OAuth 2.0 Device Authorization Grant
Der OAuth 2.0 Device Authorization Grant ist ein Anmeldeverfahren für Geräte ohne Tastatur oder Browser, etwa Fernseher und Spielkonsolen. Das Gerät zeigt einen kurzen Code an, den man am Handy oder Laptop bestätigt – danach darf das Gerät auf das Konto zugreifen.
Manche Geräte sind zum Tippen ungeeignet. Ein Fernseher hat nur eine Fernbedienung, eine Spielkonsole nur ein Gamepad, ein smarter Lautsprecher gar keine Eingabe. Trotzdem soll man sich dort bei einem Dienst wie Netflix, Spotify oder YouTube anmelden können. Der OAuth 2.0 Device Authorization Grant löst dieses Problem, indem er die Anmeldung auf ein zweites Gerät verlagert. Der Fernseher zeigt nur einen kurzen Code an. Passwort und Bestätigung gibt man am Handy oder am Laptop ein, wo das bequem und sicher geht.
Warum Fernseher keine Passwörter abfragen sollten
Ein Passwort über eine Fernbedienung einzutippen ist mühsam. Man klickt sich Buchstabe für Buchstabe durch eine Bildschirmtastatur. Bei einem langen, sicheren Passwort dauert das Minuten. Viele Nutzer wählen deshalb schwache Passwörter oder brechen die Anmeldung ganz ab.
Wichtiger ist aber der Sicherheitsaspekt. Ein Fernseher im Wohnzimmer ist ein Gerät, dem man weniger vertrauen kann als dem eigenen Handy. Er wird selten aktualisiert, teilt sich das WLAN mit Gästen und läuft mit Software des Herstellers. Beim Device Flow bekommt dieses Gerät das Passwort nie zu sehen. Es erhält am Ende nur ein Token, also einen begrenzten digitalen Schlüssel für genau diesen Dienst.
Dazu kommt ein praktischer Vorteil: Zwei-Faktor-Verfahren funktionieren problemlos. Der Bestätigungscode aus der Authenticator-App wird am Handy eingegeben, nicht am Fernseher. Ohne den Device Flow wäre das auf vielen Geräten kaum umsetzbar.
Der Weg vom Code auf dem Bildschirm zum Zugriff
Der Ablauf beginnt beim Gerät. Der Fernseher meldet sich beim Dienst und sagt sinngemäß: Ein Nutzer möchte sich anmelden. Der Dienst antwortet mit zwei Codes. Der eine ist kurz und für Menschen lesbar, etwa ABCD-1234. Der andere ist lang, geheim und nur für das Gerät bestimmt. Dazu kommt eine Internetadresse, an der die Bestätigung stattfindet.
Der Fernseher zeigt nun den kurzen Code und die Adresse an, oft zusätzlich als QR-Code. Der Nutzer öffnet die Seite am Handy, loggt sich dort normal ein und tippt den kurzen Code ein. Danach fragt der Dienst: Soll dieses Gerät Zugriff auf dein Konto bekommen? Erst mit dem Klick auf Ja ist die Freigabe erteilt.
Währenddessen wartet der Fernseher nicht untätig. Er fragt alle paar Sekunden beim Dienst nach, ob die Freigabe schon vorliegt. Dieses regelmäßige Nachfragen heißt Polling. Solange nichts passiert ist, lautet die Antwort schlicht: noch nicht. Nach der Bestätigung liefert der Dienst das Token, und der Fernseher ist angemeldet. Der kurze Code verfällt meist nach zehn bis fünfzehn Minuten, damit er nicht endlos gültig bleibt.
Von Netflix bis zur Kommandozeile
Am häufigsten begegnet einem das Verfahren auf dem Sofa. Streaming-Apps auf Smart-TVs, Fire-TV-Sticks und Konsolen nutzen es fast alle. Auch beim Einrichten von Google Home, Alexa-Geräten oder einer Smartwatch taucht der typische Code auf. Wer schon einmal auf einem Bildschirm eine Buchstabenfolge und darunter eine kurze Webadresse gesehen hat, hat den Device Flow benutzt.
Der zweite große Einsatzbereich liegt bei Entwicklern. Wenn man sich in einem Terminalfenster bei GitHub oder einem Cloud-Anbieter anmeldet, erscheint oft derselbe Ablauf. Das Kommandozeilenprogramm kann keine Anmeldeseite darstellen, also verweist es auf den Browser. Auch Werkzeuge zur Verwaltung von KI-Diensten setzen dieses Verfahren ein.
Ein verbreiteter Irrtum ist, der Code sei ein Passwort. Er ist nur eine Nummer für eine offene Anfrage. Trotzdem sollte man ihn nicht weitergeben. Betrüger schicken manchmal einen Code per Mail und bitten um Bestätigung. Wer zustimmt, erlaubt einem fremden Gerät den Zugriff auf das eigene Konto. Die Regel ist einfach: Bestätige nur Codes, die du gerade selbst auf deinem eigenen Bildschirm siehst.