anstatt dem user das passwort zuzuschicken, könnte man auch einfach einen link schicken, der eine session-id enthält, die es dem user erlaubt, ein neues passwort einzugeben!!!