Passwort vergessen?

[heinetz]

Hallo Forum,

ich habe vor Jahren mal ein CMS für einen Kunden gebaut, das von ca. 50 Redakteuren verwendet wird. Damals wurde mir vom Kunden eine Liste mit sämtlichen Benutzerdaten zugeschickt, die dann in die DB geschrieben wurden. Die Passwörter sind nicht sonderlich kryptisch und m.E. recht leicht zu entschlüsseln. Neben Passwörtern bestehen die Datensätze aus Bentzernamen und Email-Adressen und ich  habe folgende einfache Lösung vorgeschlagen, die aus meiner Sich mit relativ geringem Aufwand das System zum Einen sicherer und zum Anderen komfortabler macht:

• Ich ersetze die einfachen Passwörter durch kryptische.
• Ich schaffe den Benutzernamen ab und lass die Redakteure stattdessen ihre Email-Adresse eingeben.
• Ich schaffe einen "Passwort vergessen"-Link, über den sich das Passwort an die Email-Adresse schicken lässt.

Was daran ist unsicher bzw. anders gefragt:

Wenn ich bei Ebay auf "Passwort vergessen" klicke, wird auch nur meine Email-Adresse benötigt, aber das Passwort wird mir nicht zugeschickt, sondern statt dessen ein Link, mit dem ich dann das Passwort zurücksetzen und neu vergeben kann.

Warum wird das so gemacht? Weil dann das Passwort nicht im Klartext verschickt wird bzw. wenn sie angekommen ist in einer Mail steht oder weil man mit der Mail nur 24 Stunden etwas anfangen kann?

gruss,
heinetz