Lieber Martin

als Referer bzw. als Teil der URL sendet der IE diese Daten grundsätzlich nicht, keine Angst.

OK, ich verstehe.

Aber mit dem Wert 0 an dieser Stelle (also "kein DISABLE") sendet er die in der Adresszeile eingegebenen Zugangsdaten korrekt mit den entsprechenden HTTP-Headern (HTTP-Auth).

Was die Sache dann ja eben auch funktionieren lässt, richtig?
Somit kann ja dann niemand "unberechtigtes" an meinen Usernamen
und mein Passwort kommen.

Sehe ich das richtig?

Gruß aus Münster
Ingo