Barrierefreier Login: Worauf es bei Kundenportalen und Buchungen ankommt

Ein barrierefreier Login lässt sich ohne Maus bedienen, unterstützt Passwortmanager und erlaubt das Einfügen von Zugangsdaten. Auch Fehlermeldungen und die Kontowiederherstellung müssen zugänglich sein. Bei einer Buchung sollte die Anmeldung außerdem den gewählten Termin erhalten, statt den Vorgang neu zu starten.

Kurz gesagt: Erlaube das automatische Ausfüllen und Einfügen von Zugangsdaten. Prüfe den gesamten Weg vom Anmelden bis zur abgeschlossenen Buchung, einschließlich Bestätigungscode und Passwortzurücksetzen. Ein zugängliches Anmeldeformular allein reicht nicht.

Stand: November 2026. Laut ETSI erschien EN 301 549 V4.1.1 im September 2026 und nimmt Anforderungen der WCAG 2.2 auf. WCAG sind internationale Leitlinien für barrierefreie Webinhalte. Die Veröffentlichung ist ein guter Anlass, den eigenen Anmeldeweg zu prüfen.

Daraus folgt allerdings keine neue Pflicht für jede Firmenwebsite. Für die Konformitätsvermutung nach dem BFSG ist die Veröffentlichung der entsprechenden Fundstelle im EU-Amtsblatt maßgeblich. Gemeint ist die gesetzliche Vermutung, dass die von der Norm erfassten Anforderungen erfüllt sind.

Dieser Beitrag erklärt die technische Umsetzung und ersetzt keine Rechtsberatung. Ob dein Angebot betroffen ist, solltest du mit einer Anwaltskanzlei oder der zuständigen Marktüberwachungsbehörde klären. Eine erste Einordnung bietet unser Ratgeber zur Barrierefreiheitspflicht für Websites.

Was muss ein barrierefreier Login können?

Ein barrierefreier Login muss mit Tastatur und unterstützenden Hilfsmitteln funktionieren. Er darf Menschen nicht unnötig dazu zwingen, Zugangsdaten auswendig zu wissen oder abzutippen.

Ein Passwortmanager speichert Zugangsdaten und setzt sie in die passenden Felder ein. Das W3C nennt die Unterstützung solcher Programme und das Einfügen von Zugangsdaten ausdrücklich als Hilfen für zugängliche Anmeldung. Blockiert ein Formular diese Funktionen, nimmt es Nutzern eine vorhandene Unterstützung weg.

Denke dabei über die Anmeldeseite hinaus. Wer sein Passwort vergessen hat, muss auch die E-Mail zum Zurücksetzen und das anschließende Formular bedienen können. Zusätzliche Sicherheitsabfragen dürfen diesen Weg nicht wieder versperren.

Für ein Buchungsportal ist deshalb die entscheidende Testaufgabe: Kann jemand einen Termin wählen, sich anmelden und die Buchung abschließen? Ein einzeln geprüftes Passwortfeld beantwortet diese Frage noch nicht.

Wie müssen Felder und Schaltflächen aufgebaut sein?

Anmeldefelder brauchen dauerhaft sichtbare Beschriftungen, die technisch mit dem jeweiligen Feld verbunden sind. Schaltflächen müssen per Tastatur erreichbar sein und verständlich benennen, was sie tun.

„E-Mail-Adresse“ als grauer Text im leeren Feld genügt als Beschriftung nicht. Dieser Text verschwindet beim Tippen. Die Bezeichnung sollte deshalb auch über oder neben dem ausgefüllten Feld stehen.

Ein Screenreader ist ein Hilfsprogramm, das Bildschirminhalte vorliest oder über eine Braillezeile ausgibt. Er braucht technisch hinterlegte Feldnamen und Zustände. Ein Augensymbol am Passwortfeld erklärt ihm allein noch nicht, dass sich damit das Passwort anzeigen lässt.

Diese Punkte gehören in die Umsetzung:

• E-Mail-Adresse und Passwort lassen sich automatisch ausfüllen und einfügen.
• Die Tabulatortaste führt in nachvollziehbarer Reihenfolge durch das Formular. Eine sichtbare Markierung zeigt die aktuelle Position.
• „Passwort anzeigen“ ist eine beschriftete Schaltfläche. Auch ihr Zustand wird an Hilfsmittel übermittelt.
• Bei vergrößerter Darstellung bleiben Felder, Meldungen und die Anmeldeschaltfläche erreichbar.

Das W3C behandelt außerdem ausreichend große Bedienziele. Praktisch bedeutet das: Der Link „Passwort vergessen“ darf nicht zwischen anderen Aktionen eingeklemmt sein. Auch das Augensymbol braucht eine ausreichend große anklickbare Fläche.

Sind Passkeys oder Anmeldelinks besser als Passwörter?

Passkeys und Anmeldelinks können die Anmeldung erleichtern, sind aber nicht automatisch barrierefrei. Entscheidend ist, ob der gesamte Ablauf auf den verwendeten Geräten funktioniert.

Ein Passkey ist ein kryptografischer Zugangsschlüssel, den ein Gerät oder Zugangsdienst verwaltet. Die Anmeldung wird beispielsweise über die Gerätesperre freigegeben. Ein Anmeldelink kommt dagegen per E-Mail und ermöglicht den Zugang ohne Portalpasswort.

Ein vertrauter Anmeldeweg mit funktionierender Wiederherstellung ist meist die bessere Wahl als eine neue Methode mit offenen Fehlerfällen. Ein Anmeldelink hilft wenig, wenn er auf dem Telefon einen anderen Browser öffnet und die Terminauswahl verloren geht.

Lass dir deshalb auch den Gerätewechsel vorführen. Wie gelangt jemand wieder ins Konto, wenn das bisherige Telefon fehlt? Ein bequemer Einstieg ist wenig wert, wenn der Ersatzweg nicht funktioniert.

Wie bleiben Bestätigungscodes und Sicherheitsabfragen zugänglich?

Bestätigungscodes müssen sich ohne unnötiges Abtippen eingeben lassen. Zusätzliche Sicherheitsprüfungen brauchen ebenfalls einen zugänglichen Ablauf.

Bei einer Mehrfaktor-Anmeldung verlangt das System verschiedene Arten von Nachweisen, etwa ein Passwort und eine Freigabe auf einem Gerät. Wird dabei ein Code verwendet, sollte sich dieser vollständig einfügen lassen. Aufgeteilte Eingabefelder dürfen keine Zeichen verschlucken oder die Tastaturbedienung durcheinanderbringen.

Teste auch den Wechsel zur E-Mail-App. Nach der Rückkehr muss erkennbar sein, wo der Code eingegeben wird. Ist er abgelaufen, braucht es eine verständliche Meldung und eine erreichbare Möglichkeit, einen neuen anzufordern.

Ein CAPTCHA ist eine Prüfung, die automatisierte Zugriffe erkennen soll. Bildrätsel können Menschen ausschließen, die die Bilder nicht erkennen oder die Aufgabe nicht lösen können. Setze deshalb kein Bildrätsel als einzigen Zugang ein. Welche zugängliche Alternative passt, hängt vom Schutzbedarf des Portals ab.

Barrierefreiheit bedeutet dabei nicht, Sicherheitsprüfungen abzuschalten. Auch ein Ersatzweg bei verlorenem Telefon muss die Identität ausreichend prüfen. Ein Anruf beim Support darf nicht einfach jede Zugangssperre aufheben.

Was ist bei Terminbuchungen besonders wichtig?

Eine Anmeldung sollte die begonnene Buchung erhalten. Prüfe außerdem, ob für eine einmalige Terminbuchung überhaupt ein dauerhaftes Kundenkonto gebraucht wird.

Wer einen Beratungstermin vereinbaren möchte, braucht möglicherweise keinen eigenen Portalbereich. Eine Buchung ohne dauerhaftes Konto kann dann zusätzliche Registrierungsschritte vermeiden. Werden später vertrauliche Unterlagen bereitgestellt, muss der Zugang dafür passend abgesichert werden.

Das W3C behandelt auch die Vermeidung unnötig wiederholter Eingaben. Hat jemand bereits seine E-Mail-Adresse angegeben, sollte der nächste Schritt dieselbe Eingabe nicht ohne Grund erneut verlangen.

Spiele diesen Ablauf durch: Termin wählen, anmelden, falsches Passwort eingeben, Passwort zurücksetzen und zur Buchung zurückkehren. Ist der Termin noch ausgewählt? Wurde er inzwischen anderweitig vergeben, muss das Portal dies erklären und eine neue Auswahl ermöglichen.

Auch Zeitlimits brauchen einen verständlichen Ablauf. Eine Sitzung ist der Zeitraum, in dem das System eine Person als angemeldet behandelt. Muss sie aus Sicherheitsgründen enden, sollte das Portal rechtzeitig warnen und, soweit vertretbar, eine Verlängerung anbieten.

Wie müssen Fehlermeldungen und Passwortzurücksetzen funktionieren?

Fehlermeldungen müssen einen nächsten Schritt ermöglichen und auch ohne Farberkennung verständlich sein. Das Passwortzurücksetzen braucht dieselben Bedienhilfen wie das Anmeldeformular.

Eine rote Umrandung erklärt nicht, was falsch ist. Bei einem ungültigen E-Mail-Format sollte direkt am Feld ein verständlicher Hinweis stehen. Die Software muss diesen Hinweis auch für den Screenreader mit dem Feld verknüpfen.

Bei falschen Zugangsdaten ist dagegen Zurückhaltung sinnvoll. Die Meldung sollte nicht unnötig verraten, ob eine bestimmte E-Mail-Adresse ein Konto besitzt. Sie kann trotzdem helfen: „Anmeldung fehlgeschlagen. Prüfe deine Zugangsdaten oder setze dein Passwort zurück.“

Prüfe beim Zurücksetzen auch die E-Mail. Ist der Link eindeutig bezeichnet? Lässt sich auf der Zielseite ein neues Passwort aus dem Passwortmanager einsetzen? Nach einem abgelaufenen Link muss ein neuer Versuch möglich sein.

Telefonische Hilfe kann den Ablauf ergänzen. Als einziger Ausweg schließt sie jedoch Menschen aus, die nicht telefonieren können. Ein dauerhaft blockierter Anmeldeweg wird durch eine Telefonnummer nicht zugänglich.

Wie prüfst du den Login ohne Entwicklungskenntnisse?

Viele Hürden erkennst du selbst, wenn du mit einem Testkonto echte Aufgaben erledigst. Für eine vollständige Barrierefreiheitsprüfung brauchst du zusätzlich fachkundige Tests.

Nutze zunächst die Geräte und Browser, die für dein Portal vorgesehen sind. Notiere bei jedem Problem den genauen Schritt und das erwartete Verhalten.

1. Lege die Maus zur Seite. Melde dich ausschließlich mit der Tastatur an und wieder ab.
2. Verwende einen Passwortmanager. Teste das automatische Ausfüllen und das Einfügen aus der Zwischenablage.
3. Vergrößere die Darstellung im Browser. Kontrolliere, ob du weiterhin alle Felder und Aktionen erreichst.
4. Gib falsche Zugangsdaten ein. Prüfe die Fehlermeldung und den Weg zur Korrektur.
5. Setze das Passwort zurück. Probiere auch einen abgelaufenen Link.
6. Unterbrich eine begonnene Buchung durch die Anmeldung. Prüfe anschließend, ob du die Buchung fortsetzen kannst.

Ergänzend sollte jemand mit Screenreader-Erfahrung den Ablauf testen. Automatische Prüfwerkzeuge finden bestimmte technische Fehler. Ob eine Buchung nach dem Wechsel zum Postfach sinnvoll weitergeht, zeigen sie dir nicht zuverlässig.

Aus deinen Beobachtungen lassen sich Abnahmepunkte formulieren. Wie du diese festhältst, erklärt der Ratgeber zur Software-Abnahme ohne IT-Kenntnisse.

Was gehört in den Auftrag für ein zugängliches Kundenportal?

Vereinbare den fachlich passenden Barrierefreiheitsstandard und ergänze ihn um konkrete Testfälle. „Login barrierefrei“ allein ist als Leistungsbeschreibung zu ungenau.

Ein überprüfbarer Testfall lautet: „Nach dem Zurücksetzen des Passworts kann die begonnene Buchung fortgesetzt werden.“ Ein weiterer: „Zugangsdaten und Bestätigungscodes lassen sich vollständig einfügen.“ Halte auch fest, wer diese Abläufe vor der Freigabe prüft.

Bei einem externen Buchungsdienst muss außerdem klar sein, wer Fehler beheben kann. Dein Website-Team kann dessen Anmeldeformular möglicherweise nicht verändern. Lass dir vor der Auswahl einen Testzugang geben und prüfe Anmeldung sowie Wiederherstellung selbst.

Davon hängt auch der Aufwand ab. Ein eigenes Formular lässt sich direkt bearbeiten. Bei einem fremden Dienst braucht es möglicherweise eine Anpassung durch den Anbieter oder einen Wechsel des Systems.

Bei mawu halten wir Anforderungen vor der Entwicklung schriftlich fest und prüfen die Umsetzung dagegen. Die Verbindung zwischen Website und Buchungsdienst gehört deshalb bereits in die Planung der Website-Entwicklung.

Beginne mit einer vollständigen Testbuchung und setze dabei absichtlich dein Passwort zurück. Gib jede gefundene Hürde mit dem erwarteten Verhalten an dein Entwicklungsteam weiter.