←  Alle Begriffe
O
Security & Compliance

OAuth

OAuth ist ein Autorisierungsframework, das Anwendungen begrenzten Zugriff auf Ressourcen ermöglicht, ohne Passwörter weiterzugeben.

OAuth ist ein Autorisierungsframework, das Anwendungen begrenzten Zugriff auf Ressourcen ermöglicht, ohne Passwörter weiterzugeben. Die konkrete Ausgestaltung hängt von Daten, Risiko und Rechtsraum ab und sollte technisch wie organisatorisch geprüft werden. Eng verbunden ist der Begriff mit OpenID Connect und API.

Weiterlesen

OpenID Connect

API

Autorisierung

Authentifizierung

FAQ

OAuth

Wann wird OAuth bei API-Integrationen eingesetzt?
Bei API-Integrationen kommt OAuth zum Einsatz, wenn eine Anwendung im Namen eines Nutzers auf eine fremde API zugreift, etwa bei Kalender-, CRM- oder Social-Media-Anbindungen. Für reine Server-zu-Server-Kommunikation ohne Nutzerbezug genügen oft Client-Credentials oder API-Schlüssel. Die Wahl richtet sich nach Schutzbedarf und nach dem, was die jeweilige API unterstützt.
Welche typischen Fehler gibt es bei der OAuth-Implementierung?
Typisch sind zu weite Scopes, unzureichend geprüfte Redirect-URIs, im Browser abgelegte Tokens und selbst gebaute Abläufe statt geprüfter Bibliotheken. Auch fehlende Token-Erneuerung führt zu Problemen. Weil OAuth ein Framework mit vielen Varianten ist, sollten Ablauf und Konfiguration sicherheitstechnisch geprüft werden.
Was sind Scopes und Tokens bei OAuth?
Ein Token ist der Nachweis, mit dem eine Anwendung Zugriff erhält. Scopes legen fest, worauf dieser Zugriff reicht, etwa Lesen statt Schreiben. Kurze Gültigkeit und enge Scopes begrenzen den Schaden, falls ein Token abhandenkommt. Zu weit gefasste Berechtigungen sind ein häufiges Risiko in der Konfiguration.
Wie funktioniert der Ablauf bei OAuth vereinfacht?
Eine Anwendung leitet Nutzer zum Autorisierungsserver, wo diese den Zugriff bestätigen. Der Server stellt danach ein Access Token mit begrenztem Umfang und begrenzter Lebensdauer aus, mit dem die Anwendung die Ressourcen-API aufruft. Das Passwort verbleibt beim Anbieter. Welcher Ablauf passt, hängt vom Anwendungstyp ab.
Was ist der Unterschied zwischen OAuth und OpenID Connect?
OAuth regelt Autorisierung: Eine Anwendung erhält begrenzten Zugriff auf Ressourcen. OpenID Connect baut darauf auf und ergänzt Authentifizierung, also die Antwort auf die Frage, wer sich angemeldet hat. Reines OAuth eignet sich daher nicht als Anmeldeverfahren. Sobald die Identität von Nutzern gebraucht wird, kommt OpenID Connect ins Spiel.