Was ist OAuth 2.0?

OAuth 2.0: Definition und Bedeutung

Früher gaben Nutzer ihr Passwort an Drittanwendungen weiter, damit diese auf E-Mails oder Kalender zugreifen konnten – ein erhebliches Risiko. OAuth 2.0 löst das: Der Nutzer erlaubt einer Anwendung gezielt bestimmten Zugriff, das Passwort bleibt beim jeweiligen Dienst. Der Standard ist seit 2012 als RFC 6749 veröffentlicht und Grundlage vieler Anmeldungen und Schnittstellen.

Wichtig ist die Abgrenzung: OAuth 2.0 regelt die Autorisierung, also was eine Anwendung darf. Für die Anmeldung – wer ist der Nutzer? – wird darauf aufbauend meist OpenID Connect eingesetzt. Beides begegnet Ihnen etwa bei „Mit Google anmelden“ oder „Mit Microsoft anmelden“.

So funktioniert OAuth 2.0

Vier Rollen sind beteiligt: der Nutzer als Ressourcenbesitzer, die Anwendung als Client, der Autorisierungsserver, der die Freigabe prüft, und der Ressourcenserver mit den geschützten Daten. Der Nutzer wird zum Autorisierungsserver geleitet, meldet sich dort an und bestätigt, welche Berechtigungen (Scopes) die Anwendung erhält.

Die Anwendung bekommt daraufhin einen Access Token mit kurzer Lebensdauer und gegebenenfalls einen Refresh Token, um neue Access Token zu holen. Für Web- und Mobile-Apps gilt der Authorization-Code-Flow mit PKCE als empfohlenes Verfahren; für Server-zu-Server-Verbindungen dient der Client-Credentials-Flow. Ältere Varianten wie der Implicit Flow gelten als überholt.

Praxis­bei­spiel: Terminbu­chung mit Kalen­derzu­griff

Eine Physiotherapiepraxis nutzt ein Buchungssystem, das gebuchte Termine automatisch in den Google- oder Outlook-Kalender der Therapeuten eintragen soll. Früher hätte man dafür Zugangsdaten hinterlegen müssen; heute genügt eine Freigabe über OAuth 2.0, bei der das Passwort nie das Buchungssystem erreicht.

Die Therapeutin bestätigt einmalig, dass das System Kalendereinträge anlegen darf – und nicht mehr. Sie kann den Zugriff jederzeit widerrufen, ohne ihr Passwort zu ändern. Das System speichert nur die Token, am besten verschlüsselt, und fordert nach Ablauf automatisch neue an.

Vorteile, Grenzen und typische Fehler

OAuth 2.0 trennt Passwort und Zugriff, erlaubt fein abgestufte und widerrufbare Rechte und wird breit unterstützt. Der Standard ist aber ein Rahmenwerk mit vielen Varianten, und gerade bei der Umsetzung entstehen leicht Sicherheitslücken, weil Details wie Weiterleitungen und Token-Speicherung selbst verantwortet werden müssen. Typische Fehler:

• Veraltete Verfahren wie Implicit Flow oder Passwort-Grant nutzen
• Token im Quelltext, in URLs oder im Klartext in der Datenbank ablegen
• Zu weitreichende Scopes anfordern statt nur der nötigen Rechte
• Redirect-URIs nicht exakt festlegen und prüfen
• OAuth mit Anmeldung verwechseln und OpenID Connect weglassen

Worauf Unternehmen achten sollten

Setzen Sie auf geprüfte Bibliotheken und anerkannte Identitätsdienste statt auf Eigenbauten, fordern Sie nur nötige Rechte an und planen Sie Token-Widerruf und Rotation ein. Nano Concepts bindet Dienste wie Microsoft, Google oder Branchenplattformen per OAuth 2.0 an und sichert die Schnittstellen in Portalen und Apps ab.