Eine Figur auf einem Haftzettel, die eine Schätzungskarte mit der Zahl 3 hochhält, während eine zweite Figur neben einem Anmeldeformular auf ein Vorhängeschloss und einen Pfeil zum Zurücksetzen des Passworts zeigt.

Schätzung des Aufwands für eine Anmeldefunktion

So bewerten Sie eine Anmeldefunktion: der verborgene Umfang (Passwortzurücksetzung, 2FA, Föderation, Ratenbegrenzung, Sitzungen) und die Fragen, die geklärt sein müssen, bevor eine Abstimmung stattfindet.

Beiträge zum Thema „Login“ erhalten so gut wie nie eine 3, aber es gibt immer jemanden, der eine 3 vergibt.

„Anmeldung hinzufügen“ erscheint Ihnen unbedeutend, weil jeder im Raum bereits einmal eine Anmeldung implementiert hat – bei einem anderen Produkt, bei dem bereits andere Entscheidungen getroffen wurden. Der Umfang, an den Sie sich erinnern, ist der vom letzten Mal, nicht der, den Sie nun in Angriff nehmen werden. Die Story klingt zunächst wie eine bekannte Größe, bis jemand eine der folgenden Fragen stellt – und dann ist sie es nicht mehr.

Das Problem ist nicht, dass die Anmeldung schwierig ist. Vielmehr besteht die Schwierigkeit darin, dass die Diskussion endet, bevor die Vor- und Nachteile erkennbar sind. Backend-Entwickler verweisen darauf: „Wir haben eine Bibliothek dafür.“ Produktmanager stützen sich auf den Screenshot des Idealfalls. Wer das System in jüngster Zeit tatsächlich umgesetzt hat, ist derjenige, der diesen falschen Konsens durchbricht – meist mit einer Frage, die nicht im Ticket enthalten war.

Was in dem Raum gesagt wird

Backend: „Es handelt sich lediglich um JWT, wir verfügen über die entsprechende Bibliothek.“

Sicherheit: „Das Zurücksetzen des Passworts ist nicht ‚nur JWT‘.“

PM: „Benötigen wir die Zwei-Faktor-Authentifizierung bereits am ersten Tag, oder ist das eine spätere Maßnahme?“

Frontend: „Schließen wir uns mit Google und Apple zusammen oder entwickeln wir eine eigene Lösung?“

SRE: „Wie hoch ist die Ratenbegrenzung für den Anmelde-Endpunkt?“

Fragen, die man sich vor der Stimmabgabe stellen sollte

  • Gibt es einen Ablauf zur Passwortzurücksetzung, und wer ist für die E-Mail-Vorlage verantwortlich?
  • Föderierte Identitätsverwaltung (Google, Apple, SSO) oder lediglich Benutzername und Passwort?
  • Sitzungsspeicherung: JWT, Server-Sitzung, beides, Refresh-Token?
  • Ratenbegrenzung und Kontosperrung am Anmelde-Endpunkt?
  • Gilt die 2FA bereits, oder handelt es sich um ein bewusstes „später“?
  • Protokollierung fehlgeschlagener Anmeldeversuche?

Die meisten dieser Antworten sind entweder „trivial“ oder „das ist ein Thema für sich“. Zählen Sie die zweite Kategorie. Bei zwei oder mehr haben Sie noch keine Geschichte: Sie haben einen Kandidaten für eine Aufteilung, und die 3, die Sie gerade abstimmen wollten, misst das Falsche.

Falls Ihr Team bei der Anmeldung mit 3 Stimmen abstimmt, hat das Gespräch noch nicht stattgefunden. Bitte senden Sie es zurück.

Im Anschluss: Der Artikel „Häufige Fehler beim Planning Poker“ behandelt, was während einer Sitzung schiefgehen kann; der Artikel „So leiten Sie eine Sitzung“ beschreibt den vierphasigen Ablauf. Sehen Sie sich die anderen Beispiele für Schätzungen an oder starten Sie eine kostenlose Planning-Poker-Sitzung und gehen Sie diese Story Schritt für Schritt durch.