OAuth: Definition, Erklärung & Beispiele

OAuth ist ein offenes Standardprotokoll zur Autorisierung, das es Benutzern ermöglicht, Anwendungen Zugriff auf ihre Daten zu gewähren, ohne ihre Passwörter preiszugeben. Es regelt den Zugriff auf Ressourcen und ermöglicht es Dritten, im Namen des Benutzers zu handeln, indem es Token anstelle von Benutzeranmeldeinformationen verwendet. OAuth 2.0 ist die aktuelle Version des Protokolls und wurde 2012 eingeführt.

OAuth 2.0 funktioniert durch den Austausch von Token zwischen einem Benutzer, einer Anwendung und einem Autorisierungsserver. Der Benutzer erteilt der Anwendung die Erlaubnis, auf bestimmte Ressourcen zuzugreifen, woraufhin die Anwendung ein Zugriffstoken erhält. Dieses Token wird dann verwendet, um auf die geschützten Ressourcen zuzugreifen, ohne dass das Passwort des Benutzers weitergegeben wird.

OAuth wird verwendet, um sicheren Zugriff auf APIs und geschützte Ressourcen zu ermöglichen, ohne dass Benutzer ihre Passwörter mit Drittanwendungen teilen müssen. Es ist besonders nützlich in Szenarien, in denen verschiedene Anwendungen auf dieselben Benutzerdaten zugreifen müssen, wie zum Beispiel bei sozialen Netzwerken, Cloud-Diensten und mobilen Apps.

OAuth 1.0 ist die ursprüngliche Version des Protokolls, die komplexer war und eine signierte Anfrage erforderte. OAuth 2.0 hingegen ist einfacher zu implementieren und verwendet Token für den Zugriff auf Ressourcen. Es bietet eine bessere Unterstützung für APIs und ist flexibler, weshalb es heute der Branchenstandard ist.

OAuth 2.0 bietet zahlreiche Vorteile, darunter die Möglichkeit, Benutzerdaten sicher zu teilen, ohne Passwörter preiszugeben. Es ermöglicht eine einfache Integration mit verschiedenen Plattformen und Anwendungen und unterstützt mehrere Authentifizierungsmethoden. Zudem fördert es die Benutzerkontrolle über Daten und verbessert die Sicherheit durch Token-basierte Autorisierung.

Um OAuth zu lernen, sollte man sich zunächst mit den Grundlagen der Webentwicklung und der API-Integration vertraut machen. Es gibt zahlreiche Online-Ressourcen, Tutorials und Dokumentationen, die die Funktionsweise von OAuth erklären. Praktische Übungen, wie die Implementierung von OAuth in eigenen Anwendungen, können das Verständnis vertiefen.

Bearer-Tokens sind eine Art von Zugangstoken, die im OAuth-Protokoll verwendet werden. Sie ermöglichen es einer Anwendung, auf geschützte Ressourcen zuzugreifen, indem sie das Token als Nachweis der Berechtigung übermittelt. Bearer-Tokens sind einfach zu verwenden, da sie keine zusätzliche Authentifizierung erfordern, aber sie müssen sicher gespeichert und übertragen werden.

Der Authorization Code Flow ist ein OAuth 2.0-Flow, der speziell für Webanwendungen entwickelt wurde. Er ermöglicht es einer Anwendung, einen Autorisierungscode zu erhalten, den sie dann gegen ein Zugriffstoken eintauschen kann. Dieser Flow bietet zusätzliche Sicherheit, da das Client-Secret nicht im Browser gespeichert werden muss und die Kommunikation zwischen Servern erfolgt.

PKCE, oder Proof Key for Code Exchange, ist eine Erweiterung des Authorization Code Flows, die zusätzliche Sicherheit für mobile und öffentliche Anwendungen bietet. Es verhindert Angriffe, bei denen ein Angreifer den Autorisierungscode abfängt. PKCE ermöglicht es, einen dynamisch generierten Code zu verwenden, der nur einmal gültig ist und an den Client gebunden ist.

Refresh-Tokens sind spezielle Tokens, die im OAuth-Protokoll verwendet werden, um neue Zugriffstokens zu erhalten, ohne dass der Benutzer sich erneut anmelden muss. Sie ermöglichen es Anwendungen, die Sitzung eines Benutzers aufrechtzuerhalten, indem sie regelmäßig neue Zugriffstokens anfordern, solange das Refresh-Token gültig ist.

OpenID Connect (OIDC) ist eine Identitätsschicht, die auf OAuth 2.0 aufbaut. Während OAuth 2.0 sich auf die Autorisierung konzentriert, ermöglicht OIDC die Authentifizierung von Benutzern. Es stellt sicher, dass Anwendungen wissen, wer der Benutzer ist, und bietet zusätzliche Informationen über den Benutzer in Form von ID-Tokens.

OAuth 2.0 bietet ein hohes Maß an Sicherheit, insbesondere wenn Best Practices wie PKCE und sichere Speicherung von Tokens beachtet werden. Die Verwendung von Token anstelle von Passwörtern reduziert das Risiko von Datenlecks. Dennoch hängt die Sicherheit von der korrekten Implementierung ab, und es ist wichtig, Sicherheitsrichtlinien und Standards zu befolgen.

Große Unternehmen wie Google, Facebook und GitHub setzen OAuth 2.0 als Standard für ihre APIs ein. Diese Unternehmen profitieren von der Flexibilität und Sicherheit, die OAuth 2.0 bietet, und ermöglichen es Entwicklern, Anwendungen zu erstellen, die nahtlos mit ihren Plattformen interagieren, ohne die Benutzeranmeldeinformationen preiszugeben.

Die Implementierung von OAuth kann herausfordernd sein, da es viele Sicherheitsaspekte zu berücksichtigen gibt. Entwickler müssen sicherstellen, dass Tokens sicher gespeichert und übertragen werden. Zudem müssen sie sich mit den verschiedenen Flows und den spezifischen Anforderungen der APIs vertraut machen, um eine korrekte und sichere Integration zu gewährleisten.

OAuth 2.1 wird die bestehenden Best Practices und Sicherheitsanforderungen in einem einzigen Dokument zusammenfassen und verbindlich machen. Zu den Verbesserungen gehören die obligatorische Verwendung von PKCE und spezifische Einschränkungen für Refresh-Tokens, um die Sicherheit und Benutzerfreundlichkeit zu erhöhen.

Ab dem 2. Februar 2026 müssen alle neu erstellten globalen OAuth-Clients den Aktualisierungstoken-Workflow verwenden. Diese Anforderung dient dazu, moderne Sicherheitsstandards einzuhalten und sicherzustellen, dass Anwendungen sicher und effizient mit Benutzerdaten umgehen.

Ab dem 30. April 2026 werden für alle neu erstellten lokalen OAuth-Clients standardisierte Time to Live (TTL) für Zugriffs- und Aktualisierungstoken gelten. Diese Standardisierung soll die Konsistenz und Sicherheit in der Token-Verwaltung verbessern und sicherstellen, dass Tokens regelmäßig erneuert werden.