdienst.
Das Problem beginnt mit dem Wort „bleiben“. Es klingt weich. Sofa, Tee, Browserfenster. Technisch ist es aber ein Vertrag mit Ablaufdatum. Manche Cookies verschwinden beim Schließen der Sitzung, andere tragen Max-Age oder Expires wie einen Hausmeisterkalender. Und dann gibt es Browser, die Sitzungen wiederherstellen, als wäre gestern nur eine sehr lange Kaffeepause gewesen.
OWASP mahnt, Session-IDs müssten zufällig, bedeutungslos und nicht vorhersagbar sein. Keine E-Mail im Wert, keine Rolle, kein „admin_aber_pst“. Die eigentliche Bedeutung gehört serverseitig in den Schrank, nicht in die Garderobenmarke. Der Zettel soll nur sagen: Frag hinten nach.
Bei der Blechpresse hat der Türsummer trotzdem Charakter. Um 08:03 lässt er alle rein, um 08:17 behauptet er, die Erinnerung sei aus Datenschutzgründen verdunstet. Ach eigentlich aus Betriebsgründen. Datenschutz klingt nur amtlicher.
Nebenan hat der Browser schon einmal den Schlüsseldienst gerufen, siehe Der Browser ruft den Schlüsseldienst. Dort ging es um Passkeys und weniger Passwortgeschleppe. Hier geht es um den alten Flur danach: Wie lange darf eine Anmeldung atmen, bevor sie wieder den Ausweis sehen will?
Die Antwort ist nicht romantisch. Kurze Sitzungen schützen, lange Sitzungen nerven weniger. Remember-me ist kein Zauber, sondern Risikoabwägung mit Pantoffeln. Wer es baut, muss Ablauf, Erneuerung und Logout so behandeln, als könne der Türsummer beleidigt werden und trotzdem Dienst nach Vorschrift machen.
Am Abend klebt jemand einen neuen Zettel an den Kasten: „Wenn Sie mich vergessen, war das vielleicht Absicht.“ Der Login brummt zufrieden. Oder er läuft ab. Schwer zu sagen.
Faktenanker: MDN Cookies, OWASP Session Management Cheat Sheet. Fiktionale Szene, technische Aussagen gegen die genannten Quellen geprüft.