OAuth

Manchmal soll ein Programm für dich auf Daten zugreifen, die bei einem anderen Anbieter liegen. Ein Fotodruck-Dienst möchte etwa die Bilder aus deinem Google-Konto holen. Die naive Lösung wäre, dem Dienst dein Google-Passwort zu geben. Das wäre gefährlich, denn damit könnte er alles tun: Mails lesen, Dateien löschen, das Passwort ändern. OAuth löst dieses Problem anders. Du meldest dich direkt bei Google an, und Google gibt dem Dienst danach nur eine eng begrenzte Erlaubnis – etwa „darf Fotos lesen“, sonst nichts.

Warum das Passwort niemals weitergegeben wird

Ein Passwort ist ein Generalschlüssel. Wer es hat, ist für den Dienst nicht von dir zu unterscheiden. Genau das ist bei geteilten Passwörtern das Kernproblem: Man kann die Rechte nicht einschränken und den Zugriff nur schwer wieder entziehen. Ein Passwortwechsel würde außerdem alle anderen Programme mit aussperren.

OAuth trennt deshalb zwei Dinge, die vorher vermischt waren: den Nachweis, wer du bist, und die Erlaubnis, etwas Bestimmtes zu tun. Der Nachweis bleibt beim großen Anbieter, bei dem du ohnehin ein Konto hast. Die Erlaubnis wird als eigener, kleiner Schlüssel ausgegeben. Fachlich heißt dieser Schlüssel Token, also eine Art digitale Marke.

Für Nutzer bedeutet das mehr Kontrolle. In den Kontoeinstellungen großer Anbieter gibt es eine Liste aller verbundenen Apps. Dort lässt sich jede einzelne Verbindung mit einem Klick kappen, ohne dass etwas anderes kaputtgeht. Für Firmen ist OAuth zudem eine Voraussetzung dafür, dass Software überhaupt sauber zusammenarbeiten kann – ohne diesen Standard müsste jeder Anbieter sich ein eigenes Verfahren ausdenken.

Der Ablauf mit Weiterleitung und Token

Am Verfahren sind vier Beteiligte gedacht: du als Nutzer, die anfragende App, der Anbieter mit deinen Daten und dessen Anmeldeseite. Der Ablauf beginnt mit einer Weiterleitung. Die App schickt dich auf die echte Anmeldeseite des Anbieters. Du gibst dein Passwort dort ein, also nur an der Stelle, an der es hingehört.

Anschließend zeigt der Anbieter einen Zustimmungsdialog. Darin steht, welche Rechte die App verlangt. Diese Rechteliste nennt man Scopes; ein Scope kann zum Beispiel „Kalender lesen“ bedeuten, ein anderer „Kalender ändern“. Erst wenn du zustimmst, wirst du zur App zurückgeleitet, und die App erhält im Hintergrund ihren Token.

Dieser Zugangstoken ist bewusst kurzlebig, oft nur Minuten oder Stunden gültig. Dazu kommt meist ein zweiter, langlebiger Token, mit dem die App sich stillschweigend einen neuen besorgen kann. Wird ein kurzlebiger Token gestohlen, ist der Schaden zeitlich begrenzt. Wichtig ist die Abgrenzung zu einem verwandten Begriff: OAuth regelt Erlaubnisse, während das darauf aufbauende OpenID Connect dazu dient, deine Identität zu bestätigen.

Der Knopf „Weiter mit Google“ und die API-Wirtschaft

Am häufigsten begegnet man OAuth beim Anmelden. Knöpfe wie „Weiter mit Google“, „Mit Apple anmelden“ oder „Login mit GitHub“ beruhen darauf. Genauso funktioniert es, wenn eine Buchhaltungssoftware auf dein Bankkonto schaut oder eine Terminplaner-App deinen Kalender liest. Auch KI-Assistenten nutzen es, wenn sie mit deiner Erlaubnis Mails oder Dokumente durchsuchen sollen.

In Nachrichten taucht der Begriff auf, wenn Plattformen ihre Schnittstellen umbauen. Eine Schnittstelle, meist API genannt, ist der geregelte Zugang für andere Programme. Wer diesen Zugang über OAuth steuert, kann sehr genau festlegen, welche Partner was sehen dürfen. Änderungen daran haben schon ganze Geschäftsmodelle zerstört, etwa als Twitter den Zugang für fremde Apps stark einschränkte.

Ein typischer Irrtum ist, OAuth für unangreifbar zu halten. Angreifer bauen gefälschte Zustimmungsseiten oder bringen Nutzer dazu, einer harmlos klingenden App zu viele Rechte zu geben. Der Schutz liegt deshalb beim Lesen: Prüfe die Adresse der Anmeldeseite und die angezeigte Rechteliste. Und räume gelegentlich die Liste der verbundenen Apps auf.