Authentifizierung

OAuth 2.0

Offenes Autorisierungsprotokoll, das Drittanbieter-Anwendungen ermöglicht, im Namen eines Nutzers auf Ressourcen zuzugreifen, ohne dessen Passwort zu kennen.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“Statt deinem Passwort gibst du einer App einen "Schlüssel" mit dem sie nur bestimmte Dinge tun darf. Wie ein Hotelschlüssel der nur bestimmte Räume öffnet — nicht deinen Mastercode. "Mit Google anmelden" nutzt OAuth: Google gibt der App eine Genehmigung, du gibst dein Google-Passwort nie weiter.”

Ausführliche Erklärung

OAuth 2.0 (RFC 6749) ist das Fundament moderner API-Autorisierung. Es ermöglicht delegierten Zugriff: "Melde dich mit Google an", "Verbinde mit GitHub" — ohne das eigentliche Passwort weiterzugeben. Flow-Typen: Authorization Code (sicherste, für Server-Apps), Implicit (veraltet), Client Credentials (Service-to-Service), Device Flow. OAuth 2.0 ist ein Autorisierungsprotokoll, kein Authentifizierungsprotokoll — für Authentifizierung wird OpenID Connect (OIDC) darüber gelegt. Häufige Fehler: unsichere Redirect URIs, fehlende State-Parameter (CSRF-Risiko), zu breite Scopes.

>Wie funktioniert das?

Nutzer klickt "Mit Google anmelden" in einer App

App leitet Nutzer zu Google (Authorization Server) mit Scope-Angabe

Nutzer authentifiziert sich bei Google und genehmigt die Zugriffsanfrage

Google leitet zurück zur App mit Authorization Code

App tauscht Code gegen Access Token (+ Refresh Token)

App nutzt Token für API-Zugriff im Namen des Nutzers.

?Häufig gestellte Fragen

Antwort

Praktisch alle modernen Webanwendungen und APIs — Google, Facebook, GitHub, Microsoft, Twitter und Tausende weitere Dienste nutzen OAuth 2.0 als Autorisierungsprotokoll.

Antwort

OAuth 2.0 ist ein Autorisierungsprotokoll (Zugriff auf Ressourcen). OpenID Connect (OIDC) ist eine Identitätsschicht auf OAuth 2.0 die Authentifizierung hinzufügt (Wer ist der Nutzer?).

Antwort

Der State-Parameter verhindert CSRF-Angriffe im OAuth-Flow — er ist ein zufälliger Wert der bei der Autorisierungsanfrage mitgesendet und beim Callback verifiziert wird.

Antwort

Beim Implicit Flow wird das Access Token direkt in der URL zurückgegeben — sichtbar in Browser-History, Logs und Referrer-Headern. Der Authorization Code Flow mit PKCE ist die sichere Alternative.

Antwort

Durch das Least-Privilege-Prinzip für OAuth-Scopes — nur die minimal nötigen Berechtigungen anfordern, Nutzer über angeforderte Scopes informieren und regelmäßig erteilte App-Berechtigungen überprüfen.

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC